AWS全资源配置快照留存与自动回滚方案咨询

先搞懂CloudTrail和AWS Config的核心差异，别再混着用 #

• CloudTrail：记录所有API调用事件（谁、什么时候、调用了什么操作），是「事件流水账」，能追踪变更的发起源，但不存储资源的实际配置状态。
• AWS Config：持续捕获资源的配置快照，记录配置从A状态到B状态的具体差异，是「配置状态审计工具」，这才是你需要的资源快照来源。

你之前踩的坑是没正确配置AWS Config，导致它只存储了自身的配置，没有抓取其他资源的快照。重新调整配置后，就能拿到所有支持资源的实际配置了。

正确配置AWS Config获取全资源快照 #

1. 开启Config时，选择记录所有支持的资源类型，不要仅勾选Config相关选项。
2. 指定S3桶存储配置历史和快照，按照控制台提示配置桶权限，确保允许Config写入。
3. 开启配置快照交付，设置定期快照频率（比如每日一次），之后在S3桶的AWSLogs/[你的账号ID]/config/[区域]/ConfigSnapshot路径下，就能找到各类资源的实际配置快照——比如EC2安全组规则、S3桶权限、RDS参数组设置等。

结合两者实现审计、手动/自动回滚 #

1. 发现未告知的变更 #

• 先查AWS Config：查看资源的配置历史，对比当前状态与期望状态，快速定位变更点（比如安全组突然新增了0.0.0.0/0的入站规则）。
• 再查CloudTrail：用Config中的变更事件ID关联CloudTrail日志，可查到变更发起者、使用的IAM角色、调用的API，补全审计链路。

2. 手动回滚配置 #

• 从Config的S3快照中导出合规状态的配置，通过AWS CLI或控制台直接修正资源——比如用aws ec2 modify-security-group-rules恢复安全组规则，或导入快照中的S3桶权限配置。
• 也可利用Config的合规规则标记不合规资源，对着标记逐个修正。

3. 自动回滚配置 #

• 用AWS Config + Lambda搭建自动修正流程：
  1. 创建Config自定义规则，定义资源的期望状态（比如安全组仅允许特定IP段访问80、443端口）。
  2. 当规则检测到不合规资源时，触发Lambda函数，从Config历史快照中拉取合规配置，自动调用API修正资源状态。
• 补充：对于EC2、S3等支持CloudFormation的资源，可配合StackSets，用模板定义期望状态，Config检测到不合规时自动触发栈更新回滚。

覆盖全部AWS资源 #

AWS Config支持150+种AWS资源，少数未覆盖的资源，可通过自定义Config规则或CloudTrail日志补充追踪，确保全账号资源都能纳入管理。

内容的提问来源于stack exchange，提问作者pratibha um