【ガイドライン】AWS Control Tower

作成日: 2023/06/19, 更新日: 2023/10/10

組織におけるAWS環境のセキュリティ対策として、システムを開発・運用するにあたり標準となる事項を定めた「ガイドライン」を策定するケースが多くなりました。
そのアプローチの一つとして、AWS Control Tower を利用することで AWS のベストプラクティスに則った環境を迅速に展開できます。
本記事では、AWS Control Tower の概要の説明と導入を検討するにあたって確認すべきポイントを記載いたしました。

AWS Control Tower とは？
導入検討
関連ドキュメント

AWS Control Tower とは？

AWS Control Tower (以下略: CT) は、マルチアカウントの AWS 環境を設定、管理するためのサービスです。
大規模な AWS 環境を運用する際、セキュリティ、遵守、運用効率を担保しながらマルチアカウントを管理するためには、幅広い範囲の AWS サービスの知識が必要です。
この課題を解決するために CT が提供されています。

CT では予防的統制として「AWS Organizations」「AWS IAM Identity Center Management」、発券的統制として「AWS CloudTrail」「AWS Config」「Amazon EventBridge + AWS Lambda + Amazon SNS」が展開されます。
- 予防的統制
  - 不正行為やセキュリティ侵害を防ぐための制御策です。
  - 問題が発生する前にリスクを軽減するための手段として、一部の操作を制限したり禁止したりする設計を行います。
- 発見的統制
  - 問題が発生した後にそれを検出し、適切な対応を行うための制御策です。
  - ここでいう問題というのは、障害だけでなく設計として誤りがあるものや、禁止されている操作を行った場合などを指します。

作成される AWS リソースを以下の表にまとめました。
- 公式に記載の作成される AWS リソースの一覧ではユーザーによって作成するか選択できる AWS リソースは何かがわからなかったため、「必須/オプション」列に作成しない選択をできる AWS リソースを「オプション」と記載しました。

CT で作成されるAWSリソースの一覧

No ➖➖	AWSアカウント名 ➖➖➖➖➖➖➖➖➖➖➖➖	リージョン ➖➖➖➖➖➖➖➖➖➖➖➖	AWSサービス名 ➖➖➖➖➖➖➖➖➖➖	AWSリソースタイプ名 ➖➖➖➖➖➖➖➖➖➖➖➖	必須/オプション ➖➖➖➖➖➖➖➖	AWSリソース名 ➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖
1	管理アカウント	グローバル	AWS Organizations	アカウント	必須	audit ※セットアップ時に変更可能
2	〃	〃	〃	〃	必須	log archive ※セットアップ時に変更可能
3	〃	〃	〃	OU	必須	Security ※セットアップ時に変更可能
4	〃	〃	〃	〃	オプション	(指定したOU名)
5	〃	〃	〃	サービスコントロールポリシー	必須	aws-guardrails-* ※選択したガードレールに応じて複数作成
6	〃	〃	AWS IAM	ロール	必須	AWSControlTowerAdmin
7	〃	〃	〃	〃	必須	AWSControlTowerStackSetRole
8	〃	〃	〃	〃	必須	AWSControlTowerConfigAggregatorRoleForOrganizations
9	〃	〃	〃	〃	オプション	AWSControlTowerCloudTrailRole
10	〃	〃	〃	カスタマー管理ポリシー	必須	AWSControlTowerServiceRolePolicy
11	〃	〃	〃	〃	必須	AWSControlTowerAdminPolicy
12	〃	〃	〃	〃	オプション	AWSControlTowerCloudTrailRolePolicy
13	〃	〃	〃	〃	必須	AWSControlTowerStackSetRolePolicy
14	〃	(ホームリージョン)	AWS IAM Identity Center Management	ディレクトリグループ	必須	AWSAccountFactory
15	〃	〃	〃	〃	必須	AWSAuditAccountAdmins
16	〃	〃	〃	〃	必須	AWSControlTowerAdmins
17	〃	〃	〃	〃	必須	AWSLogArchiveAdmins
18	〃	〃	〃	〃	必須	AWSLogArchiveViewers
19	〃	〃	〃	〃	必須	AWSSecurityAuditors
20	〃	〃	〃	〃	必須	AWSSecurityAuditPowerUsers
21	〃	〃	〃	〃	必須	AWSServiceCatalogAdmins
22	〃	〃	〃	許可セット	必須	AWSAdministratorAccess
23	〃	〃	〃	〃	必須	AWSPowerUserAccess
24	〃	〃	〃	〃	必須	AWSServiceCatalogAdminFullAccess
25	〃	〃	〃	〃	必須	AWSServiceCatalogEndUserAccess
26	〃	〃	〃	〃	必須	AWSReadOnlyAccess
27	〃	〃	〃	〃	必須	AWSOrganizationsFullAccess
28	〃	〃	AWS CloudTrail	追跡（マルチリージョンの証跡）	必須 *1	aws-controltower-BaselineCloudTrail
29	〃	〃	AWS Service Catalog	製品	必須	AWS Control Tower Account Factory
30	〃	〃	Amazon CloudWatch	ログルループ	オプション	aws-controltower/CloudTrailLogs
31	〃	〃	AWS CloudFormation	スタック	オプション	AWSControlTowerBP-BASELINE-CLOUDTRAIL-MASTER
32	〃	〃	〃	〃	必須	AWSControlTowerBP-BASELINE-CONFIG-MASTER
33	〃	〃	〃	StackSets	必須	AWSControlTowerBP-BASELINE-CLOUDWATCH
34	〃	〃	〃	〃	必須	AWSControlTowerBP-BASELINE-CONFIG
35	〃	〃	〃	〃	必須	AWSControlTowerBP-BASELINE-ROLES
36	〃	〃	〃	〃	必須	AWSControlTowerBP-BASELINE-SERVICE-ROLES
37	〃	〃	〃	〃	必須	AWSControlTowerBP-SECURITY-TOPICS
38	〃	〃	〃	〃	必須	AWSControlTowerBP-VPC-ACCOUNT-FACTORY-V1
39	〃	〃	〃	〃	必須	AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-READ-PROHIBITED
40	〃	〃	〃	〃	必須	AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-WRITE-PROHIBITED
41	〃	〃	〃	〃	必須	AWSControlTowerGuardrailAWS-GR-DETECT-CLOUDTRAIL-ENABLED-ON-SHARED-ACCOUNTS
42	〃	〃	〃	〃	必須	AWSControlTowerLoggingResources
43	〃	〃	〃	〃	必須	AWSControlTowerSecurityResources
44	〃	〃	〃	〃	必須	AWSControlTowerExecutionRole
45	ログアーカイブアカウント	グローバル	AWS	ロール	必須	aws-controltower-AdministratorExecutionRole
46	〃	〃	〃	〃	オプション	aws-controltower-CloudWatchLogsRole
47	〃	〃	〃	〃	必須	aws-controltower-ConfigRecorderRole
48	〃	〃	〃	〃	必須	aws-controltower-ForwardSnsNotificationRole
49	〃	〃	〃	〃	必須	aws-controltower-ReadOnlyExecutionRole
50	〃	〃	〃	〃	必須	AWSControlTowerExecution
51	〃	〃	〃	カスタマー管理ポリシー	必須	AWSControlTowerServiceRolePolicy
52	〃	管理対象の全てのリージョン	AWS Config	ルール	オプション	AWSControlTower_AWS-GR_DETECT_CLOUDTRAIL_ENABLED_ON_SHARED_ACCOUNTS
53	〃	〃	〃	〃	必須	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_READ_PROHIBITED
54	〃	〃	〃	〃	必須	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_WRITE_PROHIBIT
55	〃	〃	Amazon EventBridge	イベントルール	必須	aws-controltower-ConfigComplianceChangeEventRule
56	〃	〃	Amazon CloudWatch	ロググループ	オプション	aws-controltower/CloudTrailLogs
57	〃	〃	〃	〃	必須	/aws/lambda/aws-controltower-NotificationForwarder
58	〃	〃	Amazon	トピック	必須	aws-controltower-SecurityNotifications
59	〃	〃	〃	トピックポリシー	必須	StackSet-AWSControlTowerBP-BASELINE-CLOUDWAT-SNSNotificationPolicy-*
60	〃	〃	〃	サブスクリプション	必須	*
61	〃	〃	AWS Lambda	アプリケーション	必須	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
62	〃	〃	〃	関数	必須	aws-controltower-NotificationForwarder
63	〃	〃	AWS CloudFormation	スタック	必須	StackSet-AWSControlTowerGuardrailAWS-GR-DETECT-CLOUDTRAIL-ENABLED-ON-SHARED-ACCOUNTS-*
64	〃	〃	〃	〃	必須	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-READ-PROHIBITED-*
65	〃	〃	〃	〃	必須	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-WRITE-PROHIBITED-*
66	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
67	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-CONFIG-*
68	〃	(ホームリージョン)	AWS CloudTrail	追跡（マルチリージョンの証跡）	オプション	aws-controltower-BaselineCloudTrail
69	〃	〃	Amazon S3	バケット	必須	aws-controltower-logs-*
70	〃	〃	〃	〃	必須	aws-controltower-s3-access-logs-*
71	〃	〃	AWS CloudFormation	スタック	オプション	StackSet-AWSControlTowerBP-BASELINE-CLOUDTRAIL-*
72	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-SERVICE-ROLES-*
73	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-ROLES-*
74	〃	〃	〃	〃	必須	StackSet-AWSControlTowerLoggingResources-*
75	監査アカウント	グローバル	AWS IAM	ロール	必須	aws-controltower-AdministratorExecutionRole
76	〃	〃	〃	〃	オプション	aws-controltower-CloudWatchLogsRole
77	〃	〃	〃	〃	必須	aws-controltower-ConfigRecorderRole
78	〃	〃	〃	〃	必須	aws-controltower-ForwardSnsNotificationRole
79	〃	〃	〃	〃	必須	aws-controltower-ReadOnlyExecutionRole
80	〃	〃	〃	〃	必須	aws-controltower-AuditAdministratorRole
81	〃	〃	〃	〃	必須	aws-controltower-AuditReadOnlyRole
82	〃	〃	〃	〃	必須	AWSControlTowerExecution
83	〃	〃	〃	ポリシー	必須	AWSControlTowerServiceRolePolicy
84	〃	管理対象の全てのリージョン	AWS Config	ルール	オプション	AWSControlTower_AWS-GR_DETECT_CLOUDTRAIL_ENABLED_ON_SHARED_ACCOUNTS
85	〃	〃	〃	〃	必須	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_READ_PROHIBITED
86	〃	〃	〃	〃	必須	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_WRITE_PROHIBITED
87	〃	〃	Amazon SNS	トピック	必須	aws-controltower-AggregateSecurityNotifications
88	〃	〃	〃	〃	必須	aws-controltower-AllConfigNotifications
89	〃	〃	〃	〃	必須	aws-controltower-SecurityNotifications
90	〃	〃	〃	トピックポリシー	必須	StackSet-AWSControlTowerBP-BASELINE-CLOUDWAT-SNSNotificationPolicy-*
91	〃	〃	〃	トピックポリシー	必須	StackSet-AWSControlTowerBP-SECURITY-SNSAllConfigurationTopicPolicy-*
92	〃	〃	〃	トピックポリシー	必須	StackSet-AWSControlTowerBP-SECURITY-SNSAllConfigurationTopicPolicy–*
93	〃	〃	〃	サブスクリプション	必須	*
94	〃	〃	〃	〃	必須	*
95	〃	〃	〃	〃	必須	*
96	〃	〃	AWS Lambda	関数	必須	aws-controltower-NotificationForwarder
97	〃	〃	Amazon EventBridge	イベントルール	必須	aws-controltower-ConfigComplianceChangeEventRule
98	〃	〃	Amazon CloudWatch	ロググループ	オプション	aws-controltower/CloudTrailLogs
99	〃	〃	〃	〃	必須	/aws/lambda/aws-controltower-NotificationForwarder
100	〃	〃	AWS CloudFormation	スタック	必須	StackSet-AWSControlTowerGuardrailAWS-GR-DETECT-CLOUDTRAIL-ENABLED-ON-SHARED-ACCOUNTS-*
101	〃	〃	〃	〃	必須	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-READ-PROHIBITED-*
102	〃	〃	〃	〃	必須	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-WRITE-PROHIBITED-*
103	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
104	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-CONFIG-*
105	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-SECURITY-TOPICS-*
106	〃	(ホームリージョン)	AWS CloudTrail	追跡（マルチリージョンの証跡）	オプション	aws-controltower-BaselineCloudTrail
107	〃	〃	AWS Config	アグリゲータ	必須	aws-controltower-GuardrailsComplianceAggregator
108	〃	〃	AWS CloudFormation	スタック	オプション	StackSet-AWSControlTowerBP-BASELINE-CLOUDTRAIL-*
109	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-SERVICE-ROLES-*
110	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-ROLES-*
111	〃	〃	〃	〃	必須	StackSet-AWSControlTowerSecurityResources-*
112	プロダクションアカウント	グローバル	AWS IAM	ロール	必須	aws-controltower-ConfigRecorderRole
113	〃	〃	〃	〃	必須	aws-controltower-ForwardSnsNotificationRole
114	〃	〃	〃	〃	必須	aws-controltower-AdministratorExecutionRole
115	〃	〃	〃	〃	必須	aws-controltower-ReadOnlyExecutionRole
116	〃	管理対象の全てのリージョン	AWS Config	設定レコーダー	必須	aws-controltower-BaselineConfigRecorder
117	〃	〃	〃	配信チャネル	必須	aws-controltower-BaselineConfigDeliveryChannel
118	〃	〃	Amazon VPC	VPCフローログ	オプション	*
119	〃	〃	〃	ルートテーブル	オプション	aws-controltower-PrivateSubnet1ARouteTable
120	〃	〃	〃	〃	オプション	aws-controltower-PrivateSubnet2ARouteTable
121	〃	〃	〃	〃	オプション	aws-controltower-PrivateSubnet3ARouteTable
122	〃	〃	〃	サブネット	オプション	aws-controltower-PrivateSubnet1A
123	〃	〃	〃	〃	オプション	aws-controltower-PrivateSubnet2A
124	〃	〃	〃	〃	オプション	aws-controltower-PrivateSubnet3A
125	〃	〃	〃	DHCPオプションセット	オプション	aws-controltower-DHCPOptionsSet
126	〃	〃	〃	VPC	オプション	aws-controltower-VPC
127	〃	〃	〃	VPCエンドポイント	オプション	com.amazonaws.${リージョン名}.s3
128	〃	〃	Amazon EventBridge	イベントルール	必須	aws-controltower-ConfigComplianceChangeEventRule
129	〃	〃	AWS Lambda	関数	必須	aws-controltower-NotificationForwarder
130	〃	〃	〃	パーミッション	必須	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH--SNSInvokeLambdaPermission-
131	〃	〃	Amazon CloudWatch	ロググループ	必須	/aws/lambda/aws-controltower-NotificationForwarder
132	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-VPC-ACCOUNT-FACTORY-V1--VPCFlowLogsLogGroup-
133	〃	〃	Amazon SNS	トピック	必須	aws-controltower-SecurityNotifications
134	〃	〃	〃	トピックポリシー	必須	StackSet-AWSControlTowerBP-BASELINE-CLOUDWAT-SNSNotificationPolicy-*
135	〃	〃	〃	サブスクリプション	必須	*
136	〃	〃	AWS CloudFormation	スタック	オプション	StackSet-AWSControlTowerBP-VPC-ACCOUNT-FACTORY-V1-*
137	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
138	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-CONFIG-*
139	〃	(ホームリージョン)	AWS CloudTrail	追跡（マルチリージョンの証跡）	オプション	aws-controltower-BaselineCloudTrail
140	〃	〃	AWS CloudFormation	スタック	必須	StackSet-AWSControlTowerBP-BASELINE-ROLES-*
141	〃	〃	〃	〃	必須	StackSet-AWSControlTowerBP-BASELINE-SERVICE-ROLES-*

*1: ランディングゾーンバージョン 3.0 で組織単位の AWS CloudTrail 証跡はオプションで選択できるようになりましたが、無効化した場合でも証跡は作成されます。

関連資料
- AWS Control Tower の仕組み - AWS Control Tower

導入検討

① AWS アカウントはどのような契約形態か？

CT は管理アカウントで有効化設定を行います。
また、CT は AWS Organizations の機能を利用しているため、AWS アカウントの契約形態を確認し管理アカウントの機能が使えるのか確認することが重要です。
契約形態に関する詳細は【ガイドライン】AWS Organizations | Moderniser.repo を参照ください。

② 独自 landing zone を利用しているか？

CT を利用する前に、独自で landing zone を構成しているか確認する必要があります。
- landing zone は AWS サービス名ではなく、あくまで組織のポリシーに合わせたマルチアカウント構成を行う仕組みのことを指します。
既に AWS Organizations や StackSets を利用して独自で landing zone を構成している場合、CT へ移行した場合の影響範囲を確認し CT の採用可否を検討します。
独自 landing zone を利用した運用が確立されていて、移行時の影響範囲が大きい場合は CT を採用するメリットは低くなります。
- CT の設計は常にアップデートされているので、CT のアップデートを確認し独自 landing zone へ必要に応じて反映していくという運用は入れても良いかもしれません。

関連資料
- landing zone を構築 - AWS の規範的ガイダンス
- StackSets の概念 - AWS CloudFormation

③ 利用リージョンが AWS Control Tower に対応しているか？

基本は東京リージョンしか利用しないのであれば気にする必要はありませんが、利用料金を削減する、海外展開するなどの理由で東京リージョン以外のリージョンを利用する場合は CT に対応しているのか確認が必要です。
2023 年 4 月のアップデートにより大阪リージョンを含む 7 つのリージョンが追加でサポートされたため、2023 年 5 月 14 日現在だと 3 リージョンのみ非対応のようです。

地域名	リージョン名	オプトインが必要	CT 対応
米国東部 (バージニア北部)	us-east-1	-	○
米国東部 (オハイオ)	us-east-2	-	○
米国西部 (北カリフォルニア)	us-west-1	-	○
米国西部 (オレゴン)	us-west-2	-	○
アジアパシフィック (ムンバイ)	ap-south-1	-	○
アジアパシフィック (大阪)	ap-northeast-3	-	○
アジアパシフィック (ソウル)	ap-northeast-2	-	○
アジアパシフィック (シンガポール)	ap-southeast-1	-	○
アジアパシフィック (シドニー)	ap-southeast-2	-	○
アジアパシフィック (東京)	ap-northeast-1	-	○
カナダ (中部)	ca-central-1	-	○
欧州 (フランクフルト)	eu-central-1	-	○
欧州 (アイルランド)	eu-west-1	-	○
欧州 (ロンドン)	eu-west-2	-	○
欧州 (パリ)	eu-west-3	-	○
欧州 (ストックホルム)	eu-north-1	-	○
南米 (サンパウロ)	sa-east-1	-	○
アフリカ (ケープタウン)	af-south-1	○	○
アジアパシフィック (香港)	ap-east-1	○	○
アジアパシフィック (ハイデラバード)	ap-south-2	○	-
アジアパシフィック (ジャカルタ)	ap-southeast-3	○	○
アジアパシフィック (メルボルン)	ap-southeast-4	○	-
欧州 (ミラノ)	eu-south-1	○	-

④ Control Tower で展開する AWS リソースによる影響範囲を確認

CT で展開される AWS リソースによる影響範囲として、主に以下の 5 点を確認します。
- 参考：前提条件: 管理アカウントの起動前自動チェック - AWS Control Tower

CloudTrail の管理イベントを取得する証跡を有効化しているか？※最重要
- CT によって CloudTrail の管理イベントを取得する証跡が全 AWS アカウントに対して作成されます。
- CT 管理の AWS アカウントかどうかに関わらず作成されてしまうため、CloudTrail の証跡を取得している場合は重複して証跡が作成されることになります。管理イベント用の証跡は 2 つ目以降から課金されるため、重複して証跡が作成されることによるコスト増加が発生します。
- 管理イベントを取得する証跡が作成されている場合は、削除や停止をしてから展開するか、一定期間は CT で展開する組織証跡は無効化しておき、順次切り替えていくなどの対応が必要です。
- ただし、後者の場合は新規アカウントを発行した場合に有効な管理イベントの証跡がないため、監査目的で組織証跡とは別に暫定的な証跡を作成しておく必要があります。

IIC（IAM Identity Center）を利用しているか？
- IIC が既にセットアップされている場合、IIC と同じリージョンで CT を有効化する必要があります。

Config を有効化しているか？
- CT へ登録する既存 AWS アカウントに、Config レコーダー、配信チャネル、アグリゲーターが作成されている場合は事前に削除を行う必要があります。
- CloudTrail とは異なり、Config は CT 管理となる AWS アカウントのみに作成されるため、CT をセットアップする際に削除しておく必要はありません。

CT で選択したリージョン以外のリージョンを利用していないか？
- CT 管理対象のリージョン以外を利用している場合、CT 管理対象のリージョンをどう統制していくか決める必要があります。
- 利用していない場合は、CT のリージョン拒否コントロールで利用自体を禁止にしてしまえば AWS リソースは展開されないので、統制を気にする必要はありません。

SCP で禁止するアクションを利用していないか？
- 予防的統制として SCP が実装されるコントロールを有効化する場合、既存アカウントで該当の API を利用していないか確認する必要があります。
- 必須コントロールは CT で展開される AWS リソースや AWS アカウントに関する統制を行うため、基本的には気にする必要はありません。
- オプションコントロールを有効化した場合、特定のアクションを禁止するコントロールも存在するため注意が必要です。