¿Cómo puedo usar AWS Config para recibir notificaciones cuando un recurso de AWS no cumple con los requisitos?

Descripción corta

Para hacer coincidir la salida de una regla de evaluación de AWS Config como NON_COMPLIANT, primero crea una regla de EventBridge con un patrón de eventos personalizado y un transformador de entrada. A continuación, dirige la respuesta de EventBridge a un tema de Amazon Simple Notification Service (Amazon SNS).

Resolución

En el siguiente ejemplo, EventBridge envía las notificaciones de Amazon SNS cuando la regla administrada ec2-security-group-attached-to-eni notifica los recursos de AWS como NON_COMPLIANT. El recurso que no cumple los requisitos es un grupo de seguridad de Amazon Elastic Compute Cloud (Amazon EC2).

Nota: Puedes sustituir los campos resourceType y configRuleName por los valores reales de la regla de configuración que usas.

Sigue estos pasos:

1. Crea un tema de Amazon SNS. Si ya tienes un tema de Amazon SNS, continúa con el siguiente paso. Importante: El tema de Amazon SNS debe estar en la misma región de AWS que tu servicio de AWS Config.

2. Abre la consola de EventBridge.

3. Selecciona Regla de EventBridge con patrón de eventos y, a continuación, elige Crear regla.

4. Selecciona la opción de activación del compilador de reglas visuales y, a continuación, introduce la siguiente información: en Nombre, introduce un nombre para la regla. (Opcional) En Descripción, introduce una descripción de la regla. Después, selecciona Siguiente.

5. En Origen del evento, elige Eventos de AWS o Eventos de socio de EventBridge.

6. En Método de creación, selecciona Patrón personalizado (editor JSON) y, a continuación, introduce el siguiente ejemplo de patrón de eventos:

   {
     "source": [
       "aws.config"
     ],
     "detail-type": [
       "Config Rules Compliance Change"
     ],
     "detail": {
       "messageType": [
         "ComplianceChangeNotification"
       ],
       "configRuleName": [
         "ec2-security-group-attached-to-eni"
       ],
       "resourceType": [
         "AWS::EC2::SecurityGroup"
       ],
       "newEvaluationResult": {
         "complianceType": [
           "NON_COMPLIANT"
         ]
       }
     }
   }  

7. Selecciona Siguiente.

8. En la pantalla Seleccionar objetivos, introduce la siguiente información:
   En Tipos de objetivo, selecciona Servicio de AWS.
   En Seleccionar un objetivo, selecciona Tema de SNS.
   En Tema, selecciona el tema de SNS.
   En Configuración adicional, en Configurar la entrada de objetivo, selecciona Transformador de entrada. Selecciona Configurar transformador de entrada. A continuación, en Transformador de entrada de objetivo del cuadro de texto Ruta de entrada, introduce el siguiente ejemplo de ruta:

   {
     "awsRegion": "$.detail.awsRegion",
     "resourceId": "$.detail.resourceId",
     "awsAccountId": "$.detail.awsAccountId",
     "compliance": "$.detail.newEvaluationResult.complianceType",
     "rule": "$.detail.configRuleName",
     "time": "$.detail.newEvaluationResult.resultRecordedTime",
     "resourceType": "$.detail.resourceType"
   }  

   En Plantilla, introduce la siguiente plantilla de ejemplo:
   «En AWS Config, la regla evaluó el con el ID de la cuenta en el como. Para obtener más información, abre la consola de AWS Config en https://console.aws.amazon.com/config/home?region=<awsRegion>#/timeline/<resourceType>/<resourceId>/configuration»

9. Selecciona Confirmar.

10. Elige Siguiente y, a continuación, Siguiente.

11. Elige Crear regla.

Cuando tus recursos desencadenen un tipo de evento, recibirás una notificación por correo electrónico de SNS con los campos personalizados rellenados.

Ejemplo:

«En ExampleTime, la regla de AWS Config, ExampleRuleName, evaluó el ExampleResourceType con el ID ExampleResource_ID en la cuenta ExampleAccount_ID de la región ExampleRegion como ExampleComplianceType. Para obtener más información, abre la consola de AWS Config en https://console.aws.amazon.com/config/home?region=ExampleRegion#/timeline/ExampleResourceType/ExampleResource_ID/configuration"

Información relacionada

¿Cómo recibo notificaciones cuando se producen cambios en mis registros de zonas alojadas de Route 53?

¿Cómo puedo configurar las notificaciones de correo electrónico personalizadas cuando AWS Config detecta nuevos recursos?

¿Cómo puedo configurar las reglas de EventBridge para que GuardDuty envíe notificaciones de SNS personalizadas para tipos de resultados de servicios específicos?