AWS Config
AWS リソースの設定変更を継続的に記録 / 評価するサービスで、コンプライアンスルールに基づく自動監査と設定履歴の追跡を実現する
概要
AWS Config は、AWS リソースの設定 (Configuration) を継続的に記録し、定義したルールに基づいて設定の準拠性を自動評価するサービスです。EC2 インスタンス、セキュリティグループ、S3 バケット、IAM ポリシーなど、300 以上のリソースタイプの設定変更を追跡します。設定変更が発生するたびに設定スナップショットが記録され、任意の時点のリソース設定を確認できます。AWS が提供するマネージドルール (350 以上) と、Lambda で実装するカスタムルールを使用して、組織のセキュリティポリシーやコンプライアンス要件への準拠を自動的に評価します。
設定の記録と変更履歴
Config を有効にすると、対象リソースの設定変更が発生するたびに Configuration Item (CI) が記録されます。CI には、リソースの種類、ID、設定内容、関連リソース、変更日時が含まれます。この履歴により、「このセキュリティグループのルールはいつ変更されたのか」「この S3 バケットの暗号化設定はいつ有効になったのか」といった質問に回答できます。誰が変更したかは CI に含まれないため、CloudTrail のイベント履歴と突き合わせて特定します。Config の高度なクエリ機能を使えば、SQL ライクな構文でリソースの現在の設定を横断的に検索できます。たとえば、暗号化が無効な S3 バケットの一覧、パブリックアクセスが許可されたセキュリティグループの一覧などを取得できます。設定履歴は S3 バケットに配信され、長期保存と Athena による分析が可能です。
コンプライアンスルールと自動修復
Config ルールは、リソースの設定が定義した条件に準拠しているかを自動評価します。マネージドルールの例として、s3-bucket-server-side-encryption-enabled (S3 バケットの暗号化が有効か)、ec2-instance-no-public-ip (EC2 インスタンスにパブリック IP が付与されていないか)、iam-password-policy (IAM パスワードポリシーが要件を満たしているか) などがあります。非準拠のリソースが検出された場合、自動修復アクション (Remediation Action) を設定できます。修復アクションは Systems Manager Automation のランブックとして定義し、非準拠リソースを自動的に準拠状態に修正します。たとえば、暗号化が無効な S3 バケットが検出されたら、自動的に暗号化を有効にする修復アクションを実行できます。Azure の対応サービスは Azure Policy で、同様にリソースの設定準拠性を評価し、自動修復を実行できます。
実務での活用パターン
Config は、セキュリティ監査とコンプライアンス証跡の基盤として使用されます。PCI DSS、HIPAA、SOC 2 などの規制や監査の基準に対応する際は、リソースの設定変更の記録を監査の証跡として使えます。Config の適合パック (Conformance Pack) は、特定の規制フレームワークに対応するルールセットをまとめたテンプレートです。Organizations と統合すれば、組織内のすべてのアカウントに統一された Config ルールを適用し、集約ビューでコンプライアンス状況を一元管理できます。公式料金ページでは、記録される Configuration Item の数、Config ルールの評価回数、適合パックの評価回数に応じて課金されると記載されています (2026 年 10 月時点)。リソース数が多い環境では費用が増えるため、記録対象のリソースタイプを必要なものに絞る、記録頻度を連続記録 (変更のたびに記録) から日次記録へ切り替えるといった方法で費用を抑えられます。日次記録では直近 24 時間の最新の状態だけが記録されるため、途中の変更は追えません。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトと公式ドキュメントです。最新の仕様と料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。