AWS 리소스가 규정을 준수하지 않을 때 AWS Config를 사용하여 알림을 받으려면 어떻게 해야 합니까?

간략한 설명

AWS Config 평가 규칙 출력을 NON_COMPLIANT와 일치시키려면 먼저 사용자 지정 이벤트 패턴과 입력 변환기를 사용하여 EventBridge 규칙을 생성하십시오. 그런 다음 EventBridge의 응답을 Amazon Simple Notification Service(Amazon SNS) 주제로 라우팅합니다.

해결 방법

다음 예시에서는 ec2-security-group-attached-to-eni 관리 규칙이 AWS 리소스를 NON_COMPLIANT로 보고할 때 SNS 알림을 받습니다. 규정을 준수하지 않는 리소스는 Amazon Elastic Compute Cloud(Amazon EC2) 보안 그룹입니다.

참고: 특정 AWS 서비스 및 AWS Config 규칙의 AWS Config 리소스 유형과 규칙을 대체할 수 있습니다.

다음 단계를 완료하십시오.

1. Amazon SNS 주제를 생성합니다. 기존 Amazon SNS 주제가 있는 경우 다음 단계로 진행합니다.
   중요: Amazon SNS 주제는 AWS Config 서비스와 동일한 AWS 리전에 있어야 합니다.

2. EventBridge 콘솔을 엽니다.

3. EventBridge 규칙을 선택한 다음 규칙 생성을 선택합니다.

4. 규칙 세부 정보 정의 화면의 규칙 세부 정보에서 다음 정보를 입력합니다.
   이름에 규칙의 이름을 입력합니다.
   (선택 사항) 설명에 규칙의 설명을 입력합니다.
   규칙 유형에서 이벤트 패턴 포함 규칙을 선택합니다. 그리고 다음을 선택합니다.

5. 이벤트 소스에 AWS 이벤트 또는 EventBridge 파트너 이벤트를 선택합니다.

6. 생성 방법에서 **사용자 지정 패턴(JSON 편집기)**을 선택하고 다음 예시 이벤트 패턴을 입력합니다.

   {
     "source": [
       "aws.config"
     ],
     "detail-type": [
       "Config Rules Compliance Change"
     ],
     "detail": {
       "messageType": [
         "ComplianceChangeNotification"
       ],
       "configRuleName": [
         "ec2-security-group-attached-to-eni"
       ],
       "resourceType": [
         "AWS::EC2::SecurityGroup"
       ],
       "newEvaluationResult": {
         "complianceType": [
           "NON_COMPLIANT"
         ]
       }
     }
   }

7. 다음을 선택합니다.

8. 대상 선택 화면에서 다음 정보를 입력합니다.
   대상 유형에서 AWS 서비스를 선택합니다.
   대상 선택에서 SNS 주제를 선택합니다.
   주제에서 SNS 주제를 선택합니다.
   추가 설정에서 대상 입력 구성에 입력 변환기를 선택합니다.
   입력 변환기 구성을 선택합니다.
   입력 경로 텍스트 상자의 대상 입력 변환기에 다음 예시 경로를 입력합니다.

   {
     "awsRegion": "$.detail.awsRegion",
     "resourceId": "$.detail.resourceId",
     "awsAccountId": "$.detail.awsAccountId",
     "compliance": "$.detail.newEvaluationResult.complianceType",
     "rule": "$.detail.configRuleName",
     "time": "$.detail.newEvaluationResult.resultRecordedTime",
     "resourceType": "$.detail.resourceType"
   }

   템플릿에 다음 예시 템플릿을 입력합니다.

   "On yourTime AWS Config rule yourRule evaluated the yourResourceType with Id yourResourceId in the account yourAWSAccountId Region yourAwsRegion as yourCompliance. For more details open the AWS Config console at https://console.aws.amazon.com/config/home?region=yourAwsRegion#/timeline/yourResourceType/yourResourceId]/configuration"

   참고: 위 예시에서 사용 사례에 따라 yourTime, yourRule, yourResourceType, yourResourceId, yourAWSAccountId, yourAWSRegion, 및 yourCompliance를 시간, 규칙, 리소스 유형, 리소스 ID, AWS 계정 ID 및 AWS 리전, 규정 준수 및 리소스 정보에 대한 고유한 값으로 바꾸십시오.
   확인을 선택합니다.

9. 다음을 선택합니다. 그리고 다음을 선택합니다.

10. 규칙 생성을 선택합니다.

이벤트 유형이 트리거되면 사용자 지정 필드가 채워진 SNS 이메일 알림을 받게 됩니다.

예시:

"On ExampleTime AWS Config rule ExampleRuleName evaluated the ExampleResourceType with Id ExampleResource_ID in the account ExampleAccount_ID in Region ExampleRegion as ExampleComplianceType. For more details open the AWS Config console at https://console.aws.amazon.com/config/home?region=ExampleRegion#/timeline/ExampleResourceType/ExampleResource_ID/configuration"

관련 정보

Amazon Route 53 호스팅 영역 레코드가 변경되었을때 알림을 받으려면 어떻게 해야 합니까?

AWS Config 서비스를 사용하여 내 AWS 계정에 리소스가 생성될 때 사용자 지정 이메일 알림을 받으려면 어떻게 해야 합니까?

GuardDuty에서 특정 AWS 서비스 이벤트 유형에 대한 사용자 지정 SNS 알림을 전송하도록 EventBridge 규칙을 구성하려면 어떻게 해야 합니까?