Upgrade to Pro — share decks privately, control downloads, hide ads and more …

なぜ Control Tower は Config アグリゲータを 2 つ作るのか?

Avatar for いたくら いたくら
October 21, 2025
120

なぜ Control Tower は Config アグリゲータを 2 つ作るのか?

【AIとクラウドの文化祭!】DevelopersIO2025 TOKYO GRAND FINALE
クラスメソッド社員による怒涛のLT大会、11連発
https://classmethod.connpass.com/event/366750/

Avatar for いたくら

いたくら

October 21, 2025
Tweet

More Decks by いたくら

Transcript

  1. なぜ Control Tower は Config アグリゲータを 2 つ作るのか? 板倉 舞

    / いたくら クラスメソッド株式会社 クラウド事業本部コンサルティング部
  2. はじめに 3 Control Tower を有効化(ランディングゾーン設定)後、 2 つの Config アグリゲータが作成されるって知っていますか? 📌管理アカウント

    → aws-controltower-ConfigAggregatorForOrganizations 📌Audit アカウント → aws-controltower-GuardrailsComplianceAggregator なぜ別々のアカウント?役割は?両⽅必要なの?🤔
  3. 先に結論 5 2 つの Config アグリゲータの⽬的‧役割はこれだ! • aws-controltower-ConfigAggregatorForOrganizations(管理アカウント) ◦ ⽬的:Organizations

    全体の Config データを集約 ◦ 対象:Config が有効な全アカウント(Control Tower 未登録も含む) ◦ ⽤途:組織全体のリソース設定‧コンプライアンス監視 • aws-controltower-GuardrailsComplianceAggregator(Audit アカウント) ◦ ⽬的:Control Tower 管理下のアカウントの Config データを集約 ◦ 対象:Control Tower 登録済みアカウント(Config ⾃動有効化) ◦ ⽤途:Audit アカウントからのセキュリティ監査
  4. 基礎知識:AWS Config について 7 • AWS リソース変更があった場合に Config データが Config

    レコーダーに記録される • 集約設定(アグリゲータ)がある場合、アグリゲータが存在するアカウントに Config データがリアルタイムで集約される • Config Delivery Channel により S3 バケットに Config データが保存される
  5. aws-controltower-ConfigAggregatorForOrganizations 9 📌 何を集約する? • Organizations 内で Config が有効な全アカウントのデータ •

    CT 登録アカウント:⾃動で Config 有効化 • CT 未登録アカウント:⼿動で Config 有効化が必要 📌何が⾒える? • 各アカウントのリソース設定情報 • 各アカウントの Config ルール評価結果 📌 どう使う? • Organizations 全体のリソース可視化 • Config コンプライアンスダッシュボードでの詳細分析 • セキュリティ監査‧ガバナンスの基盤
  6. aws-controltower-GuardrailsComplianceAggregator 12 📌 何を集約する? • Control Tower 登録済みアカウントのデータ • Control

    Tower 未登録アカウントと管理アカウントは対象外 📌何が⾒える? • 各アカウントの Config ルール評価結果 • ConfigAggregatorForOrganizations と同じデータ内容 📌 どう使う? • Audit アカウントからのコンプライアンス確認 • CT 管理下アカウントのガバナンス監視
  7. ⽐較表 15 以下、2 つのアグリゲータの違い ConfigAggregatorForOrganizations GuardrailsComplianceAggregator 場所 管理アカウント Audit アカウント

    対象範囲 Organizations 全体 CT 登録済みアカウントのみ (管理アカウントを除く) 集約データ 全 Config ルール 全 Config ルール 主な用途 組織全体の管理 CT管理下の監査 📍ポイント • 集約するデータ内容は同じ • 違いは「場所」と「対象アカウントの範囲」 • 役割分担のために両⽅とも必要
  8. まとめ 17 本質的な違いは 2 つだけ! ConfigAggregatorForOrganizations GuardrailsComplianceAggregator 場所 管理アカウント Audit

    アカウント 対象範囲 Organizations 全体 CT 登録済みアカウントのみ (管理アカウントを除く) ❓なぜ Config アグリゲータを 2 つ作るのか?(推測)  アカウント分割(管理 vs 監査)により、役割に応じたアクセス管理を実現するため 💡どちらを使う?  ‧Organizations 全体を⾒たい → ConfigAggregatorForOrganizations  ‧CT 管理下のみ⾒たい → GuardrailsComplianceAggregator  ‧Config アグリゲータのコンプライアンスダッシュボードはどちらでも利⽤可能