AWS Config 入門

最近、AWS SysOpsの勉強をしている延長で「AWS Config」について簡単にまとめます。勉強の精度に応じて適宜ブラッシュアップしていきます。

では早速。

AWS Configって何が出来る？
タイムラインで変更を追ってみる
変更時にメール通知（概要）
まとめ

AWS Configって何が出来る？

■AWSの各リソースの変更を記録してくれるサービス。
→ 例えばEC2のインスタンスタイプやタグ、EBSの容量変更などを全て記録してくれる。いわゆる変更管理が出来る。

CloudTrailの利用ではだめ？

CloudTrailでも変更は追えるけど追いづらい・・・。AWS Configであれば特定のリソースに絞って時系列でわかりやすく確認できる。差分もわかりやすいと思う。

■ルール設定が可能でルールに準拠出来ていない場合は教えてくれる。
→ 例えばssh(ポート22)のインバウンドルールで0.0.0.0が許容状態だったら、警告してくれる。なお、Trusted Advisorの「セキュリティ」項目も同じようなチェックはしてくれますが、AWS Configのほうは自分でルールを選択できる。

次の画面はAWS Configのダッシュボードです。事前設定したルールに準拠できているか、ルール対象のリソースの準拠数などを確認出来ます。

設定単位：リージョン
保存期間：デフォルト7年
※設定から変更可能。
コスト：ルール評価ごとに 0.001 USD
※そこまで高額にはならない。
配信先：S3やSNS
※別途Amazon EventBridgeでキャッチアップも可能。

ルールチェックの「動作契機」は次の通り。

定期的
構成変更時

※動作契機はルールによって異なる。

ルールは事前定義された「マネージド型」及び自分で構築する「カスタム」が導入出来る。カスタムの場合は自分でLambda等を組み合わせて構築する必要がある。マネージド型には次のようなルールがある。

cloudtrail-enabled
Checks whether AWS CloudTrail is enabled in your AWS account.
ec2-ebs-encryption-by-default
Check that Amazon Elastic Block Store (EBS) encryption is enabled by default. The rule is NON_COMPLIANT if the encryption is not enabled.

※現状は約300のルールがある。

■ルール非準拠の場合に修復が可能

例えば、次のようなことが可能。

インバウンド全開のEC2を停止や終了する。
パブリックなS3のパブリック設定を解除する。

※修復アクションは「Systems Manager Automation」を利用し、現在は300以上の事前定義されたアクションが利用可能となっている。

設定項目に「アグリゲータ」ってあるけどこれは？

複数のソースアカウントとリージョンから AWS Config 設定データとコンプライアンスデータを収集する、AWS Config の新しいリソースタイプです。
https://docs.aws.amazon.com/ja_jp/config/latest/developerguide/config-concepts.html

つまり、1アカウントで複数リージョン、あるいは複数アカウントで複数リージョンの「設定状態」や「チェック結果」（コンプライアンス結果）を収集することが出来るものらしい。規模が大きい場合は有用です。