AWS Config で S3 バケットのコンプライアンスチェックを CloudFormation と一緒にやってみた

AWSTemplateFormatVersion: '2010-09-09'
Description: |
  既に AWS Config が有効なアカウント向けのハンズオン用テンプレート。
  検証用の S3 バケットを作成し、AWS Config マネージドルールで「サーバー側の暗号化が有効かどうか」を自動チェックする。
  ConfigurationRecorder / DeliveryChannel は既存のものをそのまま利用する想定のため、このテンプレートには含めない。

Parameters:
  TestBucketNamePrefix:
    Type: String
    Default: config-handson-target
    Description: 検証対象とする S3 バケット名のプレフィックス(末尾に AccountId を付与してユニークにします)

Resources:

  #########################
  # 検証対象の S3 バケット(わざと暗号化なしで作成)
  #########################

  TargetBucket:
    Type: AWS::S3::Bucket
    Properties:
      BucketName: !Sub "${TestBucketNamePrefix}-${AWS::AccountId}"
      # あえて BucketEncryption を設定しない
      # → AWS Config マネージドルールで「非準拠」判定させるための検証用リソース

  #########################
  # AWS Config マネージドルール
  #########################

  S3EncryptionRule:
    Type: AWS::Config::ConfigRule
    Properties:
      ConfigRuleName: s3-bucket-server-side-encryption-enabled-handson
      Description: S3 バケットにサーバー側の暗号化が設定されているかをチェックする(ハンズオン用)
      Source:
        Owner: AWS
        SourceIdentifier: S3_BUCKET_SERVER_SIDE_ENCRYPTION_ENABLED
      Scope:
        ComplianceResourceTypes:
          - AWS::S3::Bucket
        ComplianceResourceId: !Ref TargetBucket

Outputs:
  TargetBucketName:
    Description: 検証対象の S3 バケット(暗号化なしで作成、AWS Config で非準拠判定される想定)
    Value: !Ref TargetBucket

  ConfigRuleName:
    Description: 作成された AWS Config マネージドルールの名前
    Value: !Ref S3EncryptionRule

AWSTemplateFormatVersion: '2010-09-09'
Description: |
  AWS Config で「非準拠」判定を確実に再現するためのハンズオン用テンプレート。
  パブリックアクセスブロック設定を明示的に無効化した S3 バケットを作成し、
  AWS Config マネージドルール(S3_BUCKET_LEVEL_PUBLIC_ACCESS_PROHIBITED)で非準拠判定させる。

Parameters:
  NonCompliantBucketNamePrefix:
    Type: String
    Default: config-handson-noncompliant
    Description: 非準拠検証用バケット名のプレフィックス(末尾に AccountId を付与してユニークにします)

Resources:

  #########################
  # 検証対象の S3 バケット(パブリックアクセスブロックをあえて無効化)
  #########################

  NonCompliantBucket:
    Type: AWS::S3::Bucket
    Properties:
      BucketName: !Sub "${NonCompliantBucketNamePrefix}-${AWS::AccountId}"
      PublicAccessBlockConfiguration:
        BlockPublicAcls: false
        BlockPublicPolicy: false
        IgnorePublicAcls: false
        RestrictPublicBuckets: false
      # 4 つの設定をすべて `false` にすることで、
      # S3_BUCKET_LEVEL_PUBLIC_ACCESS_PROHIBITED ルールで確実に非準拠判定させる

  #########################
  # AWS Config マネージドルール
  #########################

  S3PublicAccessRule:
    Type: AWS::Config::ConfigRule
    Properties:
      ConfigRuleName: s3-bucket-level-public-access-prohibited-handson
      Description: S3 バケットレベルでパブリックアクセスがブロックされているかチェックする(ハンズオン用)
      Source:
        Owner: AWS
        SourceIdentifier: S3_BUCKET_LEVEL_PUBLIC_ACCESS_PROHIBITED
      Scope:
        ComplianceResourceTypes:
          - AWS::S3::Bucket
        ComplianceResourceId: !Ref NonCompliantBucket

Outputs:
  NonCompliantBucketName:
    Description: 検証対象の S3 バケット(パブリックアクセスブロック無効化、AWS Config で非準拠判定される想定)
    Value: !Ref NonCompliantBucket

  ConfigRuleName:
    Description: 作成された AWS Config マネージドルールの名前
    Value: !Ref S3PublicAccessRule