【AWS Config】
AWS Configは、AWSリソースの設定変更を監視、記録し、リソースのセキュリティやコンプライアンスを評価するサービスです。AWSリソースの設定がいつ変更されたかを記録し、変更がルールに準拠したものでない場合には「非準拠」として記録されます。


ルールに準拠していないリソースは以下のように列挙されます。


Configのルールを設定することにより、例えばセキュリティグループの設定が変更された場合や、S3バケットを新たに作成した場合にバージョン管理が有効化されているかなど、様々なリソースの設定状況を監査します。

■Amazon Simple Notification Service（SNS）通知
Configでは指定したリソースに設定変更があった場合に、Amazon Simple Notification Service（SNS）から通知を受け取るように設定できます。
また、ルールに準拠していないリソースがある場合に通知を受け取る場合は、Amazon EventBridgeと連携します。ルールが非準拠になったことをトリガーにしたEventBridgeのイベントルールを作成し、SNSから通知するよう設定します。

■ルールの作成
ルールの作成には、AWSが用意したルールをカスタマイズしたり、Lambda関数を使用した独自ルールを追加したりできます。
例えば、AWSリソースに対して用途や環境などの管理のためにタグを付与している場合、Configの「required-tags」ルールではタグの付与漏れがないかをチェックできます。EC2、ELB、RDS、Redshift、S3などのリソースに対応しています。


■非準拠リソースの修復
Configは、設定したルールに違反しているリソースを自動的に修復する機能を提供します。たとえば、セキュリティグループの設定エラーやEBSボリュームの非暗号化といった問題が検出された場合、Configは定義されたルールに基づいてこれらを自動的に修正します。修復手順は、AWS Systems Manager AutomationランブックやLambda関数を使用してカスタマイズすることができます。これにより、コンプライアンス違反を迅速に解決し、セキュリティを強化できます。