以前お伝えした運用改善系のサービスの一つAWS configで何ができるのかを調べてみました。
AWS運用改善サービスランキング【AWS Management Governance】

はじめに

AWSを運用していると
「この設定、いつ誰が何のために入れたんだろう」
という悩みを持ったことはないでしょうか？
私はインフラエンジニアを10年近く経験していますが、結構ありますね。
※細かい権限を設定されているが、謎にAdministrator権限が追加されているIAMなど。。

AWS Configはこの悩みを解決してくれる機能を持っていて、導入も簡単に行えます。
（「何のために」は推測するしかないですが、、）
それだけでなく、色々な活用方法があったのでそれを紹介していきます。

AWS Config 導入

下記のサーバーワークスの動画を見ると分かりやすいと思います。
ハンズオン形式で設定項目をみることができます。
導入は簡単ですね。

下記４つの設定項目があります。
必須の設定はリソースタイプ指定とS3です。

従量課金のため、使ってみないとどの程度の料金になるか分かりません。

Config Ruleの課金体系の理解は下記の記事を見ると分かりやすいかと思います。
[Config Rulesが激安になるのでみんな使ったほうが良いRuleを紹介します！]（https://dev.classmethod.jp/articles/recommend-config-rules-for-all-user/）

リソース構成の変更追跡と変更管理のルールに使用した事例です。

AWSのマネージドサービスにAWS Configを利用した事例です。
マネージドサービスでも使えるんですね。

これまでのセキュリティはゲート（チェックリストなどで厳しく管理）という考え方でした。
アジリティを維持してガバナンスコントロールを実現するために新しくガードレールという考え方が生まれています。
AWS Configを利用することでルール外の動作を自動検知する運用がガードレールになります。

隠れて守らないこともできるゲートより、ガードレールの方が理想に見えます。

事例ではないですが、一般的なCloudConfigを使う例となります。
AWS Configは発見的コントロールに分類されたセキュリティ対策製品になります。

こちらも事例ではないですが、AWSのセキュリティ対策をパッケージ化したサービスなので、
参考になると思います。
AWS Configは設定変更履歴管理とルール準拠状況確認の役割をはたしています。

事例をみても変更履歴管理と想定外設定の発見（Config Rule）という２つの役割を果たすサービスであることが分かりました。
ルールをどうするかの検討はありますが、導入が簡単なため、まずは有効化してみるのはありかなと思います。
最終的にはガードレールの考え方を適用していきたいと思います。