118-AWS SAP AWS 「理論・実践・一問道場」AWS マルチアカウント戦略

type

status

date

slug

summary

理論

AWS マルチアカウント戦略とセキュリティ管理の基本知識

AWS 環境でのマルチアカウント構造の設計と管理は、大規模な企業においてセキュリティ、スケーラビリティ、および運用効率を向上させるために重要な要素です。この問題に関連する本質的な知識を以下にまとめます。

1. マルチアカウント構造の利点

AWSでマルチアカウント戦略を採用することで、以下のような利点があります。

セキュリティの強化: 各アカウントごとにリソースやポリシーを分離することで、セキュリティリスクを軽減できます。

責任の分離: 開発、ステージング、プロダクション環境を分離することで、運用上のミスや意図しない変更の影響を最小限に抑えます。

コスト管理: アカウントごとにコストを追跡し、予算管理を容易にします。

スケーラビリティ: 各部門やプロジェクトごとに独立した環境を持つことで、管理が容易になります。

2. AWS Control Tower

AWS Control Tower は、マルチアカウント環境のセットアップと管理を簡素化するサービスです。

ランディングゾーン: Control Tower が提供するベストプラクティスに基づいたマルチアカウント環境の標準設定。

AWS Organizations: 組織のアカウントを一元管理し、ポリシーを適用可能。

ガードレール: アカウントごとにセキュリティポリシーを自動適用。

ユースケース:

Control Tower を使用して、開発、ステージング、プロダクション、共有ネットワークアカウントを一元管理できます。

3. AWS IAM Identity Center (AWS SSO)

IAM Identity Center は、AWS のシングルサインオン (SSO) ソリューションであり、ユーザー管理を効率化します。

MFA: 多要素認証 (MFA) をサポートし、セキュリティを向上。

ロール管理: ユーザーグループに基づいてアクセス権限を割り当て。

統合: Active Directory や外部IDプロバイダーとの連携が可能。

ユースケース:

各アカウントにログインするユーザーに、必要最小限の権限を付与することで、セキュリティを強化します。

4. ネットワーク設計: AWS Transit Gateway

AWS Transit Gateway は、複数のVPCやオンプレミス環境を統合的に接続するサービスです。

接続管理: 複数のVPCを一元管理して、ルートテーブルを設定可能。

セキュリティ: トラフィックをプライベートネットワーク内に限定。

スケーラビリティ: 大規模なネットワーク環境での接続を効率化。

ユースケース:

プロダクションと共有ネットワークアカウントの間で接続を確立し、他のアカウントとの分離を維持します。

5. セキュリティとアクセス管理のベストプラクティス

必要最小限のアクセス: ユーザーやアカウントごとにアクセス権限を厳密に制限。

MFA の必須化: 全てのユーザーに対してMFAを強制することで、不正アクセスを防止。

ログ管理: AWS CloudTrail を使用して全アカウントのアクティビティを記録。

ポリシーの自動適用: AWS Config やControl Towerのガードレールを活用。

まとめ

AWS 環境でマルチアカウント構造を導入する際は、AWS Control Tower を使用してランディングゾーンを設定し、IAM Identity Center でユーザーアクセスを集中管理するのが推奨されます。また、Transit Gateway を活用してプライベートネットワークを構築することで、セキュリティと運用効率を向上させることができます。これらのサービスとベストプラクティスを組み合わせることで、安全かつスケーラブルなAWS環境を実現できます。

この図は、AWS Control Tower を使ってプロビジョニングされた「ランディングゾーン（Landing Zone）」の構成を説明しています。AWS Control Towerは、AWSアカウントの管理とガバナンスを簡素化し、セキュリティやコンプライアンス要件を満たすための環境を提供します。

図の主なポイント

管理アカウント（Management Account）

AWS Control Towerを設定・運用する中心となるアカウント。

以下のサービスを通じて、環境を構成・管理します：

AWS Organizations: マルチアカウント環境を作成・管理。
AWS CloudFormation StackSets: 共通の設定やリソースを各アカウントにデプロイ。
AWS Service Catalog (Account Factory): 新しいアカウントを簡単に作成するためのツール。
AWS IAM Identity Center (AWS Single Sign-On): アカウント間のシングルサインオン（SSO）を設定。

組織単位（Organizational Units, OUs）

アカウントを管理するためのグループ。以下の例が示されています：

Security OU: セキュリティ関連のアカウントを管理。
Sandbox OU: 開発や実験用アカウントを管理。

専用アカウント

Log Archive Account（ログアーカイブアカウント）:

中央集約されたAWS CloudTrailやAWS Configのログを保存。
セキュリティやコンプライアンスのために重要。

Audit Account（監査アカウント）:

セキュリティ通知やクロスアカウントロールを提供。
AWS Configの設定を集約。

Provisioned Accounts（プロビジョニングされたアカウント）:

開発、ステージング、プロダクションなど、用途に応じて作成されるアカウント。
それぞれがアカウントのベースライン（共通設定）とネットワークのベースラインを持つ。

図が示すメリット

統合された管理: AWS Control Towerを活用することで、複数アカウントを一元的に管理できる。

セキュリティとコンプライアンス: ログの一元化やクロスアカウントのセキュリティロールにより、セキュリティリスクを最小化。

効率的なアカウント作成: AWS Service Catalogを使い、新しいアカウントを迅速かつ標準化して作成可能。

シングルサインオン: AWS IAM Identity Centerを利用して、ユーザーの認証を簡素化。

全体的に、この図はAWS Control Towerを活用して、複雑なマルチアカウント環境を効率的かつセキュアに管理する方法を示しています。

実践

略

一問道場

質問 #118

トピック 1

ある企業がAWSへの移行を計画しています。この企業は、すべてのアカウントやアプリケーションへのアクセスを集中管理できるマルチアカウント構造を使用したいと考えています。また、トラフィックはプライベートネットワーク上で維持したいと考えています。

ログイン時に多要素認証（MFA）が必須であり、ユーザーグループごとに特定のロールが割り当てられる必要があります。

企業は、開発、ステージング、プロダクション、および共有ネットワーク用に個別のアカウントを作成する必要があります。プロダクションアカウントと共有ネットワークアカウントはすべてのアカウントに接続できる必要があり、開発アカウントとステージングアカウントはお互いにのみアクセスできる必要があります。

この要件を満たすために、ソリューションアーキテクトはどの手順の組み合わせを取るべきですか？（3つ選択）

選択肢：

A. AWS Control Tower を使用してランディングゾーン環境を展開します。アカウントを登録し、AWS Organizations に既存のアカウントを招待します。

B. すべてのアカウントで AWS Security Hub を有効化し、クロスアカウントアクセスを管理します。CloudTrail を通じて検出結果を収集し、MFAログインを強制します。

C. 各アカウントにトランジットゲートウェイとトランジットゲートウェイ VPC アタッチメントを作成し、適切なルートテーブルを設定します。

D. AWS IAM Identity Center (AWS Single Sign-On) を設定して有効化します。既存のアカウントに必要な MFA を含む適切なパーミッションセットを作成します。

E. すべてのアカウントで AWS Control Tower を有効化して、アカウント間のルーティングを管理します。CloudTrail を通じて検出結果を収集し、MFAログインを強制します。

F. IAMユーザーとグループを作成し、すべてのユーザーにMFAを設定します。Amazon Cognitoユーザープールとアイデンティティプールをセットアップして、アカウント間およびアカウントへのアクセスを管理します。

質問 #118

トピック 1

ある企業がAWSへの移行を計画しています。この企業は、すべてのアカウントとアプリケーションへのアクセスを一元管理できるマルチアカウント構造を使用したいと考えています。また、トラフィックはプライベートネットワーク内に限定することを希望しています。ログイン時には多要素認証（MFA）が必須であり、特定の役割がユーザーグループに割り当てられる必要があります。

以下の要件を満たすために、開発、ステージング、プロダクション、および共有ネットワーク用の個別のアカウントを作成する必要があります。

プロダクションアカウントと共有ネットワークアカウントはすべてのアカウントに接続できる必要があります。

開発アカウントとステージングアカウントはお互いにのみアクセスできる必要があります。

ソリューションアーキテクトがこれらの要件を満たすために取るべき手順の組み合わせはどれですか？（3つ選択）

A. AWS Control Tower を使用してランディングゾーン環境を展開します。アカウントを登録し、既存のアカウントを AWS Organizations に招待します。

B. AWS Security Hub をすべてのアカウントで有効にして、アカウント間アクセスを管理します。AWS CloudTrail を使用してMFAログインを強制するための結果を収集します。

C. 各アカウントにトランジットゲートウェイとトランジットゲートウェイ VPC アタッチメントを作成します。適切なルートテーブルを設定します。

D. AWS IAM Identity Center（AWS シングルサインオン）を設定して有効化します。既存のアカウントに必要なMFAを含む適切な権限セットを作成します。

E. AWS Control Tower をすべてのアカウントで有効にして、アカウント間のルーティングを管理します。AWS CloudTrail を使用してMFAログインを強制するための結果を収集します。

F. IAM ユーザーとグループを作成します。すべてのユーザーにMFAを設定します。アカウント間およびアカウント内のアクセスを管理するために Amazon Cognito ユーザープールとアイデンティティプールを設定します。

解説

選択肢の検討

A. AWS Control Tower を使用してランディングゾーン環境を展開します

解説: AWS Control Tower は、複数のアカウントを統合管理するための推奨ソリューションです。ランディングゾーンを使用することで、セキュリティやコンプライアンスのベストプラクティスに基づいたマルチアカウント環境を作成できます。正解: 要件を満たします。

B. AWS Security Hub を有効化し、CloudTrail を通じて検出結果を収集します

解説: Security Hub はセキュリティデータの集約や可視化に役立ちますが、マルチアカウント構造のセットアップやMFAの管理には直接関与しません。不正解: 要件を直接満たしません。

C. 各アカウントにトランジットゲートウェイとVPCアタッチメントを作成します

解説: トランジットゲートウェイを使用すると、複数のアカウント間でのネットワーク接続を効率的に管理できます。開発・ステージング間やプロダクション・共有ネットワーク間の接続要件を満たすための適切な手法です。正解: 要件を満たします。

D. AWS IAM Identity Center (AWS Single Sign-On) を設定して有効化します

解説: IAM Identity Center (以前のAWS SSO) を使用すると、ユーザー認証、グループ管理、およびロール割り当てが可能です。MFAを含むセキュリティポリシーを設定し、集中管理ができます。正解: 要件を満たします。

E. すべてのアカウントで AWS Control Tower を有効化します

解説: Control Tower をすべてのアカウントに個別に有効化するのは非効率であり、AWS Organizations を通じた統合管理の手法と矛盾します。不正解: 要件を満たしません。

F. IAM ユーザーとグループを作成し、Cognito を使用します

解説: IAM ユーザーと Amazon Cognito はシングルサインオンやアカウント管理の代替手段として使用可能ですが、大規模なマルチアカウント環境の管理には向いていません。Control Tower やIAM Identity Centerの方が適切です。不正解: 要件を満たしません。