AWS Control Tower

は、AWS のベストプラクティスに沿った安全なマルチアカウント環境をセットアップし、継続的に統制するサービスです。SAA では、を直接組み立てる場合との違い、ランディングゾーン、コントロール、Account Factory を判断します。

概要

は、、などを組み合わせ、標準化されたマルチアカウント環境を構築します。この環境をランディングゾーンと呼びます。アカウント作成、ログ集約、監査、アクセス管理の初期構成を一貫してそろえられます。

主要技術

①ランディングゾーン

ランディングゾーンは、、アカウント、ユーザー、ログ、監査設定を含むマルチアカウントの基盤です。既存の環境へ導入し、既存アカウントを登録することもできます。

②コントロール ⚠️ 頻出

種類	役割	判断ポイント
予防的	禁止操作を未然に防ぐ	などで操作を制限します。
検出的	違反状態を検出する	構成を評価し、非準拠を可視化します。
プロアクティブ	作成前に構成を確認する	による作成を事前評価します。

③Account Factory

Account Factory は、承認済みテンプレートから新しい AWS アカウントを払い出す機能です。、ネットワーク、アクセス設定などを標準化し、手作業による設定漏れを減らします。

④ドリフトとダッシュボード

管理対象設定が推奨状態から外れることをドリフトと呼びます。ダッシュボードでは、登録アカウント、適用コントロール、非準拠リソースを集約して確認できます。

が管理するをのコンソールで直接書き換えたり、登録済みのアカウントを Organizations 側で別のへ移したりすると、ドリフトになります。ドリフトは Control Tower 側で解消します (OU の再登録、アカウントの更新、ランディングゾーンの修復など)。以後の変更は Organizations を直接操作せず、Control Tower のコントロールや Account Factory を通して行います。

⑤ランディングゾーンの共有アカウントとリージョン拒否

ランディングゾーンを作ると、Security にログ用と監査用の共有アカウントが用意され、全アカウントのとのログがログアーカイブアカウントへ集約されます。拒否のコントロールを有効にすると、許可したリージョン以外での操作をで拒否できます。グローバルサービスの除外もコントロール側で扱われます。

試験対策

要件	選ぶサービス
安全なマルチアカウント基盤を迅速に構築
とを細かく直接管理
標準テンプレートでアカウントを払い出す	Account Factory
複数アカウントへの従業員アクセス

Control Tower は Organizations を置き換えるのではなく、その上で複数サービスをします。「新しいアカウントを標準化し、継続的なも行う」が選定キーワードです。