導入
「誰がこのサーバーを消したのか」「いつのまにか設定が変わっている」——こうした「操作の記録」と「構成の変化」を追うのが CloudTrail と Config です。CloudWatch と混同しやすいので、3つの違いをここで整理します。
説明
- AWS CloudTrail … 「誰が・いつ・どのAPI操作をしたか」を記録する監査証跡のサービス。マネジメントコンソール・CLI・SDK からの操作はすべてAPI呼び出しなので、それらを漏れなく記録します。「不正操作の調査」「変更の証拠」に使います。
- AWS Config … AWSリソースの構成（設定）の変化を追跡し、その履歴を残すサービス。さらに「S3バケットは暗号化されているべき」といったルールに沿っているか（コンプライアンス）を継続的に評価できます。
CloudWatch・CloudTrail・Config は名前が似ていますが、見ているものが違います。
読んでみよう
試験では「操作した人を特定したい→CloudTrail」「設定が基準に沿っているか確認→Config」「CPUの監視→CloudWatch」の対応で解けます。この3点セットで覚えましょう。