AWS Control Tower リソースの作成と変更に関するガイダンス

管理アカウント、共有アカウント、メンバーアカウントのリソースなど、AWSControl Tower によって作成されたリソースを変更または削除しないでください。これらのリソースを変更すると、ランディングゾーンの更新または OU の再登録が必要になる場合があり、変更するとコンプライアンスレポートが不正確になる可能性があります。

特に：

SCPs または AWS Security Token Service () AWS リージョン のいずれかを使用して の使用を許可しないでくださいAWS STS。そうすると、AWSControl Tower は未定義の状態になります。でリージョンを許可しない場合 AWS STS、認証はそれらのリージョンで使用できないため、機能はそれらのリージョンで失敗します。代わりに、コントロールに示すように、AWSControl Tower リージョン拒否機能、ランディングゾーンレベルで機能するリクエストされた AWS に基づいて へのアクセスを拒否 AWS リージョンする、または OU レベルで機能してリージョンへのアクセスを制限する OU に適用されるコントロールリージョン拒否機能に依存します。

を適用 AWS Organizations FullAWSAccessSCPする必要があり、他の とマージしないでくださいSCPs。これに対する変更はドリフトとして報告SCPされませんが、特定のリソースへのアクセスが拒否された場合、一部の変更は予測不可能な方法で AWS Control Tower の機能に影響を与える可能性があります。例えば、 SCPがデタッチまたは変更された場合、アカウントはレコーダーへのアクセス AWS Config を失ったり、 CloudTrail ログ記録にギャップが生じる可能性があります。

API を使用して、ランディングゾーンを設定した組織への AWS Control Tower サービスアクセスをオフにしないでください AWS Organizations DisableAWSServiceAccess。その場合、特定の AWS Control Tower ドリフト検出機能は、 からのメッセージングサポートなしでは正常に機能しない場合があります AWS Organizations。これらのドリフト検出機能は、AWSControl Tower が組織内の組織単位、アカウント、コントロールのコンプライアンスステータスを正確に報告できることを保証するのに役立ちます。詳細については、「」を参照してくださいAPI_DisableAWSServiceAccess リファレンス の AWS Organizations API「」。

通常、AWSControl Tower は一度に 1 つのアクションを実行します。これは、別のアクションを開始する前に完了する必要があります。例えば、コントロールを有効にするプロセスが進行中にアカウントをプロビジョニングしようとすると、アカウントのプロビジョニングは失敗します。

例外：

各登録済み OU を最大 1000 アカウントまで保持することをお勧めします。これにより、ガバナンスのために新しいリージョンを設定する場合など、アカウントの更新が必要な場合に、それらのアカウントを再登録 OU 機能で更新できます。

OU の登録に必要な時間を短縮するには、OU あたりのアカウント数が 1000 アカウントであっても、OU あたりのアカウント数を約 680 にしておくことをお勧めします。原則として、OU の登録に必要な時間は、OU が運用しているリージョンの数に、OU のアカウント数を掛けた数に応じて増加します。

見積もりとして、680 アカウントを持つ OU は、コントロールを登録して有効にするには最大 2 時間、再登録するには最大 1 時間かかる場合があります。また、コントロールが多い OU は、コントロールが少ない OU よりも登録に時間がかかります。

OU の登録に長い期間かかることに関する懸念事項の 1 つは、このプロセスが他のアクションをブロックすることです。お客様によっては、各 OU でより多くのアカウントを許可したいため、OU の登録や再登録に時間がかかっても構わない場合もあります。