AWS Configの高度なクエリでOrganizations環境のリソースを検索してみた

みなさんこんにちは、杉金です。 AWS Configの高度なクエリを使ったことはありますか？ SQL文を使ってAWSリソースを検索してくれるものなのですが、アグリゲータを指定した検索ができます。 つまり、Organizations(組織)でConfigアグリゲータを設定していると、組織全体のリソースを高度なクエリで検索できます。今回はその方法をご紹介します。

前提条件

Configアグリゲータで組織のConfigを集約していることが前提条件となります。設定方法は以下のブログが参考になります。

高度なクエリで検索

高度なクエリの使い方ですが、AWS Configから高度なクエリを選びます。すでに用意されているクエリを選択するか、「新しいクエリ」からクエリエディタを起動します。

最も重要なポイントとしてはアグリゲータを指定することです。クエリエディタの左側にあるクエリスコープから組織のアグリゲータを選択します。

あとはクエリを入力して「実行」ボタンを押すだけです。組織全体のリソース検索として、３つほどクエリのサンプルをご紹介します。

• 組織全体のRDSインスタンスのバージョン一覧取得
• 組織全体の指定EC2インスタンスタイプ一覧取得
• 組織全体のLambda関数のバージョン一覧取得

サンプルその１：組織全体のRDSインスタンスのバージョン一覧取得

組織全体のRDSインスタンスとそのバージョン一覧を取得するクエリと実行結果のサンプルです。

クエリ

SELECT
  accountId,
  awsRegion,
  configuration.dBInstanceIdentifier,
  configuration.engine,
  configuration.engineVersion,
  configuration.autoMinorVersionUpgrade
WHERE
  resourceType = 'AWS::RDS::DBInstance'

実行結果

組織全体で使用しているRDSインスタンスのバージョンを調べたいときに使えます。古いエンジンバージョンのサポート終了のアナウンスがあったときにこのクエリは役立ちそうです。補足情報として、マイナーバージョンの自動アップグレードが有効かも合わせて取得しており、バージョン列の右側にある「true」となっているものがそれです。

サンプルその２:組織全体の指定EC2インスタンスタイプ一覧取得

組織全体から特定のインスタンスタイプを対象としたインスタンスの検索を行います。下記の例ではOR条件を使って２つのインスタンスタイプを条件に一覧を取得しています。

クエリ

SELECT
  accountId,
  awsRegion,
  resourceId,
  configuration.instanceType
WHERE
  resourceType = 'AWS::EC2::Instance'
  AND configuration.instanceType = 't2.nano'
  OR configuration.instanceType = 't2.micro'

実行結果

LIKEを使った特定のインスタンスファミリー（T2）の検索もできます。

SELECT
  accountId,
  awsRegion,
  resourceId,
  configuration.instanceType
WHERE
  resourceType = 'AWS::EC2::Instance'
  AND configuration.instanceType LIKE 't2.%'

実行結果は、上記画像と類似しているため割愛します。 古いインスタンスタイプの存在チェックやコスト戦略を立てるのに使えそうです。

サンプルその3:組織全体のLambda関数のバージョン一覧取得

組織全体のLambda関数とそのバージョン一覧を取得するクエリと実行結果のサンプルです。

クエリ

SELECT
  resourceId,
  configuration.runtime,
  configuration.lastModified
WHERE
  resourceType = 'AWS::Lambda::Function'

実行結果

左端列のマスクしている部分にLambda関数名が入ります。ランタイムのサポート終了であったり、脆弱性のニュースが出たときに影響あるかの確認などで使えそうです。 特定のランタイムを検索する場合は、以下のようにAND条件で探したいランタイムを指定します。

SELECT
  resourceId,
  configuration.runtime,
  configuration.lastModified
WHERE
  resourceType = 'AWS::Lambda::Function'
  AND configuration.runtime = 'python3.8'

実行結果は、上記画像と類似しているため割愛します。

検索できるリソースタイプ

すべてのリソースタイプが検索できるわけではありません。検索可能なリソースタイプについては以下のリンクに記載されています。取得可能なプロパティもここで確認できます。

制限事項

JOINやASなどクエリに使用できないものがあります。使用不可能なキーワードを含めた制限事項は以下のドキュメントをご確認ください。

どのようにクエリを投げるかは、以下のブログが参考になります。

すでに用意されているクエリについて

すでに用意されているクエリについて、参考情報として本記事後半に表形式でまとめてみました。

結果をダウンロードできる

これが本当にありがたい機能なのですが、結果をCSVまたはJSONでダウンロードできます。

料金

高度なクエリ自体は追加コストなしで使用できます。

高度なクエリは、中国リージョンを除く全ての AWS 公開リージョン、および AWS GovCloud (米国) で、追加料金なしでご利用いただけます。

AWS Resource Explorerとの違い

リソース検索といえばAWS Resource Explorerがありますが、違いを簡単に表してみました。

• AWS Resource Explorer
  • 検索フォームから検索ワードを入力して検索
  • すばやくリソースを検索するのに向いている
  • 本記事執筆時点ではマルチアカウントのリソース検索はできない。
• AWS Config 高度なクエリ
  • SQL文を使用したクエリを投げられる。CountやSUMなどの集計関数も使用できる。
  • アグリゲータを指定することでマルチアカウントのリソース検索ができる。

こちらですが、2023年11月のアップデートにより、AWS Resource Explorerもマルチアカウントのリソース検索に対応しました。詳細は以下のブログをご確認ください。

結果のエクスポートはAWS Resource Explorerでも可能です。

参考：用意されているクエリ一覧

すでに用意されているクエリの名前と説明を表にしました。

最後に

本記事を読んでいただき、ありがとうございます。高度なクエリを使って、組織全体のリソース検索を試してみました。実際のプロジェクトでも活用するシーンがあったのでこの機能は便利だなと実感しています。 高度なクエリで検索できるリソースタイプが今後増えることを期待しつつ、今後も役に立つ機能があればご紹介していきます。

参考情報

• AWS リソースの現在の設定状態のクエリ | AWS Config Developer Guide
• クエリ例 | AWS Config Developer Guide
• 関係のクエリの例 | AWS Config Developer Guide
• awslabs/aws-config-resource-schema | GitHub
• [アップデート] 委任したメンバーアカウントで AWS Config アグリゲーターを使った Organizations 組織レベルのデータ収集が可能になりました | DevelopersIO
• AWS Configの高度なクエリのサンプルSQLで使えそうな物を調べてみた | DevelopersIO
• AWS Configの高度なクエリの使い方を詳細に調べてみた | DevelopersIO