Terraform を使用した AWS Control Tower コントロールのデプロイと管理

作成者: Iker Reina Fuente (AWS) と Ivan Girardi (AWS）

[概要]

このパターンでは、AWSControl Tower コントロール、 HashiCorp Terraform、Infrastructure as Code (IaC ) を使用して、予防、検出、プロアクティブセキュリティコントロールを実装および管理する方法を説明します。コントロール (ガードレール とも呼ばれます) は、AWSControl Tower 環境全体に継続的なガバナンスを提供する高レベルのルールです。例えば、コントロールを使用してAWSアカウントのログ記録を要求し、特定のセキュリティ関連のイベントが発生した場合に自動通知を設定できます。

AWS Control Tower は、AWSリソースを管理し、複数のAWSアカウントでコンプライアンスをモニタリングする予防的、検出的、プロアクティブなコントロールを実装するのに役立ちます。各コントロールは、1 つのルールを適用します。このパターンでは、提供された IaC テンプレートを使用して、環境にデプロイするコントロールを指定します。

AWS Control Tower コントロールは組織単位 (OU) 全体に適用され、そのコントロールは OU 内のすべてのAWSアカウントに影響します。したがって、ユーザーがランディングゾーン内の任意のアカウントで作業を実行する場合、アクションは OU に適用されるコントロールに従います。

AWS Control Tower コントロールを実装すると、AWSランディングゾーンの強力なセキュリティ基盤を確立できます。このパターンを使用してコントロールを Terraform IaC としてデプロイすることで、ランディングゾーンでのコントロールを標準化し、より効率的にデプロイして管理できます。

AWS Control Tower コントロールを IaC としてデプロイするには、Terraform の代わりに AWS Cloud Development Kit (AWS CDK) を使用することもできます。詳細については、「 と を使用して AWS Control Tower コントロールをデプロイAWSCDKおよび管理AWS CloudFormation」を参照してください。

ターゲットオーディエンス

このパターンは、AWSControl Tower、Terraform、および AWSOrganizations の使用経験があるユーザーに推奨されます。

前提条件と制限

前提条件

製品バージョン

アーキテクチャ

ターゲット アーキテクチャ

このセクションでは、このソリューションの概要と、サンプルコードによって確立されたアーキテクチャについて説明します。次の図は、OU 内のさまざまなアカウントに展開されるコントロールを示しています。

AWS Control Tower コントロールは、その動作とガイダンス に従って分類されます。

コントロールの動作には、主に 3 つのタイプがあります。

コントロールガイダンスは、各コントロールを に適用する方法の推奨プラクティスですOUs。AWS Control Tower には、必須 、強く推奨される 、選択的 の 3 つのカテゴリのガイダンスが用意されています。コントロールのガイダンスは、コントロールの動作とは無関係です。詳細については、「コントロールの動作とガイダンス」を参照してください。

ツール

AWS サービス

その他のツール

コードリポジトリ

このパターンのコードは、 GitHub Terraform リポジトリを使用して AWS Control Tower コントロールをデプロイおよび管理します。

ベストプラクティス

エピック

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

トラブルシューティング

関連リソース

AWS ドキュメント

その他のリソース

追加情報

variables.tfvars ファイルの例

以下に、更新された variables.tfvars ファイルの例を示します。

controls = [
    {
        control_names = [
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

IAMロールの最小権限のアクセス許可

このAPGパターンでは、管理アカウントでIAMロールを引き受ける必要があります。一時的な権限を持つロールを割り当て、最小特権の原則に従って権限を制限するのがベストプラクティスです。次のサンプルポリシーでは、AWSControl Tower コントロールを有効または無効にするために必要な最小限のアクションを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}