なんでControlTowerを触りたいんや？

案件で顧客にControl Towerを推奨する事になりました、一度も触った事がありません。知らないものを推奨するのは心が痛いです。

大きい組織向けのサービスだと思っていたので今まで触ってきませんでしたが、ベストプラクティスに沿った構成を自動で作れるという事で、勉強のためにぼっちでも触るべきだと考えました。
この記事ではとりあえずコンソールからLanding Zoneを立てる所まで行い、設定の確認や開発環境の構築は次回以降の記事で取り扱います。

そもそもControl Towerとは

一口で言うと、マルチアカウント環境のベストプラクティスに沿った仕組み(Landing Zone)の基で構成するサービスです。コンソールからメールアドレスの指定等行う事で、以下の構成が一気に出来上がります。

Organization Unit(OU) Security OUと配下のログアーカイブアカウント、監査アカウント
予防的ガードレール(SCP)
発見的ガードレール(AWS Config)
etc...

概要はこちら
https://aws.amazon.com/jp/controltower/
詳細はドキュメント散らばってて良く分からないのよな...
https://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/aws-control-tower/deploy.html
良いまとめ資料あったら教えてください。

とりあえず管理コンソールから立ててみた

やることリスト
0. メールアドレスを用意する

料金の確認とリージョンの選択
組織単位(OU)の設定
共有アカウントの設定
その他の設定
ランディングゾーンの確認とセットアップ

1.リージョンの選択

まず料金の確認とリージョンの選択です。ホームリージョンとそれに加えてガバナンスの対象にする他のリージョンを選択します。今回はとりあえず東京リージョンのみで作成します。

2.組織単位(OU)の設定

次に組織単位の設定をします。
Security OU配下にログアーカイブアカウントと監査アカウントが作成され、デフォルトでSandBox OUが作成されます。その名前を任意で変更出来ます。
Security OUはそのまま、SandBox OUはもう本番という事で"Prod"に設定しました。

3.共有アカウントの設定

ここではSecurity OU配下に作成されるアカウントの設定を行いました。
まず新規に作成するか、既存のアカウントで設定するか、
新規で作成する場合はメールアドレスを指定します。
アカウントの表示名はデフォルトでLog ArchivとAuditが設定されていましたが、変更も出来るようです。

4.その他の設定

AWSアカウントのアクセス設定:IAM Identity Centerか他か...
AWS CloudTrailの設定
基本デフォルトで良いかと思います。独自のADでIAMのIdentity Centerのユーザを作成したい場合はその設定がここで必要になると思われます。

5.ランディングゾーンの確認とセットアップ

最後に設定内容の確認とControl Towerのアクセス許可をします。
最後に"ランディングゾーンの設定"ボタンを押します。

速攻でセットアップ完了

"ランディングゾーンの設定"を押したら以下のセットアップ中の画面に遷移します

セットアップに入り、30分昼寝をしている内に完了していました。早い...

IAM Identity Centerでユーザを確認した所、アクセス用のユーザが1件作成されていました。このユーザに管理アカウントで許可セットを割り当てて、各アカウントの操作が出来るはずです。

今回はここまで/次にやりたい事

今回はControl Towerを使って容易にLanding Zoneを設定する事が出来ました。
現状では、とりあえずLanding Zoneが出来ただけなので、次は各種設定を確認していこうと思います。