AWS Configで特定のリソースだけ記録できるようになりました！

森永です。

AWSの構成管理、変更管理が出来るAWS Configで特定のAWSリソースだけ記録ができるようになりました！ ひゃっほい！

AWS Configで記録できるリソース

Configで記録できるリソースは以下のとおりです。

• Amazon EC2
  • EC2 インスタンス
  • EC2 ネットワークインターフェース
  • EC2 セキュリティグループ
  • EC2 Elastic IP
• Amazon VPC
  • カスタマーゲートウェイ
  • インターネットゲートウェイ
  • ネットワークACL
  • ルートテーブル
  • サブネット
  • VPC
  • VPNゲートウェイ
  • VPN接続
• Amazon EBS
  • EBSボリューム
• AWS CloudTrail
  • Trail

今まではConfigの機能をONにすると全てのリソースについて記録を行っていました。
Configというサービスは一回の記録につき料金が発生するため、頻繁に変更が加わる環境では使用しづらいという面がありました。

特定のリソースだけ記録する

今回のアップデートで特定のリソースだけ記録するということが出来るようになりました。
早速設定してみましょう。

Configの管理画面に行きます。

既にONにしている方は下の画面が出ますので、画面右上の歯車をクリックします。 初めて使われる方はお馴染みの「Get Started Now」をクリックして下さい。

S3バケットやSNSの設定の上に新たに「Resource Types」という設定が追加されています。
ここで記録したいリソースを選択します。一つだけでも、複数でも選択可能です。

今回は「EC2: Instance」と「EC2: SecurityGroup」を選択してみます。 バケットやSNSの設定や、IAMの設定もありますが、こちらをご覧になり設定して下さい。

試しに、いろいろリソース作ってみましょう。 VPC作成

サブネット作成

インターネットゲートウェイ作成

ルートテーブル作成

EBSボリューム作成

セキュリティグループ作成

インスタンス作成

Configは定期的に構成情報のスナップショットを取得するので、コーヒーでも飲みながら少し待ちます。 今回作成したリソースには全てNameタグを設定しましたので、TagのKeyに「Name」を指定すると、作成したリソースが一覧で表示されます。

あれ？

EC2インスタンスとセキュリティグループだけ記録するように設定したのに他のリソースも表示されてしまいました。。。
ひとまず、中身を覗いてみましょう。

EC2インスタンスの項目を見てみると、変更履歴がちゃんと記録されています。

変更内容を見るとインスタンス代が無駄にかからないようすぐにStopしたことが見て取れます。えらい。 記録をしていない他リソースとの関係性もわかるようになっています。

次に、VPCの項目を見てみます。 時間軸の最初に「Stopped Recording」と出ています。
更に下には変更履歴を記録しない的なメッセージが表示されています。

変更履歴、他リソースとの関係性についてはまっさらで何も記録されていません。

どんなリソースがあるかは、関係性を見るために必要なので、記録しないリソースについても表示されるということなのでしょう。
VPCの存在が分からないと、EC2とVPCの関係性を見ることが出来ないですものね。

まとめ

今回のアップデートでリソースを限定して構成履歴を取得できるようになりました。
例えば、リリースされたら構成変更されるはずのないリソース（サブネットなどネットワーク周り）だけ記録するようにしておくと、あり得ないはずの変更がされた際に検知することが出来ます。 もしくは、セキュリティグループのみ設定しておき、テストなどで一時的に穴あけしたポートを閉め忘れた場合検知出来るようにするというのも監視ツールなどを併用することで出来るかと思います。（メールを送るだけでも有用かもしれません）

Configは把握しづらいAWSの全体構成を可視化するのに非常に役立つサービスです。
うまく使って、無駄なく安全な環境を構築しましょう。

参考文献

• AWS Config: Record configuration changes for specific resources
• よくある質問 - AWS Config (AWS リソース構成の追跡) | アマゾン ウェブ サービス（AWS 日本語）