AWS Config

確認 AWS 資源設定是否符合規則的服務。

記錄 AWS 資源設定變更歷史,並依規則評估合規狀態的服務。

• 偵測 S3 公開設定
• 偵測未設定加密的資源
• 追蹤設定變更歷史

• 用於資源設定的歷史與合規評估
• 與 CloudTrail 或 CloudWatch 角色不同
• 可透過 Config Rules 進行檢查

• 偵測安全基準違規
• 考量整個組織的 Config 集中匯整
• 規劃記錄對象資源與成本

AWS Config 是記錄 AWS 資源的設定變更歷史,並依定義的規則評估合規狀態的服務。 持續取得各資源(EC2 / S3 / IAM / 安全群組等)的設定快照,並以時序追蹤「何時、 由誰、變更了哪個項目、如何變更」。使用 Config Rules(代管規則與自訂規則)時, 可持續檢查例如「S3 儲存貯體的公開設定是否關閉」「EBS 磁碟區是否已加密」「安全 群組是否沒有來自 0.0.0.0/0 的全埠允許」等合規條件,在偵測到違規的時點執行通知 或自動修復。 實務上會應用於:安全基準的持續評估(符合 CIS Benchmark / AWS Foundational Security Best Practices)、合規稽核時的證跡提供、設定偏移偵測(偵測 IaC 中定義 的狀態因手動變更而偏離的部分)等用途。與類似服務的差異是:CloudTrail 記錄 「API 呼叫記錄(由誰呼叫了什麼 API)」,而 Config 記錄「資源設定的狀態與變更 歷史」,守備範圍不同。CloudWatch 是處理「指標與記錄」的監控服務,其角色又是 另一個面向。橫跨組織集中管理時,使用 Config Aggregator 將多個帳號、多個區域 的記錄集中至 1 個帳號的設計為標準做法。 在 CLF-C02 中,題目會以「評估資源設定的歷史與合規狀態的服務是什麼」的形式 出題。CloudTrail(API 呼叫記錄)/ CloudWatch(指標監控)三者的區分使用是常考 點,各自整理「以什麼為記錄對象」有助於選出正解。SAA-C03 以後,以 Config Rules 偵測基準違規、組織整體集中管理、依記錄對象資源篩選達成的成本最佳化等,會被 深入出題。

• AWS Config (AWS 官方)
• 什麼是 AWS Config (AWS 官方文件)
• 以 AWS Config 評估資源 (AWS 官方文件)

最後更新日: 2026-06-01