AWS Config
AWS Configとは
「AWS リソースの設定が今どうなっているか」「過去にどう変わったか」を記録し、 それが「あらかじめ決めたルール（コンプライアンス）に違反していないか」を 自動チェックするサービスです。
主な3つの役割
-
設定履歴の記録（タイムマシン機能） 「いつ、誰が、何を、どう変えたのか」を時系列で保存します。
- 用途: 「昨日まで動いていたのに今日動かなくなった」というときに、前日の設定と現在の設定を比較して、何が原因か特定するのに役立ちます。
- 連携: CloudTrail と組み合わせることで、「設定変更（Config）」と「実行したユーザー（CloudTrail）」を紐付けて追跡できます。
-
コンプライアンスの評価（自動検知） 「S3 バケットはパブリック公開禁止」「セキュリティグループの 22 番ポート（SSH）は原則開放禁止」といったルールを定義し、違反したリソースがないか監視します。
- マネージドルール: AWS が用意している標準的なルール（例：s3-bucket-public-read-prohibited）。
- カスタムルール: Lambda 関数を使い、プロジェクト独自の複雑なルールを Java 等で作成することも可能です。
-
リソースの依存関係の可視化
特定の EC2 インスタンスにどのセキュリティグループが紐付いているか、どの VPC に属しているかといった「リソース同士のつながり」を把握できます。
AWS Config の構成要素
| 要素 | 内容 |
|---|---|
| Configuration Recorder | 設定情報の収集を開始・停止するスイッチのようなもの。 |
| Config Rule | 評価するためのルール。「準拠（Compliant）」か「非準拠（Non-compliant）」を判定。 |
| Dashboard | 組織全体のコンプライアンス遵守状況をひと目で確認できる画面。 |
| Remediation | 非準拠が見つかった際、自動的に修正アクション（Systems Manager など）を実行する機能。 |
料金の考え方
AWS Config は「使った分だけ」の従量課金ですが、以下の 2 点が主なコスト要因です。
-
設定項目の記録: リソースに変更があった際に発生（1 回あたり 0.003 程度）。
-
ルールの評価: ルールが実行されるたびに発生。
ヒント
CloudTrail との違い
- CloudTrail: 「誰が API を叩いたか」という 行動のログ
- AWS Config: 「その結果、設定がどうなったか」という 状態のログ
AWS Cloud Practitioner の試験でも、この「Config = リソースの設定変更・履歴管理・コンプライアンス」というキーワードは頻出です。