AWS Config
持续记录和评估 AWS 资源配置变更的服务，基于合规规则实现自动审计和配置历史追踪
概述
AWS Config 是一项持续记录 AWS 资源配置并根据定义的规则自动评估配置合规性的服务。追踪 EC2 实例、安全组、S3 存储桶、IAM 策略等 300 多种资源类型的配置变更。使用 AWS 提供的托管规则（350 多条）和通过 Lambda 实现的自定义规则，自动评估组织安全策略和合规要求的遵从情况。
配置记录与变更历史
启用 Config 后，每次目标资源的配置变更都会记录一条 Configuration Item (CI)。CI 包含资源类型、ID、配置内容、关联资源和变更时间。通过此历史记录，可回答安全组规则何时修改、S3 存储桶加密设置何时启用等问题。CI 不记录由谁修改，需要与 CloudTrail 事件历史对照来确定修改者。Config 的高级查询功能可使用类 SQL 语法横向搜索资源的当前配置。例如可获取未启用加密的 S3 存储桶列表、允许公共访问的安全组列表等。配置历史交付到 S3 存储桶，可进行长期保存和 Athena 分析。
合规规则与自动修复
Config 规则自动评估资源配置是否符合定义的条件。托管规则示例包括 s3-bucket-server-side-encryption-enabled、ec2-instance-no-public-ip、iam-password-policy 等。检测到不合规资源时，可设置自动修复操作 (Remediation Action)。修复操作定义为 Systems Manager Automation 运行手册，自动将不合规资源修正为合规状态。例如检测到未启用加密的 S3 存储桶时，可自动执行启用加密的修复操作。Azure 对应服务为 Azure Policy，同样可评估资源配置合规性并执行自动修复。
实际应用模式
Config 作为安全审计和合规证据的基础使用。应对 PCI DSS、HIPAA、SOC 2 等法规和审计标准时，资源配置变更的记录可作为审计证据。Config 的合规包 (Conformance Pack) 是将特定法规框架对应的规则集打包的模板。与 Organizations 集成后，可对组织内所有账户应用统一的 Config 规则，并在聚合视图中集中管理合规状况。官方定价页面说明，费用按记录的 Configuration Item 数量、Config 规则评估次数和合规包评估次数计算 (截至 2026 年 10 月)。资源较多的环境费用会增加，可通过将记录对象限定为必要的资源类型，或将记录频率从连续记录 (每次变更都记录) 切换为每日记录来控制费用。每日记录只保留过去 24 小时内的最新状态，因此无法追踪中间的变更。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。