予防コントロール

Control Tower のコントロールとは

AWS Control Tower は、マルチアカウント環境にガバナンスルール（コントロール）を適用するサービスである。コントロールには以下の 3 種類がある。

本ページでは予防コントロールを扱う。

予防コントロールの概要

予防コントロールは全 69 個（Control Catalog API で確認）あり、実装方式は以下の 3 種類に分かれる。

SCP と RCP の主な違い

具体例で理解する

S3 バケットのバケットポリシーで、組織外アカウントに GetObject を許可している状態を考える。

SCP の場合:

{
  "Effect": "Deny",
  "Action": "s3:PutBucketPolicy",
  "Resource": "*"
}

この SCP は「組織内ユーザーがバケットポリシーを変更する操作」を禁止する。しかし、既に設定済みのバケットポリシーによる組織外からのアクセスは止められない。SCP は組織外プリンシパルのリクエストに対して評価されないためである。

RCP の場合:

{
  "Effect": "Deny",
  "Action": "s3:*",
  "Resource": "*",
  "Condition": {
    "StringNotEquals": {
      "aws:PrincipalOrgID": "o-xxxxxxxxxx"
    },
    "Bool": {
      "aws:PrincipalIsAWSService": "false"
    }
  }
}

この RCP は「組織外プリンシパルからの S3 アクセス」をリソース側で拒否する。バケットポリシーで許可されていても、RCP が上位レイヤーとして拒否する。なお、RCP はバケットポリシー自体を書き換えるわけではない（CT.S3.PV.4 の検証で確認済み）。

一部の SCP・RCP コントロールでは、ExemptedPrincipalArns 等のパラメータにより例外設定が可能。詳細は Controls with parameters を参照。

必須コントロール

ランディングゾーンのセットアップ時に自動適用され、無効化できないコントロール。全 OU 共通のものと Security OU 固有のものがある。

全 OU 共通（15 個・すべて予防/SCP）

Security OU 固有（8 個・予防 5 + 検出 3）

Security OU（デフォルトでは Audit アカウント・LogArchive アカウントが所属）にのみ適用される。LogArchive アカウントの S3 バケット保護が中心。

検証環境

選定の考え方

予防コントロール 69 個の内訳は以下の通り。

• 必須 23 個：ランディングゾーンのセットアップ時に自動適用（うち 3 個はランディングゾーン 4.0 で追加）
• 強く推奨 2 個：ルートユーザーのアクション禁止（AWS-GR_RESTRICT_ROOT_USER）、アクセスキー作成禁止（AWS-GR_RESTRICT_ROOT_USER_ACCESS_KEYS）。ルートアクセス一元管理との関係整理が必要なため、一元管理の検証と合わせて必要に応じて検討する
• 選択的 44 個：以下の通り目的別に分類し、有効化の判断を行った

パブリックアクセスは設定ミスの瞬間にリスクが顕在化するため、リソースポリシー系の予防コントロールは即座に有効化しやすい。VPC BPA（CT.EC2.PV.8）も同じくパブリックアクセスの防止が目的であるが、パブリック IP の付与や IGW 経由のインターネットアクセスは意図した設計である可能性もあり、実環境への投入時には影響評価が必要である（CT.EC2.PV.8 の検証で挙動を確認済み）。データ境界や暗号化も基本的なセキュリティ要件として有効化した。

未検証としたものは、既存ワークロードへの影響評価が必要なもの（ネットワーク構成の制限、S3 の TLS 1.3 強制等）と、ワークロードのセキュリティとは目的が異なるもの（Control Tower 管理基盤の保護、KMS 鍵管理の詳細制御等）である。

検証したコントロール一覧

上記の選定に基づき、以下の 14 個のコントロールを実際の AWS アカウントで検証した。すべての記事で統一的な検証観点（有効化前後の挙動・既存環境への影響・エラーメッセージ・CloudTrail 検出の有無）で検証している。

SCP（サービスコントロールポリシー）

RCP（リソースコントロールポリシー）

Declarative policies（宣言型ポリシー）