DEA / ドメイン4 データセキュリティとガバナンス
AWS Config
概要
は、AWS リソースの設定を記録し続け、「いつ、どの設定が、どう変わったか」と「設定がルールに準拠しているか」を示すサービスです。データ基盤では、 の暗号化やパブリックアクセスのブロック、 の暗号化などの設定が守られているかを監視し、変更の履歴を監査に使います。
主要技術
① 設定の記録と設定タイムライン
設定レコーダーを有効にすると、対象のリソースの設定が変わるたびに設定項目 (configuration item) が記録されます。コンソールの設定タイムラインで、あるリソースの設定の変遷と、その変更に関係する のイベントを並べて確かめられます。設定の履歴とは に送れます。
② Config ルール
| ルール | 内容 |
|---|---|
| マネージドルール | AWS が用意したルールです (例: の既定の暗号化、パブリックアクセスのブロック、 クラスターの暗号化)。 |
| カスタムルール | 関数や Guard のポリシーで独自の条件を書きます。 |
| コンフォーマンスパック | 複数のルールと修復をまとめて、アカウントや組織へ展開します。 |
③ 自動修復と複数アカウントの集約
準拠していないリソースは Automation のドキュメントで自動修復できます (例: 暗号化されていないに既定の暗号化を設定する)。アグリゲーターで、複数のアカウント・の設定と準拠状況を1か所で見られます。
試験対策
| 問題文のキーワード | 選ぶもの |
|---|---|
| の設定がいつ変わったか確かめたい | の設定タイムライン |
| 暗号化されていないバケットを継続的に検出したい | Config のマネージドルール |
| 違反を自動で直したい | Config ルール + Automation の修復 |
| 組織全体の準拠状況をまとめて見たい | アグリゲーター、コンフォーマンスパック |
⚠️ 頻出: 設定の状態と変遷は Config、 を呼んだ人は です。Config は違反を検出しますが、変更そのものを事前に止めるには などの予防的な制御を使います。