c4.15 構成逸脱の是正を自動化する

AWS Config で検知・是正する

AWS Config の自動修復は、AWS Systems Manager Automation のランブックを実行して、非準拠のリソースを望ましい状態に戻し、セキュリティのベースラインを継続的に強制します。

予防 vs. 検知・是正

SCP や IAM ポリシーで逸脱を単に予防すればよいのでは？ 予防は理想的です（誤設定が一切存在しない）。硬い不変条件にはガードレールを使うべきです。ただし検知・是正は有用な補完です。

• ビルダー体験の向上: 不透明な「access denied」ではなく、変更を許容してから元に戻し、（タグ経由で）オーナーに説明付きで通知できます。
• 既存の逸脱をカバー: ポリシーはそれ以前から存在する誤設定を修正しませんが、Config の修復は修正します。
• 特権的なバイパスを捕捉: ポリシーをバイパスできる者がリソースを誤設定しても、Config が是正します。
• より穏やかな対応に対応: たとえば逸脱時にチケットを起票し、解決時に自動クローズするなど、強制ブロック以外の選択肢があります。