Upgrade to Pro — share decks privately, control downloads, hide ads and more …

AWS Control Tower Landing Zone 4.0 導入も移行もまとめて解説

Avatar for いたくら いたくら
March 24, 2026
130

AWS Control Tower Landing Zone 4.0 導入も移行もまとめて解説

AWS re:Invent 2025 新機能「やってみた」報告会 ~セキュリティ・ガバナンス編~
https://classmethod.jp/seminar/260310-awsreinvent-justtry/

Avatar for いたくら

いたくら

March 24, 2026
Tweet

More Decks by いたくら

Transcript

  1. Landing Zone 4.0の主な変更点 4 • サービス統合がすべてオプション化 (Config、CloudTrail、SecurityRoles、Identity Center、Backup) ◦ マニフェストフィールドの全オプション化

    • Controls-Onlyモードの導⼊ • S3バケットの分離(Config⽤とCloudTrail⽤) • Config AggregatorがSLCA(Service-Linked Config Aggregator)に刷新 • ドリフト通知がEventBridgeに移⾏(AWSControlTowerBaseline未有効時) • Security OUの要件が変更(Controls-Only × Config無効では不要に)
  2. 4パターンまとめ 8 構成×Config統合の組み合わせで4パターンに分岐 機能 Full×Config有効 Full×Config無効 CO×Config有効 CO×Config無効 検出的コントロール 利⽤可

    不可 利⽤可 不可 OU登録 可 不可 可 不可 Account Factory 可 不可 可 不可 ランディングゾーンレベルの リージョン拒否 可 SecurityOUのみ 不可 不可 Security OU 作成される 作成される 必要 不要 CloudTrail統合 選択可 選択可 不可 不可 Full:Full Environment、CO:Controls-Only
  3. どのパターンを選ぶ? 10 推奨:Full × Config有効 • フル機能が利⽤可能 • 検出的コントロール、OU登録、 Account

    Factory • ランディングゾーンレベルの リージョン拒否設定 • ガバナンスをしっかり効かせたい場合は こちら Controls-Onlyが向いているケース • すでにOrganizationsで マルチアカウント運⽤中 • 最⼩限のガバナンスから始めたい • コントロールだけ使いたい • 段階的に機能を追加していく想定
  4. アップグレード前の確認事項 14 事前確認事項(コンソール/API共通) • Log Archiveのログ集約バケットの Requester Pays を無効化(デフォルト無効化) •

    Config統合有効時、 organizations:ListDelegatedAdministrators 権限が必要 • SCPが AWSControlTowerExecution ロールを制限していないこと • Audit/Log Archiveに⼿動Configリソースがないこと • Closed/Suspendedアカウントのprovisioned productを削除 注意事項 • Log Archiveのログ集約バケットのバケットポリシーはアップグレード時に上書きされる • ロールバック不可(失敗時はAWS Support問い合わせ) • テスト環境での事前検証を推奨
  5. 補⾜ 19 注意が必要なケース • LZ 3.3でCloudTrail統合を無効にしていた場合、LZ 4.0へのアップグレードで 組織証跡が削除される 既存データについて •

    S3バケット分離後、既存データは旧バケットに残る (移動されない) • 新データのみ新しいConfig用バケットに格納される
  6. まとめ 20 • サービス統合がすべてオプション化 → 柔軟な構成が可能に • 新規導⼊は Full Environment

    × Config有効 が推奨 • 既存環境には Controls-Only という新たな選択肢 • 3.3からの移⾏では S3分離やConfig Aggregator刷新 など 複数のリソース変更あり • ロールバック不可 → テスト環境での事前検証を推奨