マルチアカウント戦略の設計 Organizations と Control Tower で統制を効かせる

本記事はSAP(Solutions Architect Professional)を目指す方向けに、複数のAWSアカウントを安全かつ効率的に統制するマルチアカウント設計を解説します。試験では「この統制要件を満たす最適な構成はどれか」を、与えられた要件から選ぶ力が問われます。

覚え方のフレームは3つの観点です。分離(アカウントで境界を作る)・統制(ガードレールで逸脱を防ぐ)・一元化(ログと請求をまとめる)。この3点で各サービスの役割を整理すると混乱しません。

AWS Organizations 全体の土台

Organizationsは複数アカウントをOU(組織単位)でグループ化し、SCP(サービスコントロールポリシー)で許可の上限を設定します。本番と開発を明確に分離し、特定リージョンや高リスク操作を組織全体で禁止したい要件のときに選びます。例えば「全アカウントでap-northeast-1以外のリージョン利用を禁止」といった制御をSCPで一括適用できます。

AWS Control Tower 統制の自動化

Control Towerはベストプラクティスに沿ったランディングゾーンを数十分で構築し、予防的・発見的なガードレールを継続適用します。ゼロから統制基盤を作る工数を抑えつつ、新規アカウントの払い出しを標準化したい要件で選びます。Account Factoryで発行したアカウントには自動的にログ集約とガードレールが適用されます。

権限の一元管理

IAM Identity Center(旧AWS SSO)で全アカウントへのアクセスを1か所に集約し、職務に応じた許可セットを割り当てます。従業員の入退社に応じてアクセスを一括で付与・剥奪したい要件で有効です。

チェックリスト

• OU設計で本番・開発・サンドボックスを分離できる
• SCPとIAMポリシーの評価順序(上限と付与)を説明できる
• Control TowerのAccount Factoryで標準化された払い出しができる
• IAM Identity Centerで職務別アクセスを一元管理できる

まとめ

マルチアカウントは「分離・統制・一元化」の3観点で捉え、Organizationsを土台にControl Towerで統制を自動化するのが定石です。この記事の理解度はクイズで確認し、最新の試験範囲はAWS認定 公式ページで確認しましょう。