通过 SDK 按需执行托管 AWS Config 规则答案

【问题标题】：Execute managed AWS Config rule on demand via SDK通过 SDK 按需执行托管 AWS Config 规则
【发布时间】：2021-01-25 07:46:34
【问题描述】：

是否可以通过 SDK 按需运行托管 AWS Config 规则（例如 https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html）？

场景：作为一名顾问，我想轻松评估客户的环境，而无需花费时间将所有 AWS Config 规则应用到客户的环境中。相反，我想使用 SDK 快速执行许多规则并返回结果。

这可能吗？

【问题讨论】：

我会看看 Cloud Custodian。好吧，它可以执行 aws config 规则，我打赌它非常适合您可能需要的一些临时运行类型的工作，并且具有良好的文档和许多出色的功能。
添加了更多详细信息作为实际答案，因为我不在移动设备上。如果您最终发现这很有用，请更新您的结果，因为我可能会在不久的将来自己重新回到 Cloud Custodian。我认为它大大降低了 AWS 特定服务的复杂性，所以我敢打赌它会让你更快地行动。
这有帮助吗？我没有看到任何可接受的答案，所以我很想知道它是如何工作的

标签： amazon-web-services aws-sdk aws-sdk-net aws-config

【解决方案1】：

云托管

对于临时执行，您可能最好通过评估 Cloud Custodian 来代替。当我之前尝试过这个时，我对通过最少的部署获得的直接价值印象深刻。

执行的临时性质可以从中受益，因为您可以运行仅报告操作，或者在需要时实际创建 lambda 函数以在某些情况下进行补救。

该工具是跨平台的，也是 dockerized，并且大部分规则配置都是基于 yaml 的，支持 AWS Config、Security Hub、AWS SSM 等。

如果您查看Run Your First Policy section in AWS，您会发现它可以很简单：

AWS_ACCESS_KEY_ID="foo" AWS_SECRET_ACCESS_KEY="bar" custodian run --output-dir=. custodian.yml

example-policies 有一个相当广泛的列表，其中包括类似的项目

AWS 配置集成

可以作为 config-rule 部署为 config 支持的任何资源类型。

可以使用配置作为资源数据库，而不是查询服务描述api。 Custodian 支持使用 Config 的 SQL 表达式语言查询服务器端资源。

可以根据资源是否符合一个或多个配置规则来过滤资源。

可以针对 cloudformation 支持的任何资源类型部署为配置轮询规则。来源：AWS Config Integration

它也支持自定义配置规则。

注意：我没有参与该项目，只是发现它对您描述的类似情况很有用且很有希望。似乎减少了从多个 AWS 服务中获取价值所需的大量“DevOps 管道”，而所需的服务特定知识和设置要少得多。

【讨论】：