AWS Config 经典2014年〜
记录和评估 AWS 资源配置变更并持续监控合规性的服务
它能做什么
AWS Config 是一项持续记录 AWS 资源配置变更、评估配置是否符合期望状态的服务。记录每个资源的配置历史，可以追溯“这个资源在某个时间点是什么配置”。通过 Config Rules 定义期望的配置标准，自动检测不合规的资源。
使用场景
用于安全合规审计（确认所有 S3 存储桶是否启用了加密）、配置变更的追踪和故障排除、企业安全基线的持续监控、PCI DSS 和 HIPAA 等法规合规的证明等。
日常类比
可以将其比作房屋的定期检查服务。检查员（Config）定期巡视房屋（AWS 资源），记录所有变更（“窗户被打开了”“锁被更换了”）。同时对照检查清单（Config Rules）确认“所有窗户是否关好”“门锁是否正常”，发现问题时发出通知。
什么是 Config
AWS Config 是一项记录 AWS 资源配置并监控合规性的服务。在云环境中，资源的配置经常变更，难以追踪“谁在什么时候改了什么”。Config 持续记录所有资源的配置状态，提供完整的配置历史和变更时间线。
Config Rules
Config Rules 是定义资源期望配置的规则。AWS 提供了 300 多个预定义的托管规则（如“S3 存储桶必须启用加密”“安全组不得开放 0.0.0.0/0 的 SSH”等）。还可以使用 Lambda 函数创建自定义规则。资源配置变更时或定期评估规则，不合规的资源会被标记。
修复操作
Config 不仅检测不合规资源，还可以自动修复。通过修复操作（Remediation Action），可以在检测到不合规时自动执行 Systems Manager Automation 文档来修复配置。例如，检测到未加密的 S3 存储桶时自动启用加密。可以选择自动修复或手动审批后修复。 关于修复操作的实践方法，也可以参考相关书籍（Amazon）。
开始使用
在 Config 控制台中启用记录，选择要记录的资源类型（建议选择所有资源）。指定配置快照的保存目标 S3 存储桶。然后添加 Config Rules，从托管规则中选择适合组织安全策略的规则。启用后，Config 会立即开始记录资源配置并评估合规性。
注意事项
- Config 按记录的配置项数量和规则评估次数计费，大量资源和规则会增加成本
- Config Rules 的评估结果是“合规”或“不合规”的二元判断，复杂的合规要求可能需要多个规则组合
- 启用 Config 记录后会持续产生费用，不需要时请停止记录
