マルチアカウントガバナンス OrganizationsのSCPとControl Towerで統制する

本記事はSAP(Solutions Architect Professional)を目指す方向けに、多数のAWSアカウントを安全に統制するマルチアカウントガバナンスの設計を解説します。試験では、禁止事項の強制と自動化されたベストプラクティスの適用をどう組み合わせるかが問われます。

覚え方のフレームは3つの観点です。構造(アカウントをどう分けるか)・制約(何を禁止するか)・展開(標準構成をどう広げるか)。

構造 Organizationsによるアカウント分離

AWS Organizationsは組織単位(OU)でアカウントを階層的にグループ化し、環境や部門ごとにポリシーを適用しやすくします。本番環境と開発環境を明確に分離し、それぞれ異なる統制ルールを課したい要件ではOU構造を設計の起点にします。

制約 SCPで禁止事項を強制

サービスコントロールポリシー(SCP)はOUやアカウント単位で利用可能なAPI操作の上限を定義し、IAM管理者であっても許可を超える操作はできなくなります。特定のリージョン以外でのリソース作成を組織全体で一律に禁止したい要件では、OU直下にSCPを適用します。

展開 Control Towerによるランディングゾーン標準化

Control TowerはOrganizationsを基盤に必須・推奨のガードレール(SCPやConfigルール)をあらかじめ組み込んだランディングゾーンを提供し、Account Factoryで新規アカウントに標準構成を自動適用します。多数のアカウントを短期間で立ち上げつつ統制の抜け漏れを防ぎたい要件ではControl Towerを選びます。

チェックリスト

• OUによるアカウント構造設計の考え方を説明できる
• SCPが許可の上限を定義する仕組みを説明できる
• Control TowerとAccount Factoryの役割を説明できる
• SCPとIAMポリシーの評価順序(掛け算の関係)を理解している

まとめ

マルチアカウントガバナンスは「構造・制約・展開」の3観点で設計し、OrganizationsとSCPで境界を定め、Control Towerで標準構成を素早く展開するのが定石です。この記事の理解度はクイズで確認し、最新の試験範囲はAWS認定 公式ページで確認しましょう。