c2.16 マルチアカウント構成を採用する
AWS Control Tower でマルチアカウントのランディングゾーンを構築します。ガードレールを一元的に適用し、CloudTrail ログを専用のログ用アカウントに集約・保護し、セキュリティ管理を委任して 1 つのチームが組織全体を見られるようにします。
実装ガイダンス
ランディングゾーンを構築する
AWS Control Tower はベストプラクティスに沿ったマルチアカウント環境を構築します。ガードレールを一元的に適用し、CloudTrail ログを専用の保護されたログ用アカウントに集約します。Control Tower が提供する以上のカスタマイズが必要な場合は、Landing Zone Accelerator on AWS を使います。
インシデントを封じ込めるようアカウントを構成する
ワークロードをアカウントに分割します。組織を支えるコアアカウント群（ログ、監査、バックアップ、ネットワーク）に加え、ビジネスユニットやワークロードごとの dev/test/prod アカウントを用意します。今日、大きな 1 つの本番アカウントがある場合は、インシデントの影響範囲を縮小するためにワークロードの移動を始めます。アカウントを分けると、アカウントごとのサービスクォータの競合も避けられます。
セキュリティ管理を委任する
多くのセキュリティサービスは AWS Organizations と統合され、委任管理者に対応しています。そのため、セキュリティチームは専用のセキュリティアカウントから組織全体の可視性を得られます。対象には AWS Security Hub CSPM、Amazon GuardDuty、Amazon Macie、Amazon Detective、AWS Firewall Manager、IAM Access Analyzer、Amazon Inspector が含まれます。
管理アカウントを汚さない
管理（組織ルート）アカウントは SCP で制限されず、日常的に使うべきではないため、そこでワークロードを実行しないでください。既存の組織でも Control Tower を有効化できます。
全体像
How to validate
- AWS Control Tower（またはランディングゾーン）を導入しましたか？
- ワークロードは複数アカウントに分離されていますか？
- 組織のワークロードの大半を集中させているアカウントはありますか？
- セキュリティサービスは専用のセキュリティアカウントから委任管理を使っていますか？
Threats addressed
- ログを別アカウントに集約・保護していないと、攻撃者がそれを改ざんまたは無効化でき、根絶作業を妨げます。
- 単一アカウント構成では SCP を使えないため、侵害された資格情報ができることに制限がありません。本番ワークロードには組織が必要です。
- ワークロードを 1 つのアカウントに集中させると、あらゆる侵害の影響範囲が拡大します。
AWS サービス
AWS Organizations 
AWS Control Tower 
AWS Security Hub 
Amazon GuardDuty 料金
Control Tower は、有効化するサービス（AWS Config など）以外に追加料金はありません。Control Tower の料金を参照してください。