マルチアカウント版のBLEAでデプロイされるリソースをStandalone版と比較してみた

こんにちは、こーへいです。

今回はControl Tower版のBLEAでデプロイされるリソースをStandalone版として比較してみたのでご活用ください。

BLEAの概要的な説明は以下記事をご参照ください。

https://dev.classmethod.jp/articles/blea-aws-cm-odyssey/

https://dev.classmethod.jp/articles/introduction-2024-blea/

Standalone版でデプロイされるリソースをパラメータシートを起こした記事はこちらです。

https://dev.classmethod.jp/articles/blea-standalone-resource-parameters/

図での比較

参考：ベースライン アーキテクチャ

パッとみたところ、マルチアカウント版ではGuardDutyやSecurity HubはOrganizations側で、ConfigはControl Tower側での管理しているように見えます。

マルチアカウント版

Standalone版

コードでの比較

では実際にコードベースでの差分を確認していきましょう。

Detection

https://github.com/aws-samples/baseline-environment-on-aws/blob/main/usecases/blea-gov-base-ct/lib/construct/detection.ts

Standalone版との比較

GuardDuty

マルチアカウント版ではBLEAで管理されていません。

1-3. GuardDuty のセットアップに記載の通り、Organizations連携を利用し有効化してください。

こちらのブログも併せてどうぞ

https://dev.classmethod.jp/articles/organizations-guardduty-all-account-all-region/

Security Hub

マルチアカウント版ではBLEAで管理されていません。

1-2. SecurityHub のセットアップに記載の通り、Organizations連携を利用し有効化してください。

こちらのブログも併せてどうぞ

https://dev.classmethod.jp/articles/security-hub-integrates-organizations/

https://dev.classmethod.jp/articles/aws-sh-organization-customize-standards-controls/

Detection(Config Conformance Pack)

https://github.com/aws-samples/baseline-environment-on-aws/blob/main/usecases/blea-gov-base-standalone/cfn/AWS-Control-Tower-Detective-Guardrails.yaml

Standalone版のコードです。

Standalone版との比較

マルチアカウント版ではBLEAで管理されていません。

こちらはControl Tower側で管理されているため特に何もしなくて良いです。

IAM

https://github.com/aws-samples/baseline-environment-on-aws/blob/main/usecases/blea-gov-base-ct/lib/construct/iam.ts

Standalone版との比較

Standalone版との変更箇所はありません。

Logging

https://github.com/aws-samples/baseline-environment-on-aws/blob/main/usecases/blea-gov-base-ct/lib/construct/logging.ts

Standalone版との比較

マルチアカウント版ではConfigと関連するリソースがBLEAで管理されていません。

• AWS Config
• IAMロール
• S3バケット

こちらはControl Tower側で管理されているため特に何もしなくて良いです。

notification

https://github.com/aws-samples/baseline-environment-on-aws/blob/main/usecases/blea-gov-base-ct/lib/construct/notification.ts

Standalone版との比較

Standalone版との変更箇所はありません。

まとめ

マルチアカウント版とStandalone版では大きさな差分はないものの、一部サービスをControl TowerやOrganizaitons側で管理している事がわかりました。