Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Überwachen Sie Ressourcenänderungen mit AWS Config
AWS Control Tower AWS Config aktiviert alle registrierten Konten, sodass es die Einhaltung der Vorschriften durch detektive Kontrollen überwachen, Ressourcenänderungen aufzeichnen und Ressourcenänderungsprotokolle an ein zentrales Konto senden kann.
Wenn Ihre landing zone Zone-Version älter als 3.0 ist: AWS Config Protokolliert für Ihre registrierten Konten alle Änderungen an Ressourcen für alle Regionen, in denen das Konto betrieben wird. Jede Änderung wird als Configuration Item (CI) modelliert, das Informationen wie die Ressourcen-ID, die Region, das Datum, an dem jede Änderung aufgezeichnet wurde, und darüber, ob sich die Änderung auf eine bekannte oder eine neu entdeckte Ressource bezieht, enthält.
Wenn Ihre landing zone Zone-Version 3.0 oder höher ist: AWS Control Tower beschränkt die Aufzeichnung für globale Ressourcen wie IAM-Benutzer, Gruppen, Rollen und vom Kunden verwaltete Richtlinien nur auf Ihre Heimatregion. Kopien globaler Ressourcenänderungen werden nicht in jeder Region gespeichert. Diese Beschränkung der Ressourcenaufzeichnung entspricht den AWS Config bewährten Verfahren
-
Weitere Informationen dazu finden Sie AWS Config unter So AWS Config funktioniert es.
-
Eine Liste der Ressourcen, die unterstützt AWS Config werden können, finden Sie unter Unterstützte Ressourcentypen.
-
Weitere Informationen zum Anpassen der Ressourcenverfolgung in der AWS Control Tower-Umgebung finden Sie im Blogbeitrag Customize AWS Config Resource Tracking in AWS Control Tower
.
AWS Control Tower richtet für alle registrierten Konten einen AWS Config Lieferkanal ein. Über diesen Lieferkanal werden alle aufgezeichneten Änderungen in einem zentralen Konto protokolliert, wo sie in einem Amazon Simple Storage Service-Bucket gespeichert werden. Der Name und der Speicherort des Amazon S3 S3-Buckets hängen von Ihrer landing zone Zone-Version ab:
-
Bei landing zone Zone-Version 3.3 oder früher werden die Protokolle im
aws-controltower-logs-*Amazon S3 S3-Bucket im Protokollarchiv-Konto gespeichert. -
Bei landing zone Zone-Version 4.0 oder höher werden die Protokolle im
aws-controltower-config-logs-*Amazon S3 S3-Bucket im AWS Config Integrationskonto (früher als Audit-Konto bezeichnet) gespeichert. Weitere Informationen finden Sie unter Aktualisierungen der AWS Config.
Sehen Sie sich die an AWS Config Rekorderdaten zu registrierten Konten
AWS Config ist integriert, CloudWatch sodass Sie AWS Config CIs in einem Dashboard anzeigen können. Weitere Informationen finden Sie im Blogbeitrag AWS Config
Unterstützt CloudWatch Amazon-Metriken
Um AWS Config Daten programmgesteuert anzuzeigen, können Sie mit der AWS CLI arbeiten oder andere AWS Tools verwenden.
Fragen Sie die ab AWS Config Rekorderdaten zu einer bestimmten Ressource
Sie können die AWS CLI verwenden, um eine Liste der letzten Änderungen für eine Ressource abzurufen.
Befehl zum Ressourcenverlauf:
-
aws configservice get-resource-config-history --resource-typeRESOURCE-TYPE--resource-idRESOURCE-ID--regionREGION
Weitere Informationen finden Sie in der API-Dokumentation für get-config-history.
Visualisieren AWS Config Daten mit Quick
Sie können Ressourcen visualisieren und abfragen, die AWS Config in Ihrem gesamten Unternehmen aufgezeichnet wurden. Weitere Informationen finden Sie im Config Resource Compliance Dashboard
Fehlerbehebung AWS Config im AWS Control Tower
Dieser Abschnitt enthält Informationen zu einigen Problemen, die bei der Verwendung AWS Config mit AWS Control Tower auftreten können.
Hoch AWS Config Kosten
Wenn Ihr Workflow Prozesse umfasst, die häufig Ressourcen erstellen, aktualisieren oder löschen, oder wenn er Ressourcen in großer Anzahl verarbeitet, kann dieser Workflow eine große Anzahl von CIs generieren. Wenn Sie diese Prozesse in einem Konto ausführen, das nicht zur Produktion gehört, sollten Sie erwägen, die Registrierung des Kontos aufzuheben. Möglicherweise müssen Sie den AWS Config Rekorder für dieses Konto manuell deaktivieren.
Anmerkung
Nachdem Sie das Konto deregistriert haben, kann AWS Control Tower keine detektivischen Kontrollen erzwingen oder Kontoereignisse wie AWS Config Aktivitäten für Ressourcen in diesem Konto protokollieren.
Weitere Informationen finden Sie unter Verwaltung eines registrierten Kontos aufheben. Informationen zum Deaktivieren des AWS Config Rekorders finden Sie unter Verwaltung des Konfigurationsrekorders.
Dieselbe Ressource wird mehrfach aufgezeichnet
Prüfen Sie, ob es sich bei der Ressource um eine globale Ressource handelt. Für AWS Control Tower Tower-Landezonen vor Version 3.0 AWS Config können bestimmte globale Ressourcen für jede Region, in der sie betrieben AWS Config wird, einmal aufgezeichnet werden. Wenn AWS Config es beispielsweise in acht Regionen aktiviert ist, wird jede Rolle achtmal aufgezeichnet.
Die folgenden Ressourcen werden einmal für jede Region aufgezeichnet, in der AWS Config ist in Betrieb:
-
AWS::IAM::Group -
AWS::IAM::Policy -
AWS::IAM::Role -
AWS::IAM::User
Andere globale Ressourcen werden nur einmal aufgezeichnet. Hier sind einige Beispiele für Ressourcen, die einmal aufgezeichnet wurden:
-
AWS::Route53::HostedZone -
AWS::Route53::HealthCheck -
AWS::ECR::PublicRepository -
AWS::GlobalAccelerator::Listener -
AWS::GlobalAccelerator::EndpointGroup -
AWS::GlobalAccelerator::Accelerator
AWS Config hat keine Ressource aufgezeichnet
Bestimmte Ressourcen haben Abhängigkeitsbeziehungen zu anderen Ressourcen. Diese Beziehungen können direkt oder indirekt sein. Eine Liste der veralteten indirekten Beziehungen finden Sie in den AWS Config häufig gestellten Fragen.
