Control Tower が作った IAM Identity Center グループを消しても問題無いか確かめる

検証の限りでは問題ありませんでした

#AWS Control Tower

#AWS IAM Identity Center

#AWS

川原征大

2023.02.24

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

【2023/03/02追記】公式ドキュメント AWS Control Tower リソースの作成と変更に関するガイダンスに『AWS Control Tower によって作成されたリソースを変更または削除しないでください』と記載されております。本検証では問題ありませんでしたが、少なくとも現状は自己責任で実施ください。

AWS Control Tower を有効化すると、IAM Identity Center(旧称: AWS SSO) に以下のようなグループ(および割り当て)が作られます。

グループ名	割り当て(許可セット)	割り当て(アカウント)
AWSAccountFactory	AWSServiceCatalogEndUserAccess	管理アカウント
AWSServiceCatalogAdmins	AWSServiceCatalogAdminFullAccess	管理アカウント
AWSControlTowerAdmins	AWSAdministratorAccess	管理/ログアーカイブ/監査アカウント
AWSControlTowerAdmins	AWSOrganizationsFullAccess	メンバーアカウント
AWSSecurityAuditPowerUsers	AWSPowerUserAccess	管理/ログアーカイブ/監査/メンバーアカウント
AWSSecurityAuditors	AWSReadOnlyAccess	管理/ログアーカイブ/監査/メンバーアカウント
AWSLogArchiveAdmins	AWSAdministratorAccess	ログアーカイブアカウント
AWSLogArchiveViewers	AWSReadOnlyAccess	ログアーカイブアカウント
AWSAuditAccountAdmins	AWSAdministratorAccess	監査アカウント

参照: AWS IAM Identity Center (successor to AWS Single Sign-On) によるユーザーとアクセスの管理 - AWS Control Tower

グループや許可セット、割り当てを作成する手間が省けるのでメリットではあります。

しかし、自前でグループや権限の設計をしている場合は、正直ノイズになります。特に Account Factory から新規アカウントを生成した時に、以下割り当てが作られる部分のノイズが大きいです。

グループ名	割り当て(許可セット)	割り当て(アカウント)
AWSControlTowerAdmins	AWSOrganizationsFullAccess	メンバーアカウント
AWSSecurityAuditPowerUsers	AWSPowerUserAccess	メンバーアカウント
AWSSecurityAuditors	AWSReadOnlyAccess	メンバーアカウント

できればこれらグループを削除したいです。が、削除した際に Control Tower のランディングゾーンのドリフトが出ることを気にしています。 2023/02/22 時点、ドキュメントを探しても「消すことの影響」を見つけられなかったので、実際に試してみます。

(前提) 今回試した際の Control Tower のランディングゾーンのバージョンは 3.0 です。また、IAM Identity Center のIDストアは「Identity Center ディレクトリ」を使っています。

試したこと

Control Tower が有効化された環境で以下 3グループを削除します。

AWSControlTowerAdmins
AWSSecurityAuditPowerUsers
AWSSecurityAuditors

その後、Account Factory から新規アカウントを生成します。生成の際に必要なパラメータ: アクセス設定 (IAM Identity Center ユーザー) は「AWS Control Tower Admin」としました。 ※ AWS Control Tower Admin は Control Tower 有効化時に自動生成される特権ユーザー