ステップ 1: チケットを使用してカスタマーサポートに連絡し、アカウントを AWS Control Tower の許可リストに追加するステップ 2: メンバーアカウントに新しい IAM ロールを作成するステップ 3: 既存のリソースがある AWS リージョンを特定するステップ 4: AWS Config リソースがない AWS リージョンを特定するステップ 5: AWS リージョンごとの既存のリソースを変更するステップ 5a. AWS Config recorder リソースステップ 5b。 AWS Config 配信チャネルリソースの変更ステップ 5c。 AWS Config 集約認可リソースの変更ステップ 6: AWS Control Tower が管理するリージョンで、リソースが存在しない場所にリソースを作成するステップ 7: OU を AWS Control Tower に登録する

既存の AWS Config リソースを持つアカウントを登録する

このトピックでは、既存の AWS Config リソースを持つアカウントを登録する方法 step-by-step を説明します。既存のリソースを確認する方法の例については、「リソースステータスの AWS Config CLI コマンドの例」を参照してください。

注記

既存の AWS アカウントを監査アカウントとログアーカイブアカウントとして AWS Control Tower に持ち込む予定で、それらのアカウントに既存の AWS Config リソースがある場合は、この目的でこれらのアカウントを AWS Control Tower に登録する前に、既存の AWS Config リソースを完全に削除する必要があります。監査アカウントやログアーカイブアカウントにする予定がないアカウントについては、既存の Config リソースを変更できます。

AWS Config リソースの例

アカウントが既に持っている可能性のある AWS Config リソースのタイプをいくつか紹介します。AWS Control Tower にアカウントを登録できるようにするには、これらのリソースの変更が必要になる場合があります。

AWS Config レコーダー
AWS Config 配信チャネル
AWS Config 集約認可

引き受け

AWS Control Tower のランディングゾーンがデプロイ済みであること。
アカウントがまだ AWS Control Tower に登録されていないこと。
アカウントには、管理アカウントによって管理される AWS Control Tower リージョンの少なくとも 1 つに既存の AWS Config リソースが少なくとも 1 つあります。
お客様のアカウントが AWS Control Tower 管理アカウントではないこと。
アカウントでガバナンスドリフトが発生していないこと。

既存の AWS Config リソースにアカウントを登録する自動アプローチを説明するブログについては、「既存の AWS Config リソースを持つアカウントの AWS Control Tower への登録を自動化する」を参照してください。次の「ステップ 1: チケットを使用してカスタマーサポートに連絡し、アカウントを AWS Control Tower の許可リストに追加する」の説明に従って、登録するすべてのアカウントに対して単一のサポートチケットを送信できます。

制約事項

アカウントを登録するには、AWS Control Tower ワークフローを使用してガバナンスを拡張する以外の方法はありません。
リソースが変更され、アカウントにドリフトが生じても、AWS Control Tower はリソースを更新しません。
AWS Config AWS Control Tower によって管理されていないリージョンのリソースは変更されません。

注記

既存の Config リソースを持つアカウントを、許可リストに追加せずに登録しようとすると、登録は失敗します。後で、同じアカウントを許可リストに追加しようとしても、AWS Control Tower はアカウントが正しくプロビジョニングされていることを検証できません。許可リストをリクエストして登録する前に、AWS Control Tower からアカウントをプロビジョニング解除する必要があります。アカウントを別の AWS Control Tower OU に移動しただけでは、ガバナンスドリフトが発生し、アカウントを許可リストに追加できなくなります。

このプロセスには主に次の 5 つのステップがあります。

AWS Control Tower の許可リストにアカウントを追加します。
アカウントで新しい IAM ロールを作成します。
既存の AWS Config リソースを変更します。
リソースが存在しない AWS リージョンに AWS Config リソースを作成します。
AWS Control Tower にアカウントを登録します。

先に進む前に、このプロセスに関する次の期待事項を考慮してください。

AWS Control Tower は、このアカウントに AWS Config リソースを作成しません。
登録後、AWS Control Tower コントロールは、新しい IAM ロールを含め、作成した AWS Config リソースを自動的に保護します。
登録後に AWS Config リソースに変更が加えられた場合は、アカウントを再登録する前に、それらのリソースを AWS Control Tower の設定に合わせて更新する必要があります。

ステップ 1: チケットを使用してカスタマーサポートに連絡し、アカウントを AWS Control Tower の許可リストに追加する

チケットの件名には次の文章を使用してください。

既存の AWS Config リソースを持つアカウントを AWS Control Tower に登録する

チケットの本文に以下の詳細を記載してください。

管理アカウント番号
既存の AWS Config リソースを持つメンバーアカウントのアカウント番号
AWS Control Tower のセットアップで選択したホームリージョン

注記

アカウントを許可リストに追加するのに必要な時間は 2 営業日です。

ステップ 2: メンバーアカウントに新しい IAM ロールを作成する

メンバーアカウントの AWS CloudFormation コンソールを開きます。

次のテンプレートを使用して新しいスタックを作成します。


AWSTemplateFormatVersion: 2010-09-09
Description: Configure AWS Config
    
Resources:
  CustomerCreatedConfigRecorderRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: aws-controltower-ConfigRecorderRole-customer-created
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - config.amazonaws.com
            Action:
              - sts:AssumeRole
      Path: /
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/service-role/AWS_ConfigRole
        - arn:aws:iam::aws:policy/ReadOnlyAccess

スタックの名前を CustomerCreatedConfigRecorderRoleForControlTower として指定します。
スタックを作成します。

注記

作成する SCP は aws-controltower-ConfigRecorderRole* ロールを除外する必要があります。 AWS Config ルールが評価を実行する機能を制限するアクセス許可は変更しないでください。

Config の呼び出しから aws-controltower-ConfigRecorderRole* をブロックする SCP がある場合に AccessDeniedException を受信しないよう、次のガイドラインに従ってください。

ステップ 3: 既存のリソースがある AWS リージョンを特定する

アカウント内の管理対象リージョン (AWS Control Tower 管理対象) ごとに、前述の既存の AWS Config リソースサンプルタイプが少なくとも 1 つあるリージョンを特定し、メモします。

ステップ 4: AWS Config リソースがない AWS リージョンを特定する

アカウント内の管理対象リージョン (AWS Control Tower 管理対象) ごとに、前述の例タイプの AWS Config リソースがないリージョンを特定し、メモします。

ステップ 5: AWS リージョンごとの既存のリソースを変更する

このステップでは、AWS Control Tower のセットアップに関する次の情報が必要です。

LOGGING_ACCOUNT - ロギングアカウント ID
AUDIT_ACCOUNT - 監査アカウント ID
IAM_ROLE_ARN - ステップ 1 で作成された IAM ロールの ARN
ORGANIZATION_ID - 管理アカウントの組織 ID
MEMBER_ACCOUNT_NUMBER - 変更対象のメンバーアカウント
HOME_REGION - AWS Control Tower のセットアップのホームリージョン

次のセクション 5a～5c の指示に従って、既存のリソースを変更します。

ステップ 5a. AWS Config recorder リソース

AWS リージョンごとに存在できる AWS Config レコーダーは 1 つだけです。それが存在する場合は、次のように設定を変更します。ホームリージョンでは項目 GLOBAL_RESOURCE_RECORDING を true に置き換えます。 AWS Config レコーダーが存在する他のリージョンでは、項目を false に置き換えます。

Name: 変更なし
RoleARN: IAM_ROLE_ARN
- RecordingGroup:
- AllSupported： true
- IncludeGlobalResourceTypes: GLOBAL_RESOURCE_RECORDING
- ResourceTypes： 空

この変更は、次のコマンドを使用して AWS CLI から行うことができます。文字列を既存の AWS Config レコーダー名RECORDER_NAMEに置き換えます。



aws configservice put-configuration-recorder --configuration-recorder  name=RECORDER_NAME,roleARN=arn:aws:iam::MEMBER_ACCOUNT_NUMBER:role/aws-controltower-ConfigRecorderRole-customer-created --recording-group allSupported=true,includeGlobalResourceTypes=GLOBAL_RESOURCE_RECORDING --region CURRENT_REGION

ステップ 5b。 AWS Config 配信チャネルリソースの変更

リージョンごとに存在できる AWS Config 配信チャネルは 1 つだけです。2 つ以上存在する場合は、次のように設定を変更します。

Name: 変更なし
ConfigSnapshotDeliveryProperties： TwentyFour_Hours
S3BucketName： AWS Control Tower ログ記録アカウントからのログ記録バケット名

aws-controltower-logs-LOGGING_ACCOUNT-HOME_REGION
S3KeyPrefix: ORGANIZATION_ID
SnsTopicARN: 監査アカウントの SNS トピック ARN で、形式は次のとおりです。

arn:aws:sns:CURRENT_REGION:AUDIT_ACCOUNT:aws-controltower-AllConfigNotifications

この変更は、次のコマンドを使用して AWS CLI から行うことができます。文字列を既存の AWS Config レコーダー名DELIVERY_CHANNEL_NAMEに置き換えます。



aws configservice put-delivery-channel --delivery-channel name=DELIVERY_CHANNEL_NAME,s3BucketName=aws-controltower-logs-LOGGING_ACCOUNT_ID-HOME_REGION,s3KeyPrefix="ORGANIZATION_ID",configSnapshotDeliveryProperties={deliveryFrequency=TwentyFour_Hours},snsTopicARN=arn:aws:sns:CURRENT_REGION:AUDIT_ACCOUNT:aws-controltower-AllConfigNotifications --region CURRENT_REGION

ステップ 5c。 AWS Config 集約認可リソースの変更

リージョンごとに複数の集約認証が存在できます。AWS Control Tower には、監査アカウントを認証済みアカウントとして指定し、AWS Control Tower のホームリージョンを認可リージョンとして指定する集約認証が必要です。存在しない場合、次の設定を使用して新しく作成します。

AuthorizedAccountId: 監査アカウント ID
AuthorizedAwsRegion： AWS Control Tower セットアップのホームリージョン

この変更は、次のコマンドを使用して AWS CLI から行うことができます。

aws configservice put-aggregation-authorization --authorized-account-id AUDIT_ACCOUNT_ID --authorized-aws-region HOME_REGION --region CURRENT_REGION

ステップ 6: AWS Control Tower が管理するリージョンで、リソースが存在しない場所にリソースを作成する

次の例GLOBAL_RESOURCE_RECORDINGに示すように、ホームリージョンで IncludeGlobalResourcesTypesパラメータの値がになるように AWS CloudFormation テンプレートを修正します。また、このセクションで指定している、テンプレートの必須フィールドを更新します。

ホームリージョンでは項目 GLOBAL_RESOURCE_RECORDING を true に置き換えます。 AWS Config レコーダーが存在する他のリージョンでは、項目を false に置き換えます。

管理アカウントの AWS CloudFormation コンソールに移動します。
という名前 StackSet で新しいを作成しますCustomerCreatedConfigResourcesForControlTower。

次のテンプレートをコピーして更新します。


AWSTemplateFormatVersion: 2010-09-09
Description: Configure AWS Config
Resources:
  CustomerCreatedConfigRecorder:
    Type: AWS::Config::ConfigurationRecorder
    Properties:
      Name: aws-controltower-BaselineConfigRecorder-customer-created
      RoleARN: !Sub arn:aws:iam::${AWS::AccountId}:role/aws-controltower-ConfigRecorderRole-customer-created
      RecordingGroup:
        AllSupported: true
        IncludeGlobalResourceTypes: GLOBAL_RESOURCE_RECORDING
        ResourceTypes: []
  CustomerCreatedConfigDeliveryChannel:
    Type: AWS::Config::DeliveryChannel
    Properties:
      Name: aws-controltower-BaselineConfigDeliveryChannel-customer-created
      ConfigSnapshotDeliveryProperties:
        DeliveryFrequency: TwentyFour_Hours
      S3BucketName: aws-controltower-logs-LOGGING_ACCOUNT-HOME_REGION
      S3KeyPrefix: ORGANIZATION_ID
      SnsTopicARN: !Sub arn:aws:sns:${AWS::Region}:AUDIT_ACCOUNT:aws-controltower-AllConfigNotifications
  CustomerCreatedAggregationAuthorization:
    Type: "AWS::Config::AggregationAuthorization"
    Properties:
      AuthorizedAccountId: AUDIT_ACCOUNT
      AuthorizedAwsRegion: HOME_REGION

必須フィールドを使用してテンプレートを更新します。

S3BucketName フィールドで、LOGGING_ACCOUNT_ID と HOME_REGION を置き換えます。
S3KeyPrefix フィールドで、ORGANIZATION_ID を置き換えます。
SnsTopicARN フィールドで、AUDIT_ACCOUNT を置き換えます。
AuthorizedAccountId フィールドで、AUDIT_ACCOUNT を置き換えます。
AuthorizedAwsRegion フィールドで、HOME_REGION を置き換えます。

AWS CloudFormation コンソールでのデプロイ中に、メンバーアカウント番号を追加します。
ステップ 4 で特定した AWS リージョンを追加します。
スタックセットをデプロイします。

ステップ 7: OU を AWS Control Tower に登録する

AWS Control Tower のダッシュボードで OU を登録します。

注記

アカウントの登録ワークフローは、このタスクでは成功しません。[Register OU] (OU の登録) または [Re-register OU] (OU の再登録) を選択する必要があります。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

必要な IAM ロールを既存の AWS アカウントに手動で追加し、登録します。

Account Factory