¿Cómo puedo volver a crear un canal de entrega de AWS Config?

Descripción breve

Cuando utiliza la consola de AWS Config para configurar AWS Config, debe seguir un proceso guiado para configurar los recursos de AWS. Los recursos están configurados para enviar notificaciones al canal de entrega. La configuración de AWS Config incluye la configuración de los siguientes recursos:

• Un bucket de Amazon Simple Storage Service (Amazon S3)
• Un tema de Amazon Simple Notification Service (Amazon SNS)
• Un rol de AWS Identity and Access Management (IAM)
• Los tipos de recursos que se van a registrar

Si utiliza el comando delete-delivery-channel de la Interfaz de la línea de comandos de AWS (AWS CLI) para eliminar un canal de entrega de AWS Config, el grabador de configuración se apaga. Si intenta encender el grabador de configuración, aparece el siguiente error:

“Delivery channel is not available to start configuration recorder”.

Nota: No puede usar la consola de AWS Config para recrear el canal de entrega.

Resolución

Nota: Si se muestran errores al ejecutar comandos de la AWS CLI, consulte Errores de solución de problemas de la AWS CLI. Además, asegúrese de utilizar la versión más reciente de la AWS CLI.

Siga estas instrucciones para volver a crear manualmente el canal de entrega de AWS Config y activar el grabador de configuración.

Nota: Si no ha eliminado el bucket de Amazon S3, el tema de S3 y el rol de IAM asociados al canal de entrega de AWS Config eliminado, puede omitir estos pasos.

Creación del bucket de Amazon S3

Siga estos pasos:

1. Abra la consola de Amazon S3 en la misma región de AWS que su servicio de AWS Config.
2. En el panel de navegación, seleccione Crear bucket.
3. En Nombre del bucket, introduzca un nombre para el bucket de S3 y, a continuación, seleccione Crear bucket.
4. En los buckets de S3, seleccione el bucket de S3 que acaba de crear.
5. Seleccione Permisos y, a continuación, Política del bucket.
6. Introduzca el siguiente ejemplo de política de bucket y, a continuación, seleccione Guardar:

   {
    "Version": "2012-10-17",
    "Statement": [
     {
      "Sid": "AWSConfigBucketPermissionsCheck",
      "Effect": "Allow",
      "Principal": {
       "Service": "config.amazonaws.com"
      },
      "Action": "s3:GetBucketAcl",
      "Resource": "arn:aws:s3:::targetBucketName",
      "Condition": {
       "StringEquals": {
        "AWS:SourceAccount": "sourceAccountID"
       }
      }
     },
     {
      "Sid": "AWSConfigBucketExistenceCheck",
      "Effect": "Allow",
      "Principal": {
       "Service": "config.amazonaws.com"
      },
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::targetBucketName",
      "Condition": {
       "StringEquals": {
        "AWS:SourceAccount": "sourceAccountID"
       }
      }
     },
     {
      "Sid": "AWSConfigBucketDelivery",
      "Effect": "Allow",
      "Principal": {
       "Service": "config.amazonaws.com"
      },
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::targetBucketName/[optional] prefix/AWSLogs/sourceAccountID/Config/*",
      "Condition": {
       "StringEquals": {
        "s3:x-amz-acl": "bucket-owner-full-control",
        "AWS:SourceAccount": "sourceAccountID"
       }
      }
     }
    ]
   }

Creación del tema de SNS

Siga estos pasos:

1. Abra la consola de Amazon SNS en la misma región que su servicio de AWS Config.
2. En el panel de navegación, seleccione Temas y, a continuación, seleccione Crear tema.
3. En Nombre, introduzca un nombre para su tema de SNS. A continuación, seleccione Crear tema.
4. Seleccione Crear suscripción.
5. En Protocolo, seleccione Correo electrónico.
6. En Punto de enlace, introduzca la dirección de correo electrónico que quiere asociar a este tema de SNS y, a continuación, seleccione Crear suscripción.
7. Compruebe su correo electrónico para ver la confirmación de la suscripción y, a continuación, seleccione Confirmar suscripción.

Después de confirmar la suscripción, recibirá el mensaje Subscription confirmed! (Suscripción confirmada).

Nota: Para usar el tema de SNS, asegúrese de tener los permisos necesarios.

Creación del rol de IAM

Siga estos pasos:

1. Abra la consola de IAM.

2. Seleccione Roles y, a continuación, Crear rol.

3. En Select type of trusted entity (Seleccionar el tipo de entidad de confianza), seleccione Servicio de AWS.

4. En Use cases for other AWS services (Casos de uso para otros servicios de AWS), seleccione Config.

5. En Seleccione su caso de uso, seleccione Config - Customizable (Config: personalizable) y, a continuación, Next: Permissions (Siguiente: permisos).

6. Seleccione Siguiente, introduzca un nombre de rol y, a continuación, seleccione Crear rol.

7. Seleccione el rol que ha creado, seleccione Crear política insertada y, a continuación, seleccione la pestaña JSON.

8. Observe el siguiente ejemplo de política:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "s3:PutObject",
           "s3:PutObjectAcl"
         ],
         "Resource": [
           "arn:aws:s3:::arn:aws:s3:::targetBucketName/[optional] prefix/AWSLogs/sourceAccountID-WithoutHyphens/*"
         ],
         "Condition": {
           "StringLike": {
             "s3:x-amz-acl": "bucket-owner-full-control"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "s3:GetBucketAcl"
         ],
         "Resource": "arn:aws:s3:::targetBucketName"
       },
       {
         "Effect": "Allow",
         "Action": "sns:Publish",
         "Resource": "arn:aws:sns:region:account_number:targetTopicName"
       }
     ]
   }

9. En Nombre de la política, introduzca un nombre y, a continuación, seleccione Crear política.

Creación de la clave de KMS

Se recomienda utilizar el cifrado basado en AWS Key Management Service (AWS KMS) en los objetos entregados por AWS Config a un bucket de Amazon S3. Cree una clave de KMS en la misma región que su servicio de AWS Config.

Siga estos pasos:

1. Abra la consola de AWS KMS.
2. En el panel de navegación, seleccione Claves administradas por el cliente y, a continuación, seleccione Crear clave.
3. En Tipo de clave, seleccione Simétrico para crear una clave de KMS de cifrado simétrico.
4. En Uso de clave, seleccione la opción Cifrar y descifrar y, a continuación, seleccione Siguiente.
5. Introduzca un alias para la clave de KMS. Después, seleccione Siguiente.
   Nota: El nombre de su alias no puede empezar por aws/.
6. Seleccione los usuarios y roles de IAM que pueden administrar la clave de KMS. Después, seleccione Siguiente.
7. Seleccione los usuarios y roles de IAM que pueden usar la clave en las operaciones criptográficas. A continuación, seleccione Siguiente.
8. Seleccione Terminar para crear la clave de KMS.
9. En el panel de navegación, seleccione Claves administradas por el cliente. A continuación, en Claves administradas por el cliente, seleccione la clave que ha creado.
10. En la pestaña Política de claves, seleccione Cambiar a la vista de política. A continuación, seleccione Editar.
11. Si utiliza un rol de IAM personalizado para AWS Config, introduzca la siguiente instrucción de política como instrucción de política de claves adicional. A continuación, seleccione Guardar cambios.

{
  "Statement": [
    {
      "Sid": "AWSConfigKMSPolicy",
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Effect": "Allow",
      "Resource": "myKMSKeyARN",
      "Principal": {
        "AWS": [
          "arn:aws:iam:account_id:role/my-config-role-name"
        ]
      }
    }
  ]
}

O bien, si utiliza roles vinculados a servicios (SLR) para AWS Config, utilice la siguiente instrucción de política para actualizar la política de claves de KMS:

{
  "Statement": [
    {
      "Sid": "AWSConfigKMSPolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "config.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "myKMSKeyARN",
      "Condition": {
        "StringEquals": {
          "AWS:SourceAccount": "sourceAccountID"
        }
      }
    }
  ]
}

Creación del canal de entrega

Siga estos pasos:

1. Introduzca la siguiente plantilla de ejemplo en un editor de texto y, a continuación, guárdela como un archivo JSON:

   {
       "name": "default",
       "s3BucketName": "targetBucketName",
       "s3KeyPrefix": "Optionalprefix",
       "snsTopicARN": "arn:aws:sns:region:account_ID:targetTopicName",
       "s3KmsKeyArn": "arn:aws:kms:region:account_ID:KmsKey",
       "configSnapshotDeliveryProperties": {
           "deliveryFrequency": "Twelve_Hours"
       }
   }

   Nota: Debe proporcionar el s3KeyPrefix si la política del bucket de S3 restringe PutObject a un prefijo determinado en lugar del prefijo predeterminado. Cambie el valor de deliveryFrequency para que coincida con su caso de uso. Si decide no activar el cifrado, omita el valor de s3KmsKeyArn del archivo JSON.

2. Ejecute el comando put-delivery-channel de la AWS CLI:

   $ aws configservice put-delivery-channel --delivery-channel file://deliveryChannel.json

3. Para confirmar que se creó el canal de entrega, ejecute el comando describe-delivery-channels de la AWS CLI:

   $ aws configservice describe-delivery-channels

Inicio del grabador de configuración

Siga estos pasos:

1. Abra la consola de AWS Config.
2. En el panel de navegación, seleccione Configuración.
3. En El registro está desactivado, seleccione Activar y, a continuación, Continuar. O bien, ejecute el comando start-configuration-recorder de la AWS CLI:

   $ aws configservice start-configuration-recorder --configuration-recorder-name configRecorderName

Para obtener más información, consulte Managing the configuration recorder (Administración del grabador de configuración) y Evaluating resources with AWS Config rules (Evaluación de recursos con reglas de AWS Config).

Información relacionada

Configuración de AWS Config con la consola

¿Cómo puedo solucionar los mensajes de error de la consola de AWS Config?