AWS管理・ガバナンス

AWS Configとは

AWSリソースの設定変更を継続的に記録・評価するサービス。Config Rulesで「S3バケットが公開されていないか」「セキュリティグループがSSHを全開放していないか」などのコンプライアンスを自動チェックする。

設定変更の履歴をタイムライン表示し、過去の状態に戻るためのスナップショットを保存する。マネージドルールとカスタムルール（Lambda）の2種類のルールを使い分ける。

試験での問われ方

「リソース設定のコンプライアンス自動チェック・変更履歴の追跡・ドリフト検出」シナリオではConfig（CloudTrailでなく）を選ぶ。CloudTrailはAPIコールの監査、Configはリソース設定の継続的コンプライアンスという違いが頻出。

SAPではAWS Organizations + Config集約アカウントで複数アカウントのコンプライアンスを一元管理する構成が問われる。自動修復（Systems Manager Automationのトリガー）もConfig Remediation機能で設定できる。