# AWS Config、対応の管理ルールが 191 個も増えたよ！

やっほー、しぃちゃんだよ！ 今日は AWS Config のルールがどーんと増えたニュースを見つけたから紹介するね。ガバナンス担当さんにはうれしいお知らせだよ！

## なにが発表されたの？

AWS の What's New で発表されたのは、AWS Config が新たに 191 個の管理ルール(managed rules)に対応したというお話。Amazon Bedrock・Amazon SageMaker・Amazon ECS・Amazon EKS・Amazon RDS・Amazon Redshift・Amazon S3・AWS CloudTrail をはじめ、27 のサービスにまたがってルールが追加されたんだって。

新しいルールは、暗号化・ログ記録・パブリックアクセスの有無・ネットワークセキュリティ・データ保護といった、運用のベストプラクティスを評価するためのものだよ。ルールを個別にデプロイすることも、コンフォーマンスパック(conformance pack)の一部としてまとめてデプロイすることもできて、対応サービスが使えるリージョンならどこでも利用できるの。

## 今までどうだったの？

AWS Config はもともと、リソースの設定を継続的に評価・監査してくれるサービスで、管理ルールを使えば「暗号化されているか」「パブリックに公開されていないか」みたいなチェックを自動化できたよ。でも、カバーされているサービスやチェック項目にはまだ抜けがあって、特に Bedrock や SageMaker みたいな比較的新しい AI/ML サービスは、細かい設定項目までルールが揃っていなかったんだ。

## これで何が変わるの？

これからは、AI ワークロードを含む幅広いサービスに対して、AWS Config だけで設定ミスを継続的にチェックできる範囲がぐっと広がるよ。たとえば Bedrock の AgentCore まわりだと、ネットワークモードがパブリックになっていないか・録画機能が有効か・認可設定がされているかといった、細かい単位でのガバナンスチェックが可能になったの。既存のコンフォーマンスパックにルールを足していくだけで、監査対象を増やせるのはうれしいポイントだね。

## 深く潜ってみよう

追加されたルールの一部を紹介すると、

- AWS Certificate Manager: `ACM_CERTIFICATE_RSA_CHECK`
- Amazon API Gateway: `API_GWV2_ACCESS_LOGS_ENABLED`
- AWS AppSync: `APPSYNC_AUTHORIZATION_CHECK` / `APPSYNC_LOGGING_ENABLED`
- Amazon Athena: `ATHENA_WORKGROUP_ENCRYPTED_AT_REST` / `ATHENA_WORKGROUP_LOGGING_ENABLED`
- Amazon Bedrock: `BEDROCKAGENTCORE_GATEWAY_AUTHORIZER_ENABLED` / `BEDROCKAGENTCORE_GATEWAY_ENCRYPTION_ENABLED` など、AgentCore まわりのルールが複数

といった感じ。対象サービスは ACM・API Gateway・AppSync・Athena・Aurora・Bedrock・CloudFormation・CloudTrail・CloudWatch・Cognito・CodeBuild・DataSync・DMS・DocumentDB・DynamoDB・EC2・ECR・ECS・EFS・EKS・Elastic Beanstalk・ElastiCache・Elastic Load Balancing・EMR・EventBridge・FSx・Glue・GuardDuty・IAM・Kendra・Kinesis・KMS・Lambda・Neptune・Network Firewall・OpenSearch・RDS・Redshift・S3・SageMaker・SNS・SQS・Systems Manager・Transfer Family・VPC・WAF と、実に 27 サービスにルールが行き渡っているよ。

デプロイの単位はルール 1 つずつでも、コンフォーマンスパックとしてまとめてでも OK。対応サービスが使える AWS リージョンなら、どこでもこの新ルール群を利用できるよ。

## まとめ

- AWS Config が新たに 191 個の管理ルールに対応し、対象サービスは 27 個に拡大したよ
- Bedrock・SageMaker・ECS・EKS・RDS・Redshift・S3・CloudTrail など、AI ワークロードも含めて広くカバー
- 暗号化・ログ記録・パブリックアクセス・ネットワークセキュリティ・データ保護のベストプラクティスをチェックできる
- ルール単体でも、コンフォーマンスパックとしてまとめても導入できる

マルチサービスでガバナンス・コンプライアンスを効かせたい、クラウドセキュリティ担当さんにぴったりのアップデートだよ！