Configルールのコンフォーマンスパック

1つの AWS Config ルールでチェックできるのは、「暗号化が有効か」のような1項目です。実際のコンプライアンスフレームワークでは、すべてのアカウントに対して数十項目のチェックが必要になります。

コンフォーマンスパックは、多数の Config ルールと修復アクションを1つのデプロイ可能なパッケージにまとめます。そのため、ルールごとではなく、コンプライアンスを1つの単位として管理できます。

コンフォーマンスパックは、1つの YAML テンプレートに定義されたConfig ルールと修復アクションの集合です。

• デプロイすると、すべてのルールを一度に適用できます。
• 全体のコンプライアンスをパッケージ単位で追跡できます。

AWS は一般的なフレームワーク向けのサンプルパックを提供しており、独自のパックを作成することもできます。

AWS は、PCI DSS、HIPAA、NIST、CIS ベンチマークなどの標準に対応したサンプルコンフォーマンスパックを提供しています。

これらを使うと、フレームワークの技術的なコントロールにすぐ取り組み始められます。ただし、実際の義務に慎重に対応付ける必要があります。

パックには、AWS マネージドルール（構築済みのチェック）と、Lambda 関数に基づくカスタムルールを組み合わせて含めることができます。

これにより、標準的な要件にはマネージドルールを使用し、必要なタグ体系など組織固有のポリシーは、同じパック内のカスタムルールとして定義できます。

委任された管理者アカウントから、組織内のすべてのアカウントにコンフォーマンスパックを一度にデプロイできます。

新しく参加したアカウントは自動的にパックを継承します。これにより、アカウントごとの作業なしで、どこでも一貫したコンプライアンスチェックを実施できます。

コンフォーマンスパックはパラメータをサポートしているため、1つのテンプレートをさまざまな環境に適応させられます。

たとえば、必要なパスワードの最小長や承認済みリージョンのリストをデプロイ時に渡すことで、環境ごとの値を使用しながら同じパックを再利用できます。

多数のアカウントのコンプライアンス結果は、Config アグリゲーターを通じて1つのビューに集約されます。

中央チームは、各アカウントおよび各ルールについて、組織が準拠している箇所と準拠していない箇所を、各アカウントにログインすることなく1つのダッシュボードで確認できます。

パックには、ルール違反が発生したときに実行される修復を含めることができます。修復には SSM (Systems Manager) オートメーションドキュメントを使用します。

たとえば、暗号化されていないバケットを検出するルールによって自動修復を実行し、ドリフトを報告するだけでなく修正できます。

Control Tower のガードレールとコンフォーマンスパックには重なる部分がありますが、用途は異なります。

• Control Towerは、厳選されたベースラインとアカウントガバナンスを提供します。
• コンフォーマンスパックでは、特定のフレームワークに対応付けた任意の大規模なセットの Config ルールをデプロイできます。

これらは一緒に使用されることがよくあります。

コンフォーマンスパックはコンプライアンススコアを報告します。これは、パック内のルールのうち合格しているルールの割合です。

この単一の数値によって、時間の経過に伴うフレームワークへの対応状況を追跡し、遅れているアカウントを明らかにできます。複雑なルールセットを、監査担当者や経営層が一目で把握できる状態指標に変えられます。

多数のアカウントで、名称のあるコンプライアンスフレームワークへの準拠を、グループ化して追跡可能な Config ルールによって示す必要がある場合は、コンフォーマンスパックを使用します。

試験では、組織全体で一貫性のある監査可能なチェックが必要な PCI DSS や HIPAA のシナリオと組み合わせて出題されます。

要件と機能を対応付けてください。

コンフォーマンスパックによってコンプライアンスをスケーリングする方法を学びました。

• 多数のConfig ルールと修復を1つのテンプレートにまとめます。
• PCI DSS、HIPAA、NISTなどに対応したサンプルパックがあります。
• 組織全体にデプロイし、結果を一元的に集約できます。