AWS Config ルールを使用したリソースの評価

リソースの記録に関連するコストの詳細については、「AWS Config の料金」を参照してください。

推奨事項: ルールを削除する前にAWS::Config::ResourceCompliance、リソースタイプを記録から除外することを検討してください。

ルールを削除するCIs) が作成されます。 AWS::Config::ResourceCompliance多数のリソースタイプを評価するルールを削除すると、記録された CI の数が増加する可能性があります。

関連するコストを回避するには、ルールを削除する前にAWS::Config::ResourceComplianceリソースタイプの記録を無効にし、ルールが削除された後に記録を再度有効にすることを選択できます。

ただし、ルールの削除は非同期プロセスであるため、完了までに 1 時間以上かかる場合があります。の記録が無効になっている間AWS::Config::ResourceCompliance、ルール評価は関連するリソースの履歴には記録されません。

AWS Config では、ルールの削除方法を決定する前に、これらの要因をcase-by-caseで比較検討することをお勧めします。

推奨事項: カスタム Lambda ルールの削除済みリソースの評価を処理するロジックを追加します

AWS Config カスタム Lambda ルールを作成するときは、削除されたリソースの評価を処理するロジックを追加することを強くお勧めします。

評価結果が NOT_APPLICABLE としてマークされている場合、削除およびクリーンアップの対象としてマークされます。NOT_APPLICABLE としてマークされていない場合は、ルールが削除されるまで評価結果が変更されないため、ルールの削除時に AWS::Config::ResourceCompliance の CI の作成が予想以上に急増する可能性あります。

削除されたリソースNOT_APPLICABLEを返すように AWS Config カスタム Lambda ルールを設定する方法については、AWS Config 「カスタム Lambda ルールを使用した削除されたリソースの管理」を参照してください。

推奨事項: カスタム Lambda ルールの対象となるリソースを提供します

AWS Config ルールが 1 つ以上のリソースタイプにスコープされていない場合、カスタム Lambda ルールは多数の Lambda 関数呼び出しを引き起こす可能性があります。アカウントに関連するアクティビティの増加を回避するには、カスタム Lambda ルールの対象範囲内のリソースを提供することを強く推奨します。リソースタイプが選択されていない場合、そのルールによってアカウント内のすべてのリソースの Lambda 関数を呼び出します。

マネージドルールのデフォルト値

マネージドルールに指定されたデフォルト値は、 AWS コンソールを使用する場合にのみ事前入力されます。デフォルト値が API、CLI、または SDK に自動設定されることはありません。

設定項目の記録遅延

AWS Config 通常、 は、変更が検出された直後、または指定した頻度でリソースの設定変更を記録します。ただし、これはベストエフォートベースであり、場合によっては時間がかかることがあります。たとえば、既知の遅延があるリソースタイプは ですAWS::SecretsManager::Secret。このリソースタイプは例であり、このリストは網羅的ではありません。

ポリシーとコンプライアンス結果

で管理される IAM ポリシーやその他のポリシーは、 AWS Config がリソースの設定変更を記録するアクセス許可を持っているかどうかに影響を与える可能性があります。 AWS Organizationsさらに、ルールはリソースの設定を直接評価し、ルールは評価の実行時にこれらのポリシーを考慮しません。有効なポリシーが、 の使用方法と一致していることを確認してください AWS Config。

リソースタイプのタグ付けのサポート

リソースタイプがタグ付けをサポートしていない場合、または describe API レスポンスにタグ情報が含まれていない場合、そのリソースタイプの設定項目 (CIs) AWS Config にタグデータはキャプチャされません。 AWS Config は引き続きこれらのリソースを記録します。ただし、タグデータに依存する機能は機能しません。これは、タグデータに依存するタグベースのフィルタリング、グループ化、またはコンプライアンス評価に影響します。

ディレクトリバケットはサポートされていません

マネージドルールは、Amazon Simple Storage Service (Amazon S3) リソースを評価するときにのみ汎用バケットをサポートします。汎用バケットとディレクトリバケットの詳細については、「Amazon S3 ユーザーガイド」の「バケットの概要」と「ディレクトリバケット」を参照してください。

マネージドルールとグローバル IAM リソースタイプ

2022 年 2 月より前にオンボードされたグローバル IAM リソースタイプ (AWS::IAM::Group、AWS::IAM::Policy、AWS::IAM::Role、および AWS::IAM::User) は、2022 年 2 月より前に AWS Config が利用可能な AWS リージョンでのみ AWS Config によって記録できます。これらのリソースタイプは、2022 年 2 月 AWS Config 以降に でサポートされているリージョンでは記録できません。これらのリージョンのリストについては、AWS 「リソースの記録 | グローバルリソース」を参照してください。

少なくとも 1 つのリージョンでグローバル IAM リソースタイプを記録する場合、グローバルリソースタイプのコンプライアンスを報告する定期ルールは、定期ルールが追加されたリージョンでグローバルリソースタイプの記録を有効にしていなくても、定期ルールが追加されたすべてのリージョンで評価を実行します。

不必要な評価を回避するため、グローバル IAM リソースタイプのコンプライアンスを報告する定期ルールは、サポートされているリージョンの 1 つにのみデプロイする必要があります。どのリージョンでどのマネージドルールがサポートされているかのリストについては、「リージョンの可用性別の AWS Config マネージドルールのリスト」を参照してください。