AWS Control Towerによるランディングゾーン

数十個のアカウントを手作業で作成すると、構成にばらつきが生じ、安全性も低下します。ランディングゾーンとは、初日からセキュリティとガバナンスを組み込んだ、適切に設計されたマルチアカウント環境です。

AWS Control Towerは、ランディングゾーンの作成とガバナンスを自動化するため、すべてのアカウントを同じ安全なベースラインから開始できます。

Control Tower は複数のサービスをオーケストレーションし、ガバナンスが適用された1つの環境にまとめます。

• アカウント構造にはAWS Organizations。
• サインインにはIAM Identity Center。
• ログ記録とコンプライアンスにはCloudTrail and Config。

これらは適切なデフォルト設定で自動的に連携されます。

Control Tower は、次のベースライン構造を設定します。

• 最上位にある管理アカウント。
• CloudTrail と Config のログを一元化するLog Archiveアカウント。
• アカウント間のセキュリティアクセスに使用するAudit (Security)アカウント。

この分離により、ログとセキュリティツールをワークロードから切り離せます。

Control Tower はガードレール（コントロールとも呼ばれます）によってガバナンスを適用します。

• 予防的ガードレールは SCP を使用して、許可されていないアクションをブロックします。
• 検出的ガードレールは Config ルールを使用して、非準拠のリソースを検出します。
• プロアクティブガードレールは、デプロイ前にリソースをチェックします。

ガードレールには、必須、強く推奨、または選択式のラベルが付けられます。

Account Factoryは、Control Tower で新しいアカウントをプロビジョニングするためのテンプレート方式です。

新しいアカウントは自動的に適切な組織単位に配置され、ガードレールを継承し、一元化されたログ記録に登録されます。多くの場合はセルフサービスカタログを通じて、チームはセキュリティ設定を手作業で行わずに、準拠したアカウントを取得できます。

Control Tower は、アカウントをOU（組織単位）に整理します。OU は、ProductionやSandboxのように目的ごとにアカウントをグループ化します。

ガードレールは OU レベルで適用されるため、OU 内のすべてのアカウントが同じコントロールを継承します。これにより、ポリシーの一貫性が保たれ、理解しやすくなります。

Control Tower のダッシュボードには、ランディングゾーン全体のコンプライアンス状況が表示され、ドリフト（誰かが Control Tower の外部で管理対象の設定を変更した状態）が検出されます。

たとえば SCP が直接編集された場合、Control Tower はドリフトを報告するため、意図したベースラインを再適用できます。

Organizations と SCP を直接使用してマルチアカウント構成を構築することもできますが、Control Tower は連携設定を代わりに行い、一貫性を維持します。

• 手動構成は完全な制御が可能ですが、作業量が多く、抜け漏れのリスクも高くなります。
• Control Tower は、迅速で方針が明確な、適切に設計されたベースラインを提供します。

Control Tower のカスタマイズ（CfCT）と Account Factory for Terraform を使用すると、すべての新しいアカウントに適用する独自のリソースや設定を追加して、ベースラインを拡張できます。

これにより、Control Tower のガードレールと、ベースライン IAM ロールやネットワーク設定など、組織固有の要件を組み合わせられます。

Control Tower の Audit アカウントはアカウント間のセキュリティアクセス用に事前設定されているため、GuardDuty、Security Hub、Config の委任された管理者を配置するのに適しています。

初日からログ記録と監査が一元化されているため、組織全体の脅威検出とコンプライアンスを、後から追加するのではなく簡単に組み込めます。

セキュリティのベストプラクティスを組み込んだ状態で、多数のアカウントを迅速に構築してガバナンスを適用する必要がある場合は、Control Tower を選択します。

試験では、「ガードレールと一元化されたログ記録を備えた安全なマルチアカウントのベースラインを確立する」という記述が AWS Control Tower の強い手がかりになります。

AWS Control Towerがガバナンスの適用されたランディングゾーンを構築する仕組みを学びました。

• Organizations、Identity Center、CloudTrail、Config をオーケストレーションします。
• ガードレール（予防的、検出的、プロアクティブ）により、OU 単位でポリシーを適用します。
• Account Factoryは準拠したアカウントをプロビジョニングし、ドリフトを検出します。