2025 年 1 月～現在 - AWS Control Tower
AWS Control Tower が PrivateLink をサポート追加の業界フレームワークのサポート、メタデータの更新サービスにリンクされた AWS Config コントロール 有効なコントロールコンソールビューで一元的な可視性を実現 Account Factory for Terraform (AFT) がデプロイ時に新しい設定をサポートAWS Control Tower がベースライン APIs のアカウントレベルのレポートを導入AWS Control Tower がアジアパシフィック (タイ) およびメキシコ (中部) リージョンで AWS 利用可能に利用可能な追加の AWS Config コントロールOUs のアクションの登録解除と削除Control Catalog が IPv6 アドレスをサポート

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

2025 年 1 月～現在

2025 年 1 月以降、AWS Control Tower は次の更新をリリースしました。

2025 年 6 月 30 日

(AWS Control Tower ランディングゾーンに更新は必要ありません。)

AWS Control Tower が をサポートするようになりましたAWS PrivateLink。パブリックインターネットを経由することなく、Amazon Virtual Private Cloud (VPC) 内から AWS Control Tower および Control Catalog APIs を呼び出すことができます。 AWS PrivateLink は、仮想プライベートクラウド (VPCs)、サポートされているサービスとリソース、オンプレミスネットワーク間のプライベート接続を提供します。AWS Control Tower AWS PrivateLink のサポートは、AWS Control Tower が利用可能なすべての AWS リージョン で利用できます。

追加の業界フレームワークのサポート、メタデータの更新

2025 年 6 月 12 日

(AWS Control Tower ランディングゾーンに更新は必要ありません。)

このリリースでは、AWS Control Tower が 10 の業界フレームワークのサポートを含むように拡張されました。フレームワークのリストについては、「サポートされているフレームワーク」を参照してください。

たとえば、AWS Control Tower コンソールの Control Catalog ページに移動し、PCI-DSS-v4.0 などのフレームワークを検索して、そのフレームワークに関連するすべてのコントロールを表示することで開始できます。または、新しい ListControlMappings API を呼び出して、コントロールとフレームワークをプログラムで調べることができます。

コントロールに関連するメタデータ定義は、これらの追加の業界フレームフックをより適切にサポートするために変更されています。メタデータの変更は、有効化のコントロールを評価する方法に影響を与える可能性があります。たとえば、NIST、PCI、CIS メタデータの値が変更された可能性があります。コンソールのコントロールの詳細ページで、有効なコントロールのマッピングを再表示することをお勧めします。

コンソールと API で、3 つの新しいメタデータフィールドが導入されました。まとめて、これらのフィールドは、コントロールを分類して有効にする方法を理解するのに役立つ階層を記述します。フィールドは、ドメイン、目標、共通コントロールです。利用可能な幅広い業界フレームワークに合わせてコントロール目標を再定義しました。この階層の詳細については、「オントロジーの概要」を参照してください。

  • これらのメタデータの変更は AWS Control Tower コンソールに反映され、コンソールのエクスペリエンスは AWS Control Tower と AWS Config コンソール全体で一貫しています。

  • AWS Control Tower コンソールでコントロール情報を表示するには、IAM ポリシーにアクセスcontrolcatalog許可を追加する必要があります。詳細については、「Permissions required to use the AWS Control Tower console」(AWS Control Tower コンソールを使用するために必要なアクセス許可) を参照してください。

  • 各コントロールに、コントロールが管理するリソースタイプを示す GovernedResourcesという新しいフィールドが追加されました。場合によっては、このフィールドにリソースのサービスプレフィックスが表示され、他のインスタンスでは空白にすることができます。詳細については、「GetControl」および「ListControls」を参照してください。

このリリースでは、他の用語との一貫性を保つため、コントロールライブラリの名前を Control Catalog に変更しました。

サービスにリンクされた AWS Config コントロール

2025 年 6 月 12 日

(AWS Control Tower ランディングゾーンに更新は必要ありません。)

AWS Control Tower は、サービスにリンクされた AWS Config ルールとしてデプロイされる AWS Control Tower 検出コントロールのサポートを発表しました。

このリリースでは、AWS Control Tower がサービスにリンクされた Config ルールを登録済みアカウントに直接デプロイし、以前のデプロイ方法を AWS CloudFormation スタックセットに置き換えるようになりました。この変更により、デプロイの速度が大幅に向上します。また、これらのサービスにリンクされた Config ルールは、 AWS CloudFormation スタックセットまたは Config ルールの手動変更によって発生する可能性のある意図しない設定ドリフトを防ぐため、リソースの一貫したガバナンスを確保するのに役立ちます。

今後、 AWS Config ルールによって実装されるすべての AWS Control Tower コントロールは、 AWS Config APIs を直接呼び出すこのメカニズムを使用してデプロイされます。

重要

サービスにリンクされた Config ルールを採用する前に、AWS Control Tower の外部の Config ルールに対して行った修復などの既存のカスタマイズを確認してください。これらのカスタマイズは移行中に削除されます。 AWS Config APIsサービスにリンクされた AWS Config ルールの修正設定の追加をサポートしていません。「PutRemediationConfigurations」を参照してください。

詳細と必要なアクション

  • ランディングゾーンを更新またはリセットすると、AWS Control Tower はセキュリティ OU を管理する必須コントロールを更新します。アップグレードを完了するには、 AWS Config ルールで実装されている各検出コントロールをリセットするか、OU を再登録する必要があります。

  • このアップグレードの全範囲は、AWS Control Tower ランディングゾーンのバージョンが 3.2 以降である場合に適用されます。この更新を適用すると、既存の AWS Config ルールが新しいデプロイ方法とともにサービスマネージド Config ルールに変更されます。

  • ランディングゾーンがバージョン 3.1 以下の場合、新しい Config ルールは新しいメソッドでデプロイされ、スタックセットではデプロイされなくなります。既存の Config ルールは、サービスマネージド Config ルールに更新されません。これらは標準タイプのままになります。

  • サービスにリンクされた設定ルールは、 形式のリソース ARN で識別できます。

    arn:aws:config:*:*:config-rule/aws-service-rule/controltower.*/*

サービスにリンクされた AWS Config ルールによって実装されたコントロールの意図した機能は変更されていません。AWS Control Tower の検出サービスにリンクされた Config ルールは、ポリシー違反など、アカウント内の非準拠リソースを識別し、ダッシュボードを介してアラートを提供できます。一貫性を維持し、設定ドリフトを防ぎ、全体的なユーザーエクスペリエンスを簡素化するために、これらのルールは AWS Control Tower を介してのみ変更できるようになりました。

このリリースの一環として、サービスにリンクされたロール (SLR) のポリシーに 4 つの新しいアクセス許可が追加されました。これによりAWSServiceRoleForAWSControlTower、登録されたアカウントのサービスにリンクされた AWS Config ルールを有効または無効にできます。


config:DescribeConfigRules
config:TagResource
config:PutConfigRule
config:DeleteConfigRule

有効なコントロールコンソールビューで一元的な可視性を実現

2025 年 5 月 21 日

(AWS Control Tower ランディングゾーンに更新は必要ありません。)

AWS Control Tower は、有効なすべてのコントロールを一元化された単一のビューに表示する新しいページをコンソールに追加しました。以前は、コントロールは有効化されたアカウントまたは OU でのみ表示できました。統合ビューを使用すると、コントロールガバナンスのギャップを大規模に簡単に特定できます。

有効コントロールページで、予防、検出、またはプロアクティブの動作に従ってコントロールをフィルタリングできます。SCP などのコントロール実装に従ってフィルタリングすることもできます。コントロールごとに、このコントロールが有効になっていOUs の数を確認できます。

有効なコントロールページを表示するには、AWS Control Tower コンソールのコントロールセクションに移動します。

Account Factory for Terraform (AFT) がデプロイ時に新しい設定をサポート

2025 年 5 月 13 日

(AWS Control Tower ランディングゾーンに更新は必要ありません。)

AWS Control Tower アカウントカスタマイズフレームワーク Account Factory for Terraform (AFT) が、デプロイ時に 3 つの追加オプション設定をサポートするようになりました。AFT をカスタム Virtual Private Cloud (VPC) にデプロイし、AFT デプロイの Terraform プロジェクト名を指定し、AFT が作成するリソースにタグを付けることができます。

詳細については、「Deploy AWS Control Tower Account Factory for Terraform (AFT)」を参照してください。

AWS Control Tower がベースライン APIs のアカウントレベルのレポートを導入

2025 年 5 月 12 日

(AWS Control Tower ランディングゾーンに更新は必要ありません。)

ベースライン APIs を呼び出すことで、管理対象アカウントのドリフトとアカウント登録ステータスをプログラムで表示できるようになりました。この機能を使用すると、アカウントと OU のベースライン設定がいつドリフトするか、または同期しなくなるかを特定できます。プログラムでドリフトステータスを表示するには、有効なベースラインの ListEnabledBaselines API を呼び出します。ListEnabledBaselines API を使用して個々のアカウントのステータスをプログラムで表示するには、 includeChildrenフラグを使用します。これらのステータスでフィルタリングし、注意が必要なアカウントと OUs のみを表示できます。

は、ガバナンスに必要なベストプラクティス設定、コントロール、リソースAWS ControlTowerBaselineを設定します。組織単位 (OU) でこのベースラインを有効にすると、OU 内のメンバーアカウントは自動的に AWS Control Tower に登録されます。AWS Control Tower ベースライン APIs には AWS CloudFormation サポートが含まれており、Infrastructure as Code (IaC) を使用して OUsとアカウントを管理するオートメーションを構築できます。

これらの APIs の詳細については、AWS Control Tower ユーザーガイドのベースラインを参照してください。ドリフトとアカウント登録ステータスのベースライン APIs と新しく起動されたレポート機能は、AWS Control Tower が利用可能なすべての AWS リージョン で使用できます。AWS Control Tower が利用可能な AWS リージョン のリストについては、 AWS リージョン 表を参照してください。

AWS Control Tower がアジアパシフィック (タイ) およびメキシコ (中部) リージョンで AWS 利用可能に

2025 年 5 月 9 日

(AWS Control Tower ランディングゾーンに更新は必要ありません。)

AWS Control Tower が次の AWS リージョンで利用可能になりました。

  • アジアパシフィック (タイ)

  • メキシコ (中部)

AWS Control Tower を使用できるリージョンの全リストについては、「AWS リージョン別のサービス表」を参照してください。

利用可能な追加の AWS Config コントロール

2025 年 4 月 11 日

(AWS Control Tower ランディングゾーンに更新は必要ありません。)

AWS Control Tower は、セキュリティ、コスト、耐久性、オペレーションなど、さまざまなユースケースで 223 のマネージド AWS Config ルールを追加でサポートするようになりました。この起動により、AWS Control Tower を使用して、マルチアカウント環境を管理するために必要な AWS Config ルールを検索して検出し、AWS Control Tower から直接コントロールを有効にして管理できるようになりました。

AWS Control Tower コンソールから開始するには、Control Catalog に移動し、実装フィルターでコントロールを検索します AWS Config。コントロールは AWS Control Tower コンソールから直接有効にできます。

詳細については、「AWS Control Tower で利用可能な統合 AWS Config コントロール」を参照してください。

このリリースでは、CreateTime、実装の 3 つの新しいフィールドをサポートするように ListControlsおよび GetControl APIs が更新されました。これらは、Control Catalog でコントロールを検索するときに使用できます。例えば、前回の評価後に作成された重要度の高い AWS Config ルールをプログラムで検索できるようになりました。

AWS Control Tower が利用可能なすべての AWS リージョン で新しい AWS Config ルールを検索できます。ルールをデプロイするには、そのルール AWS リージョン でサポートされている のリストを参照して、有効にできる場所を確認します。

OUs のアクションの登録解除と削除

2025 年 4 月 8 日

(AWS Control Tower ランディングゾーンに更新は必要ありません。)

AWS Control Tower は、OU の登録を解除し、OU を削除するための個別のコンソールアクションをサポートするようになりました。OU を削除する前に、登録を解除する必要があります。AWS Control Tower から OU を削除するには、OU を登録解除します。

詳細については、「OU を削除する」を参照してください。

Control Catalog が IPv6 アドレスをサポート

2025 年 4 月 2 日

(AWS Control Tower ランディングゾーンに更新は必要ありません。)

AWS Control Tower Control Catalog API は、新しいデュアルスタックエンドポイントを通じてインターネットプロトコルバージョン 6 (IPv6) アドレスをサポートするようになりました。IPv4 をサポートする既存の Control Catalog エンドポイントは、下位互換性のために引き続き使用できます。新しいデュアルスタックドメインは、インターネットから、または AWS PrivateLink を使用して Amazon Virtual Private Cloud (VPC) 内から使用できます。