インベントリ履歴と変更の追跡の表示 - AWS Systems Manager

インベントリ履歴と変更の追跡の表示

AWS Config を使用してすべてのマネージドノードに対する AWS Systems Manager インベントリ履歴と変更の追跡を表示できます。AWS Config は、AWS アカウント にある AWS リソースの設定詳細ビューを提供します。これには、リソース間の関係と設定の履歴が含まれるため、時間の経過と共に設定と関係がどのように変わるかを確認できます。インベントリ履歴および変更の追跡を表示するには、AWS Config で以下のリソースを有効にする必要があります。

  • SSM:ManagedInstanceInventory

  • SSM:PatchCompliance

  • SSM:AssociationCompliance

  • SSM:FileData

注記

インベントリ履歴と変更の追跡について、次の重要な詳細に注意してください。

  • AWS Config を使用してシステム内の変更を追跡する場合は、AWS Config (SSM:FileData) でファイルの変更を表示できるように、AWS:File メタデータを収集するように Systems Manager インベントリを設定する必要があります。そうしないと、AWS Config はシステム上のファイルの変更を追跡しません。

  • SSM:PatchCompliance および SSM:AssociationCompliance を有効にすると、Systems Manager Patch Manager のパッチ適用と Systems Manager State Manager の関連付けのコンプライアンス履歴と変更の追跡を表示できます。これらのリソースのコンプライアンス管理の詳細については、「コンプライアンスの詳細について」を参照してください。

次の手順では、AWS Command Line Interface (AWS CLI) を使用して AWS Config で変更の追跡の記録とインベントリ履歴を有効化する方法について説明します。AWS Config でこれらのリソースを選択および設定する方法の詳細については、AWS Config デベロッパーガイドの AWS Config で記録するリソースの選択を参照してください。AWS Config の料金については、「料金」を参照してください。

[開始する前に]

AWS Config では、Systems Manager のリソースに関する設定の詳細を取得するために AWS Identity and Access Management (IAM) アクセス許可が必要です。次の手順では、Systems Manager リソースへの AWS Config アクセス許可を付与する IAM ロールに対して Amazon リソースネーム (ARN) を指定する必要があります。AWS_ConfigRole 管理ポリシーは、AWS Config に割り当てる IAM ロールにアタッチできます。このロールの詳細については、AWS Config デベロッパーガイドの「AWS 管理ポリシー: AWS_ConfigRole」( マネージドポリシー: _ConfigRole) を参照してください。IAM ロールの作成と AWS_ConfigRole 管理ポリシーの割り当て方法の詳細については、IAM ユーザーガイドの「AWS のサービス のサービスにアクセス許可を委任するロールの作成」を参照してください。

AWS Config でインベントリ履歴と変更追跡の記録を有効にするには

  1. まだ AWS Command Line Interface (AWS CLI) をインストールして設定していない場合は、インストールして設定します。

    詳細については、「AWS CLI の最新バージョンをインストールまたは更新します。」を参照してください。

  2. 次に示す JSON の例をコピーしてシンプルなテキストファイルに貼り付け、recordingGroup.json として保存します。

    {
   "allSupported":false,
   "includeGlobalResourceTypes":false,
   "resourceTypes":[
      "AWS::SSM::AssociationCompliance",
      "AWS::SSM::PatchCompliance",
      "AWS::SSM::ManagedInstanceInventory",
      "AWS::SSM::FileData"
   ]
}

  3. 以下のコマンドを実行して、recordingGroup.json ファイルを にロードしますAWS Config

    aws configservice put-configuration-recorder --configuration-recorder name=myRecorder,roleARN=arn:aws:iam::123456789012:role/myConfigRole --recording-group file://recordingGroup.json

  4. 以下のコマンドを実行して、インベントリ履歴と変更の追跡の記録を開始します。

    aws configservice start-configuration-recorder --configuration-recorder-name myRecorder

履歴と変更の追跡を設定した後、Systems Manager コンソールで [AWS Config] ボタンを選択し、特定のマネージドノードの履歴をドリルダウンすることができます。AWS Config ボタンは、[Managed Instances] (マネージドインスタンス) ページまたは [Inventory] (インベントリ) ページのいずれかからアクセスできます。画面サイズに応じて、ボタンを表示するためにページの右側にスクロールすることが必要になる場合があります。