🔧 AWS Config コンフォーマンスパック
& StackSets 自動有効化ガイド

# セキュリティベストプラクティスのコンフォーマンスパック Resources: # S3バケット暗号化チェック S3BucketServerSideEncryptionEnabled: Type: AWS::Config::ConfigRule Properties: ConfigRuleName: s3-bucket-server-side-encryption-enabled Description: 'S3バケットのサーバーサイド暗号化が有効か確認' Source: Owner: AWS SourceIdentifier: S3_BUCKET_SERVER_SIDE_ENCRYPTION_ENABLED # S3パブリックアクセスブロック S3BucketPublicReadProhibited: Type: AWS::Config::ConfigRule Properties: ConfigRuleName: s3-bucket-public-read-prohibited Description: 'S3バケットがパブリック読み取り不可か確認' Source: Owner: AWS SourceIdentifier: S3_BUCKET_PUBLIC_READ_PROHIBITED # RDSの暗号化チェック RdsStorageEncrypted: Type: AWS::Config::ConfigRule Properties: ConfigRuleName: rds-storage-encrypted Description: 'RDSストレージが暗号化されているか確認' Source: Owner: AWS SourceIdentifier: RDS_STORAGE_ENCRYPTED # EC2にIMDSv2を強制 Ec2ImdsV2Check: Type: AWS::Config::ConfigRule Properties: ConfigRuleName: ec2-imdsv2-check Description: 'EC2インスタンスでIMDSv2が有効か確認' Source: Owner: AWS SourceIdentifier: EC2_IMDSV2_CHECK # ルートアカウントのMFA有効化チェック RootAccountMfaEnabled: Type: AWS::Config::ConfigRule Properties: ConfigRuleName: root-account-mfa-enabled Description: 'ルートアカウントでMFAが有効か確認' Source: Owner: AWS SourceIdentifier: ROOT_ACCOUNT_MFA_ENABLED

AWSTemplateFormatVersion: '2010-09-09' Description: 'StackSetsを使用したAWS Config自動有効化' Parameters: TargetOUs: Type: CommaDelimitedList Description: 'デプロイ対象のOU ID（カンマ区切り）' Default: 'ou-xxxx-xxxxxxxx,ou-yyyy-yyyyyyyy' TargetRegions: Type: CommaDelimitedList Description: 'デプロイ対象のリージョン' Default: 'ap-northeast-1,us-east-1,eu-west-1' Resources: # Config有効化用StackSet ConfigEnableStackSet: Type: AWS::CloudFormation::StackSet Properties: StackSetName: enable-aws-config-org Description: '組織全体でAWS Configを有効化' # Service-Managed権限を使用（推奨） PermissionModel: SERVICE_MANAGED # 自動デプロイ設定 AutoDeployment: Enabled: true RetainStacksOnAccountRemoval: false # デプロイ対象 StackInstancesGroup: - DeploymentTargets: OrganizationalUnitIds: !Ref TargetOUs Regions: !Ref TargetRegions # 並列デプロイ設定 OperationPreferences: RegionConcurrencyType: PARALLEL MaxConcurrentPercentage: 100 FailureTolerancePercentage: 10 # テンプレート本体 TemplateBody: | AWSTemplateFormatVersion: '2010-09-09' Resources: ConfigRecorder: Type: AWS::Config::ConfigurationRecorder Properties: RecordingGroup: AllSupported: true IncludeGlobalResourceTypes: true RoleARN: !Sub arn:aws:iam::${AWS::AccountId}:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig

#!/bin/bash # =========================================== # AWS Config & コンフォーマンスパック自動デプロイ # =========================================== # 1. 組織全体でAWS Configを有効化（StackSets使用） aws cloudformation create-stack-set \ --stack-set-name enable-aws-config-org \ --template-body file://config-enable.yaml \ --permission-model SERVICE_MANAGED \ --auto-deployment Enabled=true,RetainStacksOnAccountRemoval=false \ --capabilities CAPABILITY_NAMED_IAM # 2. StackInstancesをOU全体にデプロイ aws cloudformation create-stack-instances \ --stack-set-name enable-aws-config-org \ --deployment-targets OrganizationalUnitIds=ou-xxxx-xxxxxxxx \ --regions ap-northeast-1 us-east-1 eu-west-1 \ --operation-preferences RegionConcurrencyType=PARALLEL # 3. コンフォーマンスパックをS3にアップロード aws s3 cp security-conformance-pack.yaml \ s3://my-config-bucket/conformance-packs/ # 4. 組織全体にコンフォーマンスパックをデプロイ aws configservice put-organization-conformance-pack \ --organization-conformance-pack-name security-baseline \ --template-s3-uri s3://my-config-bucket/conformance-packs/security-conformance-pack.yaml \ --excluded-accounts 111111111111 # 除外するアカウント（オプション） # 5. デプロイ状況確認 aws configservice describe-organization-conformance-pack-statuses \ --organization-conformance-pack-names security-baseline # 6. コンプライアンス状況確認 aws configservice get-organization-conformance-pack-detailed-status \ --organization-conformance-pack-name security-baseline