AWS Control Tower のランディングゾーンのカスタマイズ

セットアップ時にカスタマイズした名前を選択する

• セットアップ時に最上位の OU 名を選択できます。 AWS Organizations コンソールを使用していつでも OUs の名前を変更できますが、 で OUs を変更すると、修復可能なドリフト が発生する AWS Organizations 可能性があります。

• 共有の [Audit] (監査) および [Log Archive] (ログアーカイブ) アカウントの名前を選択できますが、セットアップ後に名前を変更することはできません (これは 1 回限りの選択です)。

AWS リージョンの選択

• ガバナンスの対象となる特定の AWS リージョンを選択することで、ランディングゾーンをカスタマイズできます。AWS Control Tower コンソールの手順に従います。

• ランディングゾーンを更新するときに、ガバナンスの AWS リージョンを選択および選択解除できます。

• リージョン拒否コントロールを有効 または有効でない に設定し、管理されていない AWS リージョンのほとんどの AWS サービスへのユーザーアクセスを制御できます。

オプションのコントロールを追加してカスタマイズする

• 強く推奨されるコントロールと選択的コントロールはオプションです。つまり、有効にするコントロールを選択することで、ランディングゾーンの強制レベルをカスタマイズできます。オプションコントロールはデフォルトでは有効になっていません。

• オプションのデータレジデンシーコントロールを使用すると、データを保存してアクセスを許可するリージョンをカスタマイズできます。

• 統合された Security Hub スタンダードに含まれているオプションのコントロールにより、AWS Control Tower 環境をスキャンしてセキュリティリスクをチェックできます。

• オプションのプロアクティブコントロールを使用すると、プロビジョニング前に AWS CloudFormation リソースをチェックして、新しいリソースが環境のコントロール目標に準拠していることを確認できます。

AWS CloudTrail 証跡をカスタマイズする

• ランディングゾーンをバージョン 3.0 以降に更新する場合、AWS Control Tower によって管理される組織レベルの CloudTrail 証跡をオプトインまたはオプトアウトできます。この選択は、ランディングゾーンを更新するたびに変更できます。AWS Control Tower は管理アカウントに組織レベルの証跡を作成し、その証跡のステータスはユーザーの選択に基づいてアクティブまたは非アクティブのどちらかになります。ランディングゾーン 3.0 はアカウントレベルの CloudTrail 証跡をサポートしていませんが、これらが必要な場合は、独自の証跡を設定および管理できます。証跡が重複すると、追加料金が発生する場合があります。

コンソールでカスタマイズされたメンバーアカウントを作成する

• AWS Control Tower コンソールから、カスタマイズされた AWS Control Tower メンバーアカウントを作成したり、既存のメンバーアカウントを更新してカスタム設定を追加したりできます。詳細については、「Account Factory Customization (AFC) を使用したアカウントのカスタマイズ」を参照してください。

• Account Factory for Terraform (AFT) を使用して、プロビジョニング中に GitOpsスタイルのワークフローでアカウントをカスタマイズできます。

  AFT は、AFT リポジトリで使用可能な Terraform モジュールでデプロイされます。

• テンプレート AWS CloudFormation とサービスコントロールポリシー (SCP) に基づいて構築された機能のパッケージである AWS Control Tower のカスタマイズ (CfCT) を使用して、AWS Control Tower ランディングゾーンをカスタマイズできます。 CfCT SCPs カスタムのテンプレートとポリシーを組織内の個々のアカウントと組織単位 (OU) にデプロイできます。

  CfCT のソースコードは、GitHub リポジトリ にあります。

利点

• カスタマイズされた安全な AWS 環境を拡張する – マルチアカウント AWS Control Tower 環境をより迅速に拡張し、 AWS ベストプラクティスを反復可能なカスタマイズワークフローに組み込むことができます。

• 要件のインスタンス化 – ポリシーの意図を表す AWS CloudFormation テンプレートとサービスコントロールポリシーを使用して、ビジネス要件に合わせて AWS Control Tower ランディングゾーンをカスタマイズできます。

• AWS Control Tower のライフサイクルイベントで自動化を進める — ライフサイクルイベントを使用すると、以前の一連のイベントの完了に基づいてリソースをデプロイできます。ライフサイクルイベントを使用して、アカウントや OU にリソースを自動的にデプロイできます。

• ネットワークアーキテクチャを拡張する - トランジットゲートウェイなど、接続性を向上させて保護するカスタマイズされたネットワークアーキテクチャをデプロイできます。

• Customizations for AWS Control Tower (CfCT ) を使用したネットワークユースケースの例は、 AWS 「Service Catalog を使用した一貫した DNS のデプロイ」および「AWS Control Tower のカスタマイズ」というブログ記事に記載されています。

• CfCT と Amazon に関連する GuardDuty特定の例は、リポジトリ の aws-samples GitHub で利用できます。

• CfCT に関するその他のコード例は、aws-samples リポジトリの AWS セキュリティリファレンスアーキテクチャの一部として入手できます。これらの例の多くで、サンプルの manifest.yaml ファイルが customizations_for_aws_control_tower という名前のディレクトリに含まれています。