AWS Control Tower

1. サービス概要¶

AWS Control Tower は、複数の AWS アカウントとリソースを安全かつ効率的に管理するためのサービスである。
AWS Organizations と連携し、マルチアカウント環境におけるガバナンス、セキュリティ、コンプライアンスを一元的に実現する。
これにより、組織は AWS 環境の運用を簡素化し、セキュリティリスクを低減できる。

主なユースケースとして、

複数 AWS アカウントのプロビジョニング
ガバナンスポリシーの適用
セキュリティとコンプライアンスの維持
組織全体の AWS リソース管理

などが挙げられる。
エンタープライズ規模の組織や、複数のチームが AWS を利用する環境で特に役立つ。

2. 主な特徴と機能¶

2.1 マルチアカウント管理¶

AWS Organizations と連携し、複数の AWS アカウントをまとめて管理できる。
アカウントの作成、削除、管理を中央で制御でき、組織の AWS 環境全体を一元的に管理できる。

2.2 ランディングゾーン¶

Control Tower は、セキュリティ、コンプライアンス、ネットワーク設定などを包括的に定義したランディングゾーンを提供する。
これにより、AWS アカウントを安全かつ標準化された方法でプロビジョニングできる。

2.3 ガードレール¶

Control Tower は、ガードレールと呼ばれるポリシーを適用し、AWS 環境が組織のルールやセキュリティ要件に準拠していることを保証する。
これらのガードレールは、予防的および検出的な制御を提供する。

予防的ガードレール: リソースのプロビジョニングを制限し、違反を未然に防ぐ。
検出的ガードレール: リソース設定を監視し、違反を検知する。

2.4 継続的なコンプライアンス監視¶

設定したガードレールに基づいて、AWS 環境のコンプライアンス状況を継続的に監視する。
違反が検出された場合、アラートや通知を送信し、問題を解決するためのガイダンスを提供する。

2.5 自動プロビジョニング¶

AWS アカウントの作成、VPC、IAM ロールなどの設定を自動化する。
これにより、AWS 環境のセットアップにかかる時間と手間を大幅に削減できる。

2.6 ダッシュボード¶

Control Tower は、AWS 環境の全体的な状況、コンプライアンス違反、アカウントの状態などを可視化するダッシュボードを提供する。
これにより、管理者は AWS 環境を一目で把握できる。

2.7 カスタマイズ¶

Control Tower は、組織のニーズに合わせてカスタマイズできる。
カスタムガードレールやカスタマイズされたランディングゾーンを作成することも可能である。

3. アーキテクチャおよび技術要素¶

ユーザーは AWS Management Console または API を通じて Control Tower にアクセスする。
Control Tower は、AWS Organizations と連携し、組織内の AWS アカウントを管理する。
ランディングゾーンは、VPC、IAM ロール、AWS Config などのリソースをプロビジョニングする。
ガードレールは、AWS Config ルールとして実装され、リソースのコンプライアンスを監視する。
ユーザーは、Control Tower のダッシュボードで AWS 環境の状態を確認する。

Control Tower は、AWS Organizations、AWS Config、AWS CloudFormation などの AWS サービスと連携し、マルチアカウント環境を効率的に管理する。

4. セキュリティと認証・認可¶

セキュリティは Control Tower の中核コンポーネントです:

IAM によるアクセス制御: IAM ユーザー、IAM ロールを使用して Control Tower へのアクセスを制御する。
ガードレール: AWS リソースの設定を監視し、セキュリティリスクを低減する。
暗号化通信: Control Tower へのアクセスは、HTTPS プロトコルで暗号化され、安全な通信を確保する。
監査ログ: AWS CloudTrail と連携し、API 呼び出しのログを記録することで、Control Tower へのアクセスや操作を追跡できる。

これらのセキュリティ対策により、Control Tower は安全に利用できる。

5. 料金形態¶

AWS Control Tower 自体には追加料金はかかりませんが、Control Tower で使用する AWS サービスの利用料金が発生する。

Control Tower 本体: 無料。
関連サービス: AWS Organizations、AWS Config、AWS CloudTrail などの利用料金が発生。
プロビジョニングされた AWS アカウント: 各アカウントの利用料金が発生。

6. よくあるアーキテクチャ・設計パターン¶

AWS Control Tower は、特定のアーキテクチャパターンを持つものではないが、マルチアカウント環境におけるガバナンスとセキュリティを実現するための基盤となるサービスである。
一般的な利用パターンとして以下が挙げられる。

エンタープライズ環境: 複数の AWS アカウントを組織内で管理し、標準化されたランディングゾーンを提供。
規制遵守: ガードレールを適用し、業界標準や規制要件に準拠した AWS 環境を維持。
複数チームでの利用: 各チームに独立した AWS アカウントをプロビジョニングし、リソースの分離とセキュリティを確保。
セキュリティ強化: セキュリティグループ、IAM ポリシー、VPC 設定などを標準化し、セキュリティリスクを低減。
自動化: AWS アカウントの作成、設定を自動化し、運用効率を向上。

7. 設定・デプロイ手順（ハンズオン例）¶

AWS Organizations で組織を作成または既存の組織を使用。
AWS Management Console で Control Tower サービスを選択し、ランディングゾーンを設定。
ガードレールを有効化し、コンプライアンスルールを適用。
新しい AWS アカウントをプロビジョニングし、Control Tower で管理。
Control Tower のダッシュボードで AWS 環境の状態を確認。
Guardrails 違反を検知し、対応。

8. 試験で問われやすいポイント¶

8.1 主要な機能¶

マルチアカウント管理: AWS Organizations と連携し、複数のアカウントを管理。
ランディングゾーン: 標準化された AWS 環境のプロビジョニング。
ガードレール: リソースのコンプライアンスを監視。
自動プロビジョニング: AWS アカウントの作成、設定を自動化。

8.2 ガードレールの種類¶

予防的ガードレール: リソース作成を制限し、違反を未然に防ぐ。
検出的ガードレール: リソース設定を監視し、違反を検知。

8.3 AWS Organizations との連携¶

Organizations: Control Tower は Organizations を基盤として動作。

8.4 セキュリティ¶

IAM: IAM ユーザー、IAM ロールによるアクセス制御。
HTTPS: 暗号化された通信。
監査ログ: CloudTrail で API 呼び出しのログを記録。

8.5 料金体系¶

Control Tower 本体: 無料。
関連サービス: AWS Organizations、AWS Config などの利用料金が発生。

試験問題では、

「Control Tower の主な機能は？」
「ガードレールの種類は？」
「AWS Organizations との連携は？」
「料金体系は？」

などが問われる。

8.6 試験で頻出となる具体的な問われ方と答え¶

Q: AWS Control Tower の主な目的は？
A: 複数の AWS アカウントとリソースを安全かつ効率的に管理するためのサービス。
Q: AWS Control Tower が提供するランディングゾーンとは？
A: セキュリティ、コンプライアンス、ネットワーク設定などを包括的に定義した、標準化された AWS 環境。
Q: AWS Control Tower で利用できるガードレールの種類は？
A: 予防的ガードレールと検出的ガードレール。
Q: AWS Control Tower はどのような AWS サービスと連携しているか？
A: AWS Organizations、AWS Config、AWS CloudFormation など。
Q: AWS Control Tower 自体の利用料金は？
A: 無料。
Q: AWS Control Tower で AWS アカウントを作成する際に何が自動化されるか？
A: AWS アカウントの作成、VPC、IAM ロールなどの設定。