【アップデート】 AWS Config が Amazon Bedrock・SageMaker など 15 種類の新リソースタイプをサポートしました

こんにちは！クラウド事業本部のおつまみです。

みなさん、AWS Config 使っていますか？リソースの設定変更履歴を追跡して、コンプライアンスチェックに活用されている方も多いと思います。

今回 AWS Config で 15 個の新しいリソースタイプがサポートされました！

https://aws.amazon.com/jp/about-aws/whats-new/2026/08/aws-config-new-resource-types/

早速確認してみよう！とのことで、今回は概要と注目リソースタイプについてご紹介します。

3行まとめ

1. AWS Config で 15 個の新しいリソースタイプがサポート
2. Amazon Bedrock・Amazon SageMaker・Amazon OpenSearch Serverless・AppSync・Connect・Glue などのサービスが対象
3. 既に「すべてのリソースタイプを記録」設定を有効化している場合は自動的に追跡される

アップデートにより何が嬉しくなったのか

AWS Config は、AWS リソースの設定変更を継続的に記録・評価するサービスです。リソースの設定変更履歴の保管、コンプライアンスルールとの評価、変更の追跡などに活用できます。

しかし、AWS Config がサポートしていないリソースタイプについては、設定の追跡や履歴管理ができませんでした。

今回のアップデートにより、以下のメリットがあります。

• 生成 AI 関連リソースの追跡が可能に: Amazon Bedrock の Blueprint・DataAutomationProject など生成 AI 基盤リソースの設定変更を Config で記録できるようになった
• SageMaker リソースの管理強化: SageMaker の InferenceComponent・PartnerApp・Project・Space・ImageVersion が対象に加わり、機械学習ワークロード全体のガバナンスが強化できる
• 自動適用: 「すべてのリソースタイプを記録」設定を有効化している場合、これらの新しいリソースタイプは自動的に追跡対象になる

追加された 15 個のリソースタイプ

今回サポートされた新しいリソースタイプは以下の通りです。

注目のリソースタイプ

AWS::Bedrock::Blueprint / AWS::Bedrock::DataAutomationProject

概要

Amazon Bedrock の Blueprint（ドキュメント処理の設計図）と DataAutomationProject（データ自動化プロジェクト）の設定を追跡できます。

重要性

生成 AI ワークロードの本番利用が増える中、Bedrock リソースの設定変更を記録することはガバナンスの観点から重要です。誰がいつ Blueprint や DataAutomationProject を変更したかを監査ログとして残せるようになりました。

ユースケース

• 本番環境の Bedrock Blueprint 設定が意図せず変更された場合の検出
• DataAutomationProject の設定変更履歴を監査要件の証跡として活用
• Config Rules を使った Bedrock リソースのコンプライアンス評価

AWS::BedrockAgentCore::ApiKeyCredentialProvider

概要

Bedrock Agent Core が利用する API キー認証プロバイダーの設定を追跡できます。

重要性

API キーを使った外部サービスとの連携設定は、セキュリティ上の変更管理が特に重要です。認証プロバイダーの設定変更を Config で記録することで、意図しない変更の検出や監査が容易になります。

ユースケース

• API キー認証プロバイダーの設定が変更された際のアラート設定
• セキュリティコンプライアンス監査での認証設定の証跡管理

AWS::OpenSearchServerless::AccessPolicy

概要

Amazon OpenSearch Serverless のアクセスポリシー設定を追跡します。

重要性

アクセスポリシーはデータへのアクセス制御を担う重要なリソースです。ポリシーの変更履歴を Config で管理することで、意図しないアクセス権限の拡大を検知できます。

ユースケース

• アクセスポリシーが意図せず緩和された場合の検出
• 複数の OpenSearch Serverless コレクションにわたるアクセスポリシー変更の監査
• コンプライアンス要件に基づくアクセス制御設定の定期評価

設定方法

すべてのリソースタイプを記録している場合

「すべてのリソースタイプを記録」を有効化している場合、追加の設定は不要です。新しいリソースタイプは自動的に追跡されます。

特定のリソースタイプのみを記録している場合

1. AWS Config コンソールにアクセス
2. 「設定」から「レコーダー」を編集
3. 追跡したい新しいリソースタイプを選択して保存

または、AWS CLI で設定

aws configservice put-configuration-recorder \
  --configuration-recorder name=default,roleARN=arn:aws:iam::123456789012:role/config-role \
  --recording-group allSupported=false,resourceTypes=AWS::Bedrock::Blueprint,AWS::OpenSearchServerless::AccessPolicy

Config Rules での活用

これらの新しいリソースタイプは、Config Rules や Config Aggregator でも利用できます。

例えば、以下のようなカスタムルールを作成できます。

• Bedrock Blueprint が特定の設定になっているかをチェック
• OpenSearch Serverless のアクセスポリシーが想定外の Principal を含んでいないかを確認
• SageMaker Project が特定のタグを付与されているかを検証

注意点

コスト

• AWS Config は記録されるリソースの数と評価される Config Rules の数に基づいて課金されます
• 新しいリソースタイプを追跡する場合、記録対象リソースが増えるため、コストへの影響を確認してください
• 「すべてのリソースタイプを記録」を有効化している場合、今回追加された 15 個のリソースタイプも自動的に追跡対象となり、該当リソースが存在する場合は記録コストが発生します

既存環境への影響

• 「すべてのリソースタイプを記録」を有効化している場合、自動的に新しいリソースタイプが追跡されます
• 大量のリソースがある場合、初回の設定記録に時間がかかる可能性があります

まとめ

今回は AWS Config が Amazon Bedrock・Amazon SageMaker・Amazon OpenSearch Serverless など主要サービスの 15 個の新しいリソースタイプに対応したアップデートをご紹介しました。

生成 AI 関連リソースのガバナンス・コンプライアンス管理が求められる場面が増える中、Bedrock や SageMaker のリソースが Config で追跡できるようになったのは嬉しいアップデートです。
自動記録を有効にしている場合は追加設定なしで対応されるので、ぜひ Config のリソース一覧を確認してみてください。

最後までお読みいただきありがとうございました！
どなたかのお役に立てれば幸いです。

以上、おつまみ（＠AWS11077）でした！

参考

• AWS Config now supports 15 additional resource types
• AWS Config でサポートされている AWS リソースタイプ