Config ルール・自動修復を使ってS3全バケットのデフォルト暗号化を自動的に有効化する

川原征大

2020.06.01

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

AWS Config は AWSリソースの構成を記録、管理するためのサービスです。 EC2インスタンスやセキュリティグループなど、AWSリソースが「いつ、どのような変更がされたか」の履歴を記録してくれます。

また、 AWS Config ルールを利用して AWSリソースの構成の評価ができます。 AWSリソースのあるべき構成を条件としています。条件に違反しているリソースが検出されると「非準拠」フラグが付けられます。

さらに、この「非準拠」リソースを修復することもできます。 "AWS Systems Manager オートメーション(SSM オートメーション)" という自動化を行うためのワークフローと連携して、「非準拠」リソースが見つかれば SSMオートメーションを使ってあるべき構成へ自動修復する、便利な自動化が実現できます。

本記事では S3の全バケットのデフォルト暗号化を自動的に有効化する ための Configルール/自動修復を構築してみます。

やってみる(ルールの作成)

まずは、「デフォルト暗号化が有効になっていないバケットを非準拠とする」Configルールを作成します。 ※Configを有効化していることは前提です。

「AWS Config > ルール」の画面から「ルールを追加」を選択します。

AWS管理のルール s3-bucket-server-side-encryption-enabled を選択します。

デフォルト設定で追加します。 (ここで修復アクションを指定して自動修復設定もできますが、まず非準拠リソースの列挙のみ行ってみます)

作成したルールがあること、準拠/非準拠リソースが見れることを確認しましょう。

私の検証環境で 8個、非準拠なバケットが検出されました。

やってみる(IAMロールの作成)

後述の自動修復を行うための IAMロールを先に作っておきます。マネジメントコンソールからIAMロールの作成画面に行きましょう。「信頼されたエンティティの種類」として「SSM Automation Service Role」を選択します。

ほかは特に設定せず、適当にロール名(例えば ssm-automation-role-for-s3-encryption ) を決めてロールを作成します。

作成したロールの画面に行き、「インラインポリシーを追加」を選択します。

JSONで以下のようなポリシーを追加しましょう。S3のデフォルト暗号化を有効化するためのポリシーです。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutEncryptionConfiguration",
            "Resource": "*"
        }
    ]
}

適当なポリシー名(例えば Ssm-Automation-Policy-PutEncryptionConfiguration )を付けて作成します。これでIAMロール作成作業は完了です。