Amazon Web Services ブログ

Category: AWS Control Tower

AWS Control Tower で AWS リソースのセルフサービスプロビジョニングを有効にする

お客様は、新しいビジネスユニットのオンボーディングやアプリケーションワークロードのセットアップを行うたびに、AWS Control Tower で新しいアカウントをプロビジョニングしています。場合によっては、組織はクラウドユーザー、開発者、およびデータサイエンティストに、新しいアカウントでセルフサービス標準化された安全なパターンとアーキテクチャをデプロイすることも求めます。以下にいくつか例を示します。 開発者またはクラウドエンジニアが、golden AMI から Amazon EC2 インスタンスを起動したいと考えています。 データサイエンティストは、承認済みの AMI とインスタンスタイプで Amazon EMR クラスターを起動したいと考えています。 データベース管理者は、新しくプロビジョニングされた AWS アカウントで承認済みの Amazon RDS データベースを起動する必要があります。 この記事では、AWS Control Tower の Account Factory を使用して新しい AWS アカウントをプロビジョニングする方法を示します。また、AWS Service Catalog を使用して、RDS データベースのポートフォリオなどのカスタム製品を新しいアカウントと共有する方法も示します。さらに、AWS Control Tower のガードレールを使用して新しいアカウントでガバナンスを実施する方法についても説明します。 このソリューションで使われる AWS のサービスは、以下のとおりです。 AWS Control Tower AWS Service Catalog AWS CloudFormation Amazon CloudWatch Amazon RDS AWS Organizations […]

Read More

セルフマネージド型 Active Directory を AWS Control Tower に拡張

クラウドジャーニーの初期段階によくあるユースケースの 1 つとして、既存のアイデンティティサービス (Microsoft Active Directory など) を使用することが挙げられます。このブログでは、AWS Control Tower をセットアップして、AWS Managed Microsoft AD を介してユーザー認証をセルフマネージド型 Microsoft Active Directory に委任する方法について解説します。既存のオンプレミスの Active Directory を AWS Control Tower に接続する方法を、シミュレート環境でみていきます。 背景 AWS Control Tower には、マルチアカウント環境における SSO アクセスを簡素化するクラウドベースのサービス、AWS Single Sign-on (AWS SSO) が組み込まれています。ユーザー認証の管理は、AWS SSO を使用して、AWS Control Tower に接続されたディレクトリが行います。各ユーザーに割り当てられたアカウントアクセスおよび付与されたアクセス許可のレベルによって、認証が判断されます。 AWS SSO はアクセス許可のセットを使用します。これは、ユーザーのアクセス許可が、所定の AWS アカウントにアクセスするために有効かどうかを判断する、管理者定義ポリシーのコレクションです。アクセス許可のセットには、AWS が管理するポリシーまたは AWS SSO に保存されているインラインポリシーのいずれかが含まれています。ポリシーとは、基本的に、1 つまたは複数のアクセス許可ステートメントのコンテナとして機能するドキュメントのことです。所定の AWS アカウント内でユーザーがどのアクションを実行できるかまたはできないかは、これらのステートメントが判断します。アクセス許可のセットは […]

Read More

AWS Control Tower アクションの追跡、およびワークフローの自動トリガーへのライフサイクルイベントの使用

現在、新規アカウントの作成やプロビジョニングに、AWS Control Towerをご利用になっているお客様が多く見受けられます。こういったお客様は、環境の作成に、AWS のネイティブなソリューションの使用をご希望されます。それが明文化された AWS のベストプラクティスに則っていることをご存知だからです。お客様は、作成したアカウントのスケーリングを行う際に、アカウントをさらに強化できる Control Tower の追加的な機能を利用することもできます。今回の記事では、ライフサイクルイベントの使用方法をご紹介していきます。これは、Control Tower’s Account Factory を使用して新しいアカウントを作成するなどのアクションが完了したことを追跡できるようにする、Control Tower における機能の 1 つです。今回は、このライフサイクルイベントで、自動化したワークフローをトリガーする方法についても、合わせてご紹介します。この記事では、次のようなサービスを使用しています。 AWS Control Tower AWS Service Catalog AWS CloudTrail Amazon CloudWatch Events Amazon SNS 背景 AWS Control Tower では、Well-Architected なマルチアカウントの AWS 環境構築のために、AWS Organizations、AWS IAM、AWS Config、AWS CloudTrail、および AWS Service Catalog などの AWS のサービスを複数使用します。これにより、組織単位 (OU) の中のアカウントでガードレールを有効化するなどのアクションを Control Tower が実行する際には、多くのプロセスが実行され、各サービスに対しては膨大な数の API 呼び出しが送られることになります。 […]

Read More

AWS Control Tower が東京リージョンでご利用いただけるようになりました

みなさん、こんにちは。アマゾン ウェブ サービス ジャパン、シニアエバンジェリストの亀田です。 AWS Control Tower が東京リージョンで利用可能となりましたのでお知らせいたします。 AWS Control Tower Control Tower はセキュアなマルチアカウント AWS 環境をセットアップおよび管理するために利用できるサービスです。複数の AWS アカウントやチームがある場合、クラウドのセットアップと管理はそれぞれのコンプライアンスポリシーなどに照らし合わせて設定を行う必要があり、複雑で時間のかかる作業になってしまうケースが多くあります。Control Tower では、新しくセキュアなマルチアカウントの AWS 環境を、セットアップし管理するための最も簡単な方法が提供され、AWS が何千ものエンタープライズのクラウド移行業務を通して確立した、ベストプラクティスに基づいて開発されています。 Control Tower を用いて一度ガバナンスとベストプラクティスを設定した後は、追加のAWSアカウントは、数クリックだけでプロビジョニングすることができるようになります。 Landing Zone 従来東京リージョンでは、Control Tower が利用できなかったため、Landing Zoneという、セキュアなマルチアカウントの AWS 環境をより迅速に設定できるようにするソリューションが提供されていました。Landing Zoneを使うと、環境セットアップが自動化され、コアアカウントとリソースの作成時に初期セキュリティベースラインの実装が行われます。さらに、マルチアカウントアーキテクチャ、ID およびアクセス管理、ガバナンス、データセキュリティ、ネットワーク設計、ログ作成を開始するためのベースライン環境設定などが行われます。現在Landing Zone は引き続きサポートが提供されますが、新しい機能提供などはControl Tower が基本となり今後行われていくことになります。 Control Tower では、ID、フェデレーティッドアクセス、アカウント構造のためのベストプラクティスの設計図を使用して、新しい Landing Zone のセットアップが自動化されます。例えば以下のような設計図が用意されています。 AWS Organizations を使用したマルチアカウント環境の作成 AWS Single Sign-On (SSO) のデフォルトのディレクトリを使用した ID […]

Read More

re:Invent 2020におけるマネジメントとガバナンス関連セッションのご紹介

AWS re:Inventは、お客様と関わり合い、サービスや機能に関して学び、共有できる、エキサイティングな時期です。現在のパンデミックにより、今年のre:Inventは11月30日から12月18日までの 3 週間にわたって完全オンライン、無料で開催されます。そうです、あなたには参加する権利があるのです。 AWS re:Invent 2020はバーチャルで開催され無料です!!! このブログでは、AWSでのマネジメントとガバナンスに関するセッションのハイライトを紹介します。これらは、ビジネスの俊敏性とガバナンスコントロールの両者を維持しながら、AWS環境を有効化し、プロビジョニングし、そして運用するために、役立つセッションです。各セッションは、世界各地のお客様に向け複数回ブロードキャストされ、すべてあなたの家で快適な環境でご視聴いただけます。これらのセッションのメリットを享受するため、re:Inventに登録してください。

Read More

AWSを活用して”選挙”を「再定義」する──「有権者教育」「情報へのアクセス・セキュリティ・拡張性」「不在者投票」

 先の見通せない不確実な時代であっても、選挙や政治に携わる関係者は、セキュアで拡張性があり、費用対効果の高い方法で──すなわちクラウドを活用し── 有権者にダイナミックに進化し続けるサービスを提供することに尽力しています。 AWSと AWS パートナーネットワーク (APN) の提供するクラウドベースのテクノロジーは、選挙管理を行う行政機関、選挙献金を扱う団体、そして投票へのエンゲージメントを高める活動を行うNPOのそれぞれが、1)選挙関連の情報共有や、2)アプリやサービス、インフラのセキュリティ向上、3)スケーラビリティの確保、4)不在者投票に特化したワークフロー管理のソリューション────に容易にアクセスできるよう、支援しています。 有権者教育と、必要な情報へのアクセス 選挙管理を行う行政機関は、直観的なオムニチャネルによる認知度向上とアウトリーチの取り組みにより、投票日・投票場所・投票方法の変更など、投票者に常に最新情報を迅速に伝達する必要があります。 AWS とそのパートナーは、こうしたミッションを担う組織・機関を支援しています。 例えば、以下の手法で、有権者が容易にアクセス可能な最新の選挙情報を提供いたします。 Alexa 対応のデバイスやスキル (Alexa アプリを搭載したスマートフォンなど) による、州や郡レベルの選挙情報へのアクセス: ニューハンプシャー州が Alexa スキルを どのように展開して、今年100 周年を迎え、当時は米国”初”であった大統領”予備選挙”と 11 月に行われる本選挙に備えているかをご覧くさい。同様に、ウェストバージニア州務長官が独自の Alexa スキルを活用して、「有権者教育」と必要情報へのアクセシビリティを劇的にモダナイズした方法についても、ご確認ください。 質問に回答してくれる「チャットボット」:投票者は自然言語による質問をしたり、関連性の高い回答を迅速に得ることができます。たとえば、有権者は「投票の登録をするにはどうすればいいですか?」、「どうすれば世論調査作業員になれますか?」、「不在者投票はできますか?」、「選挙の結果はどうなっていますか?」などの質問をすることができます。 Amazon Pinpointを使用して、マルチ・チャネル通信により不在者投票・国外投票者向けのメッセージを自動化して配信します。E メール・SMS テキストメッセージ・ボイスメッセージなどの多様な配信チャネルを活用します。最新のメッセージを迅速に送信し、強力なアナリティクス機能を使用して、有権者へのアウトリーチ・キャンペーンを監視および改善し続けることができます。 Amazon Connect を使用して瞬時にスケーラブルなクラウドベースの「コールセンター」を構築し、通話での情報収集を希望する有権者とのコミュニケーションを合理化することで、リソースの所有コストを低減した上でもなお、優れたサービスを実現することができます。 “セキュリティ”と”拡張性”の、高度な両立 連邦選挙委員会などの選挙を所掌する行政機関は、オンラインでの有権者登録、オンラインでの”不在者投票”のリクエスト、開票日当日の速報レポートの作成、選挙に関する情報を集約したe-bookの発行など、機密性の高いワークロードに対する予測不可能な”脅威”や”負荷要求”に絶えず対処していく必要があります。こうしたワークロードを、ロードアイランド州政府・州務省は AWS パートナーである KNOWiNK社を介して管理・運用しています。同様に、インディアナ州政府の州長官オフィスも AWS パートナーである FireEye社と協力し、2020年~2022 年の各種選挙を対象として40カ月間の契約を結び、インディアナ州が選挙に関わる技術インフラを潜在的な脅威から保護できるように支援しています。 AWS および APN パートナーは、以下のように多様な手法を用いて、選挙を所管する行政組織を支援しています。 AWS Well Architected フレームワークを使用して、アプリケーションやインフラストラクチャのセキュリティ・信頼性・スケーラビリティを評価および改善することで、リスクが発生する”前”に脅威を軽減または低減することができます。 AWS Control Tower、および Amazon Guard Duty […]

Read More

既存のAWSアカウントを AWS Control Tower へ登録する

AWS Control Tower のリリース後、多くのお客様からいただいていたご要望がありました。既存のAWS Organizations に AWS Control Tower をデプロイすることと、組織が持つ他のアカウントにもガバナンスを拡張することです。 このたび、AWS Control Tower を既存の AWS Organization にデプロイできるようになったことをアナウンスいたします。一方で、AWS Control Tower をデプロイする前に作成した AWS アカウント(ここでは「未登録アカウント」と呼びます)は、デフォルトでは AWS Control Tower ガバナンスの範囲外になります。そのため、これらの未登録アカウントは明示的に AWS Control Tower へ登録する必要があります。 既存アカウントを AWS Control Tower へ登録することで、アカウントベースライン(基本設定)と追加のガードレールが配備され、継続的なガバナンス(Continuous Governance)が有効になります。なお、アカウントを登録する前には、適切なデューデリジェンス(事前評価)を行う必要があります。以下に記載されている「考慮すべき事項」セクションの追加情報を参照してください。 このブログでは、AWS Organizations 内の 未登録 AWS アカウントと 未登録 OU(Organization Units = 組織単位)内のアカウントを、プログラムによって AWS Control Tower へ登録する方法を解説します。

Read More

AWS Config 適合パックを使用したAWS Control Tower発見的ガードレールの実装

多くのお客様から、AWS Control Towerによるガバナンスを実現する前に、Control Towerの発見的ガードレールだけを既存のAWSアカウントに適用したいという要望をいただいています。この度、既存のAWS OrganizationでAWS Control Towerを起動できるようになりました。これにより、お客様は既存のアカウントにてAWS Control Towerの発見的ガードレールのコンプライアンスを適用できるようになりました。加えて、我々はControl Towerの配下にアカウントを登録する機能も発表しました。Control Towerガバナンスをアカウントに拡張する前に、Control Towerのガードレールがアカウントにどのように影響するかを確認することをお勧めします。 このブログでは、AWS Config適合パックを使用してControl Towerガードレールを既存のアカウントに適用する方法を示します。AWS Control Towerに登録する前に、そのアカウントのリソースのコンプライアンスを評価できます。また、適合パックを変更し、管理されていないアカウントに発見的ガードレールのサブセットを適用する方法を示します。最後に、適合パックを使用して、AWS Control Towerがデプロイされていないリージョンに存在するアカウントのリソースを管理する方法を示します。

Read More

クラウドを展開する上で確立すべきガバナンス、リスク、コンプライアンス

ビジネスリーダーやテクノロジーリーダーと話すと、彼らは新しい製品やサービスを迅速に市場に投入することが必要だと話します。その一方で、彼らはセキュリティを継続的に確保する必要もあります。また同時に、時間とともに変化するビジネスニーズにワークロードを適応させながら、回復力のある環境を維持する必要があります。このブログシリーズでは、AWSのベストプラクティスを共有して、お客様がこれらのセキュリティ、スケーラビリティ、および適応性の要件を満たすようにAWS環境を計画するのを支援します。 私の目標は、クラウド環境の配備を管理するための設計上の考慮事項についてお客様をガイドすることです。このブログシリーズでは、今後、このガイダンスに沿った一般的なユースケースとパターンの実装を解説するブログを投稿していきます。

Read More