AWS Config

Qué es: AWS Config registra cómo está configurado cada recurso y cada cambio en el tiempo, y evalúa si cumple tus reglas.

• Historial de configuración: para cada recurso guarda una línea de tiempo con su configuración y sus relaciones. Responde “¿cómo estaba este grupo de seguridad el martes?”.
• Reglas: AWS trae reglas administradas, como “todo volumen EBS debe estar cifrado” o “ningún bucket debe ser público”. Config marca cada recurso como conforme (compliant) o no conforme.
• Precio: activas un grabador (recorder) y pagas por elemento de configuración registrado y por evaluación de regla.

Analogía: el inspector que pasa por la obra cada vez que algo cambia, toma una foto y la compara con el reglamento. Dónde falla la analogía: el inspector puede detener la obra. Config solo marca lo que no cumple; corregirlo exige una acción de remediación que configuras tú.

Ejemplo real: Boletos Faro activa la regla de volúmenes EBS cifrados. Un desarrollador crea uno sin cifrar y Config lo marca como no conforme en minutos. Quién lo creó lo dice CloudTrail.

Úsalo cuando: debas vigilar el cumplimiento de forma continua o ver la historia de configuración de un recurso. No lo uses cuando: busques métricas de rendimiento (CloudWatch).