翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
AWS Control Tower ベースラインを使用すると、ビジネスニーズに応じて、ランディングゾーンレベルではなく、OU レベルでガバナンス標準を設定できます。OU を AWS Control Tower に登録するのに役立つ AWSControlTowerBaseline というベースラインがあります。
注記
ベースラインとは、ランディングゾーン内に安定したガバナンス環境を確立するために連携するコントロールとリソースのグループです。
AWS Control Tower で EnableBaseline API を呼び出して OU でベースラインを有効にする際には、現在の AWS Control Tower ランディングゾーンバージョンと互換性のあるベースラインバージョンを指定する必要があります。ベースラインを指定すると、OU 内のすべてのメンバーアカウントが OU に指定されたベースラインに従います。つまり、新しいアカウントは更新されたベースラインでプロビジョニングされ、既存のメンバーアカウントは新しいベースラインに従って管理されるようになります。
既存の OU とアカウントのベースラインを選択しない場合は、デフォルトで、ランディングゾーンバージョンによってガバナンス体制全体が決まります。ただし、ランディングゾーンに登録された各 OU にはベースラインバージョンが割り当てられています。これは、現在のランディングゾーンバージョンと互換性のある最新のベースラインです。したがって、特にベースラインを割り当てなくても、OU と登録済みのメンバーアカウントにはそれぞれベースラインが関連付けられています。
OU レベルのベースライン AWSControlTowerBaseline について、ベースラインと AWS Control Tower ランディングゾーンバージョンの互換性を次の表に示します。
| ベースラインバージョン | ランディングゾーンバージョン | 含まれるブループリント | 含まれるコントロール | 以前のベースラインからの変更 |
|---|---|---|---|---|
1.0 |
2.0～2.7 |
BP_BASELINE_CLOUDTRAIL、BP_BASELINE_CLOUDWATCH、BP_BASELINE_CONFIG、BP_BASELINE_ROLES、BP_BASELINE_SERVICE_ROLES、IAM リソース |
すべての必須コントロール |
なし |
2.0 |
2.8～2.9 |
BP_BASELINE_CLOUDTRAIL、BP_BASELINE_CLOUDWATCH、BP_BASELINE_CONFIG、BP_BASELINE_ROLES、BP_BASELINE_SERVICE_ROLES、Config SLR、IAM リソース |
すべての必須コントロール |
SLR を使用するための AWS Config サービスにリンクされたロール (SLR) と新しい Config ブループリントを追加 |
3.0 |
3.0～3.1 |
BP_BASELINE_CLOUDWATCH、BP_BASELINE_CONFIG、BP_BASELINE_ROLES、BP_BASELINE_SERVICE_ROLES、Config SLR、IAM リソース |
すべての必須コントロール |
新しい AWS Config ブループリント。グローバルリソースをホームリージョンでのみ記録するように変更。CloudTrail ブループリントを削除 |
4.0 |
3.2～3.3 |
BP_BASELINE_CLOUDWATCH、BP_BASELINE_CONFIG、BP_BASELINE_ROLES、BP_BASELINE_SERVICE_LINKED_ROLE、BP_BASELINE_SERVICE_ROLES、Config SLR、IAM リソース |
すべての必須コントロール |
新しい SLR ブループリント |
ランディングゾーンのセットアップ時にアカウントに作成された特定のリソースの詳細については、「Resources created in the shared accounts」を参照してください。
ランディングゾーンを、新しい AWSControlTowerBaseline ベースラインバージョンをサポートするバージョンに更新したときに、新しいランディングゾーンバージョンが既存のベースラインバージョンと互換性がある場合は、OU の状態が [更新が利用できます] に変わります。
-
ランディングゾーンが 2.x から 3.x に更新される場合を除き、OU のベースラインをすぐに更新しなくても、アカウントファクトリやその他の機能を引き続き使用できます。
-
この OU に登録された新しいアカウントは、(コンソールで [ガバナンスを拡張] 機能を使用するか、
UpdateEnabledBaselineAPI を使用して) ベースラインバージョンが更新されるまで、既存のベースラインバージョンに基づいてリソースを受け取ります。 -
ベースラインバージョンを更新すると、その OU 内のすべてのアカウントが新しいベースラインバージョンに基づいてリソースを受け取ります。
注記
AWS Control Tower ランディングゾーンをバージョン 2.X からバージョン 3.X に更新する場合、アカウントレベルから組織レベルの AWS CloudTrail 証跡への変更により、OUs のベースラインバージョンも更新する必要があります。コンソールで、OU のステータスが [更新は必須です] と表示されます。
ベースラインに関する考慮事項
-
OU でベースラインの更新が必要な場合は、新しいアカウントをプロビジョニングしたり、既存のアカウントをその OU に登録したりすることはできません。
-
ランディングゾーンの更新後、OU のベースラインも更新する場合は、OU を再登録するか、OU のベースラインバージョンをプログラムで更新する必要があります。
-
ランディングゾーンとベースラインを組み合わせた場合の利点がすべて得られるように、ご使用のランディングゾーンバージョンと互換性のある最も高いバージョンのベースラインに更新することをお勧めします。例えば、ランディングゾーンバージョン 3.3 に更新した場合、ベースライン 3.0 を引き続き使用できますが、ベースライン 4.0 への更新も行わないと、ランディングゾーンバージョン 3.3 の利点をすべて得ることはできません。
-
ベースラインの更新はロールバックできません。
-
ベースラインの有効化は、一度に 1 つの OU を対象とします。したがって、ネストされた OU は、親 OU が更新されても自動的に更新されません。ネストされた OU を更新する前に、親 OU を更新することをお勧めします。
-
UpdateEnabledBaselineAPI を呼び出すか、コンソールから OU を再登録した場合、OU はベースラインの更新前に有効になっていたすべてのコントロールを保持します。 -
複数のベースラインバージョンがランディングゾーンバージョンと互換性がある場合は、アンマネージド OU でベースラインを有効にする場合は、最新のベースラインバージョンを使用する必要があります。
