Wie lese ich das Feld configurationItemDiff in Amazon SNS ConfigurationItemChangeNotification-Benachrichtigungen?

Lösung

AWS Config erstellt ein Konfigurationselement, wenn sich die Konfiguration einer Ressource ändert, z. B. erstellen, aktualisieren oder löschen. Eine Liste der Ressourcen, die AWS Config unterstützt, findest du unter Unterstützte Ressourcentypen für AWS Config. AWS Config verwendet Amazon SNS, um eine Benachrichtigung zu senden, sobald die Änderungen vorgenommen werden. Die Amazon SNS-Benachrichtigungs-Payload enthält Felder, mit denen du die Ressourcenänderungen in einer AWS-Region nachverfolgen kannst. Weitere Informationen findest du unter Beispiel für Benachrichtigungen zur Änderung von Konfigurationselementen.

Um zu verstehen, warum du eine ConfigurationItemChangeNotification-Benachrichtigung erhältst, lies die configurationItemDiff-Details. Die Felder variieren je nach Änderungstyp und können unterschiedliche Kombinationen wie UPDATE-UPDATE, UPDATE-CREATE und DELETE-DELETE bilden. Im Folgenden findest du Erläuterungen zu gängigen Kombinationen.

UPDATE-CREATE und UPDATE-UPDATE

Das folgende Beispiel enthält Änderungen der direkten Ressourcenbeziehungen und Ressourcenkonfigurationen. Die configurationItemDiff-Details enthalten die folgenden Informationen:

• Durchgeführte Aktion: Du hast eine im Konto enthaltene verwaltete Richtlinie einer AWS Identity and Access Management (IAM)-Rolle zugeordnet.
• Durchgeführte grundlegende Operation: Durch den UPDATE-Vorgang wird die Anzahl von Verknüpfungen des Ressourcentyps AWS::IAM::Policy in einem Konto aktualisiert.

Im Folgenden sind die Kombinationen von Änderungstypen aufgeführt, die auftreten können:

• Änderung der direkten Ressourcenbeziehung zu UPDATE-CREATE: Du erstellst zwischen einer IAM-Richtlinie und einer IAM-Rolle einen neuen Anhang oder eine neue Verknüpfung.
• Änderung der Ressourcenkonfiguration zu UPDATE-UPDATE: Die Anzahl der IAM-Richtlinien-Zuordnungen steigt von 2 auf 3, wenn die Richtlinie der IAM-Rolle zugeordnet wird.

Beispiel für eine configurationItemDiff-Benachrichtigung für UPDATE-CREATE und UPDATE-UPDATE:

{
    "configurationItemDiff": {
        "changedProperties": {
            "Relationships.0": {
                "previousValue": null,
                "updatedValue": {
                    "resourceId": "AROA6D3M4S53*********",
                    "resourceName": "Test1",
                    "resourceType": "AWS::IAM::Role",
                    "name": "Is attached to Role"
                },
                "changeType": "CREATE"                >>>>>>>>>>>>>>>>>>>> 1
            },
            "Configuration.AttachmentCount": {
                "previousValue": 2,
                "updatedValue": 3,
                "changeType": "UPDATE"                 >>>>>>>>>>>>>>>>>>>> 2
            }
        },
        "changeType": "UPDATE"
    }
}

UPDATE-DELETE

Das folgende Beispiel beinhaltet Änderungen der direkten Ressourcenbeziehungen. Die configurationItemDiff-Details enthalten die folgenden Informationen:

• Durchgeführte Aktion: Du hast eine im Konto vorhandene verwaltete Richtlinie von einem IAM-Benutzer getrennt.
• Durchgeführte grundlegende Operation: Durch den UPDATE-Vorgang wird die Berechtigungsrichtlinie für den Ressourcentyp AWS::IAM::User aktualisiert.

Die folgende Kombination von Änderungstypen kann auftreten: Änderung der direkten Ressourcenbeziehung zu UPDATE-DELETE. Durch den Vorgang wird die Verknüpfung zwischen einem IAM-Benutzer und einer IAM-Richtlinie in einem Konto gelöscht.

Beispiel für eine configurationItemDiff-Benachrichtigung für UPDATE-DELETE:

{
  "configurationItemDiff": {
    "changedProperties": {
      "Configuration.UserPolicyList.0": {
        "previousValue": {
          "policyName": "Test2",
          "policyDocument": "{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "ec2:RunInstances",
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/VPCId": "*"
                }
            }
        }
    ]
}"
        },
        "updatedValue": null,
        "changeType": "DELETE"                                >>>>>>>>>>>>>>>>>>>> 3
      }
    },
    "changeType": "UPDATE"
  }
}

DELETE-DELETE

Das folgende Beispiel enthält Änderungen der direkten Ressourcenbeziehungen und Ressourcenkonfigurationen. Die configurationItemDiff-Details enthalten die folgenden Informationen:

• Durchgeführte Aktion: Du hast eine in einem Konto vorhandene IAM-Rolle gelöscht.
• Durchgeführte grundlegende Operation: Durch den Vorgang DELETE wurde eine Ressource des Ressourcentyps AWS::IAM::Role gelöscht.

Die folgende Kombination von Änderungstypen kann auftreten: Änderung der direkten Ressourcenbeziehung und Änderung der Ressourcenkonfiguration zu DELETE-DELETE. Durch das Löschen der IAM-Rolle wird ebenfalls die Zuordnung der IAM-Richtlinie zur IAM-Rolle gelöscht.

Beispiel für eine configurationItemDiff-Benachrichtigung für DELETE-DELETE:

{
  "configurationItemDiff": {
    "changedProperties": {
      "Relationships.0": {
        "previousValue": {
          "resourceId": "ANPAIJ5MXUKK*********",
          "resourceName": "AWSCloudTrailAccessPolicy",
          "resourceType": "AWS::IAM::Policy",
          "name": "Is attached to CustomerManagedPolicy"
        },
        "updatedValue": null,
        "changeType": "DELETE"
      },
      "Configuration": {
        "previousValue": {
          "path": "/",
          "roleName": "CloudTrailRole",
          "roleId": "AROAJITJ6YGM*********",
          "arn": "arn:aws:iam::123456789012:role/CloudTrailRole",
          "createDate": "2017-12-06T10:27:51.000Z",
          "assumeRolePolicyDocument": "{"Version":"2012-10-17","Statement":[{"Sid":"","Effect":"Allow","Principal":{"AWS":"arn:aws:iam::123456789012:root"},"Action":"sts:AssumeRole","Condition":{"StringEquals":{"sts:ExternalId":"123456"}}}]}",
          "instanceProfileList": [],
          "rolePolicyList": [],
          "attachedManagedPolicies": [
            {
              "policyName": "AWSCloudTrailAccessPolicy",
              "policyArn": "arn:aws:iam::123456789012:policy/AWSCloudTrailAccessPolicy"
            }
          ],
          "permissionsBoundary": null,
          "tags": [],
          "roleLastUsed": null
        },
        "updatedValue": null,
        "changeType": "DELETE"
      }
    },
    "changeType": "DELETE"
  }

Ähnliche Informationen

Benachrichtigungen, die AWS Config an ein Amazon SNS-Thema sendet