【SAP-C02】マルチアカウント設計とガバナンス（Organizations・Control Tower）

SAP-C02では、複数アカウントを安全かつ効率的に運用するエンタープライズ設計が中核テーマの一つです。本記事では AWS Organizations と Control Tower を軸に、マルチアカウントのガバナンス設計を整理します。合格ガイドや移行・DR記事と合わせてご覧ください。

覚え方のフレームは「①なぜ分けるか」「②Organizationsで統制する」「③Control Towerで自動化する」の3点です。

①なぜマルチアカウントなのか

環境分離（本番／開発）、課金の可視化、障害やセキュリティの影響範囲（ブラスト半径）の限定のために、ワークロードをアカウント単位で分けるのが定石です。これを統制するのが Organizations と Control Tower です。

②AWS Organizations の役割

• 一括請求（Consolidated Billing）：使いどころは複数アカウントのコストを集約・可視化したい場合。
• OU（組織単位）：使いどころは本番用OU・開発用OUのようにアカウントを階層管理したい場合。
• SCP（サービスコントロールポリシー）：使いどころは「特定リージョンの利用を組織全体で禁止する」など、各アカウントの最大権限の境界（ガードレール）を定義したい場合。

③AWS Control Tower の役割

Control Tower は Organizations を土台に、ベストプラクティスに沿ったランディングゾーンを自動構築します。使いどころは新規アカウントの払い出し（Account Factory）を標準化したい、予防的・発見的ガードレールやログアーカイブ・監査アカウントの整備を一元化したい場合です。

アクセス管理とログ集約

• IAM Identity Center：使いどころはSSOと権限セットを複数アカウント横断で集中管理したい場合。
• CloudTrail（組織証跡）とConfig：使いどころは全アカウントの監査・構成評価を集約したい場合。

チェックリスト

• OU・SCPによるアカウント階層とガードレール設計を理解しているか
• Control TowerとOrganizationsの役割分担（自動化基盤か土台か）を区別できるか
• SCPが"許可の上限"であり権限付与そのものではない点を理解しているか
• IAM Identity CenterでSSOを一元管理する構成をイメージできるか
• 組織証跡・Configで全アカウントの監査を集約する設計になっているか

まとめ

マルチアカウント設計は「分離」と「統制」の両立が鍵です。各サービスの役割を区別して選べるようにしましょう。クイズで確認できます。試験番号・配点は改訂されることがあるため、申込前にAWS認定 公式ページで最新情報をご確認ください。