変更要約: in-scope サービス網羅: Control Tower, Service Catalog, AWS Proton を s2 に、OpsWorks, License Manager, EC2 Image Builder を s3 に追記
2.3構成管理（Systems Manager・Config）
実行環境の構成管理——Systems Manager（Parameter Store／State Manager／Patch Manager）、AWS Config（構成評価）、Elastic Beanstalk——を理解します。望ましい状態を維持し、逸脱を是正します。
IaC で作った後も、構成は変化します。Systems Manager や Config で望ましい状態を維持し、逸脱を検出・是正します。
2.3.1構成管理のサービス
- Parameter Store：設定値や機密情報（SecureString）を一元管理する。
- State Manager / Patch Manager：インスタンスを望ましい状態に維持し、OS パッチを自動適用。
- AWS Config：リソース構成をルールで継続評価し、逸脱を検出・記録（自動修復と連携）。
- Elastic Beanstalk：アプリのデプロイ/容量/監視を抽象化したプラットフォーム。
「設定/機密の一元管理＝Parameter Store（SecureString）」「望ましい状態維持＝State Manager」「OS パッチ自動適用＝Patch Manager」「構成コンプライアンス評価/逸脱検出＝AWS Config」「アプリ基盤の抽象化＝Elastic Beanstalk」 は DOP-C02 で頻出です。Config ルール違反は EventBridge＋Lambda/SSM Automation で自動修復します。
パスワードのローテーションが必要な機密は Secrets Manager、単純な設定値や少量の機密は Parameter Store（SecureString）が手軽です。
DOP-C02 の構成管理は「逸脱の検出から自動是正までを閉ループにする」発想が問われます。AWS Config はリソースを構成項目として記録し、マネージドルールや Lambda カスタムルールで準拠を評価、違反時には 修復アクション（SSM Automation ドキュメント）を紐づけて自動是正します。組織横断では Config アグリゲータで複数アカウント/リージョンの準拠状況を 1 か所に集約し、Conformance Pack（適合パック）でルール群をまとめて配布します。Systems Manager 側では、State Manager の関連付け（association）でエージェント設定やドメイン参加などの「望ましい状態」を定期適用し、Patch Manager は パッチベースラインとメンテナンスウィンドウでパッチ適用を統制、Automation ランブックで多段の運用（AMI 作成、隔離、復旧）を冪等に実行します。シークレットは、ローテーションが要るDB認証情報＝Secrets Manager（Lambda ローテーション）、単純な設定値や階層的パラメータ＝Parameter Store と使い分けます。アプリ基盤を抽象化したい場合は Elastic Beanstalk（環境のバージョン管理・.ebextensions・Immutable/Rolling デプロイ）が選択肢になりますが、細かい制御が要るなら素の IaC＋CodeDeploy を選びます。自動修復の定番は「Config 非準拠 → EventBridge → Lambda/SSM Automation」です。
| 用途 | サービス/機能 | 要点 |
|---|---|---|
| 設定値・階層パラメータ | Parameter Store | SecureString・無料枠・軽量 |
| ローテーション要の機密 | Secrets Manager | Lambda ローテーション・DB 認証情報 |
| 望ましい状態の維持/パッチ | State Manager / Patch Manager | 関連付け・ベースライン・メンテナンスウィンドウ |
| 構成コンプライアンス | AWS Config | ルール評価＋修復アクション・アグリゲータ |
シナリオ：「S3 バケットの公開アクセスを禁止」を組織全体で強制し、違反を見つけたら自動で直したい。→ AWS Config マネージドルール（s3-bucket-public-read/write-prohibited）を Conformance Pack か StackSets で全アカウントへ配布。違反検出時は 修復アクション（SSM Automation）でパブリックアクセスブロックを有効化。準拠状況は Config アグリゲータで集約し、ダッシュボードで一望します。
FAQ：Parameter Store と Secrets Manager の使い分けは？ 自動ローテーション（DB パスワード等）が要るなら Secrets Manager（有料・Lambda でローテーション）。単純な設定値や少量の機密で十分なら Parameter Store の SecureString（標準は無料・軽量）。Parameter Store からは Secrets Manager のシークレットも参照でき、両者は併用できます。
ひっかけ：AWS Config は構成の評価・記録・(設定すれば)修復を担いますが、「誰が API を呼んだか」の監査は CloudTrail の役割です。両者を取り違えないこと。また Config 単体では自動修正しません——修復アクションや EventBridge＋Lambda/SSM を併せて初めて閉ループになります。
2.3.2構成管理・イメージ管理を補完するサービス
構成管理の文脈で DOP-C02 の in-scope に含まれるサービスとして、Chef/Puppet ベースの構成管理（OpsWorks）・ライセンス管理（License Manager）・ゴールデン AMI の自動生成（EC2 Image Builder）があります。
OpsWorks は Chef または Puppet をマネージドで動かすサービスで、サーバーの構成（パッケージのインストール・サービス起動・アプリのデプロイ）をコードとして管理します。OpsWorks for Chef Automate と OpsWorks for Puppet Enterprise の 2 種類があります。DevOps 文脈での役割は「既存の Chef/Puppet のレシピやマニフェストを活かした構成管理」です。構成管理の主流は Systems Manager（State Manager/Automation）や IaC（CloudFormation/CDK）です。※AWS OpsWorks（Stacks／Chef Automate／Puppet Enterprise）は 2024 年 5 月 26 日に提供終了（EOL）しており、新規・既存とも Systems Manager や IaC、あるいは自前運用の Chef/Puppet への移行が必要です。
License Manager はソフトウェアライセンス（BYOL：Bring Your Own License）を一元管理するサービスです。ライセンスルールを定義してコア数・ソケット数・インスタンス数の上限超過を防止し、専有ホスト（Dedicated Hosts）との連携や利用状況のレポート機能を持ちます。DevOps 文脈では「ソフトウェアライセンスのコンプライアンスを自動的に強制・可視化する」ときに選びます。License Manager のルールは AMI 起動時のライセンス数制御にも使えます。
EC2 Image Builder はゴールデン AMI およびコンテナイメージの作成・テスト・配布を自動化するサービスです。イメージパイプラインでビルド→テスト→複数リージョン配布まで一連の工程を定義でき、ベースパッチ適用・CIS ベンチマーク対応・脆弱性スキャンをパイプラインに組み込めます。DevOps 文脈での役割は不変インフラ（Immutable Infrastructure）のイメージ焼き込み工程の自動化で、定期実行によって強化済みのイメージを最新状態に保てます。IaC（CloudFormation/CDK）の構成管理と組み合わせると、インフラのイメージ層とスタック層の両面を自動化できます。
| サービス | DevOps での役割 | いつ選ぶか |
|---|---|---|
| ==OpsWorks== | Chef/Puppet によるサーバー構成管理 | 既存 Chef/Puppet ワークフローを活かす |
| ==License Manager== | BYOL ライセンスの上限管理・コンプライアンス | ライセンス違反の自動防止・利用可視化 |
| ==EC2 Image Builder== | ゴールデン AMI/コンテナイメージを自動生成・配布 | 不変インフラのイメージ最新化・セキュリティ強化 |
「Chef/Puppet マネージド構成管理＝OpsWorks」「BYOL ライセンス上限の自動強制＝License Manager」「ゴールデン AMI の自動パイプライン＝EC2 Image Builder」 は DOP-C02 の in-scope です。EC2 Image Builder は Patch Manager と組み合わせて「イメージ生成時にパッチ済み」にする構成が試験で問われます。OpsWorks は新規ではなく既存 Chef/Puppet 前提の文脈で登場することが多いです。
2.3.3この節のまとめ
- SSM＝Parameter Store／State Manager／Patch Manager
- 評価＝AWS Config（ルール＋自動修復）／基盤＝Elastic Beanstalk
- 補完＝OpsWorks（Chef/Puppet）／License Manager（ライセンス）／EC2 Image Builder（ゴールデン AMI）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 多数の EC2 の OS パッチを、メンテナンスウィンドウに沿って自動適用したい。Systems Manager の何を使いますか？
Q2. アプリの設定値や接続情報（機密含む）を一元管理し、コードに埋め込まず参照したい。手軽な選択肢はどれですか？
Q3. リソース構成が定めたルール（例: EBS は暗号化必須）に継続的に準拠しているか評価したい。何を使いますか？