AWS Config で実現する継続的コンプライアンス監視 - ルール評価と自動修復
AWS Config によるリソース構成の記録、Config ルールによるコンプライアンス評価、自動修復アクションの設定を解説します。
Config の概要
AWS Config は AWS リソースの構成変更を継続的に記録し、コンプライアンスを自動評価するサービスです。EC2 インスタンスのセキュリティグループ変更、S3 バケットのパブリックアクセス設定変更、IAM ポリシーの変更など、あらゆるリソースの構成変更が記録されます。200 以上のマネージド Config ルールで「S3 バケットのパブリックアクセスがブロックされていること」などの条件を定義し、非準拠リソースを自動検出します。
ルールと自動修復
マネージドルールは AWS が提供する事前定義ルールで、s3-bucket-public-read-prohibited、ec2-instance-no-public-ip、iam-password-policy など 200 以上が利用可能です。カスタムルールは Lambda 関数で独自の評価ロジックを実装します。自動修復では非準拠リソースの検出時に SSM Automation ドキュメントを実行し、例えば S3 バケットのパブリックアクセスを自動的にブロックします。コンフォーマンスパックは CIS AWS Foundations Benchmark や PCI DSS などの業界標準に対応するルールセットをまとめてデプロイします。
コンフォーマンスパックと集約
コンフォーマンスパックは複数の Config ルールと修復アクションをパッケージ化したテンプレートで、 CIS Benchmark 、 PCI DSS 、 NIST 800-53 などのコンプライアンスフレームワークに対応した事前定義パックが提供されています。カスタムコンフォーマンスパックで組織固有のルールセットを定義し、 Organizations 全体に一括デプロイできます。 Config アグリゲーターは複数アカウント・複数リージョンのコンプライアンス状況を 1 つのアカウントに集約し、組織全体の準拠状況をダッシュボードで可視化します。高度なクエリで「暗号化されていない EBS ボリュームを持つ全アカウントのリソース」のような横断的な検索を実行できます。 Config に関する詳しい解説はAmazon の関連書籍でも確認できます。
Config の料金最適化
Config の料金は記録された構成アイテム数 (1 つあたり約 0.003 ドル)、ルール評価数 (1 評価あたり約 0.001 ドル)、コンフォーマンスパック評価数で構成されます。全リソースタイプの記録を有効にすると構成アイテム数が膨大になるため、コンプライアンスに必要なリソースタイプのみを記録対象にすることでコストを管理します。ルールの評価頻度を定期的 (24 時間ごと) と変更トリガーで使い分け、変更が少ないリソースには定期評価を適用します。Config の高度なクエリは追加料金なしで利用でき、コンプライアンスレポートの作成に活用できます。
まとめ
AWS Config はリソースの構成変更を記録し、コンプライアンスを継続的に評価するサービスです。コンフォーマンスパックで CIS Benchmark や PCI DSS のルールセットを一括デプロイし、アグリゲーターで組織全体の準拠状況を可視化します。自動修復で非準拠リソースの検出から修正までを自動化し、継続的なコンプライアンスを維持します。