Ресурс aws_flow_log

[править на GitHub]

Используйте ресурс аудита InSpec aws_flow_log для проверки свойств одного журнала потоков.

Синтаксис

describe aws_flow_log(flow_log_id: 'fl-9c718cf5') do
  it { should exist }
end

Параметры

Для этого ресурса необходимо указать хотя бы один из следующих параметров: flow_log_id, subnet_id, vpc_id.

flow_log_id (обязательно, если не указаны другие параметры)

Идентификатор журнала потоков, уникально определяющий журнал потоков. Его можно передать как строку или как flow_log_id: 'value' пар ключ-значение в хэше.

subnet_id (обязательно, если не указаны другие параметры)

Подсеть, связанная с журналом потоков, если применимо. Это значение должно передаваться как subnet_id: 'value' пара ключ-значение в хэше.

vpc_id (обязательно, если не указаны другие параметры)

Сеть VPC, связанная с журналом потоков, если применимо. Это значение должно передаваться как vpc_id: 'value' пара ключ-значение в хэше.

См. также документацию AWS по журналам потоков.

Свойства

Свойство	Описание
flow_log_id	Идентификатор журнала потоков.
log_group_name	Имя связанной группы журналов.
resource_id	Идентификатор связанного ресурса, например, VPC, подсети или сетевого интерфейса.

Примеры

Поиск журнала потоков по связанному идентификатору подсети

describe aws_flow_log(subnet_id: 'subnet-c6a4319c') do
  it { should exist }
end

Поиск журнала потоков по связанному идентификатору VPC

describe aws_flow_log(vpc_id: 'vpc-96cabaef') do
  it { should exist }
end

Обеспечение корректной привязки журнала потоков к подсети

describe aws_flow_log(subnet_id: 'subnet-c6a4319c') do
  its('flow_log_id') { should cmp 'fl-9c718cf5' }
end

Обеспечение корректной привязки журнала потоков к типу ресурса

describe aws_flow_log('fl-9c718cf5') do
  its('resource_type') { should cmp 'subnet' }
end

Сопоставители

Полный список доступных сопоставителей можно найти на нашей странице сопоставителей.

exist

Управление будет передано, если описание вернёт по крайней мере один результат.

Используйте should_not для проверки, что сущность не должна существовать.

describe aws_flow_log('AnExistingFlowLog') do
  it { should exist }
end

describe aws_flow_log('ANonExistentFlowLog') do
  it { should_not exist }
end

be_attached_to_eni

Указывает, что журнал потоков прикреплён к ресурсу ENI.

describe aws_flow_log('fl-9c718cf5') do
  it { should be_attached_to_eni }
end

be_attached_to_subnet

Указывает, что журнал потоков прикреплён к ресурсу подсети.

describe aws_flow_log('fl-9c718cf5') do
  it { should be_attached_to_subnet }
end

be_attached_to_vpc

Указывает, что журнал потоков прикреплён к ресурсу VPC.

describe aws_flow_log('fl-9c718cf5') do
  it { should be_attached_to_vpc }
end

Разрешения AWS

Вашему Принципалу потребуются ec2:DescribeFlowLogs действия с эффектом, установленным на Разрешено.