組織のすべてのアカウント全体で AWS Config ルールを管理する
重要
組織のルールは、API または CLI を使用する場合に限り作成できます。このオペレーションは AWS Config コンソールではサポートされていません。
AWS Config により、組織内のすべての AWS アカウントで AWS Config ルールを管理できます。次のようにできます:
-
組織内のすべてのアカウント全体で、AWS Config ルールを一元的に作成、更新、削除する。
-
すべてのアカウント間で共通の AWS Config ルールのセットをデプロイし、AWS Config ルールを作成しないアカウントを指定する。
-
基盤となる AWS Config ルールが組織のメンバーアカウントによって変更可能でないことを確認することにより、AWS Organizations の管理者アカウントから API を使用し、ガバナンスを適用する。
考慮事項
異なるリージョンにまたがるデプロイの場合
アカウント間でルールとコンフォーマンスパックをデプロイする API コールは、AWS リージョン固有のものです。他のリージョンにルールをデプロイする場合は、組織レベルで API コールのコンテキストを別のリージョンに変更する必要があります。例えば、米国東部 (バージニア北部) にルールをデプロイするには、リージョンを米国東部 (バージニア北部) に変更し、PutOrganizationConfigRule を呼び出します。
組織内のアカウントの場合
新しいアカウントが組織に参加すると、ルールまたはコンフォーマンスパックはそのアカウントにデプロイされます。アカウントが組織を離脱すると、そのルールまたはコンフォーマンスパックは削除されます。
組織のルールまたはコンフォーマンスパックを組織管理者アカウントでデプロイし、委任された管理者を確立して、委任された管理者アカウントに組織のルールまたはコンフォーマンスパックをデプロイした場合、委任された管理者アカウントから、組織のルールやコンフォーマンスパックを表示したり、組織の管理者アカウントから、委任された管理者アカウントで組織のルールやコンフォーマンスパックを表示したりすることはできません。DescribeOrganizationConfigRules および DescribeOrganizationConformancePacks API は、これらの API を呼び出すアカウント内からデプロイされた組織関連リソースのみを表示および操作できます。
組織に追加された新しいアカウントに対する再試行メカニズム
レコーダーが利用できない場合、組織の既存のルールと組織のコンフォーマンスパックのデプロイは、アカウントを組織に追加してから 7 時間のみ再試行されます。組織にアカウントを追加してから 7 時間以内にレコーダーが存在しない場合は、レコーダーを作成する必要があります。
組織管理アカウント、委任管理者、サービスにリンクされたロール
組織管理アカウントを使用していて、組織のデプロイに委任管理者を使用する意図がある場合は、AWS Config がサービスにリンクされたロール (SLR) を自動的に作成しないことに注意してください。IAM を使用して、サービスにリンクされたロール (SLR) を手動で作成する必要があります。
管理アカウントの SLR がない場合は、委任された管理者アカウントからそのアカウントにリソースをデプロイすることはできません。管理アカウントおよび委任管理者アカウントからメンバーアカウントに AWS Config ルールをデプロイすることは引き続き可能です。詳細については、「AWS Identity and Access Management (IAM) ユーザーガイド」の「サービスにリンクされたロールの作成」を参照してください。
デプロイ
AWS Config を AWS Organizations と統合する方法については、「AWS Organizations ユーザーガイド」の「AWS Config と AWS Organizations」を参照してください。以下の API を使用して組織内のすべての AWS アカウント の AWS Config ルールを管理する前に、AWS Config 記録がオンになっていることを確認します。
-
PutOrganizationConfigRule は、AWS リソースが目的の設定に準拠しているかどうかを評価する組織全体の組織 config ルールを追加または更新します。
-
DescribeOrganizationConfigRules は、組織 config ルールのリストを返します。
-
GetOrganizationConfigRuleDetailedStatus は、特定の組織 config ルールについて、組織内の各メンバーアカウントの詳細なステータスを返します。
-
GetOrganizationCustomRulePolicy は、組織の設定に関するカスタムポリシールールのロジックを含む、ポリシー定義を返します。
-
DescribeOrganizationConfigRuleStatuses は、組織 config ルールのデプロイステータスを提供します。
-
DeleteOrganizationConfigRule は、指定された組織 config ルールと、その組織内のすべてのメンバーアカウントの評価結果を削除します。
リージョンのサポート
AWS 組織内のメンバーアカウント間での AWS Config ルールのデプロイは、以下のリージョンでサポートされています。
| リージョン名 | リージョン | エンドポイント | プロトコル |
|---|---|---|---|
| 米国東部 (オハイオ) | us-east-2 | config.us-east-2.amazonaws.com | HTTPS |
| 米国東部 (バージニア北部) | us-east-1 | config.us-east-1.amazonaws.com | HTTPS |
| 米国西部 (北カリフォルニア) | us-west-1 | config.us-west-1.amazonaws.com | HTTPS |
| 米国西部 (オレゴン) | us-west-2 | config.us-west-2.amazonaws.com | HTTPS |
| アフリカ (ケープタウン) | af-south-1 | config.af-south-1.amazonaws.com | HTTPS |
| アジアパシフィック (香港) | ap-east-1 | config.ap-east-1.amazonaws.com | HTTPS |
| アジアパシフィック (ハイデラバード) | ap-south-2 | config.ap-south-2.amazonaws.com | HTTPS |
| アジアパシフィック (ジャカルタ) | ap-southeast-3 | config.ap-southeast-3.amazonaws.com | HTTPS |
| アジアパシフィック (マレーシア) | ap-southeast-5 | config.ap-southeast-5.amazonaws.com | HTTPS |
| アジアパシフィック (メルボルン) | ap-southeast-4 | config.ap-southeast-4.amazonaws.com | HTTPS |
| アジアパシフィック (ムンバイ) | ap-south-1 | config.ap-south-1.amazonaws.com | HTTPS |
| アジアパシフィック (ニュージーランド) | ap-southeast-6 | config.ap-southeast-6.amazonaws.com | HTTPS |
| アジアパシフィック (大阪) | ap-northeast-3 | config.ap-northeast-3.amazonaws.com | HTTPS |
| アジアパシフィック (ソウル) | ap-northeast-2 | config.ap-northeast-2.amazonaws.com | HTTPS |
| アジアパシフィック (シンガポール) | ap-southeast-1 | config.ap-southeast-1.amazonaws.com | HTTPS |
| アジアパシフィック (シドニー) | ap-southeast-2 | config.ap-southeast-2.amazonaws.com | HTTPS |
| アジアパシフィック (台北) | ap-east-2 | config.ap-east-2.amazonaws.com | HTTPS |
| アジアパシフィック (タイ) | ap-southeast-7 | config.ap-southeast-7.amazonaws.com | HTTPS |
| アジアパシフィック (東京) | ap-northeast-1 | config.ap-northeast-1.amazonaws.com | HTTPS |
| カナダ (中部) | ca-central-1 | config.ca-central-1.amazonaws.com | HTTPS |
| カナダ西部 (カルガリー) | ca-west-1 | config.ca-west-1.amazonaws.com | HTTPS |
| 欧州 (フランクフルト) | eu-central-1 | config.eu-central-1.amazonaws.com | HTTPS |
| 欧州 (アイルランド) | eu-west-1 | config.eu-west-1.amazonaws.com | HTTPS |
| 欧州 (ロンドン) | eu-west-2 | config.eu-west-2.amazonaws.com | HTTPS |
| ヨーロッパ (ミラノ) | eu-south-1 | config.eu-south-1.amazonaws.com | HTTPS |
| 欧州 (パリ) | eu-west-3 | config.eu-west-3.amazonaws.com | HTTPS |
| 欧州 (スペイン) | eu-south-2 | config.eu-south-2.amazonaws.com | HTTPS |
| 欧州 (ストックホルム) | eu-north-1 | config.eu-north-1.amazonaws.com | HTTPS |
| 欧州 (チューリッヒ) | eu-central-2 | config.eu-central-2.amazonaws.com | HTTPS |
| イスラエル (テルアビブ) | il-central-1 | config.il-central-1.amazonaws.com | HTTPS |
| メキシコ (中部) | mx-central-1 | config.mx-central-1.amazonaws.com | HTTPS |
| 中東 (バーレーン) | me-south-1 | config.me-south-1.amazonaws.com | HTTPS |
| 中東 (アラブ首長国連邦) | me-central-1 | config.me-central-1.amazonaws.com | HTTPS |
| 南米 (サンパウロ) | sa-east-1 | config.sa-east-1.amazonaws.com | HTTPS |
| AWS GovCloud (米国東部) | us-gov-east-1 | config.us-gov-east-1.amazonaws.com | HTTPS |
| AWS GovCloud (米国西部) | us-gov-west-1 | config.us-gov-west-1.amazonaws.com | HTTPS |
