Reglas de configuración gestionadas

Una regla gestionada de AWS Config es una regla predefinida por AWS con un identificador fijo (por ejemplo RDS_STORAGE_ENCRYPTED), que se activa en la cuenta con el nombre que uno elija y, si la regla lo admite, con parámetros. Evalúa la configuración de los recursos que el servicio registra y marca cada uno como conforme o no conforme. Según la regla, la evaluación se dispara cuando cambia la configuración del recurso, de forma periódica, o de ambas maneras.

En Azure el papel equivalente lo cumplen las definiciones integradas de Azure Policy, que se asignan a un ámbito y producen un informe de cumplimiento con el mismo espíritu. En ambos casos la regla es detectiva por naturaleza: mira lo que existe y lo etiqueta.

Una regla que no marca nada puede significar que todo cumple o que no evaluó nada. Son situaciones opuestas y el informe de cumplimiento las puede mostrar con la misma cifra: cero no conformes.

La regla solo evalúa lo que el servicio de configuración registra. Si el registrador no registra el tipo de recurso que la regla mira, la regla queda activa, verde en el panel de reglas y sin ningún recurso evaluado. Antes de fiarse de un cero, hay que mirar cuántos recursos se evaluaron.

Abre cumplimiento.csv. Para decidir por dónde empezar a corregir, se mira cuántos recursos incumplen cada regla. Pero cuidado con comparar reglas distintas con el mismo ojo: no es lo mismo un incumplimiento en cantidad que uno en gravedad. Aquí se pide solo lo primero: la regla con más recursos no conformes.

La cifra que se lleva a una reunión no es el número de no conformes, sino el porcentaje de recursos conformes de cada regla. Calcúlalo para la regla de cifrado de volúmenes con los datos de cumplimiento.csv: evaluados menos no conformes, entre evaluados, por cien.

La regla de cifrado de bases de datos aparece sin evaluaciones. Compara reglas-config.csv (qué tipo de recurso mira cada regla) con registrador.json (qué tipos registra el servicio). Un tipo que una regla necesita y el registrador no incluye explica el silencio de la regla, y la solución es ampliar lo que se registra, con el coste que eso supone, no tocar la regla.