AWS Config
Ghi nhận và đánh giá cấu hình
Ghi lại lịch sử cấu hình tài nguyên AWS và đánh giá liên tục theo Config rule (có sẵn hoặc tự viết bằng Lambda/Guard), có thể tự khắc phục qua SSM Automation.
- Chi phí$$ Vừa phải
- Độ khó●●●●●
- Để không có tốn tiền?Không
- Serverless
- Có trong đềCLF · SAA · SOA · DVA
Hình dungNhư camera chụp ảnh căn phòng mỗi lần có đồ bị dịch chuyển và so với quy định.
Khi nào nên dùng
✓ Nên dùng khi
Cần audit thay đổi cấu hình và kiểm tra tuân thủ liên tục.
✗ Không nên dùng khi
Cần biết ai gọi API nào → CloudTrail.
Ví dụ hay gặp
- Phát hiện security group mở port 22 ra Internet
- Xem bucket S3 đã thay đổi cấu hình thế nào
- Conformance pack cho chuẩn tuân thủ
Tốn bao nhiêu tiền?
- Cách tính: Tính theo số configuration item được ghi và số lần đánh giá rule.
Tài nguyên thay đổi liên tục (ví dụ Auto Scaling, ENI) sinh nhiều configuration item — cân nhắc periodic recording.
Đề hỏi “lịch sử thay đổi cấu hình tài nguyên, kiểm tra tuân thủ liên tục, tự khắc phục” thì chọn AWS Config; “ai gọi API này” thì CloudTrail; “chặn ngay từ đầu việc tạo tài nguyên vi phạm” thì dùng SCP hoặc IAM, không phải Config.
Câu hỏi thường gặp
AWS Config khác gì CloudTrail?
CloudTrail ghi ai đã gọi API nào, lúc nào (câu hỏi “ai làm”). Config ghi trạng thái cấu hình của tài nguyên theo thời gian và so với quy tắc (câu hỏi “cấu hình hiện giờ ra sao, trước đây thế nào, có tuân thủ không”). Hai dịch vụ thường dùng cùng nhau khi điều tra thay đổi.
Config rule hoạt động thế nào, có chặn được cấu hình sai không?
Config rule (có sẵn hoặc tự viết bằng Lambda/Guard) đánh giá tài nguyên khi cấu hình đổi hoặc theo chu kỳ và đánh dấu COMPLIANT hoặc NON_COMPLIANT. Config chỉ phát hiện chứ không chặn việc tạo tài nguyên sai; muốn tự sửa thì gắn remediation action dùng SSM Automation.
Làm sao xem tuân thủ trên nhiều tài khoản và Region?
Dùng Config aggregator để gom dữ liệu cấu hình và trạng thái tuân thủ từ nhiều tài khoản và Region về một tài khoản xem tập trung. Conformance pack gom nhiều rule và remediation thành một gói có thể triển khai cho cả tổ chức. Chi phí chủ yếu tăng theo số lượng configuration item được ghi và số lần đánh giá rule.
Dịch vụ liên quan
Ôn thi SAA-C03
Config xuất hiện trong các chủ đề ôn thi sau: