ラボ概要
AWS Config を有効化してリソースの構成を継続的に評価し、マネージドルールで「SSH(22番ポート)を全世界に開放したセキュリティグループ」を検出します。さらに SSM Automation を使った自動修復(Remediation)を設定し、違反したセキュリティグループのルールを人手を介さず自動で閉じる、ガバナンス自動化の一連の流れを体験します。
ラボツールの「AWS マネジメントコンソールを開く」からコンソールへ入ると、学習用の cloud_user で自動サインインします。
学習目標
- AWS Config レコーダーと配信チャネル(S3)を有効化し、リソース構成の記録を開始する
- マネージドルール
restricted-sshを追加して、コンプライアンス評価の仕組みを理解する - 意図的に違反リソース(0.0.0.0/0 へ 22番開放したセキュリティグループ)を作り、非準拠として検出させる
- SSM Automation ランブックを使った自動修復(Remediation)を設定し、違反を自動で是正する
- 修復用 IAM ロールの最小権限と、Config と Systems Manager の連携を理解する
ラボの構成
- 1違反対象となるセキュリティグループを先に作る
- 2AWS Config を有効化する
- 3マネージドルール restricted-ssh を追加
- 4自動修復に使う IAM ロールを作成
- 5Config ルールに自動修復(Remediation)を設定
- 6自動修復を発火させて確認
- 7修復結果を確認
- 8(任意) 8. EventBridge + Lambda でコンプライアンス変化を通知
- 9動作確認
- 10完了チェックリスト
- 11後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- AWS Config ドキュメント — リソース構成の記録・評価とマネージドルールの全体像を解説するデベロッパーガイド
- AWS Config マネージドルール一覧 — restricted-ssh を含む AWS 提供ルールのカタログ
- AWS Config の修復 Remediation — SSM Automation を使った自動修復の設定方法
- AWS Systems Manager Automation — ランブックでの運用タスク自動実行の解説
- IAM ユーザーガイド — 修復ロールの信頼ポリシーと最小権限の考え方
- Amazon EventBridge ユーザーガイド — Config のコンプライアンス変化イベントを Lambda へ連携する仕組み