【アップデート】AWS Config Rulesに新たに8個のマネージドルールが追加されました！

Config芸人の森永です。

Config Rulesに新たなマネージドルールが追加されました！嬉しい！

8 new Config Rules to govern the configuration of critical AWS resources

追加されたルール

何が追加されたかを知りたい方はこちらを以下ご覧頂ければ概要は分かります。

• IAM_PASSWORD_POLICY
  • IAMパスワードポリシーが適切な設定になっているか
• RDS_STORAGE_ENCRYPTED
  • RDSが暗号化されているか
  • オプションで特定のKMSキーで暗号化されているかも確認可能
• RDS_MULTI_AZ_SUPPORT
  • RDSがMulti-AZになっているかどうか
• DB_INSTANCE_BACKUP_ENABLED
  • RDSのバックアップが有効になっているか
  • バックアップウィンドウや保管期間が適切かもチェック可能
• EBS_OPTIMIZED_INSTANCE
  • EBS最適化できるインスタンスタイプにおいて、EBS最適化が設定されているか
• DESIRED_INSTANCE_TYPE
  • EC2のインスタンスタイプが指定したインスタンスタイプになっているか
  • インスタンスタイプは複数選択可能
• APPROVED_AMIS_BY_ID
  • EC2が適切なAMIを使用しているか
• APPROVED_AMIS_BY_TAG
  • EC2が特定のタグが付いたAMIを使用しているか

各ルールの詳細

Config Rules好きな方はトリガータイプとかパラメータ気になりますよね。わかります。
自分用に表にまとめておきます。

ルール名	トリガータイプ	Parameter
IAM_PASSWORD_POLICY	定期	RequireUppercaseCharacters – PWに大文字必須かどうか（Boolean） RequireLowercaseCharacters – PWに小文字必須かどうか（Boolean） RequireSymbols – PWに記号必須かどうか（Boolean） RequireNumbers – PWに数字必須かどうか（Boolean） MinimumPasswordLength – PWの最小文字数 PasswordReusePrevention – PW再利用できるまでの世代数 MaxPasswordAge – パスワードの有効期限
RDS_STORAGE_ENCRYPTED	変更時	kmsKeyId – 暗号化するためのKMSキーIDまたはARN
RDS_MULTI_AZ_SUPPORT	変更時	なし
DB_INSTANCE_BACKUP_ENABLED	変更時	backupRetentionPeriod – バックアップ保存日数. preferredBackupWindow – バックアップウィンドウの期間
EBS_OPTIMIZED_INSTANCE	変更時	なし
DESIRED_INSTANCE_TYPE	変更時	instanceType – コンマ区切りのインスタンスタイプリスト (例：t2.small, m4.large)
APPROVED_AMIS_BY_ID	変更時	amiIds – コンマ区切りのAMIリスト（最大10。）
APPROVED_AMIS_BY_TAG	変更時	amisByTagKeyAndValue – コンマ区切りのタグリスト （最大10。例：Name:approved）

試してみる

AWS Config Rulesの管理画面にいって「Add Rule」します。
おお！新しいルールが追加されて合計17個になってます！！もっと増えろ！！！

今回は「IAM_PASSWORD_POLICY」を試してみます。
ルールを選択すると、このような画面がでてきますが、マネージドルールの場合この部分はほぼ触らなくて良いです。
触るとしたら「Frequency（頻度）」くらいかと思います。

次にパラメータを設定します。
自社のセキュリティポリシーに適合するように設定を変更して下さい。 パラメータの意味は上記で説明したのでそちらをご参照下さい。

わくわく

はい。私のアカウントのパスワードポリシーはルールに違反していました。

IAMのパスワードポリシー管理画面よりルールに適したパスワードポリシーの設定に変更します。

こちらのルールは24時間毎にチェックなので、24時間待たないといけない、、、というわけではなく、Config Rulesには「Re-evaluate」という機能がありますのでこちらで再チェックを行います。

はい！おみごとルールに適したパスワードポリシーになったことが分かります。

最後に

どんどん有用なマネージドルールがでたらもっとAWS ConfigもConfig Rulesも有名になって使う人が増えると思うので嬉しい限りです！
大量にあるAWSリソースをいちいち手動でチェックするのはもうやめませんか！！！