モニタリングと監査（CloudWatch / CloudTrail / Config）

概要

AWS 環境を安全かつ健全に運用するためには、システムの状態を把握し（モニタリング）、誰がいつ何を操作したかを追跡でき（監査）、リソースが組織のポリシー通りに設定されているかを確認できる（ガバナンス）ことが重要です。この3つのニーズに対応するのが CloudWatch・CloudTrail・AWS Config です。

これら3つのサービスの「役割の違い」は CP 試験で最も頻出の比較問題のひとつです。それぞれの目的を明確に理解しておくことが合格への近道です。

CP試験で押さえるポイント

• CloudWatch は「何が起きているか」— メトリクス・アラーム・ログの監視サービス
• CloudTrail は「誰が何をしたか」— API コール・操作履歴の記録・監査サービス
• AWS Config は「設定がルール通りか」— リソース構成の記録とコンプライアンス評価
• CloudWatch アラームは SNS や Auto Scaling と連携して自動対応を実現できる
• CloudTrail はすべての AWS リージョンで有効化でき、S3 にログを長期保存できる
• 3つのサービスの違いを明確に区別することが CP 試験の最重要ポイント

Amazon CloudWatch — 「何が起きているか」

CloudWatch は AWS リソースとアプリケーションの監視・可観測性サービスです。EC2 のCPU 使用率・メモリ使用量・ネットワーク通信量などのメトリクス（数値データ）を収集・可視化します。

• メトリクス： AWS サービスから自動収集される数値データ（CPU 使用率、リクエスト数など）。カスタムメトリクスの送信も可能
• アラーム： メトリクスがしきい値を超えたときに通知や自動アクションを実行する機能
• ログ： CloudWatch Logs でアプリケーションログや VPC フローログを収集・検索・保存できる
• ダッシュボード： 複数のメトリクスを一画面で可視化するカスタムダッシュボードを作成できる

定番パターン：CloudWatch アラームと SNS・Auto Scaling の連携

たとえば「CPU 使用率が 80% を超えたら SNS で管理者に通知する」「メモリが逼迫したら Auto Scaling が自動でインスタンスを追加する」といった自動対応を設定できます。CloudWatch アラーム → SNS トピック → メール通知 という連携は CP 試験でも頻出のアーキテクチャです。

AWS CloudTrail — 「誰が何をしたか」

CloudTrail は、AWS アカウント内で行われたすべての API コール（操作）を記録するサービスです。誰が（ユーザー/ロール）、いつ（日時）、何を（どの API コール）、どこから（IP アドレス）操作したかを証跡として残します。

• イベント履歴： 過去 90 日間のマネジメントコンソールや CLI 経由の操作ログを無償で閲覧できる
• S3 への長期保存： 証跡（Trail）を設定すると S3 バケットにログを継続的に保存でき、コンプライアンス要件に対応できる
• 全リージョン対応： 単一の設定で全リージョンのイベントを記録可能

「誰かが意図せず本番環境のセキュリティグループのルールを変更してしまった」「不審なアクセスがあった」などのインシデント調査に不可欠なサービスです。セキュリティ監査・コンプライアンス対応にも活用されます。

AWS Config — 「設定がルール通りか」

AWS Config は、AWS リソースの設定（構成）を継続的に記録し、定義したルール（コンフィグルール）に準拠しているかを評価するサービスです。

• 構成の記録： EC2 インスタンスや S3 バケット、セキュリティグループなどのリソース構成の変更履歴を追跡できる
• コンフィグルール： 「S3 バケットのパブリックアクセスをブロックしているか」「EBS ボリュームは暗号化されているか」などのルールを定義して自動評価できる
• コンプライアンスダッシュボード： ルール違反のリソースを一覧で確認できる

「セキュリティポリシーに違反した設定変更が行われていないか継続的に監視したい」「規制対応のためにリソース構成の変更履歴を記録したい」といった用途に適しています。

関連サービスとの違い・使い分け（CP 最頻出）

これら3つは相互補完的に使われることが多いです。たとえば CloudTrail で「誰かが S3 バケットのポリシーを変更した」という操作ログを記録し、AWS Config でその変更後の設定がポリシー違反になっていないかを評価し、CloudWatch で異常が発生した際にアラートを出す、という連携が一般的です。

また、AWS CloudFormation はインフラをコードとして管理（IaC）するサービスであり、Config の「構成評価」とは異なる役割を持ちます。