AWS Control Towerでマルチアカウントのガバナンスを実現する - ランディングゾーンとコントロール

どうも、Shinyaです。この記事では、AWSのマルチアカウント環境におけるガバナンスを実現するAWS Control Towerについて解説します。ランディングゾーンの概念、コントロール（ガードレール）によるポリシー適用、ダッシュボードによるコンプライアンスの監視について整理します。

AWS Control Towerとは​

AWS Control Towerは、AWS Organizationsと連携してマルチアカウント環境のガバナンスを自動化・標準化するサービスです。組織の規模が拡大しAWSアカウントが増えてくると、個々のアカウントがセキュリティやコンプライアンスなどのガバナンスルールに準拠しているかを一元的に統制する必要があります。

AWS Control Towerは、この課題に対して以下の機能を提供します。

• 事前設定したアカウントテンプレートによる一貫性のあるAWSアカウント作成の自動化
• コントロール（ガードレール）によるポリシーの適用
• ダッシュボードによるコンプライアンスの継続的なモニタリング

ランディングゾーン​

ランディングゾーンは、AWS Control Towerによって自動構成されるマルチアカウント環境の基盤です。ランディングゾーンには、セキュリティやログ管理のためのアカウント、OU構成、基本的なコントロールが含まれており、ベストプラクティスに基づいたマルチアカウント環境が自動的にセットアップされます。

ランディングゾーンの主な構成要素は以下の通りです。

構成要素	説明
管理アカウント	Control Towerの管理とOrganizationsのルートアカウント
ログアーカイブアカウント	すべてのアカウントのAPIログ（CloudTrail）を集約
監査アカウント	セキュリティ監査とコンプライアンス確認用
基本OU	Security OU（ログ・監査用）やSandbox OU（検証用）が自動作成

コントロール（ガードレール）​

コントロールは、ランディングゾーン内のAWSアカウントに対してガバナンスルールを適用する機能です。コントロールには予防コントロールと検出コントロールの2種類があります。

予防コントロール​

予防コントロールは、ガバナンスルールに違反する操作を事前に防止するコントロールです。SCPを使用して実装されており、非準拠の操作が実行される前にブロックします。

例: S3バケットのパブリックアクセスを禁止、特定リージョン以外でのリソース作成を禁止

検出コントロール​

検出コントロールは、ガバナンスルールに違反する状態を検出するコントロールです。AWS Configルールを使用して実装されており、非準拠のリソースが存在する場合にアラートを発生させます。

例: MFAが有効になっていないIAMユーザーの検出、暗号化されていないEBSボリュームの検出

ダッシュボード​

AWS Control Towerのダッシュボードでは、ランディングゾーン内のすべてのAWSアカウントのコンプライアンス状態を一元的に確認できます。ポリシー違反のアカウントが存在する場合はフィルタリングによる検知が可能で、非準拠の項目に対して必要なコントロールを追加適用することもできます。

まとめ​

この記事では、AWS Control Towerの基本的な仕組みについて解説しました。AWS Control Towerは、ランディングゾーンによる標準化されたマルチアカウント環境の構築、予防・検出コントロールによるガバナンスルールの適用、ダッシュボードによるコンプライアンスの継続的な監視を提供するサービスです。AWS Organizationsと組み合わせることで、組織のガバナンスルールに準拠したアカウント管理を自動化できます。

---

参考リンク:

• AWS Control Tower公式ドキュメント
• ランディングゾーンの計画