© 2026 LoveLab Engineer

MOVE to HOME

AWS
10月 9, 2026

▪️目的

AWSでシステムを運用していると、次のような課題が発生することがあります。

  • セキュリティグループの設定が意図せず変更されていないか確認したい
  • S3バケットが意図したアクセス制御になっているか確認したい
  • AWSリソースの設定がいつ変更されたのか調べたい
  • AWS環境が社内のルールやセキュリティ基準を満たしているか確認したい

こうした課題に役立つサービスが、AWS Config です。

AWS Configは、AWSリソースの設定状態や変更履歴を記録し、設定がルールに沿っているかを評価するサービスです。

この記事では、AWS Configの基本的な仕組みから、Configuration Recorder、Config Rules、CloudTrailとの違いまで、初心者向けに解説します。

目次

  1. AWS Configとは
  2. AWS Configの基本的な仕組み
  3. Configuration Itemとは
  4. Configuration RecorderとDelivery Channel
  5. AWS Config Rulesとは
  6. コンプライアンス評価の仕組み
  7. Conformance Packsと修復
  8. CloudTrailとの違い
  9. AWS Configを利用するメリット
  10. 利用する際の注意点
  11. まとめ

▪️AWS Configとは

AWS Configは、AWSリソースの設定状態や変更履歴を記録し、その設定が指定したルールを満たしているか評価するサービスです。

例えば、EC2インスタンスやEBSボリューム、セキュリティグループ、S3バケットなどの設定情報を把握するために利用できます。

AWS Configの主な役割は、次の3つです。

役割内容
設定情報の記録AWSリソースの設定状態を記録する
変更履歴の確認リソースの設定がどのように変わったか確認する
ルールによる評価設定が定めた条件を満たしているか評価する

例えば、セキュリティグループで意図しないポートがインターネットに公開されていないか、S3バケットの設定が指定したセキュリティ基準を満たしているか、といった確認に活用できます。

ただし、AWS ConfigがすべてのAWSリソースや設定項目を自動的に記録するわけではありません。記録対象としてサポートされているリソースや設定を確認する必要があります。

▪️AWS Configの基本的な仕組み

AWS Configを利用する際の基本的な流れを見てみましょう。

AWSリソース
    ↓
設定状態や変更を記録
    ↓
AWS Config
    ↓
設定情報・変更履歴を管理
    ↓
AWS Config Rulesで評価
    ↓
準拠状況を確認

例えば、セキュリティグループの設定が変更された場合、AWS Configが対象の設定情報を記録し、設定したルールに基づいて評価します。

ルールに違反している場合は、評価結果から問題のあるリソースを特定する手掛かりが得られます。

これにより、担当者がすべてのリソースを手作業で確認する負担を減らせます。

なお、設定の記録とルールの評価は別の仕組みです。AWS Configでリソースを記録していても、ルールを設定していなければ、任意のセキュリティ基準を自動的に評価できるわけではありません。

▪️Configuration Itemとは

AWS Configを理解するうえで重要なのが、Configuration Item（CI） です。

Configuration Itemとは、特定のAWSリソースについて、その時点の設定状態などを表す記録です。

例えば、セキュリティグループであれば、ルールや関連する設定情報などが記録の対象になります。

♦︎Configuration Itemのイメージ

セキュリティグループ
        ↓
Configuration Item
        ↓
その時点の設定情報を記録
        ↓
過去の記録と比較
        ↓
設定の変化を把握

設定が変更されると、記録対象や記録頻度などの条件に応じて、新しいConfiguration Itemが記録されます。

過去の記録と比較することで、設定がどのように変わったのかを確認できます。

♦︎具体例

例えば、あるセキュリティグループのインバウンドルールが次のように変化したとします。

時点設定
変更前SSH（TCP 22）の接続元を特定のIPアドレスに制限
変更後SSHの接続元が 0.0.0.0/0 に変更

0.0.0.0/0 は、IPv4のすべてのアドレス範囲を表します。

この変更によってSSH接続がインターネット全体から到達可能になる構成が生じた場合、セキュリティ上のリスクにつながる可能性があります。

AWS Configで設定変更を把握し、ルールで公開範囲を評価することで、こうした問題の発見に役立てられます。

ただし、実際に通信できるかどうかは、ルートテーブルやネットワークACLなど、ほかのネットワーク設定にも左右されます。

▪️Configuration RecorderとDelivery Channel

AWS Configには、設定情報を記録・配信するための仕組みがあります。

特に押さえておきたいのが、Configuration RecorderとDelivery Channelです。

♦︎Configuration Recorder

Configuration Recorderは、指定したAWSリソースの設定変更を記録するための仕組みです。

記録対象のリソースタイプや記録頻度などを設定できます。

例えば、EC2やセキュリティグループなど、必要なリソースの設定状態を記録するように構成できます。

記録対象に含まれていないリソースは、設定の詳細な履歴を確認できない場合があります。そのため、どのリソースを記録対象にするかを適切に設計することが重要です。

♦︎Delivery Channel

Delivery Channelは、AWS Configが設定情報やスナップショットなどを配信するための仕組みです。

設定によって、記録された情報をAmazon S3バケットへ配信できます。また、設定変更の通知にはAmazon SNSを利用できます。

それぞれの役割を整理すると、次のようになります。

要素役割
Configuration Recorder対象リソースの設定変更を記録する
Configuration Itemリソースの設定状態を表す記録
Delivery Channel設定情報などを配信する
Amazon S3設定履歴ファイルやスナップショットなどの保存先として利用できる
Amazon SNS設定変更などの通知に利用できる

これらの仕組みによって、AWSリソースの設定情報を継続的に把握できるようになります。

▪️AWS Config Rulesとは

AWS Config Rulesは、AWSリソースの設定が指定した条件を満たしているか評価するためのルールです。

AWS Configの記録機能と組み合わせることで、設定が定めた基準に沿っているかを確認できます。

♦︎AWS Config Rulesの例

例えば、次のようなルールを利用できます。

  • 特定のポートを広範囲に公開しているセキュリティグループを検出する
  • S3バケットで指定した暗号化設定が有効になっているか評価する
  • EC2インスタンスに必要なタグが設定されているか確認する

AWS Configには、AWSが用意したマネージドルールがあります。また、独自の条件を評価したい場合は、カスタムルールを作成することもできます。

♦︎マネージドルール

マネージドルールは、AWSが提供する既定のルールです。

例えば、特定の設定が有効になっているかを確認するなど、よく使われるチェックを比較的簡単に導入できます。

利用する際は、ルールの説明や評価対象、必要なパラメータを確認しましょう。

♦︎カスタムルール

カスタムルールは、独自の要件に合わせて作成するルールです。

AWS Configでは、AWS Lambdaを利用する方法や、ポリシーを記述するためのGuardを利用する方法などがあります。

組織独自の命名規則や設定基準など、マネージドルールだけでは対応できない要件に活用できます。

▪️コンプライアンス評価の仕組み

AWS Config Rulesによる評価結果は、リソースの設定がルールに適合しているかを判断するために利用できます。

このような基準への適合状況を確認することを、コンプライアンス評価と呼びます。

♦︎評価結果の主な種類

評価結果意味
COMPLIANTルールに適合している
NON_COMPLIANTルールに適合していない
NOT_APPLICABLEそのリソースにはルールが適用されない
ERRORルールの評価に関するエラーが発生している

例えば、「指定したS3バケットで暗号化が有効になっていること」という条件を評価するルールを設定したとします。

対象のバケットが条件を満たしていれば、COMPLIANT と評価されます。条件を満たしていなければ、NON_COMPLIANT となります。

ただし、COMPLIANT は、あくまでそのルールの条件に適合していることを示します。AWS環境全体に問題がないことや、すべてのセキュリティ要件を満たしていることを保証するものではありません。

♦︎評価が行われるタイミング

ルールの種類や設定によって、評価が実行されるタイミングは異なります。

例えば、リソースの設定変更を契機に評価するルールや、定期的に評価するルールがあります。

そのため、評価結果を確認する際は、最後に評価された時刻やルールの仕様も確認することが重要です。

▪️Conformance Packsと修復

AWS Configには、複数のルールをまとめて管理する機能や、違反した設定を修復するための仕組みもあります。

♦︎Conformance Packs

Conformance Packsは、複数のAWS Config Rulesや修復アクションなどをまとめて管理・展開するための機能です。

例えば、組織で定めたセキュリティ基準に沿って複数のルールを導入したい場合に活用できます。

個々のルールを一つずつ管理するのではなく、関連するルールをまとめて扱えるため、複数のAWSアカウントやリージョンで基準を統一する際にも役立ちます。

♦︎修復（Remediation）

AWS Configでは、ルールに違反したリソースに対して、修復アクションを設定できる場合があります。

修復は、問題を検出するだけでなく、設定を望ましい状態へ戻すための仕組みです。

例えば、特定の違反を検出したときに、あらかじめ設定した修復処理を実行する構成が考えられます。

ただし、すべてのルールで自動修復が利用できるわけではありません。また、自動修復によって業務への影響が生じる可能性もあります。

本番環境では、修復内容や対象範囲を検証し、必要に応じて承認プロセスを設けることが重要です。

▪️CloudTrailとの違い

AWS Configと混同しやすいサービスに、AWS CloudTrailがあります。

どちらもAWS環境の変更を把握するために利用できますが、主な目的が異なります。

♦︎AWS Config

AWS Configは、AWSリソースの設定状態や設定変更の履歴を把握し、ルールに沿って評価するためのサービスです。

例えば、セキュリティグループの現在のルールや、過去にどのような設定だったかを確認する用途に向いています。

♦︎AWS CloudTrail

AWS CloudTrailは、AWSアカウント内で実行されたAPIアクティビティなどを記録するサービスです。

例えば、誰がどのAPIを呼び出してセキュリティグループを変更したのかを調査する際に役立ちます。

♦︎違いを比較

項目AWS ConfigAWS CloudTrail
主な目的リソースの設定状態・変更履歴の把握と評価AWS上のAPIアクティビティの記録
確認できることリソースがどのような設定状態だったかどのAPI操作が実行されたか
主な用途設定変更の追跡、ルールによる評価操作の監査、変更操作の調査
代表的な機能Configuration Item、Config Rulesイベント履歴、証跡（Trail）

例えば、セキュリティグループの設定が変わったとします。

  • AWS Config：変更前後の設定状態を確認する
  • AWS CloudTrail：設定変更に関係するAPI操作や、記録されている実行者などの情報を調査する

このように、両者を組み合わせることで、設定がどのように変化したかと、その変更に関係する操作の両方を調査しやすくなります。

なお、CloudTrailで確認できる情報は、イベントの種類や記録方法などによって異なります。

▪️AWS Configを利用するメリット

AWS Configを利用する主なメリットは、次のとおりです。

① 設定変更を追跡できる

AWSリソースの設定状態や変更履歴を確認できるため、意図しない変更の調査に役立ちます。

② 設定ルールへの適合状況を確認できる

AWS Config Rulesを利用することで、リソースが定めた条件を満たしているか評価できます。

手作業で一つずつ確認する負担を減らし、設定上の問題を発見しやすくなります。

③ セキュリティやガバナンスの管理に役立つ

組織のセキュリティ基準や運用ルールに合わせて評価することで、AWS環境の設定管理を継続的に行いやすくなります。

④ 複数アカウント・リージョンの管理を支援できる

AWS Config Aggregatorを利用すると、複数のAWSアカウントやリージョンの設定情報や評価結果を集約して確認できます。

多数のAWSアカウントを管理する環境では、全体の状況を把握するために役立ちます。

▪️利用する際の注意点

AWS Configを利用する際は、次の点に注意しましょう。

① 記録対象を適切に設定する

AWS Configは、すべてのAWSリソースや設定を無条件に記録するわけではありません。

必要なリソースタイプが記録対象に含まれているか確認しましょう。

② ルールを設定する必要がある

設定情報を記録するだけでは、独自のセキュリティ基準への適合状況を自動的に評価できません。

確認したい条件に合わせてAWS Config Rulesを設定する必要があります。

③ 利用料金を確認する

AWS Configでは、記録したConfiguration Itemの数や、ルールの評価回数などに応じて料金が発生します。

記録対象のリソースや評価ルールが増えると、利用料金も増加する可能性があります。

導入前に、記録対象や記録頻度、必要なルールを検討し、料金を確認しましょう。

④ 評価結果を適切に解釈する

COMPLIANT という結果は、指定したルールに適合していることを示すものです。

その結果だけで、システム全体が安全であると判断することはできません。複数のルールや関連するセキュリティ対策を組み合わせて確認しましょう。

▪️まとめ

AWS Configは、AWSリソースの設定状態や変更履歴を記録し、指定したルールに沿って評価するサービスです。

今回のポイントを整理します。

  • Configuration Item：リソースの設定状態を表す記録
  • Configuration Recorder：設定変更を記録する仕組み
  • Delivery Channel：設定情報などを配信する仕組み
  • AWS Config Rules：リソースの設定が条件を満たしているか評価するルール
  • Conformance Packs：複数のルールなどをまとめて管理・展開する機能
  • AWS Config Aggregator：複数アカウントやリージョンの情報を集約する機能
  • AWS CloudTrailとの違い：Configは設定状態の把握と評価、CloudTrailはAPIアクティビティの記録が中心

AWS Configを理解すると、AWSリソースを構築するだけでなく、構築後の設定状態を継続的に確認・管理する視点を身につけられます。

AWS環境を安全に運用するためには、リソースを構築することに加えて、設定が意図した状態に保たれているかを確認することも重要です。

AWS Configは、そのための設定管理と評価を支援するサービスです。

次の記事では、「AWS Backup」について解説します。
＊「AWS Backup」の記事はこちら
→「https://lovelabengineer.com/2026/10/09/aws-backupとは？awsリソースのバックアップを一元管理す/」

参考資料

Tags:

Previous
Next

No responses yet

コメントを残す

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です

Latest Comments

表示できるコメントはありません。

© 2026 LoveLab Engineer