コントロールの制限事項

新しいコントロールリファレンスガイド

Control Tower AWS コントロールに関する情報は、「 Control Tower AWS コントロールリファレンスガイド」に移動されました。

などの AWS Control Tower リソースを変更したりSCP、Config レコーダーやアグリゲータなどの AWS Config リソースを削除したりすると、AWSControl Tower はコントロールが設計どおりに機能していることを保証できなくなります。このため、マルチアカウント環境のセキュリティが危険にさらされる可能性があります。セキュリティ AWS の責任共有モデルは、お客様が行う可能性のある変更に適用されます。

注記

AWS Control Tower は、ランディングゾーンを更新するときにコントロールSCPsの を標準設定にリセットすることで、環境の整合性を維持するのに役立ちます。に加えた変更はSCPs、設計上、コントロールの標準バージョンに置き換えられます。

AWS Control Tower の一部のコントロールは、Control Tower AWS AWS リージョン が利用可能な特定の で動作しません。これらのリージョンは、必要な基盤となる機能をサポートしていないためです。この制限は、Security Hub サービスマネージドスタンダード: AWS Control Tower の特定の検出コントロール、特定のプロアクティブコントロール、および特定のコントロールに影響します。リージョンの可用性の詳細については、リージョナルサービスリストのドキュメントと Security Hub コントロールのリファレンスドキュメントを参照してください。

混合ガバナンスの場合、コントロールの動作も制限されます。詳細については、「リージョンを設定する際は混合ガバナンスを避ける」を参照してください。

AWS Control Tower がリージョンとコントロールの制限を管理する方法の詳細については、「」を参照してくださいAWS オプトインリージョンをアクティブ化する際の注意事項。

利用可能なコントロールとリージョンを見つける方法

AWS Control Tower コンソールで、各コントロールで使用可能なリージョンを表示できます。 AWS Control Catalog ListControlsAPIsから GetControlおよび を使用して、利用可能なリージョンをプログラムで表示できます。

Control Tower AWS コントロールリファレンスガイドの「Control Tower コントロールとサポートされているリージョン」のリファレンステーブル、「リージョン 別のコントロールの可用性」も参照してください。 AWS

注記

コントロールとリージョンのサポートに関する最新情報については、 GetControl および ListControlsAPIオペレーションを呼び出すことをお勧めします。

以下はプロアクティブコントロールをサポート AWS リージョン していません。

• カナダ西部 (カルガリー)

次の表は、特定の AWS リージョンでサポートされていないプロアクティブコントロールを示しています。

コントロール識別子	サポートされていないリージョン
CT.REDSHIFT.PR.5	ap-southeast-4、ap-south-2、ap-southeast-3、eu-central-2、eu-south-2、il-central-1、me-central-1
CT.DAX.PR.2	us-west-1
CT.GLUE.PR.2	サポートされていません

次の表は、特定の でサポートされていない AWS Control Tower 検出コントロールを示しています AWS リージョン。

コントロール識別子	サポートされていないリージョン
AWS-GR_AUTOSCALING_LAUNCH_CONFIG_PUBLIC_IP_DISABLED	ap-northeast-3、ap-southeast-3、il-central-1、ap-southeast-4、ca-west-1
AWS-GR_LAMBDA_FUNCTION_PUBLIC_ACCESS_PROHIBITED	eu-south-2
AWS-GR_EMR_MASTER_NO_PUBLIC_IP	ap-northeast-3、ap-southeast-3、af-south-1、eu-south-1、il-central-1、me-central-1、eu-south-2、ap-south-2、eu-central-2、ap-southeast-4、ca-west-1
AWS-GR_EBS_SNAPSHOT_PUBLIC_RESTORABLE_CHECK	eu-south-2
AWS-GR_NO_UNRESTRICTED_ROUTE_TO_IGW	ap-northeast-3、ap-southeast-3、ap-south-2、eu-south-2、ca-west-1
AWS-GR_SAGEMAKER_NOTEBOOK_NO_DIRECT_INTERNET_ACCESS	ap-northeast-3、ap-southeast-3、af-south-1、eu-south-1、il-central-1、me-central-1、eu-south-2、ap-south-2、eu-central-2、ap-southeast-4、ca-west-1
AWS-GR_EC2_INSTANCE_NO_PUBLIC_IP	ap-northeast-3
AWS-GR_EKS_ENDPOINT_NO_PUBLIC_ACCESS	ap-northeast-3、ap-southeast-3、af-south-1、eu-south-1、us-west-1、il-central-1、me-central-1、eu-south-2、ap-south-2、eu-central-2、ap-southeast-4、ca-west-1
AWS-GR_ELASTICSEARCH_IN_VPC_ONLY	ap-southeast-3、il-central-1、eu-south-2、ap-south-2、eu-central-2、ap-southeast-4、ca-west-1
AWS-GR_RESTRICTED_SSH	af-south-1、ap-northeast-3, ap-south-2、ap-southeast-3、ap-southeast-4、eu-central-2、eu-south-1、eu-south-2、il-central-1、me-central-1
AWS-GR_DMS_REPLICATION_NOT_PUBLIC	af-south-1、ap-south-2、ap-southeast-3、ap-southeast-4、eu-central-2、eu-south-1、eu-south-2、il-central-1、me-central-1、ca-west-1
AWS-GR_RDS_SNAPSHOTS_PUBLIC_PROHIBITED	af-south-1、ap-southeast-4、eu-central-2、eu-south-1、eu-south-2、il-central-1
AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED	ap-northeast-3
AWS-GR_ENCRYPTED_VOLUMES	af-south-1、ap-northeast-3、eu-south-1、il-central-1
AWS-GR_RESTRICTED_COMMON_PORTS	af-south-1、ap-northeast-3、eu-central-2、eu-south-1、eu-south-2、il-central-1、me-central-1
AWS-GR_IAM_USER_MFA_ENABLED	il-central-1、me-central-1、eu-south-2、ap-south-2、eu-central-2、ap-southeast-4、ca-west-1
AWS-GR_MFA_ENABLED_FOR_IAM_CONSOLE_ACCESS	il-central-1、me-central-1、eu-south-2、ap-south-2、eu-central-2、ap-southeast-4、ca-west-1
AWS-GR_SSM_DOCUMENT_NOT_PUBLIC	il-central-1、ca-west-1
AWS-GR_ROOT_ACCOUNT_MFA_ENABLED	il-central-1、me-central-1、ca-west-1
AWS-GR_S3_ACCOUNT_LEVEL_PUBLIC_ACCESS_BLOCKS_PERIODIC	il-central-1、eu-south-2、eu-central-2
AWS-GR_RDS_STORAGE_ENCRYPTED	eu-central-2、eu-south-2
AWS-GR_RDS_INSTANCE_PUBLIC_ACCESS_CHECK	ap-south-2、eu-south-2
AWS-GR_REDSHIFT_CLUSTER_PUBLIC_ACCESS_CHECK	ap-south-2、ap-southeast-3、eu-south-2、ca-west-1
AWS-GR_EC2_VOLUME_INUSE_CHECK	ca-west-1
AWS-GR_EBS_OPTIMIZED_INSTANCE	ca-west-1