用以確認 AWS 資源的設定變更歷程，以及設定是否符合規則的服務為下列何者？

解析

AWS Config 是記錄 AWS 資源的設定歷程，並可評估設定是否符合規則的服務。與 CloudWatch 或 CloudTrail 容易混淆。

各選項解析

實際使用情境

AWS Config 是持續記錄 AWS 資源的設定資訊、保留設定變更歷程，並評估設定是否符合 預先定義之規則（Config Rules）的服務。可將 EC2 的安全群組、S3 儲存貯體的加密設定、 IAM 角色的政策等「資源的組態（設定值）」依時序記錄，並追蹤何時、由誰、變更了什麼。 藉由啟用 Config Rules，可持續評估「封鎖 S3 儲存貯體的公開存取」「EBS 磁碟區已加密」 等合規條件，並偵測違規資源。 在考試的脈絡中，會出現選擇「記錄 AWS 資源設定變更歷程，並確認設定是否符合規則 的服務」為 AWS Config 的題目。錯誤選項常見組合包含 Amazon SQS（訊息佇列）、 Amazon CloudFront（CDN）、AWS Budgets（預算警示），上述皆與設定變更歷程與合規 評估無關。與 CloudWatch、CloudTrail 的混淆為常見的考點，Config 負責「資源設定如何 變化」與「設定是否符合規則」、CloudTrail 負責「由誰呼叫了哪一個 API」、CloudWatch 負責「資源與應用程式的運作狀態」，三者的職責有所區分。 實務上，Config 用於稽核與合規用途。受管規則中事先提供「s3-bucket-public-read-prohibited」 「encrypted-volumes」「root-account-mfa-enabled」等 100 種以上的檢查，僅需啟用即可 開始進行持續性的合規監控。亦常見與 AWS Security Hub 搭配，將整個組織的合規狀態 進行集中彙整的架構。CLF-C02 中，Config、CloudTrail、CloudWatch 的職責分工，以及 「以 Config Rules 進行合規監控」「以 CloudTrail 進行 API 稽核」「以 CloudWatch 進行運作監控」此整理方式，均為反覆考核的重點。