AWS CDK と AWS を使用して AWS Control Tower コントロールをデプロイして管理する CloudFormation

作成者: Iker Reina Fuente (AWS)、Ivan Girardi (AWS)

[概要]

このパターンでは、AWS CloudFormation および AWS Cloud Development Kit (AWS CDK) を使用して、予防、検出、プロアクティブの AWS Control Tower コントロールをコードとしてのインフラストラクチャ (IaC) として実装および管理する方法を説明します。コントロール (ガードレールとも呼ばれます) は、AWS Control Tower 環境全体に継続的なガバナンスを提供する高レベルのルールです。たとえば、コントロールを使用して AWS アカウントのログ記録を要求し、特定のセキュリティ関連イベントが発生した場合に自動通知を設定できます。

AWS Control Tower は、AWS リソースを管理し、複数の AWS アカウントのグループ全体のコンプライアンスをモニタリングするの予防、検出、およびプロアクティブコントロールを実装します。各コントロールは、1 つのルールを適用します。このパターンでは、提供された IaC テンプレートを使用して、環境にデプロイするコントロールを指定します。

AWS Control Tower コントロールは組織単位 (OU) 全体に適用されるので、OU 内のすべての AWS アカウントがコントロールの影響を受けます。したがって、ユーザーがランディングゾーン内の任意のアカウントで作業を実行する場合、アクションは OU に適用されるコントロールに従います。

AWS Control Tower コントロールを実装することで、AWS landing zone の強固なセキュリティ基盤を確立できます。このパターンを使用して、 CloudFormation および AWS CDK を介してコントロールを IaC としてデプロイすることで、ランディングゾーンのコントロールを標準化し、より効率的にデプロイおよび管理できます。このソリューションでは、デプロイ中に cdk_nag を使用して AWS CDK アプリケーションをスキャンします。このツールは、アプリケーションが AWS のベストプラクティスに準拠しているかどうかをチェックします。

AWS Control Tower コントロールを IaC としてデプロイするには、AWS CDK の代わりに HashiCorp Terraform を使用することもできます。詳細については、「Deploy and manage AWS Control Tower controls by using Terraform」を参照してください。

ターゲットオーディエンス

このパターンは、AWS Control Tower、AWS CDK CloudFormation、および AWS Organizations の使用経験があるユーザーに推奨されます。

前提条件と制限

前提条件

制限

製品バージョン

アーキテクチャ

ターゲット アーキテクチャ

このセクションでは、このソリューションの概要と、サンプルコードによって確立されたアーキテクチャについて説明します。次の図は、OU 内のさまざまなアカウントに展開されているコントロールを示しています。

AWS Control Tower コントロールは、その動作とガイダンスに従って分類されています。

コントロールの動作には、主に 3 つのタイプがあります。

コントロールのガイダンスとは、各コントロールを OU に適用する方法について推奨されるプラクティスを指します。AWS Control Tower は、必須、強く推奨、選択の 3 つのカテゴリのガイダンスを提供します。コントロールのガイダンスは、コントロールの動作とは無関係です。詳細については、「コントロールの動作とガイダンス」を参照してください。

ツール

AWS サービス

その他のツール

コードリポジトリ

このパターンのコードは、 GitHub AWS CDK リポジトリを使用した AWS Control Tower コントロールのデプロイ で入手できます。cdk.json ファイルを使用して AWS CDK アプリケーションを操作し、package.json ファイルを使用して npm パッケージをインストールします。

ベストプラクティス

エピック

git clone https://github.com/aws-samples/aws-control-tower-controls-cdk.git

$ ./scripts/install_deps.sh

$ npx cdk synth
$ npx cdk deploy

関連リソース

AWS ドキュメント

その他のリソース

追加情報

constants.py ファイルの例

以下は、更新された constants.py ファイルの例です。

ACCOUNT_ID = 111122223333
AWS_CONTROL_TOWER_REGION = us-east-2
ROLE_ARN = "arn:aws:iam::111122223333:role/CT-Controls-Role"
GUARDRAILS_CONFIGURATION = [
    {
        "Enable-Control": {
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        },
        "OrganizationalUnitIds": ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        "Enable-Control": {
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        },
        "OrganizationalUnitIds": ["ou-2222-22222222"...],
    },
]

IAM ポリシー

以下のサンプルポリシーでは、デプロイアカウントから管理アカウントに AWS CDK スタックをデプロイするときに AWS Control Tower コントロールを有効または無効にするために必要な最小限のアクションを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        }
    ]
}

信頼ポリシー

以下のカスタム信頼ポリシーでは、デプロイアカウントの特定の IAM ロールが管理アカウントの IAM ロールを引き継ぐことを許可しています。以下に置き換えます:

{
    “Version”: “2012-10-17”,
    “Statement”: [
        {
            “Effect”: “Allow”,
            “Principal”: {
                “AWS”: “arn:aws:iam::<DEPLOYMENT-ACCOUNT-ID>:role/<DEPLOYMENT-ROLE-NAME>”
            },
            “Action”: “sts:AssumeRole”,
            “Condition”: {}
        }
    ]
}