CDK CFN 守护验证器插件

本单元中更高层次的构件的API是实验性的并正在积极开发中. 在今后任何版本中,它们都须作非背向相容的修改或去除。 这些是 不适用 语义版本 模型和断开的更改 在发行笔记中宣布. 这意味着虽然你可能使用它们,但可能需要更新 当更新到此软件包的更新版本时,您的源代码.

安装

类型脚本/ Java 脚本

npm install @cdklabs/cdk-validator-cfnguard

蟒

pip install cdklabs.cdk-validator-cfnguard

爪哇语

// add this to your pom.xml
<dependency>
    <groupId>io.github.cdklabs</groupId>
    <artifactId>cdk-validator-cfnguard</artifactId>
    <version>0.0.0</version> // replace with version
</dependency>

. NET 网络

dotnet add package Cdklabs.CdkValidatorCfnGuard --version X.X.X

使用量

要在您的 CDK 应用程序中使用此插件, 请添加到 CDK App 中 .

new App({
  policyValidationBeta1: [
    new CfnGuardValidator(),
  ],
});

默认情况下 CfnGuardValidator 插件随 控制塔 主动 控件 启用 。 为了禁用这些规则,您可以使用 controlTowerRulesEnabled: false 属性.

new CfnGuardValidator({
  controlTowerRulesEnabled: false,
});

也可以禁用个别规则.

new CfnGuardValidator({
  disabledRules: [
    'ct-s3-pr-1',
  ],
});

补充规则

要为插件提供附加规则, 请提供本地 文件或目录路径.

new CfnGuardValidator({
  rules: [
    'path/to/local-rules-directory',
    'path/to/s3/local-rules/my-rule.guard',
  ],
});

如果提供的路径是目录,则目录只能是 包含守护规则文件,目录中的所有规则都将被使用.

使用 CDK 中捆绑的控制塔主动控制

捆绑的控制塔 主动控制 使用 Cloud Formation guard 用于控制塔管理控制的政策 服务。 您可以使用这些 CDK 捆绑控件而无需控制 AWS中的塔环境,但将两者一起使用有许多好处.

当您启用控制塔 主动控制您的控制塔环境, 控制可以阻止部署不合规资源 云门会. 关于管理下的主动控制及其运作方式的更多信息, 见 控制塔文档。 。 。 .

这些CDK捆绑的控制和管理的控制塔主动控制最好一起使用. 在此情景下, 您可以配置此验证插件, 并使用同样的主动控制 正在您的控制塔云层环境中活动 。 那样你就能很快获得自信了 您的 CDK 应用程序将通过本地运行 cdk 合成来通过控制塔控制 或在上述管道中.

无论你或你的组织是否使用控制塔,你都应该 使用此插件在本地运行时, 了解这些捆绑控件的以下内容 :

1. 这些 CloudFormation 守护政策接受有限子集 CloudFormation 语法 他们评价的属性。 例如,一个名为加密的属性可能 如果以正文值指定, 则通过, 但是如果以正文值指定, 则可能失败 引用 CloudFormation 堆栈参数。 同样,如果规则检查字符串 值,它可能对 Fn: join 对象失败。 如果你发现一条规则可以绕过 特定资源配置,请存档出问题.
2. 有些规则可能检查其他资源的参考文献,但这种参考文献检查是有限的. 例如,一项规则可能要求为每个S3桶指定一个出入记录桶. 在这种情况下,规则可以检查你是否通过 引用一个桶在同一 模板,但无法校验“实例”等硬码桶名是否实际指代 一个真正的桶或一个你拥有的桶.

您可以通过在控制塔中设置同样的主动控制来增加一层安全保护 云环境. 使用这些控制有不同的考虑因素,因为它们是在一种情况下操作的 不一样的方式。 更多信息,请参见 控制权 塔式主动控制文件。 。 。 .

如果您还没有控制塔环境, 请查看 什么是AWS控制塔?。 。 。 .

装订的控制塔规则