AWS 컨트롤 타워를 기업 구조/시스템에 도입하기 위한 【설계 지침】 고려 사항

📅 작성일: 2023/06/19, 수정일: 2025/06/20 ⏱️ 예상 읽기 시간 약 32분 (12,779자)

조직의 AWS 환경에 대한 보안 조치의 일환으로 시스템 개발 및 운영에 대한 표준 관행을 정의하는 “지침” 을 수립하는 것이 일반화되었습니다.
한 가지 방법은 AWS 모범 사례에 따라 환경을 신속하게 배포할 수 있는 AWS 컨트롤 타워를 사용하는 것입니다.이 문서에서는 AWS 컨트롤 타워에 대한 개요를 제공하고 도입을 고려할 때 확인해야 할 주요 사항을 설명합니다.

AWS 컨트롤 타워란 무엇입니까?
구현 시 고려 사항
디자인 고려 사항
관련 문서

AWS 컨트롤 타워란 무엇입니까?

AWS Control Tower(CT)는 다중 계정 AWS 환경을 설정하고 관리하기 위한 서비스입니다.
보안, 규정 준수 및 운영 효율성을 보장하면서 대규모 계정을 관리하려면 다양한 AWS 서비스에 대한 광범위한 지식이 필요합니다.
CT는 이러한 과제를 해결하도록 설계되었습니다.

CT는 “AWS Organizations” 및 “AWS IAM Identity Center Management”와 같은 예방 제어뿐만 아니라 “AWS CloudTrail”, “AWS Config” 및 “Amazon EventBridge + AWS Lambda + Amazon SNS”를 포함한 탐지 제어도 구현합니다.

예방적 통제
무단 활동이나 보안 위반을 방지하도록 설계된 제어입니다.
이러한 조치는 특정 작업을 제한하거나 금지하는 등 문제가 발생하기 전에 위험을 완화합니다.
탐정 통제
문제가 발생한 후 이를 감지하고 적절한 대응이 가능하도록 설계된 제어입니다.
여기서의 문제는 고장뿐만 아니라 설계 오류나 금지된 작업도 포함합니다.
생성된 AWS 리소스는 아래 표에 요약되어 있습니다.
생성된 AWS 리소스의 공식 목록에는 사용자가 선택적으로 어떤 리소스를 생성할 수 있는지 명시되어 있지 않으므로 “필수/선택” 열에는 선택적으로 “선택”으로 생성할 수 있는 리소스가 표시됩니다.

<상세>

CT가 생성한 AWS 리소스 목록

아니요	AWS 계정 이름	지역	AWS 서비스 이름	AWS 리소스 유형 이름	필수/선택	AWS 리소스 이름
1	관리 계정	글로벌	AWS 조직	계정	필수의	감사 *설정 중에 변경될 수 있음
2	〃	〃	〃	〃	필수의	로그 아카이브 *설정 중에 변경될 수 있음
3	〃	〃	〃	또는	필수의	보안 *설정 중에 변경 가능
4	〃	〃	〃	〃	선택 과목	(지정된 OU 이름)
5	〃	〃	〃	서비스 제어 정책	필수의	aws-guardrails-* *선택한 가드레일을 기반으로 생성됨
6	〃	〃	AWS IAM	역할	필수의	AWSControlTower관리자
7	〃	〃	〃	〃	필수의	AWSControlTowerStackSetRole
8	〃	〃	〃	〃	필수의	AWSControlTowerConfigAggregatorRoleForOrganizations
9	〃	〃	〃	〃	선택 과목	AWSControlTowerCloudTrail역할
10	〃	〃	〃	고객 관리 정책	필수의	AWSControlTowerServiceRolePolicy
11	〃	〃	〃	〃	필수의	AWSControlTowerAdmin정책
12	〃	〃	〃	〃	선택 과목	AWSControlTowerCloudTrailRolePolicy
13	〃	〃	〃	〃	필수의	AWSControlTowerStackSetRolePolicy
14	〃	(홈 지역)	AWS IAM 자격 증명 센터 관리	디렉토리 그룹	필수의	AWS계정공장
15	〃	〃	〃	〃	필수의	AWSAudit계정관리자
16	〃	〃	〃	〃	필수의	AWSControlTower관리자
17	〃	〃	〃	〃	필수의	AWSLogArchive관리자
18	〃	〃	〃	〃	필수의	AWSLogArchiveViewers
19	〃	〃	〃	〃	필수의	AWS 보안 감사자
20	〃	〃	〃	〃	필수의	AWS보안감사PowerUsers
21	〃	〃	〃	〃	필수의	AWSServiceCatalog관리자
22	〃	〃	〃	권한 집합	필수의	AWS관리자액세스
23	〃	〃	〃	〃	필수의	AWSPowerUser액세스
24	〃	〃	〃	〃	필수의	AWSServiceCatalogAdminFullAccess
25	〃	〃	〃	〃	필수의	AWSServiceCatalogEndUserAccess
26	〃	〃	〃	〃	필수의	AWS ReadOnly액세스
27	〃	〃	〃	〃	필수의	AWS조직전체액세스
28	〃	〃	AWS CloudTrail	트레일(다지역 트레일)	필수 *1	aws-controltower-BaselineCloudTrail
29	〃	〃	AWS 서비스 카탈로그	제품	필수의	AWS Control Tower 계정 팩토리
30	〃	〃	아마존 클라우드워치	로그 그룹	선택 과목	aws-controltower/CloudTrailLogs
31	〃	〃	AWS 클라우드포메이션	스택	선택 과목	AWSControlTowerBP-BASELINE-CLOUDTRAIL-MASTER
32	〃	〃	〃	〃	필수의	AWSControlTowerBP-BASELINE-CONFIG-MASTER
33	〃	〃	〃	스택세트	필수의	AWSControlTowerBP-BASELINE-CLOUDWATCH
34	〃	〃	〃	〃	필수의	AWSControlTowerBP-BASELINE-CONFIG
35	〃	〃	〃	〃	필수의	AWSControlTowerBP-BASELINE-ROLES
36	〃	〃	〃	〃	필수의	AWSControlTowerBP-BASELINE-SERVICE-ROLES
37	〃	〃	〃	〃	필수의	AWSControlTowerBP-보안-주제
38	〃	〃	〃	〃	필수의	AWSControlTowerBP-VPC-ACCOUNT-FACTORY-V1
39	〃	〃	〃	〃	필수의	AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-READ-PROHIBITED
40	〃	〃	〃	〃	필수의	AWSControlTowerGuardrailAWS-GR-AUDIT-버킷-공개-쓰기-금지됨
41	〃	〃	〃	〃	필수의	AWSControlTowerGuardrailAWS-GR-DETECT-CLOUDTRAIL-활성화-ON-공유-계정
42	〃	〃	〃	〃	필수의	AWSControlTower로깅리소스
43	〃	〃	〃	〃	필수의	AWSControlTower보안리소스
44	〃	〃	〃	〃	필수의	AWSControlTower실행역할
45	로그 아카이브 계정	글로벌	AWS	역할	필수의	aws-controltower-관리자실행역할
46	〃	〃	〃	〃	선택 과목	aws-controltower-CloudWatchLogsRole
47	〃	〃	〃	〃	필수의	aws-controltower-ConfigRecorderRole
48	〃	〃	〃	〃	필수의	aws-controltower-ForwardSnsNotificationRole
49	〃	〃	〃	〃	필수의	aws-controltower-ReadOnlyExecutionRole
50	〃	〃	〃	〃	필수의	AWSControlTower실행
51	〃	〃	〃	고객 관리 정책	필수의	AWSControlTowerServiceRolePolicy
52	〃	모든 관리 지역	AWS 구성	규칙	선택 과목	AWSControlTower_AWS-GR_DETECT_CLOUDTRAIL_ENABLED_ON_SHARED_ACCOUNTS
53	〃	〃	〃	〃	필수의	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_READ_PROHIBITED
54	〃	〃	〃	〃	필수의	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_WRITE_PROHIBITED
55	〃	〃	아마존 이벤트브리지	이벤트 규칙	필수의	aws-controltower-ConfigComplianceChangeEventRule
56	〃	〃	아마존 클라우드워치	로그 그룹	선택 과목	aws-controltower/CloudTrailLogs
57	〃	〃	〃	〃	필수의	/aws/lambda/aws-controltower-NotificationForwarder
58	〃	〃	아마존 SNS	주제	필수의	aws-controltower-보안알림
59	〃	〃	〃	주제 정책	필수의	StackSet-AWSControlTowerBP-BASELINE-CLOUDWAT-SNSNotificationPolicy-*
60	〃	〃	〃	신청	필수의	*
61	〃	〃	AWS 람다	애플리케이션	필수의	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
62	〃	〃	〃	기능	필수의	aws-controltower-알림 전달자
63	〃	〃	AWS 클라우드포메이션	스택	필수의	StackSet-AWSControlTowerGuardrailAWS-GR-DETECT-CLOUDTRAIL-ENABLED-ON-SHARED-ACCOUNTS-*
64	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-READ-PROHIBITED-*
65	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-WRITE-PROHIBITED-*
66	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
67	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-CONFIG-*
68	〃	(홈 지역)	AWS CloudTrail	트레일(다지역 트레일)	선택 과목	aws-controltower-BaselineCloudTrail
69	〃	〃	아마존 S3	버킷	필수의	aws-controltower-로그-*
70	〃	〃	〃	〃	필수의	aws-controltower-s3-access-logs-*
71	〃	〃	AWS 클라우드포메이션	스택	선택 과목	StackSet-AWSControlTowerBP-BASELINE-CLOUDTRAIL-*
72	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-SERVICE-ROLES-*
73	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-ROLES-*
74	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerLoggingResources-*
75	감사 계정	글로벌	AWS IAM	역할	필수의	aws-controltower-관리자실행역할
76	〃	〃	〃	〃	선택 과목	aws-controltower-CloudWatchLogsRole
77	〃	〃	〃	〃	필수의	aws-controltower-ConfigRecorderRole
78	〃	〃	〃	〃	필수의	aws-controltower-ForwardSnsNotificationRole
79	〃	〃	〃	〃	필수의	aws-controltower-ReadOnlyExecutionRole
80	〃	〃	〃	〃	필수의	aws-controltower-AuditAdministratorRole
81	〃	〃	〃	〃	필수의	aws-controltower-AuditReadOnlyRole
82	〃	〃	〃	〃	필수의	AWSControlTower실행
83	〃	〃	〃	정책	필수의	AWSControlTowerServiceRolePolicy
84	〃	모든 관리 지역	AWS 구성	규칙	선택 과목	AWSControlTower_AWS-GR_DETECT_CLOUDTRAIL_ENABLED_ON_SHARED_ACCOUNTS
85	〃	〃	〃	〃	필수의	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_READ_PROHIBITED
86	〃	〃	〃	〃	필수의	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_WRITE_PROHIBITED
87	〃	〃	아마존 SNS	주제	필수의	aws-controltower-AggregateSecurity알림
88	〃	〃	〃	〃	필수의	aws-controltower-AllConfigNotifications
89	〃	〃	〃	〃	필수의	aws-controltower-보안알림
90	〃	〃	〃	주제 정책	필수의	StackSet-AWSControlTowerBP-BASELINE-CLOUDWAT-SNSNotificationPolicy-*
91	〃	〃	〃	주제 정책	필수의	StackSet-AWSControlTowerBP-SECURITY-SNSAllConfigurationTopicPolicy-*
92	〃	〃	〃	주제 정책	필수의	StackSet-AWSControlTowerBP-SECURITY-SNSAllConfigurationTopicPolicy–*
93	〃	〃	〃	신청	필수의	*
94	〃	〃	〃	〃	필수의	*
95	〃	〃	〃	〃	필수의	*
96	〃	〃	AWS 람다	기능	필수의	aws-controltower-알림 전달자
97	〃	〃	아마존 이벤트브리지	이벤트 규칙	필수의	aws-controltower-ConfigComplianceChangeEventRule
98	〃	〃	아마존 클라우드워치	로그 그룹	선택 과목	aws-controltower/CloudTrailLogs
99	〃	〃	〃	〃	필수의	/aws/lambda/aws-controltower-NotificationForwarder
100	〃	〃	AWS 클라우드포메이션	스택	필수의	StackSet-AWSControlTowerGuardrailAWS-GR-DETECT-CLOUDTRAIL-ENABLED-ON-SHARED-ACCOUNTS-*
101	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-READ-PROHIBITED-*
102	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-WRITE-PROHIBITED-*
103	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
104	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-CONFIG-*
105	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-SECURITY-TOPICS-*
106	〃	(홈 지역)	AWS CloudTrail	트레일(다지역 트레일)	선택 과목	aws-controltower-BaselineCloudTrail
107	〃	〃	AWS 구성	애그리게이터	필수의	aws-controltower-GuardrailsComplianceAggregator
108	〃	〃	AWS 클라우드포메이션	스택	선택 과목	StackSet-AWSControlTowerBP-BASELINE-CLOUDTRAIL-*
109	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-SERVICE-ROLES-*
110	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-ROLES-*
111	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerSecurityResources-*
112	생산 계정	글로벌	AWS IAM	역할	필수의	aws-controltower-ConfigRecorderRole
113	〃	〃	〃	〃	필수의	aws-controltower-ForwardSnsNotificationRole
114	〃	〃	〃	〃	필수의	aws-controltower-관리자실행역할
115	〃	〃	〃	〃	필수의	aws-controltower-ReadOnlyExecutionRole
116	〃	모든 관리 지역	AWS 구성	구성 레코더	필수의	aws-controltower-BaselineConfigRecorder
117	〃	〃	〃	배송채널	필수의	aws-controltower-BaselineConfigDeliveryChannel
118	〃	〃	Amazon VPC	VPC 흐름 로그	선택 과목	*
119	〃	〃	〃	경로 테이블	선택 과목	aws-controltower-PrivateSubnet1ARRouteTable
120	〃	〃	〃	〃	선택 과목	aws-controltower-PrivateSubnet2ARRouteTable
121	〃	〃	〃	〃	선택 과목	aws-controltower-PrivateSubnet3ARRouteTable
122	〃	〃	〃	서브넷	선택 과목	aws-controltower-PrivateSubnet1A
123	〃	〃	〃	〃	선택 과목	aws-controltower-PrivateSubnet2A
124	〃	〃	〃	〃	선택 과목	aws-controltower-PrivateSubnet3A
125	〃	〃	〃	DHCP 옵션 세트	선택 과목	aws-controltower-DHCPOptionsSet
126	〃	〃	〃	VPC	선택 과목	aws-controltower-VPC
127	〃	〃	〃	VPC 엔드포인트	선택 과목	com.amazonaws.${region_name}.s3
128	〃	〃	아마존 이벤트브리지	이벤트 규칙	필수의	aws-controltower-ConfigComplianceChangeEventRule
129	〃	〃	AWS 람다	기능	필수의	aws-controltower-알림 전달자
130	〃	〃	〃	허가	필수의	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH--SNSInvokeLambdaPermission-
131	〃	〃	아마존 클라우드워치	로그 그룹	필수의	/aws/lambda/aws-controltower-NotificationForwarder
132	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-VPC-ACCOUNT-FACTORY-V1--VPCFlowLogsLogGroup-
133	〃	〃	아마존 SNS	주제	필수의	aws-controltower-보안알림
134	〃	〃	〃	주제 정책	필수의	StackSet-AWSControlTowerBP-BASELINE-CLOUDWAT-SNSNotificationPolicy-*
135	〃	〃	〃	신청	필수의	*
136	〃	〃	AWS 클라우드포메이션	스택	선택 과목	StackSet-AWSControlTowerBP-VPC-ACCOUNT-FACTORY-V1-*
137	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
138	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-CONFIG-*
139	〃	(홈 지역)	AWS CloudTrail	트레일(다지역 트레일)	선택 과목	aws-controltower-BaselineCloudTrail
140	〃	〃	AWS 클라우드포메이션	스택	필수의	StackSet-AWSControlTowerBP-BASELINE-ROLES-*
141	〃	〃	〃	〃	필수의	StackSet-AWSControlTowerBP-BASELINE-SERVICE-ROLES-*

*1: Landing Zone 버전 3.0에서는 이제 조직 단위 AWS CloudTrail 추적을 선택적으로 선택할 수 있습니다.그러나 비활성화된 경우에도 추적은 계속 생성됩니다.

관련자료
AWS Control Tower 작동 방식 - AWS Control Tower

구현 시 고려 사항

1. AWS 계정 계약 유형은 무엇입니까?

CT는 마스터 계정에서 활성화됩니다.
CT는 AWS Organizations를 사용하기 때문에 계약 유형을 확인하고 마스터 계정 기능을 사용할 수 있는지 확인하는 것이 중요합니다.
자세한 내용은 가이드라인: AWS Organizations |Moderniser.repo .

2. 사용자 지정 랜딩 존을 사용하고 있습니까?

CT를 사용하기 전에 이미 사용자 지정 랜딩 존을 설정했는지 확인하세요.
“Landing Zone”은 AWS 서비스가 아니라 조직의 정책에 따른 다중 계정 설정을 위한 메커니즘입니다.

이미 AWS Organizations 또는 StackSets를 사용하여 사용자 지정 Landing Zone을 운영하고 있는 경우 CT로의 마이그레이션이 미치는 영향을 평가하고 CT 채택 여부를 고려하십시오.
사용자 지정 랜딩 존이 잘 설정되어 있고 마이그레이션이 상당한 영향을 미치는 경우 CT 채택의 이점이 제한될 수 있습니다.CT의 디자인은 지속적으로 업데이트되므로 CT 업데이트에 따라 필요에 따라 사용자 지정 랜딩 존을 업데이트하는 것을 고려할 수 있습니다.

3. 사용하는 리전이 AWS Control Tower에서 지원됩니까?

도쿄 지역만 사용한다면 일반적으로 걱정할 필요가 없습니다.
하지만 비용 절감이나 글로벌 확장을 위해 다른 지역을 사용하는 경우 CT가 해당 지역을 지원하는지 확인하세요.
2023년 5월 14일 기준으로 3개 지역만 지원되지 않으며, 2023년 4월에 7개 지역(오사카 포함)이 추가되었습니다.

지역 이름	지역 코드	동의 필수	CT 지원
미국 동부(버지니아 북부)	미국-동부-1	-	○
미국 동부(오하이오)	미국-동부-2	-	○
미국 서부(캘리포니아 북부)	우리-서부-1	-	○
미국 서부(오레곤)	우리-서부-2	-	○
아시아 태평양(뭄바이)	AP-남쪽-1	-	○
아시아 태평양(오사카)	ap-북동쪽-3	-	○
아시아 태평양(서울)	ap-북동쪽-2	-	○
아시아 태평양(싱가포르)	ap-남동쪽-1	-	○
아시아 태평양(시드니)	AP-남동쪽-2	-	○
아시아 태평양(도쿄)	ap-북동쪽-1	-	○
캐나다(중부)	ca-중앙-1	-	○
유럽(프랑크푸르트)	eu-중앙-1	-	○
유럽(아일랜드)	eu-웨스트-1	-	○
유럽(런던)	eu-웨스트-2	-	○
유럽(파리)	eu-웨스트-3	-	○
유럽(스톡홀름)	eu-북쪽-1	-	○
남미(상파울루)	sa-east-1	-	○
아프리카(케이프타운)	-남쪽-1	○	○
아시아 태평양(홍콩)	ap-east-1	○	○
아시아 태평양(하이데라바드)	AP-남쪽-2	○	-
아시아 태평양(자카르타)	ap-남동쪽-3	○	○
아시아 태평양(멜버른)	ap-남동쪽-4	○	-
유럽(밀라노)	eu-남쪽-1	○	-

4. Control Tower에서 배포한 AWS 리소스의 영향을 평가합니다.

CT에서 배포한 AWS 리소스의 영향과 관련하여 다음 5가지 사항을 확인하세요.

관리 이벤트에 대한 CloudTrail 추적이 활성화되어 있습니까?(가장 중요)

CT는 모든 AWS 계정에 걸쳐 관리 이벤트에 대한 추적을 생성합니다.
이는 CT 관리 계정 여부와 관계없이 발생하므로 이미 추적이 있는 경우 중복됩니다.관리 이벤트에 대한 추가 추적에는 추가 비용이 발생하므로 비용이 증가할 수 있습니다.
추적이 이미 존재하는 경우 배포하기 전에 삭제 또는 비활성화하거나 CT에서 생성된 조직 추적을 일시적으로 비활성화하고 점진적으로 전환하는 것을 고려하십시오.
참고: 후자의 경우 새 계정에는 유효한 관리 이벤트 추적이 없으므로 감사 목적으로 임시 추적을 생성해야 할 수도 있습니다.

IAM ID 센터(IIC)를 사용하고 있나요?

IIC가 이미 설정되어 있는 경우에는 IIC와 동일한 지역에서 CT를 활성화해야 합니다.

AWS Config가 활성화되어 있습니까?

CT에 등록할 기존 AWS 계정에 구성 레코더, 전송 채널 또는 집계자가 있는 경우 사전에 삭제해야 합니다.
CloudTrail과 달리 Config는 CT에서 관리하는 계정에 대해서만 생성되므로 CT 설정 시 삭제할 필요가 없습니다.

CT용으로 선택된 지역이 아닌 다른 지역을 사용하고 있습니까?

CT에서 관리하지 않는 지역을 사용하는 경우 해당 지역을 어떻게 관리할지 결정하세요.
그렇지 않은 경우 CT의 지역 거부 제어를 사용하여 사용을 금지할 수 있으므로 해당 지역의 리소스 배포에 대해 걱정할 필요가 없습니다.

SCP에서 금지한 행위를 사용하고 있나요?

SCP를 통해 예방적 통제를 구현하는 통제를 활성화한 경우, 기존 계정에서 해당 API가 사용되는지 확인하세요.
필수 제어 는 일반적으로 CT에서 관리하는 리소스 및 계정에만 영향을 미치므로 일반적으로 걱정할 필요가 없습니다.
선택적 제어 에서는 특정 작업을 금지할 수 있으므로 주의하시기 바랍니다.
참조:
전제 조건: 관리 계정에 대한 사전 출시 확인 - AWS Control Tower

디자인 고려 사항

1. 랜딩존 설정

CT를 사용하면 설정을 통해 맞춤형 랜딩 존을 구축할 수 있습니다.
다음 표에는 CT 문서에 정의된 통합 서비스와 각각에 대해 맞춤 설정할 수 있는 설계 항목이 나와 있습니다.이러한 항목은 CT 랜딩 존 설정에서 사용자 정의할 수 있습니다.
예를 들어 AWS Control Tower 환경에서 AWS Config 리소스 추적 사용자 정의 |AWS 블로그 에는 CT 사용자 정의를 위한 OSS 및 도구가 있지만 아래 표에는 포함되어 있지 않습니다.사용자 정의 방법은 나중에 설명됩니다.

통합 서비스	개요	디자인 아이템
AWS 조직	Control Tower에서 관리하는 OU 및 AWS 계정을 조직에 배포합니다.	없음
AWS ID 및 액세스 관리	IAM ID 센터 리소스(권한 집합, 사용자, 그룹)를 마스터 계정에 배포합니다.	IAM ID 센터 리소스 자동 생성 활성화/비활성화
CloudTrail	관리 이벤트를 캡처하기 위해 조직 추적을 배포합니다.	조직 추적 활성화/비활성화
보안 허브	CT에서 관리하는 AWS 계정에 대한 Security Hub 제어를 활성화합니다.	컨트롤 활성화/비활성화
AWS 구성	CT에서 관리하는 AWS 계정에 AWS Config 리소스(녹음기, 전송 채널)를 배포합니다.	없음
AWS 람다	랜딩 존에 대한 드리프트 및 규정 준수 알림을 보내는 Lambda 함수를 배포합니다.	없음
Amazon VPC *1	CT에서 관리하는 AWS 계정에 VPC 리소스(VPC, 서브넷, 라우팅 테이블, DHCP 옵션 세트, NAT 게이트웨이, EIP)를 배포합니다.	자동 VPC 생성 활성화/비활성화, 배포할 VPC 구성
단계 함수	(통합 서비스로 나열되어 있지만 배포된 특정 AWS 리소스는 발견되지 않았습니다)	없음
아마존 SNS	랜딩 존에 대한 드리프트 및 규정 준수 알림을 보내기 위해 SNS 주제를 배포합니다.	SNS 주제 구독 설정
아마존 S3	AWS Config 및 CloudTrail 로그를 저장하기 위해 로그 아카이브 계정에 S3 버킷을 배포합니다.	S3 버킷 수명 주기 정책
AWS 키 관리 서비스	S3 버킷에 저장된 AWS Config 및 CloudTrail 로그를 암호화합니다.	암호화 활성화/비활성화
클라우드워치	CT의 자동화된 작업을 실행하기 위한 모니터링 도구 배포	없음
AWS 백업	조직의 모든 AWS 계정(CT에서 관리하지 않는 계정 포함)에 AWS Backup 리소스(백업 볼트, 계획, 서비스 역할)를 배포합니다.	AWS Backup 리소스 자동 생성 활성화/비활성화
AWS 클라우드포메이션	CT의 AWS 리소스를 관리하기 위한 스택 생성	없음
AWS 서비스 카탈로그	CT의 Account Factory에 AWS 계정을 배포합니다.	없음

*1: 아래 참조 자료에는 통합 서비스로 나열되어 있지 않지만 Account Factory에서 자동 VPC 생성을 구성할 수 있습니다.

참조
통합 서비스 - AWS Control Tower

2. 컨트롤 활성화/비활성화

준비중

3. 컨트롤타워 커스터마이징

준비중

4. 운용항목

준비중