マルチアカウント管理と AWS Control Tower

AWS Control Tower を使用したランディングゾーンの設定

AWS Control Tower を使用すると、ベストプラクティスで推奨されているマルチアカウント構成を実装できます。例えば、ポリシー (ガードレール) を一元的に適用し、AWS CloudTrail ログを指定されたログアーカイブアカウントに一元化し保護する等です。

マルチアカウントと組織構造

ワークロードを複数のアカウントに分割し、すべてのアカウントをサポートするコアアカウント群 (ログアーカイブ、監査、バックアップ、ネットワークなど) と、事業部門またはワークロードごとの開発-テスト-本番環境のアカウント群を設定してください。様々なワークロードがひとつの本番アカウントに存在しているような場合は、潜在的なセキュリティインシデントの影響範囲を限定させるために、ワークロードを別々のアカウントに移行する作業を始めてください。

組織の委任管理

AWS Control Tower は AWS Organizations を使用して、複数のサービスと統合されており管理の委任をサポートしています。例えば、以下のセキュリティサービスです。そのため、セキュリティチームはセキュリティアカウントから組織全体のセキュリティとコンプライアンスを管理できます。詳細は、AWS のサービス で使用できる AWS Organizations をご確認ください

  • AWS Security Hub
  • Amazon GuardDuty
  • Amazon Macie
  • Amazon Detective
  • AWS Firewall Manager
  • AWS IAM Access Analyzer
  • Amazon Inspector
  • AWS Audit Manager
  • Amazon Security Lake

既存の組織への AWS Control Tower の導入

既存の組織がある場合でも、AWS Control Tower を有効にすることができます。

単一アカウントから Control Tower を使用した組織への移行

すべてをひとつのアカウントで管理している場合は、新しいアカウントで Control Tower をセットアップし、そのアカウントを組織に追加してください。管理アカウント (組織ルート) は SCP の影響を受けず、頻繁にアクセスすべきではないため、ワークロードがあるアカウントで AWS Control Tower を設定することは推奨されません。

主なリスクと軽減

  • ログの生成と保存が安全でない場合、攻撃者がログを破壊したり無効にしたりする可能性があり、原因の分析と特定が著しく困難になります。
  • ワークロードがマルチアカウント構造に分離されていない場合、被害の影響範囲が広がります。
  • 単一アカウントで Control Tower を使用している場合、サービスコントロールポリシーを使用できないため、アカウントの認証情報が許可するポリシー範囲に追加の制限がありません。実験段階を終え、本番ワークロードへ移行した場合は、組織が必要不可欠です。

評価のガイダンス

  • AWS Control Tower を実装していますか?
  • ワークロードを複数のアカウントに分離していますか?
  • 組織内で大部分のワークロードが集中している特定のアカウントはありますか?

料金

追加の柔軟性やアカウントのカスタマイズが必要なため AWS Control Tower を有効にできない場合は、Landing Zone Accelerator on AWS のソリューションを活用できます

AWS BlackBelt Online Seminar

PDF / 動画

PDF / 動画

PDF / 動画