Como entendo o campo configurationItemDiff nas notificações de notificação ConfigurationItemChangeNotification do Amazon SNS?

Resolução

O AWS Config cria um item de configuração sempre que a configuração de um recurso muda, como para criar, atualizar ou excluir. Para uma lista dos recursos compatíveis com o AWS Config, consulte Tipos de recursos compatíveis com o AWS Config. O AWS Config usa o Amazon SNS para entregar uma notificação à medida que as mudanças ocorrem. O payload de notificação do Amazon SNS inclui campos para ajudar você a rastrear as alterações de recursos em uma região da AWS. Para mais informações, consulte Exemplo de notificações de alteração de item de configuração.

Para entender por que você recebe uma notificação ConfigurationItemChangeNotification, revise os detalhes de ConfigurationItemDiff. Os campos variam de acordo com o tipo de alteração e podem formar combinações diferentes, como UPDATE-UPDATE, UPDATE-CREATE e DELETE-DELETE. A seguir estão explicações sobre combinações comuns.

UPDATE-CREATE e UPDATE-UPDATE

O exemplo a seguir inclui alterações nas relações diretas e nas configurações de recursos. Os detalhes de configurationItemDiff revelam as seguintes informações:

• Ação executada: Você anexou uma política gerenciada presente na conta a um perfil do AWS Identity and Access Management (AWS IAM).
• Operação básica executada: A operação UPDATE atualiza o número de associações do tipo de recurso AWS::IAM::Policy em uma conta.

A seguir estão as combinações de tipos de alteração que podem ocorrer:

• Alteração direta do relacionamento de recursos UPDATE-CREATE: Você cria um novo anexo ou associação entre uma política do IAM e um perfil do IAM.
• Alteração da configuração do recurso UPDATE-UPDATE: O número de associações de políticas do IAM aumentou de 2 para 3 quando a política foi anexada ao perfil do IAM.

Exemplo de notificação UPDATE-CREATE e UPDATE-UPDATE de configurationItemDiff:

{
    "configurationItemDiff": {
        "changedProperties": {
            "Relationships.0": {
                "previousValue": null,
                "updatedValue": {
                    "resourceId": "AROA6D3M4S53*********",
                    "resourceName": "Test1",
                    "resourceType": "AWS::IAM::Role",
                    "name": "Is attached to Role"
                },
                "changeType": "CREATE"                >>>>>>>>>>>>>>>>>>>> 1
            },
            "Configuration.AttachmentCount": {
                "previousValue": 2,
                "updatedValue": 3,
                "changeType": "UPDATE"                 >>>>>>>>>>>>>>>>>>>> 2
            }
        },
        "changeType": "UPDATE"
    }
}

UPDATE-DELETE

O exemplo a seguir inclui mudanças nas relações diretas do recurso. Os detalhes de configurationItemDiff revelam as seguintes informações:

• Ação executada: Você separou uma política gerenciada presente na conta de um usuário do IAM.
• Operação básica executada: A operação UPDATE atualiza a política de permissões associada ao tipo de recurso AWS::IAM::User.

A seguinte combinação de tipos de alteração pode ocorrer: Alteração direta do relacionamento de recursos UPDATE-DELETE. A operação exclui a associação entre um usuário do IAM e uma política do IAM em uma conta.

Exemplo de notificação UPDATE-DELETE de configurationItemDiff:

{
  "configurationItemDiff": {
    "changedProperties": {
      "Configuration.UserPolicyList.0": {
        "previousValue": {
          "policyName": "Test2",
          "policyDocument": "{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "ec2:RunInstances",
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "aws:RequestTag/VPCId": "*"
                }
            }
        }
    ]
}"
        },
        "updatedValue": null,
        "changeType": "DELETE"                                >>>>>>>>>>>>>>>>>>>> 3
      }
    },
    "changeType": "UPDATE"
  }
}

DELETE-DELETE

O exemplo a seguir inclui alterações nas relações diretas e nas configurações de recursos. Os detalhes de configurationItemDiff revelam as seguintes informações:

• Ação executada: Um perfil do IAM presente em uma conta foi excluído.
• Operação básica executada: A operação DELETE excluiu um recurso do tipo AWS::IAM::Role.

A seguinte combinação de tipos de alteração pode ocorrer: alteração do relacionamento direto do recurso e alteração da configuração do recurso DELETE-DELETE. A exclusão do perfil do IAM também excluiu a associação da política do IAM ao perfil do IAM.

Exemplo de notificação DELETE-DELETE de configurationItemDiff:

{
  "configurationItemDiff": {
    "changedProperties": {
      "Relationships.0": {
        "previousValue": {
          "resourceId": "ANPAIJ5MXUKK*********",
          "resourceName": "AWSCloudTrailAccessPolicy",
          "resourceType": "AWS::IAM::Policy",
          "name": "Is attached to CustomerManagedPolicy"
        },
        "updatedValue": null,
        "changeType": "DELETE"
      },
      "Configuration": {
        "previousValue": {
          "path": "/",
          "roleName": "CloudTrailRole",
          "roleId": "AROAJITJ6YGM*********",
          "arn": "arn:aws:iam::123456789012:role/CloudTrailRole",
          "createDate": "2017-12-06T10:27:51.000Z",
          "assumeRolePolicyDocument": "{"Version":"2012-10-17","Statement":[{"Sid":"","Effect":"Allow","Principal":{"AWS":"arn:aws:iam::123456789012:root"},"Action":"sts:AssumeRole","Condition":{"StringEquals":{"sts:ExternalId":"123456"}}}]}",
          "instanceProfileList": [],
          "rolePolicyList": [],
          "attachedManagedPolicies": [
            {
              "policyName": "AWSCloudTrailAccessPolicy",
              "policyArn": "arn:aws:iam::123456789012:policy/AWSCloudTrailAccessPolicy"
            }
          ],
          "permissionsBoundary": null,
          "tags": [],
          "roleLastUsed": null
        },
        "updatedValue": null,
        "changeType": "DELETE"
      }
    },
    "changeType": "DELETE"
  }

Informações relacionadas

Notificações que o AWS Config envia para um tópico do Amazon SNS