AWS Control Tower (v2.8) 環境で用意されている IAMロールを整理する

川原征大

2022.02.28

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめにまとめ

AWS Control Tower では以下のような IAMロールが用意されます。

全てを把握する必要は無いです。多くは Control Tower の基盤(Landing Zone や AWS Config, AWS CloudTrail) の維持に使われています。

赤字で書いたIAMロール 3つは把握しておくといいでしょう。アカウントの「ベースライン/共通サービスのデプロイ」や「セキュリティ対応」に活用できる IAMロールです。これら IAMロールを以降で説明していきます。

※そもそもの「AWS Control Tower とは？」は以下ブログを参照ください

AWS再入門2020 AWS Control Tower編 | DevelopersIO

管理(Management) アカウント

AWSControlTowerStackSetRole が重要です。これは CloudFormation(CFn) StackSets で利用します。メンバーアカウントに対して、管理アカウントから CFnスタックを展開できます。下図にこのロールの利用フローを示します。

図のとおり、このロールは AWS Control Tower が基盤作成のためにも使用していますが、 AWS管理者自身で活用することも可能です。

新規アカウント作成時のベースライン作成や、共通サービスの展開などが主な利用用途です。以下に活用例を1つ載せます。

AWS Control Tower がサポートしていないリージョンで Configを有効化する | DevelopersIO

監査(Audit) アカウント

aws-controltower-AuditReadOnlyRole および aws-controltower-AuditAdministratorRole が重要です。これらは Lambda 実行ロールです。このロールを使ってメンバーアカウントへアクセスできます。下図にこれらロールの利用フローを示します。

このロールは主にセキュリティ周りの対応(修復) を行うためのものです。 EventBridge や Step Functions と組み合わせることで、「セキュリティリスクのあるリソースの自動修復」など日々のセキュリティ運用に活用できます。

以下ブログで、これらロールを使ってクロスアカウントアクセスを試しています。

【AWS Control Tower】監査アカウントからメンバーアカウントへの Lambda アクセスを試す | DevelopersIO

メンバーアカウント全般

ログアーカイブ(Log Archive)アカウント含む、その他メンバーアカウントには特別なIAMロールはありません。全て「Landing Zone の維持のためのIAMロール」もしくは「管理アカウントもしくは監査アカウントからのアクセス用IAMロール」です。

まとめ

改めてはじめの図を載せます。

管理アカウントの AWSControlTowerStackSetRole でメンバーアカウントに CFnスタックを展開できる
監査アカウントの aws-controltower-AuditReadOnlyRole でメンバーアカウントへの Lambdaアクセス(ReadOnly) ができる
監査アカウントの aws-controltower-AuditAdministratorRole でメンバーアカウントへの Lambdaアクセス(Read and Write) ができる

上記抑えておくと良いでしょう。