AWS Control Tower
マルチアカウント AWS 環境のセットアップとガバナンスを自動化し、セキュリティとコンプライアンスのベースラインを一元管理するサービス
概要
AWS Control Tower は、AWS のマルチアカウント環境を安全かつ効率的にセットアップ / 管理するためのサービスです。ランディングゾーン (Landing Zone) と呼ばれるベストプラクティスに基づいたマルチアカウント構成を自動的に構築し、ガードレール (予防的 / 検出的コントロール) で組織全体のセキュリティポリシーを強制します。Account Factory で新規アカウントをテンプレートから数分で作成でき、作成と同時にガードレールが自動適用されます。Organizations、IAM Identity Center、CloudTrail、Config などの AWS サービスを統合的に設定します。
ガードレールの種類と適用戦略
Control Tower のガードレール (AWS のドキュメントでは現在「コントロール」と呼ばれます) は、動作によって 3 種類に分類されます。予防的ガードレール (Preventive) は SCP (Service Control Policy)、RCP (Resource Control Policy)、宣言型ポリシーといった Organizations のポリシーで実装され、禁止された操作をブロックします。例えば「CloudTrail の無効化を禁止」「特定リージョン以外でのリソース作成を禁止」などです。検出的ガードレール (Detective) は Config ルールで実装され、ポリシー違反を検出して通知します。プロアクティブガードレールは CloudFormation フックで実装され、デプロイ前にテンプレートを検証して違反リソースの作成を事前に防ぎます。実務では、必須ガードレールに加え、マルチアカウント環境のベストプラクティスに基づく強く推奨されるガードレールと、要件に応じて選ぶ選択的ガードレールを OU (Organizational Unit) 単位で適用します。AWS のドキュメント (2026 年 10 月時点) では、ランディングゾーンのバージョン 4.0 以降、必須コントロールは既定では適用されません。Azure Landing Zone は Bicep や Terraform のテンプレートを利用者がデプロイして構成する方式で、Control Tower はマネージドサービスとしてコンソールからランディングゾーンを構築する方式です。
OU 構造と Account Factory の設計
Control Tower の導入では OU 構造の設計が重要です。AWS のマルチアカウント戦略のホワイトペーパーでは、Security OU (ログアーカイブ / 監査アカウント)、Infrastructure OU (共有ネットワーク / DNS)、Workloads OU (本番 / 開発環境) などに分ける構成が推奨されています。Security OU にはログアーカイブアカウント (全アカウントの CloudTrail ログを集約) と監査アカウント (Config ルールの集約管理) が配置され、これらは Control Tower のセットアップ時に自動作成されます。Account Factory で作成したアカウントには、配置先の OU で有効なガードレールが適用されます。Account Factory Customization (AFC) を使うと、VPC 設定、IAM ロール、セキュリティツールの有効化などを新規アカウント作成時に自動的に適用でき、アカウントのブートストラップを自動化できます。
既存 Organizations 環境への導入と注意点
Control Tower を既存の Organizations 環境に後から導入する場合、いくつかの注意点があります。既存アカウントの登録 (Enroll) 作業が必要で、既存の SCP や Config ルールとの競合を事前に確認しなければなりません。登録時に Control Tower は CloudTrail や Config などの基本設定をスタックセットで展開するため、これらのテンプレートが既存のポリシーと矛盾しないかを事前に確認します。既存の Config ルールが Control Tower の検出的ガードレールと重複する場合は、コスト面でも無駄が生じるため、統合前に棚卸しが必要です。ランディングゾーンのバージョンアップも重要な運用タスクで、更新が必要になるとコンソールに表示されます。更新に失敗しても以前のバージョンへは自動で戻らないため、更新内容を事前に確認し、既存のワークロードに影響がないことを検証してから適用します。IAM Identity Center (旧 AWS SSO) との統合により、全アカウントへのシングルサインオンを一元管理でき、アカウントごとに IAM ユーザーを作成する運用から脱却できます。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトと公式ドキュメントです。最新の仕様と料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。