AWS Config Rulesを使用し、組織全体で一定期間利用の無いIAMユーザーにDenyポリシーをアタッチしてみた

エンタープライズクラウド部の山下(祐)です。

今回は、AWS Config Rules（以下、Configルール）で一定期間利用の無いIAMユーザーを検知し、修復アクションでAWSDenyAllポリシーをアタッチ＆管理者へのメール通知を行ってみたいと思います。

また、CloudFormation StackSets（以下、StackSets）とAWS Config Conformance Packs（以下、適合パック）を使用し、AWS Organizations（以下、Organizations）の組織全体で利用の無いIAMユーザーを管理できるようにしたいと思います。

適合パックとStackSetsの配布イメージ
修復の流れ
StackSetsの委任
修復アクション用IAMロール
SNSトピック
Configルール
修復アクション
適合パック
動作確認
終わりに
オマケ（参考リンク集）

適合パックとStackSetsの配布イメージ

Organizationsの組織全体に、適合パックを配布します。修復アクション用のSSMドキュメントは独自のものを作成するため、修復アクションを行うための権限を付与するIAMロールとともに、StackSetsで配布します。配布はセキュリティアカウントから行うこととし、ConfigとStackSetsを管理アカウントから委任します。

修復の流れ

一定期間利用の無いIAMユーザーを、Configルールで検知します。修復アクションで、対象のIAMユーザーにAWSマネージドポリシーのAWSDenyAllポリシーをアタッチします。また、SNSで管理者へのEメール通知も行います。SNSはセキュリティアカウントにデプロイし、各アカウントからのメッセージを受け付けます。

AWSマネージドの修復アクションにはIAMユーザーを削除するものがありますが、いきなり削除は少々やり過ぎだと思うので、今回は独自の修復アクションを作成します。

StackSetsの委任

まずは、管理アカウントのStackSetsの画面から委任を行います。

詳細は、以下の公式ドキュメントもご参照ください。

委任された管理者の登録 - AWS CloudFormation

修復アクション用IAMロール

修復アクション用のIAMロールには、対象IAMユーザーの情報取得・ポリシーアタッチの権限と、SNSトピックにメッセージを送付する権限が必要です。今回は検証なので、横着してマネージドポリシーの「IAMFullAccess」と「AmazonSNSFullAccess」を付与してしまいます。実際の構築の際は、必要最小限のポリシーを付与したロールを作成いただければ幸いです。

信頼ポリシーでは、SSMへのAssumeRoleを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

以下のテンプレートをStackSetsで各アカウントに配布します。

クリックすると展開されます

AWSTemplateFormatVersion: "2010-09-09"
Description: "For SSM Automation"
Resources:
  role:
    Type: "AWS::IAM::Role"
    DeletionPolicy: "Delete"
    Properties:
      ManagedPolicyArns:
        - "arn:aws:iam::aws:policy/AmazonSNSFullAccess"
        - "arn:aws:iam::aws:policy/IAMFullAccess"
      RoleName: "SSM-Automation-Set-Deny-Role"
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          -
            Sid: ""
            Effect: "Allow"
            Principal:
              Service:
                - "ssm.amazonaws.com"
            Action:
              - "sts:AssumeRole"
      Path: "/"

SNSトピック

SNSトピックはセキュリティアカウントのみに作成し、各アカウントからのメッセージを集約します。アクセスポリシーで、Organizationsの組織IDを指定することで、組織内のアカウントからのメッセージを受け取ることが可能です。

クリックすると展開されます

{
  "Version": "2008-10-17",
  "Id": "__default_policy_ID",
  "Statement": [
    {
      "Sid": "__default_statement_ID",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "SNS:RemovePermission",
        "SNS:SetTopicAttributes",
        "SNS:DeleteTopic",
        "SNS:ListSubscriptionsByTopic",
        "SNS:GetTopicAttributes",
        "SNS:AddPermission",
        "SNS:Subscribe"
      ],
      "Resource": "arn:aws:sns:ap-northeast-1:XXXXXXXXXXXX:Unused-IAMUser-Notification",
      "Condition": {
        "StringEquals": {
          "AWS:SourceOwner": "XXXXXXXXXXXX"
        }
      }
    },
    {
      "Sid": "Allow_Publish_from_Organzations",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "SNS:Publish",
      "Resource": "arn:aws:sns:ap-northeast-1:XXXXXXXXXXXX:Unused-IAMUser-Notification",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "o-xxxxxxxxxx"
        }
      }
    }
  ]
}

サブスクリプションについては、今回はEメールを設定します。

Configルール

Configルールは、AWSマネージドルールの「iam-user-unused-credentials-check」を使用します。このルールは、一定期間利用のないコンソールパスワード、アクセスキーを持つIAMユーザーを検知することが可能です。期間のデフォルト値は90日ですが、今回は検証のためにすぐ検知したいので、1日に設定します。ルールの詳細については、以下の公式ドキュメントも参照してください。

iam-user-unused-credentials-チェック - AWS Config

注意点として、AWS::IAM::Userリソースタイプはグローバルリソースであり、2022年2月以前に利用可能だった全てのリージョンでリソース記録が可能です。不要なリソース記録を回避するために、一つのリージョンのみにルールを適用することが推奨されています。

上述の公式ドキュメントの注記を引用します。

AWS::IAM::Userリソースタイプは、2022 AWS Config 年 2 AWS Config 月以前に利用可能だった地域でのみ記録できます。 AWS::IAM::User2022 年 2 AWS Config 月以降にサポートされるリージョンでは記録できません。

さらに、少なくとも 1 つのリージョンで AWS::IAM::User を記録することを選択した場合、AWS::IAM::User のコンプライアンスを報告するこのルールなどの定期ルールは、定期ルールが追加されたリージョンで AWS::IAM::User の記録を有効にしていなくても、定期ルールが追加されたすべてのリージョンの AWS::IAM::User で評価を実行します。

不必要な評価や API スロットリングを回避するため、このルールはサポートされているリージョンの 1 つにのみデプロイできます。別のリージョンのグローバル IAM リソースタイプの記録を有効にしている場合、グローバル IAM リソースタイプの記録を有効にしていなければ、このルールは評価の実行を回避しません。不必要な評価を回避するため、このルールのデプロイを 1 つのリージョンに制限する必要があります。

以下の公式ドキュメントにも同様の注記があります。合わせてご参照ください。

AWS Config どのリソースを記録するかを選択する - AWS Config

今回は、東京リージョンに本ルールをデプロイします。

修復アクション

Configルールの修復アクションには、AWS Systems Manager（以下、SSM）のAutomationを利用します。Automationの利用時には、Runbookという処理を記載したドキュメントを指定します。予め用意されたRunbookも存在しますが、今回実施したいアクションに合致するものが無いため、自前で作成します。RunbookはYAML・JSONで記述することも可能ですが、AWS Step Functions同様に、ビジュアルツールを用いて作成することも可能です。本ブログでは、双方の設定を記載して説明します。

ビジュアルツール

今回作成した修復アクションをビジュアルツールで表示すると下図のようになります。

それぞれのアクションについて説明します。

ランブック属性

ランブックのパラメータとして、IAMUserIdとAutomationAssumeRole を設定します。パラメータの値は適合パックに記載します。 IAMUserId はConfigルールが検知したIDなので動的な値となります。AutomationAssumeRole は、修復アクション用IAMロールのARNを静的に記載します。適合パックの記載は後述しますので、ここでは、ランブック側の記載方法のみ紹介します。

① GetUsername

最初のステップでは、boto3を使用して、以下のアクションを行います。

Configルールから受け取ったIAMユーザーIDから、IAMユーザー名を取得。
取得したIAMユーザーに、すでに AWSDenyAll ポリシーがアタッチされていないか判定。
AWSDenyAll の判定結果に応じたメッセージを作成。

2について補足します。今回の修復アクションは AWSDenyAll ポリシーをアタッチするだけなので、Configルールの非準拠状態（IAMが使われていない）が解消されるわけではありません。よって、修復アクション後もIAMユーザーが引き続き利用されない場合、再度Configルールで検知される可能性があります。そのため、AWSDenyAll のアタッチ有無を判定するロジックを入れています。

本ステップでは、インプット情報として、ランブック属性で指定したパラメータ「IAMUserId」を定義します。

また、上記1～3で取得した情報については、後続のステップで参照させるため、アウトプットとしても定義します。

② Branch

上述通り、AWSDenyAll がすでにアタッチされている可能性があるため、このステップで処理を分岐させます。 AWSDenyAll がアタッチされていない場合は ③以降のステップに進みます。すでにアタッチされている場合は⑤のステップに進みます。インプット情報として、「① GetUsername」での、AWSDenyAll のアタッチ有無の判定結果を定義します。

③ AttachUserPolicy

このステップでは、対象のIAMユーザーに AWSDenyAll をアタッチします。 Runbookに予め用意されているAWS APIの「IAM AttachUserPolicy」を使用します。インプット情報として、「① GetUsername」で取得したIAMユーザー名と、AWSDenyAll のARNを定義します。

④ Publish

このステップでは、管理者にメール送信を行うために、SNSトピックにメッセージを送付します。インプット情報として、「① GetUsername」で作成したメッセージと、SNSトピックのARNを定義します。

⑤ Sleep

このステップでは、5秒間の待機を行います。Runbookで「何もせずに終了」という定義が出来なかったため、Sleepで代替しました。インプット情報として、待機時間（Duration）を定義します。ISO 8601の表記に従う必要があるため、「PT5S」と記載しています。

YAML

上記ビジュアルツールでの設定の、YAMLでの記述内容は以下です。

クリックすると展開されます

schemaVersion: '0.3'
description: This runbook attaches an All Deny policy to IAM users that have been inactive for a period of time.
parameters:
  IAMUserId:
    type: String
    description: (Required) The ID of the IAM user you want to delete.
    allowedPattern: ^AIDA[A-Z0-9]+$
  AutomationAssumeRole:
    type: String
    description: (Required) The Amazon Resource Name (ARN) of the AWS Identity and Access Management (IAM) role that allows Systems Manager Automation to perform the actions on your behalf.
assumeRole: '{{ AutomationAssumeRole }}'
mainSteps:
  - description: Gathers the user name of the IAM user you specify in the IAMUserId parameter.
    name: GetUsername
    action: aws:executeScript
    nextStep: Branch
    isEnd: false
    inputs:
      Runtime: python3.11
      Handler: script_handler
      InputPayload:
        IAMUserId: '{{ IAMUserId }}'
      Script: |-
        from time import sleep
        import boto3
        THROTTLE_PERIOD = 0.05

        def get_username(iam_client, iam_user_id):
            paginator = iam_client.get_paginator("list_users")
            page_iterator = paginator.paginate()
            for page in page_iterator:
                for user in page["Users"]:
                    if user["UserId"] == iam_user_id:
                        return user["UserName"]
                sleep(THROTTLE_PERIOD)

        def check_deny_all_policy(iam_client, iam_username):
            paginator = iam_client.get_paginator('list_attached_user_policies')
            for response in paginator.paginate(UserName=iam_username):
                for policy in response['AttachedPolicies']:
                    if policy['PolicyArn'] == 'arn:aws:iam::aws:policy/AWSDenyAll':
                        return True
                        break
            return False

        def get_account_number(iam_client, iam_username):
            user_info = iam_client.get_user(UserName=iam_username)
            arn = user_info['User']['Arn']
            account_number = arn.split(':')[4]
            return account_number

        def script_handler(event, context):
            iam_client = boto3.client("iam")
            iam_user_id = event["IAMUserId"]
            iam_username = get_username(iam_client, iam_user_id)
            iam_account_number = get_account_number(iam_client, iam_username)
            if iam_username is not None:
                iam_user_deny_policy = check_deny_all_policy(iam_client, iam_username)
                if iam_user_deny_policy is True:
                    result_message = f"AWSDenyAll is already attached to AWS IAM USER, {iam_username}. AWS Account is {iam_account_number}."
                    return {"UserName": iam_username, "Messages": result_message, "AWSDenyAll": iam_user_deny_policy, "AWSAccount": iam_account_number}
                else:
                    result_message = f"AWS IAM USER, {iam_username} has been unused for a period of time, so AWSDenyAll policy is attached. AWS Account is {iam_account_number}."
                    return {"UserName": iam_username, "Messages": result_message, "AWSDenyAll": iam_user_deny_policy, "AWSAccount": iam_account_number}
            else:
                result_message = f"AWS IAM USER ID, {iam_user_id} DOES NOT EXIST."
                raise Exception(result_message)
    outputs:
      - Type: String
        Name: UserName
        Selector: $.Payload.UserName
      - Type: String
        Name: Messages
        Selector: $.Payload.Messages
      - Type: Boolean
        Name: AWSDenyAll
        Selector: $.Payload.AWSDenyAll
  - name: Branch
    action: aws:branch
    inputs:
      Choices:
        - NextStep: Sleep
          Variable: '{{ GetUsername.AWSDenyAll }}'
          BooleanEquals: true
      Default: AttachUserPolicy
  - name: Sleep
    action: aws:sleep
    isEnd: true
    inputs:
      Duration: PT5S
  - name: AttachUserPolicy
    action: aws:executeAwsApi
    nextStep: Publish
    isEnd: false
    inputs:
      Service: iam
      Api: AttachUserPolicy
      UserName: '{{ GetUsername.UserName }}'
      PolicyArn: arn:aws:iam::aws:policy/AWSDenyAll
  - name: Publish
    action: aws:executeAwsApi
    isEnd: true
    inputs:
      Message: '{{ GetUsername.Messages }}'
      TopicArn: arn:aws:sns:ap-northeast-1:xxxxxxxxxxxx:Unused-IAMUser-Notification
      Service: sns
      Api: Publish

CloudFormationテンプレート

RunbookもStackSetsで各アカウントにデプロイします。デプロイ用のテンプレートは以下です。

クリックすると展開されます

AWSTemplateFormatVersion: 2010-09-09
Description: This runbook attaches an All Deny policy to IAM users that have been inactive for a period of time.
Resources:
  AttachAWSAllDeny:
    Type: AWS::SSM::Document
    Properties:
      Content: 
        schemaVersion: '0.3'
        description: This runbook attaches an All Deny policy to IAM users that have been inactive for a period of time.
        parameters:
          IAMUserId:
            type: String
            description: (Required) The ID of the IAM user you want to delete.
            allowedPattern: ^AIDA[A-Z0-9]+$
          AutomationAssumeRole:
            type: String
            description: (Required) The Amazon Resource Name (ARN) of the AWS Identity and Access Management (IAM) role that allows Systems Manager Automation to perform the actions on your behalf.
        assumeRole: '{{ AutomationAssumeRole }}'
        mainSteps:
          - description: Gathers the user name of the IAM user you specify in the IAMUserId parameter.
            name: GetUsername
            action: aws:executeScript
            nextStep: Branch
            isEnd: false
            inputs:
              Runtime: python3.11
              Handler: script_handler
              InputPayload:
                IAMUserId: '{{ IAMUserId }}'
              Script: |-
                from time import sleep
                import boto3
                THROTTLE_PERIOD = 0.05
        
                def get_username(iam_client, iam_user_id):
                    paginator = iam_client.get_paginator("list_users")
                    page_iterator = paginator.paginate()
                    for page in page_iterator:
                        for user in page["Users"]:
                            if user["UserId"] == iam_user_id:
                                return user["UserName"]
                        sleep(THROTTLE_PERIOD)
        
                def check_deny_all_policy(iam_client, iam_username):
                    paginator = iam_client.get_paginator('list_attached_user_policies')
                    for response in paginator.paginate(UserName=iam_username):
                        for policy in response['AttachedPolicies']:
                            if policy['PolicyArn'] == 'arn:aws:iam::aws:policy/AWSDenyAll':
                                return True
                                break
                    return False
        
                def get_account_number(iam_client, iam_username):
                    user_info = iam_client.get_user(UserName=iam_username)
                    arn = user_info['User']['Arn']
                    account_number = arn.split(':')[4]
                    return account_number
        
                def script_handler(event, context):
                    iam_client = boto3.client("iam")
                    iam_user_id = event["IAMUserId"]
                    iam_username = get_username(iam_client, iam_user_id)
                    iam_account_number = get_account_number(iam_client, iam_username)
                    if iam_username is not None:
                        iam_user_deny_policy = check_deny_all_policy(iam_client, iam_username)
                        if iam_user_deny_policy is True:
                            result_message = f"AWSDenyAll is already attached to AWS IAM USER, {iam_username}. AWS Account is {iam_account_number}."
                            return {"UserName": iam_username, "Messages": result_message, "AWSDenyAll": iam_user_deny_policy, "AWSAccount": iam_account_number}
                        else:
                            result_message = f"AWS IAM USER, {iam_username} has been unused for a period of time, so AWSDenyAll policy is attached. AWS Account is {iam_account_number}."
                            return {"UserName": iam_username, "Messages": result_message, "AWSDenyAll": iam_user_deny_policy, "AWSAccount": iam_account_number}
                    else:
                        result_message = f"AWS IAM USER ID, {iam_user_id} DOES NOT EXIST."
                        raise Exception(result_message)
            outputs:
              - Type: String
                Name: UserName
                Selector: $.Payload.UserName
              - Type: String
                Name: Messages
                Selector: $.Payload.Messages
              - Type: Boolean
                Name: AWSDenyAll
                Selector: $.Payload.AWSDenyAll
          - name: Branch
            action: aws:branch
            inputs:
              Choices:
                - NextStep: Sleep
                  Variable: '{{ GetUsername.AWSDenyAll }}'
                  BooleanEquals: true
              Default: AttachUserPolicy
          - name: Sleep
            action: aws:sleep
            isEnd: true
            inputs:
              Duration: PT5S
          - name: AttachUserPolicy
            action: aws:executeAwsApi
            nextStep: Publish
            isEnd: false
            inputs:
              Service: iam
              Api: AttachUserPolicy
              UserName: '{{ GetUsername.UserName }}'
              PolicyArn: arn:aws:iam::aws:policy/AWSDenyAll
          - name: Publish
            action: aws:executeAwsApi
            isEnd: true
            inputs:
              Message: '{{ GetUsername.Messages }}'
              TopicArn: arn:aws:sns:ap-northeast-1:xxxxxxxxxxxx:Unused-IAMUser-Notification
              Service: sns
              Api: Publish
      DocumentFormat: YAML
      DocumentType: Automation
      Name: AttachAWSAllDeny
      UpdateMethod: NewVersion

「content」の中身は修復アクションのYAMLそのものです。それ以外の設定項目については、以下公式ドキュメントをご参照ください。

AWS::SSM::Document - AWS CloudFormation

適合パック

適合パック用YAMLテンプレート

今回作成した適合パック用のYAMLテンプレートは以下です。

クリックすると展開されます

AWSTemplateFormatVersion: 2010-09-09
Description: Attaches an All Deny policy to IAM users that have been inactive for a period of time.

Resources:
  IamUserUnusedCredentialsCheck:
    Type: AWS::Config::ConfigRule
    Properties:
      ConfigRuleName: iam-user-unused-credentials-check
      InputParameters:
        maxCredentialUsageAge: 1
      Source:
        Owner: AWS
        SourceIdentifier: IAM_USER_UNUSED_CREDENTIALS_CHECK
  AttachAWSAllDeny:
    DependsOn: IamUserUnusedCredentialsCheck
    Type: 'AWS::Config::RemediationConfiguration'
    Properties:
      ConfigRuleName: iam-user-unused-credentials-check
      TargetId: "AttachAWSAllDeny"
      TargetType: "SSM_DOCUMENT"
      TargetVersion: "1"
      Parameters:
        AutomationAssumeRole:
          StaticValue:
            Values:
              - arn:aws:iam::xxxxxxxxxxxx:role/SSM-Automation-Set-Deny-Role
        IAMUserId:
          ResourceValue:
            Value: "RESOURCE_ID"
      Automatic: True
      MaximumAutomaticAttempts: 1
      RetryAttemptSeconds: 60

Configルールにはマネージドルールの「iam-user-unused-credentials-check」を指定し、修復アクションにはStackSetsで各アカウントにデプロイ済みの「AttachAWSAllDeny」を指定しています。「AutomationAssumeRole」には、セキュリティアカウントの修復アクション用ロールのARNを指定します。

Configルールや修復アクションに関する記述方法の詳細は、以下公式ドキュメントをご参照ください。

AWS::Config::ConfigRule - AWS CloudFormation

AWS::Config::RemediationConfiguration - AWS CloudFormation

サービス有効化と委任

適合パックを委任アカウントからOrganizationsの組織に一括デプロイするためには、以下の事前準備が必要です。

AWS ConfigサービスがAWS Organizationsへアクセスできるようにする。（管理アカウントで実施）
委任管理者アカウントを登録する。（管理アカウントで実施）

2024年5月現在、マネジメントコンソールから上記作業が出来ないようなので、CloudShellにて実施します。管理アカウントで以下のコマンドを実行します。

クリックすると展開されます

#1. AWS ConfigサービスがAWS Organizationsへアクセスできるようにする。
[cloudshell-user@ip-10-132-78-25 ~]$ aws organizations enable-aws-service-access --service-principal=config-multiaccountsetup.amazonaws.com
[cloudshell-user@ip-10-132-78-25 ~]$ 
-
#2. 委任管理者アカウントを登録する。
[cloudshell-user@ip-10-132-78-25 ~]$ aws organizations register-delegated-administrator --service-principal=config-multiaccountsetup.amazonaws.com --account-id="{委任先アカウント}"
[cloudshell-user@ip-10-132-78-25 ~]$ 
[cloudshell-user@ip-10-132-78-25 ~]$ 
-
#正常に委任されたことを確認する。
[cloudshell-user@ip-10-132-78-25 ~]$ aws organizations list-delegated-administrators --service-principal=config-multiaccountsetup.amazonaws.com
{
    "DelegatedAdministrators": [
        {
            "Id": "xxxxxxxxxxxx",
            "Arn": "arn:aws:organizations::xxxxxxxxxxxx:account/o-xxxxxxxxxx/xxxxxxxxxxxx",
            "Email": "xxxxx@serverworks.co.jp",
            "Name": "Security",
            "Status": "ACTIVE",
            "JoinedMethod": "CREATED",
            "JoinedTimestamp": "2024-04-24T06:56:52.804000+00:00",
            "DelegationEnabledDate": "2024-05-09T14:54:54.180000+00:00"
        }
    ]
}
[cloudshell-user@ip-10-132-78-25 ~]$

適合パックのデプロイ

サービス有効化と委任が完了したら、今度は委任アカウントのCloudShellで作業を行います。まず、CloudShellに先ほどの適合パック用YAMLテンプレートをアップロードします。

次に、CloudShell上で以下のコマンドを実行し、適合パックをデプロイします。

クリックすると展開されます

# 適合パック用YAMLファイルが存在することを確認する
[cloudshell-user@ip-10-130-58-254 ~]$ ls -l
total 4
-rw-r--r--. 1 cloudshell-user cloudshell-user 1077 May  9 16:30 AttachAWSAllDeny_ConformancePack.yml
[cloudshell-user@ip-10-130-58-254 ~]$
-
# 適合パックをデプロイする 
[cloudshell-user@ip-10-130-58-254 ~]$ aws configservice put-organization-conformance-pack \
> --organization-conformance-pack-name="AttachAWSAllDeny" \
> --template-body="file://AttachAWSAllDeny_ConformancePack.yml"
{
    "OrganizationConformancePackArn": "arn:aws:config:ap-northeast-1:xxxxxxxxxxxx:organization-conformance-pack/AttachAWSAllDeny-f19zroz2"
}
[cloudshell-user@ip-10-130-58-254 ~]$ 
-
# 適合パックのデプロイ状況を確認する
[cloudshell-user@ip-10-130-58-254 ~]$ aws configservice get-organization-conformance-pack-detailed-status \
> --organization-conformance-pack-name=AttachAWSAllDeny
{
    "OrganizationConformancePackDetailedStatuses": [
        {
            "AccountId": "xxxxxxxxxxxx",
            "ConformancePackName": "OrgConformsPack-AttachAWSAllDeny-f19zroz2",
            "Status": "CREATE_SUCCESSFUL",
            "LastUpdateTime": "2024-05-09T16:33:09.697000+00:00"
        },
        {
            "AccountId": "xxxxxxxxxxxx",
            "ConformancePackName": "OrgConformsPack-AttachAWSAllDeny-f19zroz2",
            "Status": "CREATE_SUCCESSFUL",
            "LastUpdateTime": "2024-05-09T16:33:07.726000+00:00"
        },
        {
            "AccountId": "xxxxxxxxxxxx",
            "ConformancePackName": "OrgConformsPack-AttachAWSAllDeny-f19zroz2",
            "Status": "CREATE_SUCCESSFUL",
            "LastUpdateTime": "2024-05-09T16:33:11.591000+00:00"
        },
        {
            "AccountId": "xxxxxxxxxxxx",
            "ConformancePackName": "OrgConformsPack-AttachAWSAllDeny-f19zroz2",
            "Status": "CREATE_SUCCESSFUL",
            "LastUpdateTime": "2024-05-09T16:33:06.739000+00:00"
        },
        {
            "AccountId": "xxxxxxxxxxxx",
            "ConformancePackName": "OrgConformsPack-AttachAWSAllDeny-f19zroz2",
            "Status": "CREATE_SUCCESSFUL",
            "LastUpdateTime": "2024-05-09T16:33:08.620000+00:00"
        }
    ]
}
(END)

サービス有効化と委任、および、適合パックのデプロイについては、以下のAWS公式ブログでも詳しく紹介されていますので、合わせてご参照ください。

AWS Config 適合パックの紹介 | Amazon Web Services ブログ

動作確認

適合パックがデプロイできたようなので、各アカウントのConfigルールを見てみます。

Configルールがデプロイされて、自動修復アクションも正常に実行されているようです。

AWSDenyAllも想定通りアタッチされています。

通知メールも想定通り来ていました。

記載は省略しますが、他アカウントでも想定通りConfigルールがデプロイされ、修復アクションが実行されていました。

終わりに

今回、独自のSSM Runbookを作成し、適合パックも独自のものを作成しましたが、これらはCloudFormationテンプレート等と比べると参考情報が少なく、作成に少々苦労しました。
また、適合パックのデプロイについても、マネジメントコンソールでは出来ない等、ややクセがある印象です。
学習コスト・運用コストも考慮のうえ、これらのサービスを利用した実装をご検討いただければ幸いです。

オマケ（参考リンク集）

最後に、本ブログの作成にあたり参考にした弊社ブログのリンクを記載します。
適合パックやStackSetsについて詳しく説明しておりますので、よろしければ合わせてご参照ください。

blog.serverworks.co.jp

本ブログが少しでもお役にたてば幸いです。

AWS Config Rulesを使用し、組織全体で一定期間利用の無いIAMユーザーにDenyポリシーをアタッチしてみた

適合パックとStackSetsの配布イメージ

修復の流れ

StackSetsの委任

修復アクション用IAMロール

SNSトピック

Configルール

修復アクション

ビジュアルツール

ランブック属性

① GetUsername

② Branch

③ AttachUserPolicy

④ Publish

⑤ Sleep

YAML

CloudFormationテンプレート

適合パック

適合パック用YAMLテンプレート

サービス有効化と委任

適合パックのデプロイ

動作確認

終わりに

オマケ（参考リンク集）

【re:Inent 2025】Build, govern, and share Amazon Quick Suite dashboards with Amazon SageMaker (ANT344) 参加レポート

【AWS re:Invent 2025】IAM Policy Autopilot によるポリシー生成をやってみた（2人目）

【re:Inent 2025】Operationalize Amazon Quick Suite deployments at scale (BIZ406) 参加レポート

[AWS re:Invent2025] Amazon Cloudwatch Application Signals

【AWS re:Invent 2025】自社専用の"フロンティアモデル"を作る時代へ。「Amazon Nova Forge」徹底解説