AWS Control Towerで、マルチアカウントのガバナンス管理

AWS Control Towerとは

AWS Control Tower を利用することで、ベストプラクティスに沿ったマルチアカウント管理環境を作成できることが出来るようになります。

ベストプラクティスのブループリントに基づいたランディングゾーンを確立し、
事前にパッケージ化されたリストから選択できるコントロールを使用してガバナンスを実現します。

ランディングゾーンは、AWS のベストプラクティスに従って、適切に設計されたマルチアカウントのベースラインです。
コントロールは、セキュリティ、コンプライアンス、および運用のためのガバナンスルールを実装します。

AWS Control Tower 基礎編【AWS Black Belt】

AWS Control Towerは、AWS Organizationなど色々なAWSのサービスをベストプラクティスに沿った設定にします。

AWS Control Tower 基礎編【AWS Black Belt】

セキュリティ、オペレーション、コンプライアンス向けの事前にパッケージされたガバナンスルールです。

予防的ガードレール	対象の操作を実施できないようにする AWS OrganizationsのSCPで実装されます
発見的ガードレール	望ましくない操作を⾏なった場合に発⾒する AWS Config Rules で実装、AWS Security Hub と連携
プロアクティブコントロール	ルールに沿ったリソースのみを作成可能にする AWS CloudFormation Hooks で実装

AWS Control Tower 基礎編【AWS Black Belt】

AWS Control Tower 基礎編【AWS Black Belt】

AWS Control Tower 基礎編【AWS Black Belt】

管理アカウント Management Account	・AWS Control Towerの設定を行うアカウント・AWS Organizationsの管理アカウントと同じアカウント・コントロールの有効化、権限管理を実施
ログアーカイブアカウント Log archive Account	・AWS Control Towerを有効化した際に作成されるアカウント・AWS CloudTrailとAWS Configのログを一元管理されたAmazon S3バケットに保存
監査アカウント Audit Account	・AWS Control Towerを有効化した際に作成されるアカウント・セキュリティーチームやコンプライアンスチームが利用するアカウント・アカウント内の変更を監視して通知を送信するようにアラームを設定
メンバーアカウント	・AWS Control Towerに登録されたアカウント・AWS Control Towerで有効化したコントロールが設定された状態となっている

Control TowerではAWS SSOが構築され、ここから各アカウントへアクセスが可能です。
例えばActive DirectoryやAzureAD、OktaやOneLogin等のIDaaSがあります。

Amazon S3 バケットへのパブリック読み取りアクセスが許可されているかどうかを検出する

リージョン制限

「ランディングゾーンの設定」ボタンをクリックします。