翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Config ルールによるリソースの評価

を使用して AWS Config 、 AWS リソースの設定を評価します。これを行うには、理想的な構成設定を表す AWS Config ルールを作成します。 は、 マネージドルールと呼ばれるカスタマイズ可能な事前定義されたルール AWS Config を提供し、使用開始を支援します。

AWS Config ルールの仕組み

AWS Config はリソース間で発生する設定変更を継続的に追跡し、これらの変更がルールの条件に不適合になっていないかどうかを確認します。リソースがルールに準拠していない場合、 はリソースとルールを非準拠の として AWS Config フラグ付けします。 AWS Config ルールで考えられる評価結果は、次のとおりです。

例えば、EC2 ボリュームを作成すると、 はボリュームを暗号化する必要があるルールに対してボリュームを評価 AWS Config できます。ボリュームが暗号化されていない場合、 はボリュームとルールを非準拠として AWS Config フラグ付けします。 は、アカウント全体の要件についてすべてのリソースを確認 AWS Config することもできます。例えば、 AWS Config は、アカウント内の EC2 ボリュームの数が希望する合計数内にあるかどうか、またはアカウントがログ AWS CloudTrail 記録に を使用しているかどうかを確認できます。

サービスにリンクされたルール

サービスにリンクされたルールは、アカウントでルールを作成するために他の AWS のサービスをサポートする一意のタイプのマネージド AWS Config ルールです。これらのルールは、ユーザーに代わって他の AWS サービスを呼び出すために必要なすべてのアクセス許可を含めるように事前定義されています。これらのルールは、 AWS サービスがコンプライアンス検証 AWS アカウント のために で推奨する標準に似ています。詳細については、「サービスにリンクされた AWS Config ルール」を参照してください。

カスタムルール

まだ記録 AWS Config されていない追加のリソースを評価するカスタムルールを作成することもできます。詳細については、「AWS Config カスタムルール」および「その他のリソースタイプの評価」を参照してください。

コンプライアンスの表示

AWS Config コンソールには、ルールとリソースのコンプライアンスステータスが表示されます。 AWS リソースが全体的な目的の設定にどのように準拠しているかを確認し、どの特定のリソースが非準拠であるかを確認できます。 AWS CLI、 AWS Config API、および AWS SDKs を使用して、コンプライアンス情報を AWS Config サービスにリクエストすることもできます。

AWS Config を使用してリソース設定を評価することで、リソース設定が社内プラクティス、業界ガイドライン、および規制にどの程度準拠しているかを評価できます。

制約事項

各アカウントの各リージョンの AWS Config ルールの最大数とその他のサービスの制限については、AWS Config 「サービスの制限」を参照してください。

コストについて

リソース記録に関連するコストの詳細については、AWS Config 「 の料金」を参照してください。

推奨事項: ルールを削除する前にリソースコンプライアンスの記録を停止する

アカウントのルールを削除する前に、AWS::Config::ResourceComplianceリソースタイプの記録を停止することを強くお勧めします。ルールを削除するAWS::Config::ResourceComplianceと、 の設定項目 (CIsが作成され、 AWS Config 設定レコーダーのコストに影響する可能性があります。多数のリソースタイプを評価するルールを削除すると、記録された CIs の数が増加する可能性があります。

ベストプラクティス：

推奨事項: カスタム Lambda ルールの削除されたリソースの評価を処理するロジックを追加する

AWS Config カスタム Lambda ルールを作成するときは、削除されたリソースの評価を処理するロジックを追加することを強くお勧めします。

評価結果が NOT_APPLICABLE としてマークされている場合、削除およびクリーンアップの対象としてマークされます。としてマークされていない場合NOT_APPLICABLE、ルールが削除されるまで評価結果は変更されず、ルールの削除AWS::Config::ResourceCompliance時に の CIs の作成が予期せず急増する可能性があります。

削除されたリソースを返すように AWS Config カスタム Lambda ルールを設定する方法については、AWS Config 「カスタム Lambda ルールによる削除されたリソースの管理NOT_APPLICABLE」を参照してください。

推奨事項: カスタム Lambda ルールの対象となるリソースを提供する

AWS Config ルールが 1 つ以上のリソースタイプにスコープされていない場合、カスタム Lambda ルールは多数の Lambda 関数呼び出しを引き起こす可能性があります。アカウントに関連するアクティビティの増加を避けるため、カスタム Lambda ルールの範囲内にリソースを提供することを強くお勧めします。リソースタイプが選択されていない場合、そのルールによってアカウント内のすべてのリソースの Lambda 関数を呼び出します。

リージョンのサポート

現在、 AWS Config ルール機能は以下の AWS リージョンでサポートされています。どのリージョンで個々の AWS Config ルールがサポートされているかのリストについては、「リージョンの可用性別の AWS Config マネージドルールのリスト」を参照してください。

Organization のメンバーアカウント間で AWS Config のルールのデプロイ AWS は、次のリージョンでサポートされています。

トラブルシューティング

AWS Config ルールを削除できない場合や、「 でエラーが発生した」というエラー同義語が表示されない場合は、次の問題を確認してトラブルシューティングしてください AWS Config。

AWS Identity and Access Management (IAM) エンティティに DeleteConfigRule API のアクセス許可がある

IAM エンティティのアクセス許可の境界は DeleteConfigRule API を許可します

IAM エンティティに許可の境界がある場合は、 DeleteConfigRule API の許可が付与されていることを確認してください。

サービスコントロールポリシー (SCP) は DeleteConfigRule API を許可します。

ルールがサービスにリンクされたルールではない

セキュリティ標準 を有効にすると、 によってサービスにリンクされたルール AWS Security Hub が作成されます。を使用してこれらのサービスにリンクされたルールを削除することはできません。 AWS Config削除ボタンはグレー表示されます。サービスにリンクされたルールを削除するには、「Security Hub ユーザーガイド」の「セキュリティ標準の無効化」を参照してください。

進行中の修復アクションはありません

修復アクションが進行中の AWS Config ルールは削除できません。手順に従って、そのルール に関連付けられている修復アクションを削除します。次に、ルールの削除を再試行してください。