強く推奨されるガードレール

強く推奨されるガードレールは、適切に設計されたマルチアカウント環境のベストプラクティスに基づいています。これらのガードレールはデフォルトで無効になっており、無効のままでもかまいません。以下に、AWS Control Tower で使用できる強く推奨されるガードレールそれぞれのリファレンスを示します。

Disallow Creation of Access Keys for the Root User (root ユーザーのアクセスキーの作成を禁止する)

root ユーザーのアクセスキーの作成を禁止することで、AWS アカウントを保護します。代わりに、AWS アカウントの操作のためのアクセス許可を制限した IAM ユーザーのアクセスキーを作成することをお勧めします。これは、強く推奨されるガイダンスによる予防的ガードレールです。デフォルトでは、このガードレールは有効になっていません。

このガードレールのアーティファクトは、以下の SCP です。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GRRESTRICTROOTUSERACCESSKEYS",
            "Effect": "Deny",
            "Action": "iam:CreateAccessKey",
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::*:root"
                    ]
                }
            }
        }
    ]
}

root ユーザーとしてのアクションを禁止する

AWS アカウントを保護するには、root ユーザー認証情報 (アカウントのすべてのリソースへの無制限のアクセスを許可するアカウント所有者の認証情報) を使用したアカウントアクセスを禁止します。代わりに、AWS アカウントとの日常的なやり取り用に AWS IAM (Identity and Access Management) ユーザーを作成することをお勧めします。これは、強く推奨されるガイダンスによる予防的ガードレールです。デフォルトでは、このガードレールは有効になっていません。

このガードレールのアーティファクトは、以下の SCP です。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GRRESTRICTROOTUSER",
      "Effect": "Deny",
      "Action": "*",
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::*:root"
          ]
        }
      }
    }
  ]
}

Enable Encryption for Amazon EBS Volumes Attached to Amazon EC2 Instances (Amazon EC2 インスタンスにアタッチされた Amazon EBS ボリュームの暗号化を有効にする)

このガードレールにより、Landing Zone の Amazon EC2 インスタンスにアタッチされた Amazon EBS ボリュームに対して暗号化が有効になっているかどうかが検出されます。このガードレールにより、アカウントのステータスは変更されません。これは、強く推奨されるガイダンスによる発見的ガードレールです。デフォルトでは、このガードレールは OU で有効になっていません。