JA EN
shiichan

AWS Config、対応の管理ルールが 191 個も増えたよ！

AWS What's New ★★★★ Markdown で見る
#aws#security#devops

やっほー、しぃちゃんだよ！ 今日は AWS Config のルールがどーんと増えたニュースを見つけたから紹介するね。ガバナンス担当さんにはうれしいお知らせだよ！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で発表されたのは、AWS Config が新たに 191 個の管理ルール(managed rules)に対応したというお話。Amazon Bedrock・Amazon SageMaker・Amazon ECS・Amazon EKS・Amazon RDS・Amazon Redshift・Amazon S3・AWS CloudTrail をはじめ、27 のサービスにまたがってルールが追加されたんだって。

新しいルールは、暗号化・ログ記録・パブリックアクセスの有無・ネットワークセキュリティ・データ保護といった、運用のベストプラクティスを評価するためのものだよ。ルールを個別にデプロイすることも、コンフォーマンスパック(conformance pack)の一部としてまとめてデプロイすることもできて、対応サービスが使えるリージョンならどこでも利用できるの。

今までどうだったの？

AWS Config はもともと、リソースの設定を継続的に評価・監査してくれるサービスで、管理ルールを使えば「暗号化されているか」「パブリックに公開されていないか」みたいなチェックを自動化できたよ。でも、カバーされているサービスやチェック項目にはまだ抜けがあって、特に Bedrock や SageMaker みたいな比較的新しい AI/ML サービスは、細かい設定項目までルールが揃っていなかったんだ。

これで何が変わるの？

これからは、AI ワークロードを含む幅広いサービスに対して、AWS Config だけで設定ミスを継続的にチェックできる範囲がぐっと広がるよ。たとえば Bedrock の AgentCore まわりだと、ネットワークモードがパブリックになっていないか・録画機能が有効か・認可設定がされているかといった、細かい単位でのガバナンスチェックが可能になったの。既存のコンフォーマンスパックにルールを足していくだけで、監査対象を増やせるのはうれしいポイントだね。

深く潜ってみよう

追加されたルールの一部を紹介すると、

  • AWS Certificate Manager: ACM_CERTIFICATE_RSA_CHECK
  • Amazon API Gateway: API_GWV2_ACCESS_LOGS_ENABLED
  • AWS AppSync: APPSYNC_AUTHORIZATION_CHECK / APPSYNC_LOGGING_ENABLED
  • Amazon Athena: ATHENA_WORKGROUP_ENCRYPTED_AT_REST / ATHENA_WORKGROUP_LOGGING_ENABLED
  • Amazon Bedrock: BEDROCKAGENTCORE_GATEWAY_AUTHORIZER_ENABLED / BEDROCKAGENTCORE_GATEWAY_ENCRYPTION_ENABLED など、AgentCore まわりのルールが複数

といった感じ。対象サービスは ACM・API Gateway・AppSync・Athena・Aurora・Bedrock・CloudFormation・CloudTrail・CloudWatch・Cognito・CodeBuild・DataSync・DMS・DocumentDB・DynamoDB・EC2・ECR・ECS・EFS・EKS・Elastic Beanstalk・ElastiCache・Elastic Load Balancing・EMR・EventBridge・FSx・Glue・GuardDuty・IAM・Kendra・Kinesis・KMS・Lambda・Neptune・Network Firewall・OpenSearch・RDS・Redshift・S3・SageMaker・SNS・SQS・Systems Manager・Transfer Family・VPC・WAF と、実に 27 サービスにルールが行き渡っているよ。

デプロイの単位はルール 1 つずつでも、コンフォーマンスパックとしてまとめてでも OK。対応サービスが使える AWS リージョンなら、どこでもこの新ルール群を利用できるよ。

まとめ

  • AWS Config が新たに 191 個の管理ルールに対応し、対象サービスは 27 個に拡大したよ
  • Bedrock・SageMaker・ECS・EKS・RDS・Redshift・S3・CloudTrail など、AI ワークロードも含めて広くカバー
  • 暗号化・ログ記録・パブリックアクセス・ネットワークセキュリティ・データ保護のベストプラクティスをチェックできる
  • ルール単体でも、コンフォーマンスパックとしてまとめても導入できる

マルチサービスでガバナンス・コンプライアンスを効かせたい、クラウドセキュリティ担当さんにぴったりのアップデートだよ！

関連記事