問題タブ [aws-config]

私はこの分野ではまだ比較的新しいので、最近、AWS Config ルールをデプロイするさまざまな方法を模索しています。2 つの異なる方法を使用して、同じカスタム ルールを展開しようとしました。

1. CloudFormation の使用
2. RDK (ルール開発キット) の使用

どちらも CloudFormation スタックを生成しますが、異なるリソースを生成しています。これら 2 つの方法の主な違いは何ですか。また、どちらの方法が優れているという言葉はありますか?

これは AWS CONFIG への私の最初の進出であり、高度なクエリエディターを使用して、アカウントで使用されるリソースの完全なリストを最初に生成し、特定のフィールドでグループ化したいと考えていました

しかし、私が得ているエラーは

「GROUP BY 句が存在する場合、選択されたフィールド (accountId、resouceId、resouceType、arn、awsRegion) は GROUP BY フィールド リストに表示される必要があります」

これは、これらすべてのフィールドをグループ by に入れる必要があることを意味すると読んでいますが、これはまったく意味がありませんが、とにかく試しました。それは、3グループの制限があると言いました。

何か不足していますか？ドキュメント ページのサンプル クエリは、条件付きの where 句があること以外はそれほど違いはないようです。

「group by」を使用しないサンプル データ出力:

しかし、AWS::KMS::KEY または別のグループ化でレコードをグループ化しようとすると、出力が得られず、エラーが表示されます。

root アカウントの管理者に非常に単純なクエリを実行してもらい、セットアップしたデータ アグリゲーターが正しく機能していることを確認しました。

データ アグリゲータは、組織内のすべての OU からレコードを取得するように設定されました。信頼できるエンティティとして自動的に指定される必要があるため、IAM ロールとして「AWSConfigRoleForOrganization」を選択してもらいました。私たちは3つの地域からのみ働いています。

クエリを実行してもらったところ、問題なく動作しているように見えたので、CSV としてエクスポートしてもらい、私の方法で送信してもらいました。その日の後半に CSV を開いたところ、クエリに対して生成されたレコードが 26 しかないことがわかりました。これの考えられる原因は何ですか？

管理者アクセス権を持つ OU で同じクエリを実行したところ、108 件のレコードが見つかりました。すべてのデータを取得するために、クエリを常に実行する必要がありますか? 私が管理者に行わせなかった唯一のステップは、AWS Config と AWS Organizations の間の統合を有効にすることでした。「組織アグリゲーターの場合、承認は Organizations サービスと統合されているため、Organization メンバー アカウントのリージョンには承認は必要ありません。」ソース