Control Towerを使ったガードレール展開方法

こんにちは、コンサル部の鈴木(純)です。

今回はアカウント管理者でなければ滅多に触ることがないControl Towerの環境でガードレールをOUに対して展開する手順を紹介しようと思います。

Control Towerでガードレール有効化するときのイメージを掴めると思うので、参考にしてみてください。

前提知識

Control TowerではLanding Zoneというマルチアカウントのベストプライクティスに沿ってOUとアカウントを展開することができます。その中でガバナンスを効かせるために重要となってくるのが、今回紹介するガードレールです。

ガイダンス

Control Towerのガードレールには「ガイダンス」という分類で以下３種類に分けられています。

• 必須
• 強く推奨
• 選択的

この中でも必須の項目についてはデフォルトで有効化されていますが、強く推奨、選択的の項目については手動で有効化する必要があります。

動作

また、ガードレールの分類にはガイダンスの他に以下2つの「動作」という分類も存在します。

• 予防
• 検出

予防はOrganizationsで設定されるSCPによって設定される項目で、強制的に該当の操作をさせないというガードレールの設定をすることが可能です。

検出はConfig Rulesによって設定される項目で、該当の操作を検知するガードレールを設定することが可能です。

動作の分類で注意が必要なのは、予防は「全リージョン」に適用、検出は「Control Towerが対応しているリージョン」のみ適用されるという点ですね。忘れずに覚えておきましょう。

当然Control Tower未対応のリージョンはどうするのか？という疑問が浮かぶと思いますが、そのための仕組みも提供されています。今回はあくまでControl Towerのガードレール展開手順の紹介なので、記事の紹介までに留めておきます。

Extend AWS Control Tower governance using AWS Config Conformance Packs | Amazon Web Services

ガードレール一覧

ガイダンスが 強く推奨 / 選択的 のものについては利用する環境に合わせて有効化するかを検討しましょう。ガードレール最新の情報はドキュメントを参照してください。

ガードレールリファレンス

ガードレールを有効化してみる

それでは実際にControl Towerからガードレールを有効にしていきます。

Control Towerを有効化すると、ガードレールの画面がこんな感じで表示されるようになります。

必須のガイダンスになっているガードレールを確認してみると、デフォルトでCore OUが有効化されているのが確認できますね。

強く推奨のガイダンスに分類されている「EBS 用に最適化されていない EC2 インスタンスタイプの起動を許可しない」のガードレールを確認してみると組織、アカウントで有効化されていないことが確認できると思います。これはガイダンスが必須の分類ではないのでデフォルトでは有効化されないためです。

有効化したい場合は「OUでガードレールを有効にする」から有効にしたいOUを選択するだけで、その配下にあるアカウントへガードレールを展開することができます。ボタン1つでConfig RuleやSCPを展開できるのは素晴らしいですね。

OUの有効化は１つずつしかできないようなので、複数のOUを有効化したい場合は、１つずつ完了したのを確認してから行ってください。

また、他のガードレールの有効化を並行で行いたい場合でも、同じエラーが表示されるので1つ1つ地道に有効化していく必要があります。複数のガードレールを有効化したい場合、結構な時間がかかるので、時間を確保してから作業しましょう。この辺りは一括で設定変更できるようになってくれることを期待したいですね。

→現在はアップデートにより、完了を待たずに連続で有効化ができるようになりました。内部的には並列ではなくキューを処理している感じっぽいので、有効化の速度が上がったわけではありませんが、1つ1つ完了を待たなくていいのはいいですね。

有効化が完了すると、OUが無事有効化されているのを確認することができます。

アカウントはOUに紐づいているアカウントが自動で表示されるので、どのOUを有効化するのかだけ意識すれば問題ありません。今回はControl Towerで自動作成されるAuditとLog archiveのアカウントが表示されました。

ガードレールを無効にしたいとなったときには、OUを選択して「ガードレールを無効にする」から簡単にできます。

ちなみにガードレールコンポーネントの「AWS Configルール」をクリックしてみると、設定されるCloudFormationのテンプレートを確認することができます。

今回は動作が検出(Configルール)の場合でしたが、予防の場合は「サービスコントロールポリシー (SCP)」と表示が変わり、設定されているポリシーを確認することができます。

まとめ

今回初めてControl Towerのガードレールを確認しましたが、ガードレールの設定項目ごとに設定内容や適用されているOU、アカウントが一覧で確認できるのは視認性が高くていいですね。

適用に少し時間がかかる点は、ガードレール自体一度設定すれば変更することも少ないのでそれほど気にならないと思います。

ぜひControl Towerを使ってガバナンスの効いたマルチアカウント運用を実践してみて下さい。