はじめに

閲覧ありがとうございます、NTTデータ先端技術の@S-takahashi1129です。
今回はカスタムGuardの書き方について、個人的にポイントだと思ったところを中心に記載していきます。カスタムGuardルールの作り方については前回記事をご参照ください。
カスタムGuardを用いたAWS Configカスタムポリシールールの作り方　（基本編）

前提

ConfigのカスタムGuardの解説にあたり、今回はVPCのタグをチェックするルールの作成を行います。

事前に以下のようなタグを設定したVPCを用意しています。

Guardに関する抑えておいたほうが良い事項としてGuardの処理は暗黙的にすべてANDで処理されるということがあります。

例えば以下のようにルールを設定します

tags.Name =="test-vpc"
tags.rtb =="exists"
tags.Name =="error"

検査の対象となるVPCのタグが以下の通りです

実機の設定を踏まえると、ルールの各行の処理は次のような結果になります。

tags.Name =="test-vpc"  ⇒ true
tags.rtb =="exists"     ⇒ true
tags.Name =="error"     ⇒ false

これらがすべてANDで処理されるため、結果的にルールは非準拠となります。

なお、OR句を明示的に使うことでORで処理を行うことができます。

tags.Name =="test-vpc"
tags.rtb =="exists"
OR
tags.Name =="error"

上記のようにした場合ルールは準拠となります

rule <任意のルール名>　とするとブロックに区切って特定のリソース構成をチェックすることができます。

rule tag_Name_value{
  tags.Name =="test-vpc"
}

上記の例だと、tag_key_value というルールブロック内で、Nameというキーを持つタグの値がtest-vpcだった場合に準拠と判断する処理が行われます。

when句を使うことにより、特定の条件の場合のみにruleブロック内の処理を行いことができます。

rule tag_Name_value when awsRegion == "ap-northeast-3" {
  tags.Name =="test-vpc"
}

when awsRegion == "ap-northeast-3"　により、大阪リージョンのリソースだった場合に、ルールブロック内の処理が行われるようにできます。

また、when句ではほかのルールブロックを使うことも可能です。
複雑な条件指定をルールブロックとして定義しておき、when句で指定すればコードがすっきりします。

例えば、
・Nameキーがtest-vpcのタグを持っている
・東京リージョンにあるVPCである
という条件の上で、rtbキーがexistsであるかどうかをチェックするルールを作成したい場合、when句で指定すると以下のようになります。

rule tag_rtb_value when 
tags.Name=="test-vpc"
awsRegion =="ap-northeast-1"{
  tags.rtb=="exist" 
}

when句の部分を以下のようにルールブロックで定義することで、コードが見やすくなります。

rule tag_Name_value {
  awsRegion == "ap-northeast-1"
  tags.Name =="test-vpc"
}

rule tag_rtb_value when tag_Name_value {
  tags.rtb=="exists"
}

rule tag_Name_valueが準拠だった場合に、rule tag_rtb_valueの処理が行われます。

let句を使うことで変数の宣言を行い、%変数名 で呼び出すことができます。

let tokyo = "ap-northeast-1"

rule tag_Name_value when awsRegion == %tokyo{
  tags.Name =="test-vpc"
}

ルールブロック内で宣言された変数に関しては、宣言されたルールブロック内でのみ有効です。

リソース名の指定などでワイルドカードを使いたい場合など、正規表現を利用することで柔軟に対応できます。
正規表現を使いたい部分を以下のようにスラッシュで囲むことで、使用可能です。

rule tag_Name_value {
  tags.Name ==/^test.*/
}

上記のような記載だと、testから始まる任意のリソース名の指定となります。

ルールブロックやwhen句を使うことで可読性はもちろん、コードの作成自体もしやすくなります。ご参考になれば幸いです。

以上、閲覧ありがとうございました。