EventBridge を使って特定 Config ルールのコンプライアンスチェック内容を通知してみた

こんにちは、望月です。

みなさん、AWS Config を使っていますか？
リソースの設定を評価し、一覧として確認することができ、大変便利ですよね！
特定タグの有無をチェックする Config ルールを作成したところ、通知もしてみたいなと思ったのでできるようにしてみました。
上記、Config ルールの作成方法は以下ブログで紹介されていますので、そちらを確認してもらえればと思います。

Configルールを使ってAWSリソースの特定タグ有無をチェックする

やってみた

前提

• Config ルールが作成済みなこと

作成した Config ルールの名前を設定時に使います。

イベントルールの作成

EventBridge のイベントルールを作成します。

• ルール名
  • 任意の名前を記入
• パターンを定義
  • イベントパターンを選択
  • カスタムパターンを選択し、以下 JSON を記入
    • configRuleName には作成した Config ルールの名前を記入
      • 例: self-required-tags

カスタムパターンの設定内容については、以下ドキュメントをご確認ください。

• Config Rules Compliance Change
  • ルールに対するコンプライアンスチェックが失敗したときに通知を受け取る
• ComplianceChangeNotification
  • 評価するリソースのコンプライアンスタイプが変更されたときにメッセージを受け取ります

Amazon CloudWatch Events による AWS Config のモニタリング

{
  "source": [
    "aws.config"
  ],
  "detail-type": [
    "Config Rules Compliance Change"
  ],
  "detail": {
    "messageType": [
      "ComplianceChangeNotification"
    ],
    "configRuleName": [
      "<作成した Config ルール>"
    ]
  }
}

ターゲットを選択します。
ここでは SNS トピックを利用し、Chatbot 経由で Slack に通知するようにします。

通知テストをする

設定が終わったので問題なく通知できるかテストを行います。
試しに特定タグを割り当てていない EC2 インスタンスを作成したところ、Slack に問題なく通知されました。

まとめ

無事トリガーにより評価された Config ルールの結果が Slack に通知されるようになりました。
Config ルールで評価結果の一覧を確認しつつ、随時通知でも確認することができるようになりました。
用途がありましたら、ぜひこちらの設定をご利用いただければと思います。