AWS Organizations で100以上のメンバーアカウントを管理している。全アカウントへ CloudTrail の有効化と S3 パブリックアクセスブロック設定を展開し、新規参加アカウントにも自動でリソースを作

Question

AWS Organizations で100以上のメンバーアカウントを管理している。全アカウントへ CloudTrail の有効化と S3 パブリックアクセスブロック設定を展開し、新規参加アカウントにも自動でリソースを作成したい。最も運用負荷が低い方法はどれか。

Accepted Answer

正解: CloudFormation StackSets を SERVICE_MANAGED 権限で作成し、対象 OU への自動デプロイメントを有効にする。SERVICE_MANAGED 権限の StackSets は Organizations と統合されており、自動デプロイメント機能により OU に追加された新規アカウントへも自動でスタックインスタンスが作成される。

Answer

CloudFormation StackSets を SELF_MANAGED 権限で作成し、管理アカウントと各メンバーアカウントに IAM ロールを手動でセットアップする — SELF_MANAGED 権限は管理アカウントと各ターゲットアカウントへの IAM ロール手動作成が必要で、新規アカウントへの自動デプロイメント機能を持たない。

Answer

Lambda 関数を作成し、Organizations の新規アカウント作成イベントをトリガーに各アカウントへ CloudFormation スタックをクロスアカウントでデプロイする — Lambda によるクロスアカウントデプロイは実装可能だが、コード管理やエラーハンドリングが必要となり StackSets に比べて運用負荷が高い。

Answer

AWS Config Rules でコンプライアンスチェックを設定し、非準拠アカウントに対して SSM Automation で CloudTrail と S3 設定を自動修復する — AWS Config と SSM Automation の組み合わせは既存リソースのドリフト修復には有効だが、新規アカウントへの初回リソース作成には対応していない。

解説