AWS Control Tower Landing Zone 4.0 導入も移行もまとめて解説

AWS re:Invent 2025 新機能「やってみた」報告会 ～セキュリティ・ガバナンス編～
https://classmethod.jp/seminar/260310-awsreinvent-justtry/

Transcript

1. 2025/03/10 AWS re:Invent 2025 新機能「やってみた」報告会 〜セキュリティ‧ガバナンス編〜 AWS Control Tower Landing Zone 4.0 導⼊も移⾏もまとめて解説
2. アジェンダ 2 1. Landing Zone 4.0とは 2. 4.0の構成パターン 3. 新規導⼊する場合 4. 3.3から4.0に移⾏する場合 5. まとめ
3. Landing Zone 4.0とは 2025年11⽉リリースのメジャーアップデート
4. Landing Zone 4.0の主な変更点 4 • サービス統合がすべてオプション化 （Config、CloudTrail、SecurityRoles、Identity Center、Backup） ◦ マニフェストフィールドの全オプション化 • Controls-Onlyモードの導⼊ • S3バケットの分離（Config⽤とCloudTrail⽤） • Config AggregatorがSLCA（Service-Linked Config Aggregator）に刷新 • ドリフト通知がEventBridgeに移⾏（AWSControlTowerBaseline未有効時） • Security OUの要件が変更（Controls-Only × Config無効では不要に）
5. 4.0の構成パターン 選択肢の組み合わせで複数パターンが存在
6. Full Environment vs Controls-Only 6
7. Config統合の有無で使える機能が変わる 7
8. 4パターンまとめ 8 構成×Config統合の組み合わせで4パターンに分岐 機能 Full×Config有効 Full×Config無効 CO×Config有効 CO×Config無効 検出的コントロール 利⽤可 不可 利⽤可 不可 OU登録 可 不可 可 不可 Account Factory 可 不可 可 不可 ランディングゾーンレベルの リージョン拒否 可 SecurityOUのみ 不可 不可 Security OU 作成される 作成される 必要 不要 CloudTrail統合 選択可 選択可 不可 不可 Full：Full Environment、CO：Controls-Only
9. 新規導⼊する場合 これから始める⼈は最新のLZ 4.0で構築
10. どのパターンを選ぶ？ 10 推奨：Full × Config有効 • フル機能が利⽤可能 • 検出的コントロール、OU登録、 Account Factory • ランディングゾーンレベルの リージョン拒否設定 • ガバナンスをしっかり効かせたい場合は こちら Controls-Onlyが向いているケース • すでにOrganizationsで マルチアカウント運⽤中 • 最⼩限のガバナンスから始めたい • コントロールだけ使いたい • 段階的に機能を追加していく想定
11. 新規導⼊のセットアップフロー 11
12. 3.3から4.0に移⾏する場合 アップグレード⼿順と注意点
13. アップグレード⼿順 13
14. アップグレード前の確認事項 14 事前確認事項（コンソール/API共通） • Log Archiveのログ集約バケットの Requester Pays を無効化（デフォルト無効化） • Config統合有効時、 organizations:ListDelegatedAdministrators 権限が必要 • SCPが AWSControlTowerExecution ロールを制限していないこと • Audit/Log Archiveに⼿動Configリソースがないこと • Closed/Suspendedアカウントのprovisioned productを削除 注意事項 • Log Archiveのログ集約バケットのバケットポリシーはアップグレード時に上書きされる • ロールバック不可（失敗時はAWS Support問い合わせ） • テスト環境での事前検証を推奨
15. アップグレードで変わるリソース: Before（LZ 3.3） 15
16. アップグレードで変わるリソース: After（LZ 4.0） 16
17. S3分離‧Config Aggregator刷新の詳細 17
18. 必須コントロールの変更 18
19. 補⾜ 19 注意が必要なケース • LZ 3.3でCloudTrail統合を無効にしていた場合、LZ 4.0へのアップグレードで 組織証跡が削除される 既存データについて • S3バケット分離後、既存データは旧バケットに残る （移動されない） • 新データのみ新しいConfig用バケットに格納される
20. まとめ 20 • サービス統合がすべてオプション化 → 柔軟な構成が可能に • 新規導⼊は Full Environment × Config有効 が推奨 • 既存環境には Controls-Only という新たな選択肢 • 3.3からの移⾏では S3分離やConfig Aggregator刷新 など 複数のリソース変更あり • ロールバック不可 → テスト環境での事前検証を推奨
21. ありがとうございました！