put-config-rule

Описание

Добавляет или обновляет правило Config для проверки соответствия ваших ресурсов Amazon Web Services желаемым конфигурациям. Информацию о количестве правил Config, которые вы можете иметь на один аккаунт, см. в ` Пределы сервиса https://docs.aws.amazon.com/config/latest/developerguide/configlimits.html`__ в Руководстве разработчика Config.

Существует два типа правил: управляемые правила Config и пользовательские правила Config. Для создания как управляемых, так и пользовательских правил Config можно использовать PutConfigRule.

Управляемые правила Config — это предопределенные, настраиваемые правила, созданные Config. Список управляемых правил см. в Списке управляемых правил Config. Если вы добавляете управляемое правило Config, вы должны указать идентификатор правила для ключа SourceIdentifier.

Пользовательские правила Config — это правила, которые вы создаете с нуля. Есть два способа создания пользовательских правил Config: с использованием функций Lambda (Руководство разработчика Lambda) и с использованием Guard (репозиторий Guard на GitHub), языка описания политик. Пользовательские правила Config, созданные с помощью Lambda, называются пользовательскими правилами Lambda Config, а пользовательские правила, созданные с помощью Guard, называются пользовательскими правилами политики Config.

Если вы добавляете новое пользовательское правило Lambda Config, сначала необходимо создать функцию Lambda, которую правило вызовет для проверки ваших ресурсов. При использовании PutConfigRule для добавления пользовательского правила Lambda в Config, вы должны указать Amazon Resource Name (ARN), который Lambda присвоило функции. Вы указываете ARN в ключе SourceIdentifier. Этот ключ является частью объекта Source, который является частью объекта ConfigRule.

Для любого нового правила Config, которое вы добавляете, укажите ConfigRuleName в объекте ConfigRule. Не указывайте ConfigRuleArn или ConfigRuleId. Эти значения генерируются Config для новых правил.

Если вы обновляете ранее добавленное правило, вы можете указать его по ConfigRuleName, ConfigRuleId или ConfigRuleArn в типе данных ConfigRule, который вы используете в этом запросе.

Дополнительную информацию о разработке и использовании правил Config см. в разделе Оценка ресурсов с помощью правил Config в Руководстве разработчика Config.

См. также: Документация по API AWS

Краткое описание

  put-config-rule
--config-rule <value>
[--tags <value>]
[--cli-input-json | --cli-input-yaml]
[--generate-cli-skeleton <value>]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--config-rule (структура)

Синтаксис JSON:

{
  "ConfigRuleName": "string",
  "ConfigRuleArn": "string",
  "ConfigRuleId": "string",
  "Description": "string",
  "Scope": {
    "ComplianceResourceTypes": ["string", ...],
    "TagKey": "string",
    "TagValue": "string",
    "ComplianceResourceId": "string"
  },
  "Source": {
    "Owner": "CUSTOM_LAMBDA"|"AWS"|"CUSTOM_POLICY",
    "SourceIdentifier": "string",
    "SourceDetails": [
      {
        "EventSource": "aws.config",
        "MessageType": "ConfigurationItemChangeNotification"|"ConfigurationSnapshotDeliveryCompleted"|"ScheduledNotification"|"OversizedConfigurationItemChangeNotification",
        "MaximumExecutionFrequency": "One_Hour"|"Three_Hours"|"Six_Hours"|"Twelve_Hours"|"TwentyFour_Hours"
      }
      ...
    ],
    "CustomPolicyDetails": {
      "PolicyRuntime": "string",
      "PolicyText": "string",
      "EnableDebugLogDelivery": true|false
    }
  },
  "InputParameters": "string",
  "MaximumExecutionFrequency": "One_Hour"|"Three_Hours"|"Six_Hours"|"Twelve_Hours"|"TwentyFour_Hours",
  "ConfigRuleState": "ACTIVE"|"DELETING"|"DELETING_RESULTS"|"EVALUATING",
  "CreatedBy": "string",
  "EvaluationModes": [
    {
      "Mode": "DETECTIVE"|"PROACTIVE"
    }
    ...
  ]
}

--tags (список)

Упрощённый синтаксис:

Key=string,Value=string ...

Синтаксис JSON:

[
  {
    "Key": "string",
    "Value": "string"
  }
  ...
]

--cli-input-json | --cli-input-yaml (строка) Считывает аргументы из предоставленной строки JSON. Строка JSON соответствует формату, предоставленному --generate-cli-skeleton. Если другие аргументы предоставлены в командной строке, эти значения переопределят значения, предоставленные в JSON. Невозможно передать произвольные двоичные значения с помощью значения, предоставленного в JSON, поскольку строка будет взята буквально. Это может не быть указано вместе с --cli-input-yaml.

--generate-cli-skeleton (строка) Выводит JSON-скелет в стандартный вывод без отправки запроса API. Если не указано значение или значение input, выводит пример входного JSON, который можно использовать как аргумент для --cli-input-json. Аналогично, если указано yaml-input, будет выведен пример входного YAML, который можно использовать с --cli-input-yaml. Если указано значение output, оно валидирует входные данные команды и возвращает пример выходного JSON для этой команды. Сгенерированный JSON-скелет не является стабильным между версиями AWS CLI, и нет гарантий обратной совместимости в сгенерированном JSON-скелете.

Общие параметры

--debug (boolean)

Включить отладочную запись в журнал.

--endpoint-url (string)

Переопределить стандартный URL команды заданным URL.

--no-verify-ssl (boolean)

По умолчанию AWS CLI использует SSL при взаимодействии с сервисами AWS. Для каждого SSL-соединения AWS CLI будет проверять SSL-сертификаты. Этот параметр переопределяет стандартное поведение проверки SSL-сертификатов.

--no-paginate (boolean)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI выполнит только один вызов для первой страницы результатов.

--output (string)

Стиль форматирования вывода команды.

• json
• text
• table
• yaml
• yaml-stream

--query (string)

Запрос JMESPath для фильтрации данных ответа.

--profile (string)

Использовать определенный профиль из файла учетных данных.

--region (string)

Использовать указанную область. Переопределяет настройки из конфигурации и среды.

--version (string)

Отобразить версию этого инструмента.

--color (string)

Включить/выключить вывод в цвете.

• on
• off
• auto

--no-sign-request (boolean)

Не подписывать запросы. Учетные данные не будут загружены, если этот аргумент предоставлен.

--ca-bundle (string)

Файл с набором сертификатов CA для проверки SSL-сертификатов. Переопределяет настройки из конфигурации и среды.

--cli-read-timeout (int)

Максимальное время чтения сокета в секундах. Если значение равно 0, чтение сокета будет блокирующим и не будет иметь таймаут. Значение по умолчанию — 60 секунд.

--cli-connect-timeout (int)

Максимальное время подключения сокета в секундах. Если значение равно 0, подключение сокета будет блокирующим и не будет иметь таймаут. Значение по умолчанию — 60 секунд.

--cli-binary-format (string)

Стиль форматирования, используемый для двоичных блоков. По умолчанию формат — base64. Формат base64 ожидает, что двоичные блоки будут представлены как закодированная строка base64. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI V1, а двоичные значения должны передаваться буквально. При предоставлении содержимого из файла, соответствующего двоичному блоку, fileb:// всегда будет обрабатываться как двоичный и будет использовать содержимое файла напрямую независимо от настройки cli-binary-format. При использовании file:// содержимое файла должно быть должным образом отформатировано для настроенного cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (boolean)

Отключить вывод пейджера CLI.

--cli-auto-prompt (boolean)

Автоматически запрашивать параметры ввода CLI.

--no-cli-auto-prompt (boolean)

Отключить автоматическую запрос параметров ввода CLI.

Примеры

Добавление управляемого AWS правила Config

Следующая команда предоставляет JSON-код для добавления управляемого AWS правила Config:

aws configservice put-config-rule --config-rule file://RequiredTagsForEC2Instances.json

RequiredTagsForEC2Instances.json — это JSON-файл, содержащий конфигурацию правила:

{
  "ConfigRuleName": "RequiredTagsForEC2Instances",
  "Description": "Checks whether the CostCenter and Owner tags are applied to EC2 instances.",
  "Scope": {
    "ComplianceResourceTypes": [
      "AWS::EC2::Instance"
    ]
  },
  "Source": {
    "Owner": "AWS",
    "SourceIdentifier": "REQUIRED_TAGS"
  },
  "InputParameters": "{\"tag1Key\":\"CostCenter\",\"tag2Key\":\"Owner\"}"
}

Для атрибута ComplianceResourceTypes этот JSON-код ограничивает область до ресурсов типа AWS::EC2::Instance, поэтому AWS Config будет оценивать только EC2-инстансы по отношению к правилу. Поскольку правило является управляемым, атрибут Owner установлен в AWS, а атрибут SourceIdentifier установлен на идентификатор правила REQUIRED_TAGS. Для атрибута InputParameters указаны требуемые ключи тегов CostCenter и Owner.

При успешном выполнении команда не возвращает никакого вывода. Чтобы проверить конфигурацию правила, запустите команду describe-config-rules и укажите имя правила.

Добавление управляемого пользователем правила Config

Следующая команда предоставляет JSON-код для добавления правила Config, управляемого пользователем:

aws configservice put-config-rule --config-rule file://InstanceTypesAreT2micro.json

InstanceTypesAreT2micro.json — это JSON-файл, содержащий конфигурацию правила:

{
  "ConfigRuleName": "InstanceTypesAreT2micro",
  "Description": "Evaluates whether EC2 instances are the t2.micro type.",
  "Scope": {
    "ComplianceResourceTypes": [
      "AWS::EC2::Instance"
    ]
  },
  "Source": {
    "Owner": "CUSTOM_LAMBDA",
    "SourceIdentifier": "arn:aws:lambda:us-east-1:123456789012:function:InstanceTypeCheck",
    "SourceDetails": [
      {
        "EventSource": "aws.config",
        "MessageType": "ConfigurationItemChangeNotification"
      }
    ]
  },
  "InputParameters": "{\"desiredInstanceType\":\"t2.micro\"}"
}

Для атрибута ComplianceResourceTypes этот JSON-код ограничивает область до ресурсов типа AWS::EC2::Instance, поэтому AWS Config будет оценивать только EC2-инстансы по отношению к правилу. Поскольку это правило управляемое пользователем, атрибут Owner установлен в CUSTOM_LAMBDA, а атрибут SourceIdentifier установлен на ARN функции AWS Lambda. Объект SourceDetails обязателен. Параметры, указанные для атрибута InputParameters, передаются в функцию AWS Lambda, когда AWS Config вызывает ее для оценки ресурсов по отношению к правилу.

При успешном выполнении команда не возвращает никакого вывода. Чтобы проверить конфигурацию правила, запустите команду describe-config-rules и укажите имя правила.

Вывод

Нет