AWS Config

① ストーリー性を取り入れた説明

旅行会社の新規事業開発部では、旅行写真をS3に保存して新サービスを進めていました。ところが「保存場所が増えすぎて、誰がどこまで見られるか曖昧」という状態になり、監査対応で指摘されそうになっています。

月末会議まで時間がないのに、手作業で全バケットの設定を点検するのは現実的ではありません。ケンイチは焦りながら課長に駆け込みました。

ケンイチ：
「課長、写真データの管理体制で困っています。
保存場所が増えすぎて、権限もバラバラで…監査で指摘されそうです」

課長：
「それならAWS Configを入れよう。
AWSの“設定が変わった瞬間”を記録して、ルール違反を見つける番人だ」

ケンイチ：
「ルール違反を見つける番人？？…すみません、それは一体どういうことでしょうか？」

課長：
「ひとことで言うと、AWSリソースの設定を記録して、ルールで評価するサービスだ。
たとえばS3バケットが“公開設定”になったら、すぐ分かる」

ケンイチ：
「つまり、AWSの設定変更をずっと見張ってくれる…という理解でよいでしょうか？」

課長：
「そう。ポイントは2つある。

1) 履歴が残る：いつ、何が、どう変わったかが追える
2) 評価できる：ルールに合ってるか自動で判定できる」

ケンイチ：
「でも、それがどうして“監査に強い”んですか？」

課長：
「監査でよく聞かれるのはこれだ。
『今の設定はルール通り？』『誰が変えた？』『いつから？』
Configがあると、証拠（履歴）と判定（評価結果）を出しやすい」

ケンイチ：
「すごい…。じゃあConfigが見つけたら、自動で直してくれるんですか？」

課長：
「そこは誤解しやすい。
Configは基本、監視と評価まで。自動修正は“別チーム”の仕事だ」

ケンイチ：
「アラートを出して、直すのは人…ということですね？」

課長：
「人でもいいし、自動化もできる。
たとえば、Configで違反を検知 → Systems ManagerやLambdaで修正、が王道だ」

◆ AWS Configの役割（ここだけ覚える）
・設定変更を記録する（いつ/何が/どう変わった）
・ルールで評価する（合格/不合格を自動判定）
・不合格を通知する（早期発見につながる）

ケンイチ：
「最初は何からやるのが良いでしょうか？」

課長：
「全部を一気にやると挫折する。
今日は“写真の守り”に直結するところから。
S3の公開設定と暗号化、それからログの有無をルールで見張ろう」

ケンイチ：
「優先順位をつける、ですね。まずはS3から始めます！」

用語	ひとことで	何を見る？	向いている用途
AWS Config	設定の番人	リソース設定の変化・適合	監査、ルール違反の検知
AWS CloudTrail	操作の記録係	誰がどのAPIを叩いたか	原因調査、追跡（犯人探しに強い）
AWS Trusted Advisor	ざっくり健康診断	AWS環境のおすすめ改善点	コスト/セキュリティの一般的改善
AWS Systems Manager	運用の自動化	パッチ適用・設定作業	Configの検知後の自動修正