AWS Config

AWSリソース設定がルールに合っているか確認するサービス。

AWSリソースの設定変更履歴を記録し、ルールに基づいて準拠状態を評価するサービス。

• S3公開設定の検出
• 暗号化未設定リソースの検出
• 設定変更履歴の追跡

• リソース設定の履歴と準拠評価に使う
• CloudTrailやCloudWatchとは役割が違う
• Config Rulesでチェックできる

• セキュリティベースライン違反を検出する
• 組織全体のConfig集約を検討する
• 記録対象リソースとコストを設計する

AWS Config は、AWS リソースの設定変更履歴を記録し、定義したルールに基づいて準拠状態を 評価するサービスである。各リソース（EC2 / S3 / IAM / セキュリティグループ等）の設定 スナップショットを継続的に取得し、「いつ・誰が・どの項目を・どう変更したか」を時系列 で追跡できる。Config Rules（マネージドルールおよびカスタムルール）を使うと、たとえば 「S3 バケットの公開設定がオフになっているか」「EBS ボリュームが暗号化されているか」 「セキュリティグループに 0.0.0.0/0 からの全ポート許可がないか」といった準拠条件を 継続的にチェックし、違反を検出した時点で通知や自動修復を実行できる。 実務では、セキュリティベースラインの継続評価（CIS Benchmark / AWS Foundational Security Best Practices 準拠）、コンプライアンス監査時の証跡提供、構成ドリフト検出 （IaC で定義した状態から手動変更で逸脱した箇所の検出）といった用途で採用される。 類似サービスとの違いとして、CloudTrail は「API 呼び出しログ（誰が何の API を呼んだか）」 を記録するのに対し、Config は「リソース設定の状態と変更履歴」を記録する点で守備範囲 が異なる。CloudWatch は「メトリクスとログ」を扱う監視サービスであり、Config の役割 とはさらに別軸となる。組織横断で集約管理する場合は、Config Aggregator を使って複数 アカウント・複数リージョンの記録を 1 アカウントに集約する設計が標準である。 CLF-C02 では、「リソース設定の履歴や準拠状態を評価するサービスは何か」という形で 問われる。CloudTrail（API 呼び出しログ）/ CloudWatch（メトリクス監視）との 3 つの 使い分けが頻出ポイントであり、それぞれ「何を記録対象とするか」を整理しておくと 正答に絞りやすい。SAA-C03 以降では、Config Rules によるベースライン違反検出、組織 全体での集約、記録対象リソースの絞り込みによるコスト最適化が踏み込んで問われる。

• AWS Config（AWS公式）↗
• AWS Config とは（AWS公式ドキュメント）↗
• AWS Config によるリソースの評価（AWS公式ドキュメント）↗

最終更新日：2026-06-01