Comment puis-je configurer et utiliser AWS Config sur plusieurs comptes AWS ?

Brève description

Utilisez le dossier d’exploitation AWSSupport-SetupConfig pour créer un rôle lié à un service AWS Identity and Access Management (IAM), un enregistreur de configuration optimisé par AWS Config et un canal de diffusion avec un compartiment Amazon Simple Storage Service (Amazon S3) dans lequel AWS Config envoie des instantanés de configuration et des fichiers d'historique de configuration.

Ce dossier d’exploitation peut également créer des autorisations pour l'agrégation de données afin de collecter les données de configuration et de conformité AWS Config provenant de plusieurs régions et comptes AWS. Pour plus d'informations, consultez la section Agrégation de données multi-région et multi-compte.

Résolution

Prérequis

Avant de démarrer le dossier d’exploitation, assurez-vous que votre entité IAM (utilisateur ou rôle) dispose des autorisations requises. Pour plus d'informations, consultez la section Autorisations IAM requises dans AWSSupport-SetupConfig.

Pour la configuration multi-région et multi-compte, le rôle AWS-SystemsManager-AutomationExecutionRole est requis pour exécuter les automatisations. Pour plus d'informations, consultez la section Exécution d'automatisations dans plusieurs régions et comptes AWS.

Exécuter le dossier d’exploitation AWSSupport-SetupConfig

1. Ouvrez la console Systems Manager.
2. Dans le volet de navigation, sélectionnez Documents.
3. Dans la barre de recherche, saisissez « AWSSupport-SetupConfig ».
4. Sélectionnez le document AWSSupport-SetupConfig, puis choisissez Exécuter l’automatisation.
5. Saisissez les informations suivantes dans les paramètres d'entrée :
   AutomationAssumeRole : Saisissez l'ARN du rôle IAM qui permet à Automation d'effectuer des actions à votre place. Si aucun rôle n'est spécifié, l'automatisation ne démarre pas.
   AggregatorAccountId (facultatif) : ID de compte AWS via lequel les données AWS Config sont agrégées. Cet ID est utilisé pour autoriser les comptes sources.
   **AggregatorAccountRegion ** (facultatif) : Région dans laquelle un agrégateur est ajouté pour agréger les données de configuration et de conformité AWS Config provenant de plusieurs comptes et régions. Cette région est utilisée pour autoriser les comptes sources.
   IncludeGlobalResourcesRegion : Pour éviter d'enregistrer des données de ressources globales dans chaque région, spécifiez une région à partir de laquelle enregistrer les données de ressources globales.
   Partition : Partition à partir de laquelle vous souhaitez collecter les données de configuration et de conformité AWS Config.
   S3BucketName : Nom du compartiment Amazon S3 pour le canal de diffusion AWS Config. Le nom fourni est ajouté par '-[AWS Account ID]'. Le nom par défaut est « aws-config-delivery-channel ».
6. Sélectionnez Exécuter. Le dossier d’exploitation exécute les étapes suivantes :
   CreateServiceLinkedRole : Crée un rôle IAM lié à un service pour AWS Config s'il n'en existe pas déjà un.
   CreateRecorder : Crée un enregistreur de configuration s'il n'en existe pas déjà un.
   CreateBucket : Crée un compartiment Amazon S3 utilisé par le canal de diffusion s'il n'en existe pas déjà un.
   CreateDeliveryChannel : Crée un canal de diffusion avec les ressources du dossier d’exploitation.
   StartRecorder : Lance l'enregistreur de configuration.
   PutAggregationAuthorization : Si vous avez spécifié des valeurs pour les paramètres AggregatorAccountId et AggregatorAccountRegion, les autorisations pour l'agrégation de données multi-région et multi-compte sont configurées.
7. Une fois le dossier d’exploitation terminé, ouvrez la console Amazon S3. Vérifiez que le compartiment S3 a été créé par le canal de diffusion. Vérifiez également la configuration d'AWS Config pour les comptes ou les régions AWS.

Informations connexes

Référence du dossier d’exploitation Systems Manager Automation

Exécuter une automatisation

Configuration de l'automatisation