I want to simplify cross-account Config searches in AWS Organizations using Claude Code skills

---
name: aws-config-org-search
description: AWS Config高度なクエリでマルチアカウントリソースを検索
---

# AWS Config 高度なクエリ

## 前提条件
- AWS CLI v2 がインストール済みであること
- AWS Organizations で組織アグリゲーターがセットアップ済みであること
- リソーススキーマ（サブモジュール）が取得済みであること:
  ```bash
  git submodule update --init
  ```

## 実行フロー

### 1. 組織アグリゲーター名の取得

```bash
aws configservice describe-configuration-aggregators --output json
```

**判定方法:**
- `OrganizationAggregationSource` キーが存在する → 組織アグリゲーター
- `AccountAggregationSources` キーが存在する → アカウント個別アグリゲーター

### 2. クエリ実行

プロセス置換でJSONを渡す（SQLのカンマ問題回避）:

```bash
aws configservice select-aggregate-resource-config \
  --configuration-aggregator-name "<AGGREGATOR_NAME>" \
  --output json \
  --expression "$(cat <<'EOF'
SELECT ... WHERE ...
EOF
)"
```

## SQL構文リファレンス

### 基本構文

```sql
SELECT property [, ...]
[ WHERE condition ]
[ GROUP BY property ]
[ ORDER BY property [ ASC | DESC ] [, ...] ]
```

### 演算子

| 種類 | 使用可能 |
|------|----------|
| 比較 | `=`, `IN`, `BETWEEN` |
| 論理 | `AND`, `OR`, `NOT` |
| パターン | `LIKE`（後述の制限あり） |

### LIKE とワイルドカード制限

- `%`: 0文字以上にマッチ
- `_`: 1文字にマッチ

**制限:**
- **サフィックスワイルドカードのみ** - `LIKE 'AWS::EC2::%'` ✓ / `LIKE '%::Instance'` ✗
- **3文字以上必須** - `LIKE 'abc%'` ✓ / `LIKE 'ab%'` ✗
- **プロパティ値のみ** - キー名にはワイルドカード使用不可

### 集計関数

`COUNT`, `SUM`, `AVG`, `MIN`, `MAX`

**制限:**
- 引数は単一プロパティのみ
- `GROUP BY` は最大3プロパティ
- `GROUP BY` + `ORDER BY`（集計関数参照）は単一プロパティのみ
- `HAVING` はサポートなし

### 使用不可

`ALL`, `AS`, `DISTINCT`, `FROM`, `HAVING`, `JOIN`, `UNION`, `NULL`, 複雑な`CASE`

※ `LIMIT` → `--max-results` オプションを使用

### SELECT * の動作

トップレベルのスカラープロパティのみ返却:
`accountId`, `awsRegion`, `arn`, `availabilityZone`, `configurationItemCaptureTime`, `resourceCreationTime`, `resourceId`, `resourceName`, `resourceType`, `version`

### 注意事項

**クエリ文字数制限:** SQLクエリの最大長は **4,096文字**

**配列内プロパティ:** 条件は全要素に対して評価される（AND条件でも異なる要素にマッチ可能）

**CIDR/IP検索:** 範囲に変換されるため、完全一致には追加条件が必要:
```sql
WHERE configuration.ipPermissions.ipRanges BETWEEN '10.0.0.0' AND '10.0.0.255'
  AND NOT configuration.ipPermissions.ipRanges < '10.0.0.0'
  AND NOT configuration.ipPermissions.ipRanges > '10.0.0.255'
```

### 公式ドキュメント
- [Query Components](https://docs.aws.amazon.com/config/latest/developerguide/query-components.html)
- [Querying AWS Resources](https://docs.aws.amazon.com/config/latest/developerguide/querying-AWS-resources.html)

## リソーススキーマ

このSKILL.mdと同じディレクトリにサブモジュールとして配置:
```
<SKILL_DIR>/aws-config-resource-schema/config/properties/resource-types/
```
※ `<SKILL_DIR>` はこの SKILL.md が存在するディレクトリ。

### スキーマ探索

```bash
# リソースタイプ一覧（413種類）
ls <SKILL_DIR>/aws-config-resource-schema/config/properties/resource-types/

# 特定リソースのプロパティ確認
cat <SKILL_DIR>/aws-config-resource-schema/config/properties/resource-types/AWS::EC2::Instance.properties.json | jq .

# プロパティ名のみ抽出
cat <SKILL_DIR>/aws-config-resource-schema/config/properties/resource-types/AWS::RDS::DBInstance.properties.json | jq 'keys'
```

## 実用クエリ例

### RDS DBインスタンス（エンジン情報、自動アップグレード設定）

```bash
aws configservice select-aggregate-resource-config \
  --configuration-aggregator-name "<AGGREGATOR_NAME>" \
  --output json \
  --expression "$(cat <<'EOF'
SELECT
  accountId,
  awsRegion,
  resourceId,
  configuration.dBInstanceIdentifier,
  configuration.engine,
  configuration.engineVersion,
  configuration.autoMinorVersionUpgrade
WHERE
  resourceType = 'AWS::RDS::DBInstance'
EOF
)"
```

### EC2インスタンス（特定インスタンスタイプ）

```bash
aws configservice select-aggregate-resource-config \
  --configuration-aggregator-name "<AGGREGATOR_NAME>" \
  --output json \
  --expression "$(cat <<'EOF'
SELECT
  accountId,
  awsRegion,
  resourceId,
  configuration.instanceId,
  configuration.instanceType,
  configuration.state.name
WHERE
  resourceType = 'AWS::EC2::Instance'
  AND configuration.instanceType LIKE 't2.%'
EOF
)"
```

### Lambda関数（ランタイム、最終更新日）

```bash
aws configservice select-aggregate-resource-config \
  --configuration-aggregator-name "<AGGREGATOR_NAME>" \
  --output json \
  --expression "$(cat <<'EOF'
SELECT
  accountId,
  awsRegion,
  resourceId,
  configuration.functionName,
  configuration.runtime,
  configuration.lastModified
WHERE
  resourceType = 'AWS::Lambda::Function'
ORDER BY
  configuration.lastModified DESC
EOF
)"
```

mkdir -p ~/.claude/skills
cd ~/.claude/skills
git clone --recursive https://github.com/MasahiroKawahara/aws-config-org-search.git

git submodule update --remote
git add aws-config-resource-schema
git commit -m "Update aws-config-resource-schema"

Find IAM roles starting with `cm-`, check their creation date, attached managed policies, and inline policies, and output to CSV (`./tmp/test-iam-roles-inventory.csv`)