AWS Control Tower がサポートしていないリージョンで Configを有効化する

川原征大

2021.08.25

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

やりたいこと

AWS Control Towerがまだ未対応のリージョン (2021/08/25 時点では大阪および北カリフォルニア)の Config記録を有効化します。

図に表します。

なお、Control Tower 対応リージョンでは、この設定は不要です。そのリージョンをControl Tower 管理下にすることで、よしなに Config設定をしてくれます。

手順

前提条件
ログアーカイブアカウントに Config用バケットを作成
Config記録の有効化

1. 前提条件

Config記録はアカウント・リージョン毎に 1つしか作成できません。

なので事前に、対象のアカウント・リージョンの Configは無効化しておきましょう。

参考: コンソールから消せないConfigを全リージョンCLIから無効化する | DevelopersIO

2. ログアーカイブアカウントに Config用バケットを作成

事前にログアーカイブアカウントに S3バケットを作成しておきます。このバケットに Configからの配信される設定情報が格納されます。

CFnテンプレートの準備

以下CloudFormation テンプレートを使います。

AWSTemplateFormatVersion: '2010-09-09'
Parameters:
  BucketName: { Type: String }
  OrgID:      { Type: String }
Resources:
  # Bucket
  ConfigBucket:
    Type: AWS::S3::Bucket
    Properties: 
      BucketName: !Ref BucketName
      VersioningConfiguration:
        Status: Enabled
      BucketEncryption:
        ServerSideEncryptionConfiguration: 
          - ServerSideEncryptionByDefault:
              SSEAlgorithm: AES256
      PublicAccessBlockConfiguration: 
        BlockPublicAcls: true
        BlockPublicPolicy: true
        IgnorePublicAcls: true
        RestrictPublicBuckets: true

  # Bucket Policy
  ConfigBucketPolicy:
    Type: AWS::S3::BucketPolicy
    Properties: 
      Bucket: !Ref ConfigBucket
      PolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Sid: "AWSConfigBucketPermissionsCheck"
            Effect: "Allow"
            Principal:
              Service:
                - "config.amazonaws.com"
            Action: "s3:GetBucketAcl"
            Resource: !Sub "arn:aws:s3:::${ConfigBucket}"
          - Sid: "AWSConfigBucketExistenceCheck"
            Effect: "Allow"
            Principal:
              Service:
                - "config.amazonaws.com"
            Action: "s3:ListBucket"
            Resource: !Sub "arn:aws:s3:::${ConfigBucket}"
          - Sid: "AWSConfigBucketDelivery"
            Effect: "Allow"
            Principal:
              Service:
                - "config.amazonaws.com"
            Action: "s3:PutObject"
            Resource: !Sub "arn:aws:s3:::${ConfigBucket}/${OrgID}/AWSLogs/*"
            Condition:
              StringEquals:
                s3:x-amz-acl: "bucket-owner-full-control"

S3バケット、およびそのバケットポリシーを生成するものです。 S3バケットポリシーは以下ドキュメントを参考にしています。

Amazon S3 バケットのアクセス許可 - AWS Config

CFnテンプレートの展開

ログアーカイブアカウントにて、このテンプレートを展開します。入力するパラメータは以下のとおりです。

スタック名: 任意 (例: config-bucket-for-control-tower-unsupported-regions)
パラメータ > BucketName: 任意 (例: config-bucket-for-ct-unsupported-regions-${アカウントID})
パラメータ > OrgID: 所属するOrganizations組織ID (o-xxxxxxxxxx)

▼ S3バケット、S3バケットポリシーが作成されていればOKです

3. Config記録の有効化

CT管理OUの各アカウントへ Config有効化を行っていきます。 CloudFormation StackSets を活用します。

CFnテンプレートの準備

以下 CFnテンプレートを準備します。 Config用IAMロール、Config記録、およびConfig配信チャネルを生成するものです。

AWSTemplateFormatVersion: '2010-09-09'
Parameters:
  BucketName: { Type: String }
  OrgID:      { Type: String }
Resources:
  # Role for Config Recorder
  ConfigRecorderRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: !Sub config-role-for-${AWS::Region}
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - config.amazonaws.com
            Action:
              - sts:AssumeRole
      Path: /
      ManagedPolicyArns:
        - "arn:aws:iam::aws:policy/service-role/AWS_ConfigRole"      

  # Config Recorder
  ConfigRecorder:
    Type: AWS::Config::ConfigurationRecorder
    Properties:
      RoleARN: !GetAtt ConfigRecorderRole.Arn
      RecordingGroup:
        AllSupported: true
        IncludeGlobalResourceTypes: false

  # Config Delivery Channel
  ConfigDeliveryChannel:
    Type: AWS::Config::DeliveryChannel
    Properties: 
      S3BucketName: !Ref BucketName
      S3KeyPrefix: !Sub "${OrgID}"
      ConfigSnapshotDeliveryProperties: 
        DeliveryFrequency: "One_Hour"