Attiva un Guard Hook nel tuo account

Accedi Console di gestione AWS e apri la CloudFormation console all'indirizzo https://console.aws.amazon.com/cloudformation.

Nella barra di navigazione nella parte superiore dello schermo, scegli Regione AWS dove vuoi creare l'Hook in.

Nel riquadro di navigazione a sinistra, scegli Hooks.

Nella pagina Hooks, scegli Create a Hook, quindi scegli With Guard.

Se non hai ancora creato alcuna regola Guard, crea la tua regola Guard, memorizzala in Amazon S3 e poi torna a questa procedura. Per iniziare, fai riferimento Scrivi le regole di Guard per valutare le risorse per Guard Hooks alle regole di esempio.

Se hai già creato la tua regola Guard e l'hai memorizzata in S3, procedi al passaggio successivo.

Per i sorgenti di Guard Hook, memorizza le tue regole Guard in S3, procedi come segue:

(Facoltativo) Per il report di output del bucket S3 for Guard, specifica un bucket S3 per archiviare il rapporto di output di Guard. Questo rapporto contiene i risultati delle convalide delle regole Guard.

Per configurare la destinazione del rapporto di output, scegli una delle seguenti opzioni:

(Facoltativo) Espandi i parametri di input della regola Guard, quindi fornisci le seguenti informazioni in Memorizza i parametri di input della regola Guard in S3:

Scegli Avanti.

Per Hook name, scegli una delle seguenti opzioni:

Per i target Hook, scegli cosa valutare:

Per Azioni, scegli quali azioni (creazione, aggiornamento, eliminazione) richiameranno il tuo Hook.

Per la modalità Hook, scegli come risponde l'Hook quando le regole non vengono valutate:

Per il ruolo Execution, scegli il ruolo IAM che Hook assume per recuperare le tue regole Guard da S3 e, facoltativamente, riscrivi un report dettagliato sull'output di Guard. Puoi consentire la creazione automatica CloudFormation di un ruolo di esecuzione per te oppure puoi specificare un ruolo che hai creato.

Scegli Avanti.

(Facoltativo) Per i filtri Hook, procedi come segue:

1. Per il filtro Resource, specifica quali tipi di risorse possono richiamare l'Hook. Ciò garantisce che l'Hook venga richiamato solo per le risorse pertinenti.

2. Per i criteri di filtro, scegli la logica per applicare i filtri relativi al nome dello stack e al ruolo dello stack:

   • Tutti i nomi degli stack e i ruoli dello stack: The Hook verrà richiamato solo quando tutti i filtri specificati corrispondono.

   • Qualsiasi nome di stack e ruolo dello stack: The Hook verrà richiamato se almeno uno dei filtri specificati corrisponde.

   Nota

   Per le operazioni dell'API Cloud Control, tutti i filtri Stack names e Stack roles vengono ignorati.

3. Per i nomi degli stack, includi o escludi stack specifici dalle invocazioni di Hook.

   • Per Include, specifica i nomi degli stack da includere. Usalo quando hai un piccolo set di stack specifici a cui vuoi mirare. Solo gli stack specificati in questo elenco richiameranno l'Hook.

   • Per Escludi, specifica i nomi degli stack da escludere. Usalo quando vuoi richiamare l'Hook sulla maggior parte degli stack ma escluderne alcuni specifici. Tutti gli stack tranne quelli elencati qui richiameranno l'Hook.

4. Per i ruoli Stack, includi o escludi stack specifici dalle chiamate Hook in base ai ruoli IAM associati.

   • Per Include, specifica uno o più ARN dei ruoli IAM per indirizzare gli stack associati a questi ruoli. Solo le operazioni di stack avviate da questi ruoli richiameranno l'Hook.

   • Per Escludi, specifica uno o più ARN dei ruoli IAM per gli stack che desideri escludere. L'Hook verrà richiamato su tutti gli stack tranne quelli avviati dai ruoli specificati.

Scegli Avanti.

Nella pagina Rivedi e attiva, rivedi le tue scelte. Per apportare modifiche, scegli Modifica nella sezione da modificare.

Quando sei pronto per procedere, scegli Attiva Hook.

Per iniziare ad attivare un Hook, usa il seguente activate-type comando, sostituendo i segnaposto con i tuoi valori specifici. Questo comando autorizza l'Hook a utilizzare un ruolo di esecuzione specificato dal tuo. Account AWS

aws cloudformation activate-type --type HOOK \
  --type-name AWS::Hooks::GuardHook \
  --publisher-id aws-hooks \
  --type-name-alias Private::Guard::MyTestHook \
  --execution-role-arn arn:aws:iam::123456789012:role/my-execution-role \
  --region us-west-2

Per completare l'attivazione dell'Hook, è necessario configurarlo utilizzando un file di configurazione JSON.

Usa il cat comando per creare un file JSON con la seguente struttura. Per ulteriori informazioni, consulta Riferimento alla sintassi dello schema di configurazione dell’hook.

$ cat > config.json
{
  "CloudFormationConfiguration": {
    "HookConfiguration": {
      "HookInvocationStatus": "ENABLED",
      "TargetOperations": [
        "STACK",
        "RESOURCE",
        "CHANGE_SET"
      ],
      "FailureMode": "WARN",
      "Properties": {
        "ruleLocation": "s3://amzn-s3-demo-bucket/MyGuardRules.guard",
        "logBucket": "amzn-s3-demo-logging-bucket",
        "options": {
          "inputParams": "s3://amzn-s3-demo-bucket/MyInputParams.json"
        }
      },
      "TargetFilters": {
        "Actions": [
          "CREATE",
          "UPDATE",
          "DELETE"
        ]
      }
    }
  }
}

Usa il set-type-configuration comando seguente, insieme al file JSON che hai creato, per applicare la configurazione. Sostituisci i segnaposto con i tuoi valori specifici.

aws cloudformation set-type-configuration \
  --configuration file://config.json \
  --type-arn "arn:aws:cloudformation:us-west-2:123456789012:type/hook/MyTestHook" \
  --region us-west-2