AWS Config - リソース設定管理の基本概念
AWS Configは、AWSリソースの設定を自動的に記録・監視するサービスです。「どのリソースがいつ変更されたか」「現在の設定がベストプラクティスに準拠しているか」を継続的にチェックして、クラウド環境の健全性を維持します。
AWS Configの基本的な仕組み
なぜAWS Configが必要なのか
クラウド環境では、多くのリソースが複雑に関連し合いながら動作しています。手動での設定管理には限界があり、以下のような課題が発生します：
- 誰がいつリソースを変更したかが分からない
- セキュリティ設定が適切かどうかの確認が困難
- コンプライアンス要件への準拠状況が不明
- 問題発生時の原因特定に時間がかかる
AWS Configは、これらの課題を自動化により解決します。
Configuration Item（設定項目）とは
Configuration Itemは、AWSリソースの設定情報を記録したスナップショットです。EC2インスタンスを例にすると、以下の情報が自動的に記録されます：
- インスタンスタイプ（t3.micro など）
- セキュリティグループの設定
- 稼働状態（起動中、停止中など）
- タグ情報
- 関連するサブネットやVPC
- 変更された時刻と変更者
設定変更の追跡方法
AWS Configは、リソースの変更を自動的に検出して記録します。変更が発生すると、自動的にスナップショットを作成し、履歴として保存されます。
変更追跡の例：
- 変更前：EC2インスタンス t2.micro で稼働
- 変更後：EC2インスタンス t3.micro にアップグレード
- 変更時刻：2025-08-10 14:30:00 JST
- 変更者：IAMユーザー「admin」
- 変更理由：パフォーマンス向上のため
Config Rulesによるコンプライアンス監視
AWS管理ルールとは
Config Rulesは、AWSリソースの設定がベストプラクティスに準拠しているかを自動的にチェックするルールです。AWSが事前に用意したルールを使えば、簡単にコンプライアンス監視を始められます。
リソース設定が変更されると、自動的にルール評価が実行されます。結果はコンプライアント（準拠）か非コンプライアント（違反）で表示され、違反時にはアラート通知や自動修復を実行できます。
よく使用されるルール
セキュリティ関連のルールでは、ルートアカウントのアクセスキーチェック、S3バケットの公開設定確認、EBSやRDSの暗号化確認などが重要です。
コスト最適化では、未使用のElastic IPアドレスや不要なパブリックIPの検出、EC2インスタンスの詳細監視設定の確認などが一般的に使用されます。
カスタムルールの活用
組織固有のビジネスルールやコンプライアンス要件に対応するため、Lambda関数を使った独自のルールを作成できます。
カスタムルール作成の利点：
- 組織のポリシーに特化した監視ルールの実装
- 業界固有のコンプライアンス要件への対応
- 既存の管理ルールでカバーできない要件への対応
活用例：
- 必須タグの付与チェック
- 特定のセキュリティグループルール確認
- リソースの命名規則監視
- コストタグの付与状況確認
実装イメージ： EC2インスタンスに必須タグ（Environment、Owner、CostCenter）が設定されているかを定期的にチェックし、不足しているタグがある場合は非コンプライアントとして自動的にアラートを発生させることができます。
自動修復（Auto Remediation）
自動修復の概念
自動修復機能は、Config Rulesで非コンプライアントが検出されたときに、自動的に問題を修正する機能です。手動対応が不要になり、迅速なセキュリティ対策が可能です。
一般的な自動修復の例として、S3バケットの公開アクセス無効化、セキュリティグループの不適切ルール削除、EBSボリュームの暗号化有効化、未使用リソースの自動停止などがあります。
自動修復により、問題発生から数分以内の迅速な対応、24時間365日の継続監視、人的ミスの減少を実現できます。
組織レベルでのConfig管理
マルチアカウント管理の概念
大きな組織では、複数のAWSアカウントを使用していることが一般的です。AWS OrganizationsとConfigを連携させることで、全アカウントの設定を一元管理できます。
管理アカウントでルールを作成すると、全メンバーアカウントに自動配布され、組織全体のコンプライアンス状況を統合して監視できます。これにより、統一されたポリシー適用、新アカウントへの自動適用、効率的な管理を実現できます。
Configデータの分析とレポート
コンプライアンス状況の理解
Configは、リソースのコンプライアンス状況を継続的に追跡し、様々な形でレポートとして提供します。これらの情報を活用して、組織のコンプライアンス水準を継続的に改善できます。
主要な分析機能
コンプライアンスダッシュボードでは、組織全体のコンプライアンス率、リソース別・ルール別の違反状況を一目で確認できます。
履歴分析機能では、リソースの設定変更を時間軸で表示し、障害発生時の原因特定や頻繁に変更されるリソースの検出が可能です。
さらに、Amazon AthenaやQuickSightと連携することで、SQLクエリによる複雑な分析やビジュアルレポートの作成もできます。
セキュリティとアクセス制御
Configデータの保護
Configで収集される情報には、リソースの詳細設定やセキュリティ関連情報が含まれています。適切なセキュリティ対策を実施することが重要です。
セキュリティ対策
Configで収集される情報は、HTTPS/TLSによる転送中暗号化、S3バケットでの保存時暗号化により保護されます。AWS KMSで暗号化キーを管理し、IAMポリシーによるロールベースアクセス制御を実装します。
CloudTrailとの連携により、Config操作の監査ログを記録し、データアクセスの追跡や不正アクセスの早期発見が可能です。
Configのコスト構造と最適化
料金とコスト最適化
Configの料金は、Configuration Items（設定記録）、Config Rule評価、Conformance Packs評価の3つで構成されます。
コスト最適化のため、重要なリソースタイプ（EC2、RDS、S3、IAM、セキュリティグループ）に絞って記録し、メインリージョンでは全機能、サブリージョンではセキュリティ関連ルールのみに限定することが効果的です。
実用的な活用シナリオ
導入手順
初期設定では、Configuration Recorderを有効化してリソース記録を開始し、データ保存用S3バケットを指定します。ConfigがAWSリソース情報を収集するためのIAMロールも作成します。
次に、セキュリティ関連の管理ルールから導入を開始し、初回評価結果を確認して問題を特定します。その後、必要に応じて段階的にルールを拡張していきます。
運用では、週次または月次でコンプライアンス状況を定期レビューし、重要違反時の自動通知を設定して、継続的な改善に取り組みます。
まとめ
AWS Configは、クラウドリソースの設定を継続的に監視・管理するための中核的なサービスです。手動では管理しきれない大量のリソースを、ルールベースで自動監視し、コンプライアンス状況を可視化できます。
活用メリット
- 継続的なガバナンス：24時間365日の自動セキュリティ監視
- 迅速な問題特定：設定変更履歴による障害原因の素早い特定
- コンプライアンス対応：規制要件や社内ポリシーへの自動準拠確認
- 運用効率化：手動チェック作業の削減と人的ミスの防止
次のステップ
Configの基本概念を理解したら、実際に環境に導入して、継続的なセキュリティ向上とコンプライアンス管理を実現してください。