Organizations環境に導入する際には、いくつか考慮すべき点があります。この記事では、その前提条件と注意事項について書いていきます。CloudTrailの「信頼されたアクセス」の一時無効化に焦点を当てます。Towerをセットアップするにはいくつか前提条件があり、その1つがConfigとCloudTrailの「信頼されたアクセス」の無効化です。Towerをセットアップすることで再度有効化されます。信頼されたアクセスを一時的に無効にした場合、以下のような疑問や心配が生じるかもしれません。リソースはクリーンアップされるのか?リソースの設定は変わるのか?サービスは一時的に停止するのか?AWSの公式ドキュメントによれば一部のサービスはこれを検出し、統合に関連する残りのデータやリソースをクリーンアップします。一方で、組織へのアクセスを停止するものの、統合を再び有効にする場合のために履歴データと設定を残しておくサービスもあります。サービスごとに挙動が異なるため、実際に試してみました。(委任している場合)委任の解除もし「config.amazonaws.com」を委任している状態であれば、まずはその委任を解除する必要があります。これを行わないと、Configを無効にすることはできません。CloudShellから以下のコマンドを実行する必要があります。どのアカウントが「config.amazonaws.com」に委任されているかを確認します。config.amazonaws.com確認後、次のコマンドで委任を解除します。Towerのセットアップが完了したら、再度委任を設定する必要があります。その際に使用するコマンドは以下です。config.amazonaws.com[注意]「config-multiaccountsetup.amazonaws.com」の委任は解除する必要はありません。Towerのセットアップも問題なく完了します。「config-multiaccountsetup.amazonaws.com」の委任を解除すると、委任アカウントから設定した組織の適合パックが全てのメンバーアカウントから削除されます。組織の適合パックとは適合パックは、どのConfigルールを組織に適用するかを設定したものです。「config.amazonaws.com」と「config-multiaccountsetup.amazonaws.com」の違い「config.amazonaws.com」は組織全体のConfigデータを集約するためのものです。「config-multiaccountsetup.amazonaws.com」は組織全体のConfigルールと適合パックをデプロイおよび管理するためのものです。一時的にアグリゲータが停止し、ダッシュボードにデータが収集されなくなります。再設定後、データ収集は再開します。Organizationsとの関係が一時的に途切れる形になります。組織の集計ダッシュボードは一時停止しますが、個々のアカウントのConfigは無効になりません。ここで無効化しているのは「config.amazonaws.com」の委任です。Pack)が全てのメンバーアカウントから削除されます。対象アカウント組織の集計ダッシュボードに一時的に情報が収集されなくなるのは、委任されたアカウントだけでなく、組織内のすべてのアカウントです。Towerのセットアップにかかる時間」+「委任アカウントを再設定してから収集が再開するまでの時間」です。Organizationsコンソールを開き、左側のメニューから「サービス」を選択します。サービス一覧から「Config」を探し、「信頼されたアクセスを無効にする」をクリックします。各アカウントのConfig設定は削除されず、そのまま残ります。Organizationsコンソールを開き、左側のメニューから「サービス」を選択します。サービス一覧から「CloudTrail」を探し、「信頼されたアクセスを無効にする」をクリックします。組織の証跡が削除されます。削除された証跡は、「信頼されたアクセス」を再有効化しても自動的には再設定されません。S3に保存されている証跡データは削除されません。組織の証跡ではない証跡は削除されず、ログ出力も停止しません。Towerを設定する際には、いくつかのステップと注意点があります。この記事が導入作業に役立てば幸いです。社内システムの運用保守と要望があれば改修などをしています。趣味は水泳とバドミントンです。裕太が書いた記事xfacebookはてなブックマークpocketお客様のご要望に柔軟に対応いたします。お気軽にご相談ください。cloudpackは、アイレット株式会社が提供するクラウド支援サービスです。問い合わせまでトータルサポート!お問い合わせはこちらアイレットでは、様々な職種で一緒に働ける仲間を募集しています。インフラエンジニア、開発エンジニア、クリエイティブ職、営業職など、様々な職種で一緒に働ける仲間を募集しています。アイレット公式サイト採用情報をご覧ください。採用情報プライバシーポリシークラウド導入のご相談、お見積り、サービスについてのご質問などお気軽にお問い合わせください。最新情報が得られるメルマガ登録はこちら。