Towerを導入するにあたって個人的につまづいたポイントをまとめます。何?ランディングゾーンをセットアップするとアクセス許可セットが6つ、ユーザーグループが8つ自動的に作成されます。それぞれ何に関わっているのか導入当初はイマイチ分かりにくかったです。そこで図として表現してみます。SSOで各アカウントにアクセスする際のリンク。SSOを使用するユーザが加入するグループ。(文字通りの権限が割り振られる)特にアクセス許可セットとユーザーグループ(またはユーザー)をペアにしてアカウントにアタッチしているというところが最初分かりにくかったポイントです。(特定のペアがアカウント毎に作られたり作られてなかったりしてるのも分かりづらい...)その一因として、ユーザーグループの画面からは参加しているユーザーしか確認できないのが理解の阻害に繋がっているのかなと思います。今後のアップデートで追加で割り当てられているアカウントとペアのアクセス許可セットが確認できればいいなと思います。SSOでアクセスする際、アクセス毎にリージョンが変わっていたり、セッションがすぐに切れてしまったりと使い勝手が悪いと感じていました。後にアクセス許可セットの設定変更にてこれらを解決することが可能だと知りました。Centerで確認可能です。ここで、デフォルトの設定のままだと使い勝手が悪いので各許可セットのページを開き「編集」ボタンをクリックします。SSOの使い勝手が良くなります。このような設定になるのではないかと思います。FactoryでAWSアカウント作成時に入力する「アクセス設定」という項目があります。SSOユーザーが新規作成されてしまいます。SSOユーザーが作られないようにすることが可能です。SSOルートユーザーのメールアドレスを使用すると統一感が出て良いと思います。最初ランディングゾーンに必須のガードレールがデフォルトで有効化されているところから、では手動で何のガードレールを有効化しようかと迷いました。ガードレールにはそれぞれ以下の項目が設定されています。項目とガードレールの内容などを吟味した結果、適用は以下の優先順位で考えるといいと思います。ガードレール別OU継承されるされないの違いガードレールの動作という観点だと以下の3種類に大別されます。Configと同じ料金)OU継承不明ネストを持っているOUに予防ガードレールを適用すると自動でその配下にも適用してくれるのに対し、検出ガードレールは自動で適用してないことに注意です。Hubのどちらかがオーナーとなっています。Towerでは何も通知されません。このコンプライアンスステータスを確認するには以下を使用する必要があります。以下のようなソート設定にするとガードレールが探しやすくなるかと思います。その他OU設計についてAWSホワイトペーパーをベースに組織の規模感で必要なOUを選定していくのが基本だと思います。https://docs.aws.amazon.com/ja_jp/whitepapers/latest/organizing-your-aws-environment/recommended-ous-and-accounts.html具体例として私が管理しているOU設計を以下に示します。FactoryでAWSアカウントをプロビジョニングする際に、自動的にVPCもプロビジョニングしてくれる設定があります。ここの「プライベートサブネットの最大数」が0と1の場合について比較検証してみた結果、1の場合にランディングゾーンが適用されているリージョンに対してエンドポイントが作成されていました。Catalogから「プロビジョニングされた製品」の終了でもよい)Organizationsの各アカウントページから「閉じる」ボタンをクリックという手順で行うことが可能ですが、AWSアカウントの閉鎖には総アクティブメンバーアカウント数の10%しか30日以内に閉鎖できないという制限があります。無計画にAWSアカウントを作成しないように注意しましょう。(1敗)もし制限に引っかかってしまったアカウントは「Suspended」OUに突っ込んでおきましょう。Proよくある質問LinksX(Twitter)GitHubメディアキットLegal利用規約プライバシーポリシ。