AWS Config
設定の記録と評価
AWS リソースの設定履歴を記録し、Config rule（組み込み、または Lambda/Guard で自作）に基づいて継続的に評価します。SSM Automation で自動修復することもできます。
- コスト$$ ふつう
- 難易度●●●●●
- 未使用でも課金？いいえ
- サーバーレス
- 出題試験CLF · SAA · SOA · DVA
たとえるなら物が動かされるたびに部屋の写真を撮り、規則と照らし合わせるカメラのようなものです。
いつ使う？
✓ 使うべき場面
設定変更の監査と継続的なコンプライアンスチェックが必要なとき。
✗ 避けるべき場面
誰がどの API を呼び出したかを知りたい → CloudTrail。
よくある使い方
- ポート 22 をインターネットに開放している security group の検出
- S3 bucket の設定変更履歴の確認
- コンプライアンス基準向けの conformance pack
料金はいくら？
- 課金方式: 記録された configuration item の数と rule の評価回数に応じて課金されます。
頻繁に変化するリソース（例: Auto Scaling、ENI）は大量の configuration item を生成します。periodic recording を検討してください。
「リソース構成の変更履歴、継続的なコンプライアンスチェック、自動修復」なら AWS Config、「誰がこの API を呼んだか」なら CloudTrail、「違反リソースの作成自体を防ぐ」なら Config ではなく SCP や IAM を選びます。
よくある質問
AWS Config は CloudTrail と何が違いますか?
CloudTrail は誰がいつどの API を呼び出したかを記録します (「誰が実行したか」)。Config はリソースの構成状態を時系列で記録し、ルールと照らして評価します (「現在の構成は、以前はどうだったか、準拠しているか」)。変更を調査する際は両方を併用することが多いです。
Config ルールはどう動作し、不適切な構成を防げますか?
Config ルール (マネージド、または Lambda や Guard によるカスタム) は、構成変更時または定期的にリソースを評価し、COMPLIANT または NON_COMPLIANT と判定します。Config は検出のみで、非準拠リソースの作成をブロックはしません。自動修復には SSM Automation を使う修復アクションを設定します。
複数のアカウントと Region にまたがる準拠状況を確認するには?
Config アグリゲーターを使うと、複数のアカウントと Region の構成データと準拠状況を 1 つのアカウントに集約して確認できます。コンフォーマンスパックは複数のルールと修復をまとめたパッケージで、組織全体にデプロイできます。コストは主に記録される構成アイテム数とルール評価回数に応じて増えます。
関連サービス
SAA-C03 対策
Config は次の対策モジュールで扱っています：