Aktiviere einen Guard Hook in deinem Konto

Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die CloudFormation Konsole unter https://console.aws.amazon.com/cloudformation.

Wählen Sie in der Navigationsleiste oben auf dem Bildschirm die AWS-Region Stelle aus, an der Sie den Hook-In erstellen möchten.

Wählen Sie im Navigationsbereich auf der linken Seite Hooks aus.

Wählen Sie auf der Seite Hooks die Option Create a Hook und dann With Guard aus.

Wenn Sie noch keine Guard-Regeln erstellt haben, erstellen Sie Ihre Guard-Regel, speichern Sie sie in Amazon S3 und kehren Sie dann zu diesem Verfahren zurück. Lesen Sie die Beispielregeln unterSchreiben Sie Guard-Regeln, um die Ressourcen für Guard Hooks zu evaluieren, um loszulegen.

Wenn Sie Ihre Guard-Regel bereits erstellt und in S3 gespeichert haben, fahren Sie mit dem nächsten Schritt fort.

Gehen Sie für die Guard-Hook-Quelle, Speichern Sie Ihre Guard-Regeln in S3 wie folgt vor:

(Optional) Geben Sie für den S3-Bucket for Guard-Ausgabebericht einen S3-Bucket zum Speichern des Guard-Ausgabeberichts an. Dieser Bericht enthält die Ergebnisse Ihrer Guard-Regelvalidierungen.

Um das Ziel des Ausgabeberichts zu konfigurieren, wählen Sie eine der folgenden Optionen:

(Optional) Erweitern Sie die Eingabeparameter der Guard-Regel und geben Sie dann unter Speichern Sie Ihre Guard-Regel-Eingabeparameter in S3 die folgenden Informationen ein:

Wählen Sie Weiter aus.

Wählen Sie für den Hook-Namen eine der folgenden Optionen:

Wählen Sie für Hook-Ziele aus, was ausgewertet werden soll:

Wähle für Aktionen aus, welche Aktionen (Erstellen, Aktualisieren, Löschen) deinen Hook aufrufen.

Wählen Sie im Hook-Modus aus, wie der Hook reagiert, wenn Regeln ihre Bewertung nicht bestehen:

Wählen Sie für die Ausführungsrolle die IAM-Rolle, die der Hook annimmt, um Ihre Guard-Regeln aus S3 abzurufen und optional einen detaillierten Guard-Ausgabebericht zurückzuschreiben. Sie können entweder zulassen CloudFormation , dass automatisch eine Ausführungsrolle für Sie erstellt wird, oder Sie können eine Rolle angeben, die Sie erstellt haben.

Wählen Sie Weiter aus.

(Optional) Gehen Sie für Hook-Filter wie folgt vor:

1. Geben Sie für den Ressourcenfilter an, welche Ressourcentypen den Hook aufrufen können. Dadurch wird sichergestellt, dass der Hook nur für relevante Ressourcen aufgerufen wird.

2. Wählen Sie unter Filterkriterien die Logik für die Anwendung von Stacknamen- und Stack-Rollenfiltern aus:

   • Alle Stacknamen und Stack-Rollen — Der Hook wird nur aufgerufen, wenn alle angegebenen Filter übereinstimmen.

   • Alle Stacknamen und Stack-Rollen — Der Hook wird aufgerufen, wenn mindestens einer der angegebenen Filter zutrifft.

   Anmerkung

   Bei Cloud Control-API-Vorgängen werden alle Stack-Namen und Stack-Rollenfilter ignoriert.

3. Schließen Sie bei Stack-Namen bestimmte Stacks bei Hook-Aufrufen ein oder aus.

   • Geben Sie für Include die Stack-Namen an, die eingeschlossen werden sollen. Verwenden Sie diese Option, wenn Sie eine kleine Gruppe bestimmter Stapel haben, auf die Sie abzielen möchten. Nur die in dieser Liste angegebenen Stapel rufen den Hook auf.

   • Geben Sie für Exclude die Stacknamen an, die ausgeschlossen werden sollen. Verwenden Sie diese Option, wenn Sie den Hook für die meisten Stapel aufrufen, aber einige bestimmte ausschließen möchten. Alle Stapel außer den hier aufgeführten rufen den Hook auf.

4. Schließen Sie bei Stack-Rollen je nach den zugehörigen IAM-Rollen bestimmte Stacks aus Hook-Aufrufen ein oder aus.

   • Geben Sie für Include eine oder mehrere IAM-Rollen-ARNs an, um auf Stacks abzuzielen, die diesen Rollen zugeordnet sind. Nur Stack-Operationen, die von diesen Rollen initiiert wurden, rufen den Hook auf.

   • Geben Sie für Exclude eine oder mehrere IAM-Rollen-ARNs für Stacks an, die Sie ausschließen möchten. Der Hook wird auf allen Stacks außer denen aufgerufen, die von den angegebenen Rollen initiiert wurden.

Wählen Sie Weiter aus.

Überprüfen Sie auf der Seite „Überprüfen und aktivieren“ Ihre Auswahl. Um Änderungen vorzunehmen, wählen Sie Bearbeiten in dem entsprechenden Abschnitt.

Wenn du bereit bist, fortzufahren, wähle Hook aktivieren.

Um mit der Aktivierung eines Hooks zu beginnen, verwenden Sie den folgenden activate-type Befehl und ersetzen Sie die Platzhalter durch Ihre spezifischen Werte. Dieser Befehl autorisiert den Hook, eine angegebene Ausführungsrolle von Ihnen zu verwenden. AWS-Konto

aws cloudformation activate-type --type HOOK \
  --type-name AWS::Hooks::GuardHook \
  --publisher-id aws-hooks \
  --type-name-alias Private::Guard::MyTestHook \
  --execution-role-arn arn:aws:iam::123456789012:role/my-execution-role \
  --region us-west-2

Um die Aktivierung des Hooks abzuschließen, müssen Sie ihn mithilfe einer JSON-Konfigurationsdatei konfigurieren.

Verwenden Sie den cat Befehl, um eine JSON-Datei mit der folgenden Struktur zu erstellen. Weitere Informationen finden Sie unter Referenz der Syntax des Hook-Konfigurationsschemas.

$ cat > config.json
{
  "CloudFormationConfiguration": {
    "HookConfiguration": {
      "HookInvocationStatus": "ENABLED",
      "TargetOperations": [
        "STACK",
        "RESOURCE",
        "CHANGE_SET"
      ],
      "FailureMode": "WARN",
      "Properties": {
        "ruleLocation": "s3://amzn-s3-demo-bucket/MyGuardRules.guard",
        "logBucket": "amzn-s3-demo-logging-bucket",
        "options": {
          "inputParams": "s3://amzn-s3-demo-bucket/MyInputParams.json"
        }
      },
      "TargetFilters": {
        "Actions": [
          "CREATE",
          "UPDATE",
          "DELETE"
        ]
      }
    }
  }
}

Verwenden Sie den folgenden set-type-configuration Befehl zusammen mit der von Ihnen erstellten JSON-Datei, um die Konfiguration anzuwenden. Ersetzen Sie die Platzhalter durch Ihre spezifischen Werte.

aws cloudformation set-type-configuration \
  --configuration file://config.json \
  --type-arn "arn:aws:cloudformation:us-west-2:123456789012:type/hook/MyTestHook" \
  --region us-west-2