AWSリソースの設定変更履歴や、設定がルールに準拠しているかを確認するために使うサービスはどれですか？

解説

AWS Configは、AWSリソースの設定履歴を記録し、設定がルールに準拠しているかを評価できるサービスです。CloudWatchやCloudTrailと混同しやすいサービスです。

選択肢ごとの解説

実務での使いどころ

AWS Config は、AWS リソースの設定情報を継続的に記録し、設定変更履歴を保持し、設定が あらかじめ定義したルール（Config Rules）に準拠しているかを評価するサービスである。 EC2 のセキュリティグループ、S3 バケットの暗号化設定、IAM ロールのポリシーといった 「リソースの構成（設定値）」を時系列で記録し、いつ・誰が・何を変えたかを追跡できる。 Config Rules を有効化することで「S3 バケットのパブリックアクセスをブロックする」 「EBS ボリュームが暗号化されている」といった準拠条件を継続評価し、違反リソースを 検知できる。 試験文脈では「AWS リソースの設定変更履歴を記録し、設定がルールに準拠しているかを 確認するサービス」として AWS Config を選ばせる問題が出る。誤答として Amazon SQS （メッセージキュー）、Amazon CloudFront（CDN）、AWS Budgets（予算アラート）が 並ぶパターンが多いが、いずれも設定変更履歴や準拠評価とは無関係である。CloudWatch・ CloudTrail との混同が頻出論点であり、Config は「リソース設定がどう変化したか」と 「設定が準拠しているか」、CloudTrail は「誰がどの API を叩いたか」、CloudWatch は 「リソースとアプリの稼働状況」と役割が分かれる。 実務では、Config は監査・コンプライアンス用途で利用される。マネージドルールとして 「s3-bucket-public-read-prohibited」「encrypted-volumes」「root-account-mfa-enabled」 など 100 種類以上のチェックがあらかじめ用意されており、有効化するだけで継続的な 準拠監視を開始できる。AWS Security Hub と組み合わせて組織全体の準拠状況を集約する 構成も一般的である。CLF-C02 では Config・CloudTrail・CloudWatch の役割分担と、 「Config Rules で準拠監視」「CloudTrail で API 監査」「CloudWatch で稼働監視」と いう整理が繰り返し問われる。