AWS Configによる構成評価を理解する

「ストレージを暗号化する」という社内基準があっても、資源を作り直すうちに設定がずれる場合があります。AWS Configは対象資源の構成と変更を記録し、定めたルールに合うかを評価するために使います。

この単元で学ぶこと

構成記録とルールによる評価の違いを説明できる
準拠表示の対象範囲と修復の違いを説明できる
CloudTrail・CloudWatchと適切に組み合わせられる

本文解説

構成を記録する AWS Configは対応するAWSリソースの構成情報や関係、変更履歴などを記録します。例えば対象の設定が以前どうなっていたかを調べる材料になります。CPUの使用率を連続的に測るメトリクスとは、扱う情報の種類が違います。

記録する範囲すべてのアカウント・リージョン・リソースが無条件に記録済みとは限りません。必要な種類、範囲、記録頻度を確認します。Continuousは変更ごと、Dailyは前回記録と異なる場合に過去24時間の最新状態を記録する方式です。Dailyを全変更の履歴と考えず、記録が見当たらないだけで変更なしと判断しません。

ルールで条件を決める Configルールは望ましい構成条件を評価するために使います。例えば暗号化や必要なタグなどを基準にします。既存の管理ルールを使えるか、対象と評価条件が自社要件へ合うかを確認します。ルール名だけで適切と決めず内容を読みます。

準拠の意味準拠は、評価したルールの条件に合うことです。すべてのセキュリティ要件、法律、業務規程を満たすという包括的な保証ではありません。設定していない要件や対象外の資源は別に確認します。いつの状態を評価したかも判断に関わります。

変更の時系列構成の履歴を使うと、ある時点と現在の設定差を調べられます。変更した人や呼び出したAPIを調べる場合はCloudTrailの操作記録と照合します。構成状態と操作主体の証拠を一つの画面だけへ求めず、役割を分けて調べます。

修復は別の設計非準拠を見つけるだけで、安全な修復まで自動的に完成するわけではありません。修復処理、対象、実行権限、承認、失敗時の対応を別に決めます。業務上の例外がある場合、原因を確認せず一律変更するとサービスを止める可能性があります。

監視と監査を組み合わせる運用指標はCloudWatch、変更操作はCloudTrail、構成と準拠はConfigと分けると理解しやすくなります。例えば通信設定の変更でエラーが増えたなら、構成差と操作証跡、エラー時系列を合わせて原因を調べます。

例題：必須タグの点検各資源へ部門タグが必要というルールを作り、対象を評価します。非準拠の資源は責任者や作成経路を調べて修正します。評価後にタグが付いたことを再確認し、作成手順にも反映します。検知した件数だけでは修正完了を示しません。

図解

構成管理の三段階 — 記録、評価、修復は別の段階。対象範囲と条件を明確にして運用する。

重要ポイント

資源構成の記録と準拠ルールの評価を分ける。
準拠は設定された条件と対象の範囲内の判断。
非準拠の検知と修復は別の段階。
変更主体はCloudTrail、稼働状態はCloudWatchと照合する。

間違えやすい点

準拠表示を全規制への適合保証にしない。
未記録の資源を変更なしと考えない。
ルールを作れば必ず自動修正されると思わない。

用語解説

メトリクス: CPU使用率や要求数など、時刻とともに記録される数値。単位・集計期間・対象を合わせて読む。
アラーム: メトリクスなどの評価条件に応じて状態が変わり、設定した通知や対応へつなげる仕組み。
管理イベント: AWSリソースの作成や設定変更など、管理面の操作を記録するイベント。
データイベント: S3オブジェクトへの取得・書込みなど、資源内のデータに対する操作を記録するイベント。対象の明示設定を確認する。
構成項目: AWS Configが記録する、対象資源のある時点での属性や関係などの情報。
準拠評価: 定めたルールに対象構成が合っているかを判定すること。未設定の要件まで保証するものではない。

参考資料

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。