AWS Config

AWS Config (ang. Amazon Web Services Config) jest usługą zarządzania konfiguracją zasobów w chmurze oferowaną przez Amazon Web Services (AWS). Umożliwia automatyczne monitorowanie, rejestrowanie i audytowanie zmian stanu zasobów chmurowych, co pozwala na zapewnienie zgodności (compliance) oraz wsparcie procesów zarządzania infrastrukturą.

Historia

Usługa została uruchomiona w 2014 roku jako element szerszej strategii AWS w zakresie bezpieczeństwa i zarządzania infrastrukturą. Od tego czasu była regularnie rozbudowywana o nowe funkcje, takie jak reguły reguł własnych, integracja z AWS Lambda oraz wsparcie dla AWS Organizations.

Podstawowe funkcje

Śledzenie zmian konfiguracji – AWS Config zapisuje szczegółowe informacje o każdej zmianie w zasobach (np. EC2, S3, RDS), włączając datę, godzinę oraz tożsamość podmiotu wprowadzającego zmianę.
Historia zasobów – Przechowuje pełną historię konfiguracji, co umożliwia odtworzenie stanu infrastruktury w dowolnym momencie w przeszłości.
Reguły zgodności – Użytkownicy definiują reguły (standardowe lub własne), które automatycznie weryfikują, czy zasoby spełniają określone wymagania (np. szyfrowanie danych, brak otwartych portów).
Alarmy i powiadomienia – W połączeniu z Amazon SNS lub CloudWatch pozwala na natychmiastowe powiadamianie o naruszeniach polityk.
Integracja z innymi usługami – AWS Config współpracuje z AWS CloudTrail, AWS Inspector oraz AWS Trusted Advisor, tworząc kompleksowy ekosystem monitoringu.
Wgląd w zależności zasobów – Graficzna i tekstowa prezentacja zależności pomiędzy zasobami (np. które funkcje Lambda korzystają z konkretnej kolejki SQS).

Kluczowe pojęcia

W dokumentacji AWS wyróżnia się kilka podstawowych pojęć:

Recorder (rejestrowacz): Agent, który gromadzi informacje o zasobach i zapisuje je w Amazon S3 oraz w bazie DynamoDB.
Configuration Item (CI): Jednostka danych opisująca stan pojedynczego zasobu w określonym momencie.
Rule (reguła): Definicja kryteriów, które zasoby muszą spełniać; może być regułą zarządzaną lub własną, napisaną w Lambda.

Wdrożenie i konfiguracja

Aby rozpocząć pracę z AWS Config, należy wykonać następujące kroki:

W konsoli AWS włącz usługę AWS Config w wybranym regionie.
Utwórz Recorder i wskaż miejsce docelowe (bucket S3 oraz tabela DynamoDB).
Zdefiniuj zasoby, które mają być monitorowane (np. wszystkie instancje EC2, zasoby IAM).
Dodaj reguły zgodności – można skorzystać ze standardowych szablonów, takich jak required-tags, encrypted-volumes czy restricted-ssh.
Skonfiguruj powiadomienia przez SNS lub CloudWatch Events, aby otrzymywać alerty w czasie rzeczywistym.

Przykładowe scenariusze użycia

Audyt bezpieczeństwa – Monitorowanie, czy wszystkie dyski EBS są zaszyfrowane zgodnie z polityką organizacji.
Śledzenie kosztów – Analiza zmian w konfiguracji zasobów pod kątem wpływu na rachunki (np. zmiana typu instancji EC2).
Zgodność regulacyjna – Automatyczne wykrywanie nieautoryzowanych zmian w zasobach objętych normami HIPAA, GDPR lub PCI‑DSS.
Odtwarzanie po incydencie – Dzięki historii konfiguracji możliwe jest odtworzenie stanu infrastruktury sprzed awarii.

Opłaty

Model rozliczeniowy AWS Config opiera się na dwóch wymiarach:

Rejestracja konfiguracji – opłata za każdy zapisany Configuration Item (liczona w jednostkach records).
Ocena reguł – opłata za każdy wykonany punkt kontrolny reguły (tzw. rule evaluation).

Dokładne ceny są publikowane w sekcji cennik AWS i zależą od regionu oraz liczby monitorowanych zasobów.

Zalety i ograniczenia

Zalety	Ograniczenia
Automatyczne, ciągłe monitorowanie zmian w prawie czasie rzeczywistym.	Wymaga dodatkowego miejsca w S3 oraz DynamoDB.
Wsparcie dla szerokiego spektrum usług AWS.	Nie obejmuje zasobów spoza ekosystemu AWS (np. on‑premises).
Możliwość definiowania własnych reguł w Lambda.	Składnia reguł wymaga znajomości języka Python lub Node.js.
Integracja z innymi usługami bezpieczeństwa (CloudTrail, GuardDuty).	Wysoka liczba ocen reguł może generować istotne koszty przy dużych środowiskach.

Powiązane artykuły

Więcej informacji można znaleźć w następujących wpisach encyklopedycznych:

Wzmianki w literaturze

W publikacjach specjalistycznych AWS Config jest często wymieniany jako kluczowy komponent strategii zarządzania i bezpieczeństwa w chmurze. Przykładowe pozycje to:

„AWS Certified Solutions Architect – Study Guide”, wyd. 2023, rozdział 12 – opisuje praktyczne scenariusze konfiguracyjne.
„Cloud Governance with AWS”, autor: J. Kowalski, 2022 – szczegółowa analiza integracji Config z AWS Organizations.

Patrz także

Amazon CloudWatch, Amazon SNS, AWS Trusted Advisor, AWS Organizations