AWS Control Tower の AFT で、OU 移動後のカスタマイズ再適用が自動化されたよ！

こんにちは、しぃちゃんだよ！今日は AWS What's New でみつけた、地道だけど運用がぐっと楽になるアップデートを紹介するよ！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS が発表したのは、AWS Control Tower の Account Factory for Terraform（AFT）に関するアップデートだよ。ソースは AWS What's New。AFT で管理しているアカウントが別の Organizational Unit（OU）に移動したとき、そのアカウントに対するカスタマイズを自動的に再適用できるようになったんだって。

今までどうだったの？

これまでは、AFT で管理しているアカウントを別の OU に移動したときに、カスタマイズの再適用を手動でトリガーする必要があったの。そのせいで運用の手間が増えるだけじゃなくて、再適用をうっかり忘れると設定がドリフト（ズレ）してしまうリスクもあったんだって。

これで何が変わるの？

今回のアップデートを AFT のデプロイでオプトインしておくと、アカウントが OU を移動した瞬間から、自動的にそのアカウントを移動先の OU 向けカスタマイズと一致させてくれるようになるよ。OU のメンバーシップに紐づいたコンプライアンスやセキュリティのベースラインを強制している組織ほど、この恩恵は大きいんだって。

深く潜ってみよう

有効化はとってもシンプルで、AFT の設定に次の 1 行を足すだけ:

aft_customization_triggers = ["account_move"]

全アカウントに一律で適用したくない場合は、アカウントごとに次の設定で対象から除外できるよ:

account_skip_customization_triggers = "true"

再適用のワークフローは、bootstrap フェーズと provisioning フェーズをスキップして、グローバルおよびアカウントレベルのカスタマイズだけを実行する作りになっているの。だから通常のアカウント作成フローよりも短時間で終わるんだって。

あわせて、次のような改善も今回のリリースに含まれているよ。

• Terraform Cloud / Enterprise のワークスペース名をカスタマイズできる変数への対応
• AFT のロギング用バケットに対するアクセス制御の強化
• 大規模な AWS Enterprise Support 登録時のスケーリング改善

この機能は発表時点で、AFT が提供されているすべての AWS リージョンで今日から使えるようになっているよ。

まとめ

• AFT で管理しているアカウントが OU を移動したときに、カスタマイズを自動で再適用できるようになったよ
• 従来は手動トリガーが必要で、運用の手間と設定ドリフトのリスクがあったの
• aft_customization_triggers = ["account_move"] を設定するだけでオプトインでき、アカウント単位で除外も可能
• 再適用は bootstrap / provisioning フェーズをスキップするから高速
• Terraform Cloud/Enterprise 向けのワークスペース名変数対応やロギングバケットのアクセス制御強化も同時にリリース
• OU 単位でコンプライアンスやセキュリティ基準を運用しているマルチアカウント環境の担当者に特に刺さるアップデートだよ