翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# ベースラインのタイプ
<a name="types-of-baselines"></a>

AWS Control Tower の*ベースライン*は、ターゲットに適用できるリソースと特定の設定のグループです。最も一般的なベースラインターゲットは、組織単位 (OU) です。例えば、ターゲットとして選択した OU でベースラインを有効にして、その OU を AWS Control Tower に登録できます。

ランディングゾーンの設定中に、一部のベースラインが共有アカウントで自動的に有効になる場合があります。ランディングゾーンの設定と構成に基づいて、特定のベースラインを有効にして更新できます。AWS Control Tower は、ベースラインで指定された方法でリソースを作成してターゲットにデプロイします。

ターゲットでベースラインを有効にすると、ベースラインは リソースと呼ばれる AWS `EnabledBaseline`リソースとして表されます。

AWS Control Tower には、一般的なベースラインタイプが 2 つあります。
+ OU で有効にできるベースライン。
+ ランディングゾーンのセットアップ中に共有アカウントで有効にできるベースライン。

## OU レベルで適用されるベースラインタイプ
<a name="ou-baseline-types"></a>

**注記**  
`EnableBaseline` API で直接有効にできるのは、OU レベルで適用されるベースラインのみです。
+ **名前**: `AWSControlTowerBaseline`

  **説明**: このベースラインは、コンプライアンスモニタリング、監査、セキュリティモニタリング、およびオプションでアクセス管理に必要な、ターゲット OU 内のメンバーアカウントのリソースとコントロールを設定します。このベースラインは、AWS Control Tower に OU を登録すると有効になります。

  **前提条件**: AWS Control Tower ランディングゾーンで AWS Config 統合を有効にする必要があります。

  **考慮事項**: このベースラインは、ランディングゾーンの**リージョン拒否**コントロールの設定を保持します。つまり、リージョンがランディングゾーンレベルで許可されていない場合、`EnableBaseline` API を呼び出して OU を登録する際に、そのリージョンはその OU に対して許可されません。
**注記**  
OU レベルのリージョン拒否コントロールは、ランディングゾーンのリージョン拒否コントロールが許可しないリージョンを許可することはできません。

   詳細については、 AWS Organizations ドキュメントの「How [ SCPs work with deny](https://docs.aws.amazon.com//organizations/latest/userguide/orgs_manage_policies_scps_evaluation.html#how_scps_deny)」を参照してください。

  **推奨事項**: ターゲット OU がワークロードを実行している可能性のあるリージョンを確認し、その結果をランディングゾーンのリージョン拒否コントロールに対してチェックしてから、OU の `EnableBaseline` API を呼び出すことをお勧めします。そうしないと、特定のリージョンのリソースにアクセスできなくなる可能性があります。
+  **名前**: `ConfigBaseline`

  **説明**: このベースラインは、Detective Controls の有効化に必要なターゲット OU 内のメンバーアカウントの AWS Config 関連リソースを設定します。セットアップされたリソースは、AWSControlTowerBaseline のリソースのサブセットです。

  **前提条件**: AWS Control Tower ランディングゾーンで AWS Config 統合を有効にする必要があります。

  **考慮事項**: このベースラインは、ランディングゾーンリージョン拒否コントロールの設定を保持しません。リージョン拒否コントロールは、ConfigBaseline の有効化の一部として有効になりません。

  **制限**: AWSControlTowerBaseline と ConfigBaseline を同じ OU で有効にすることはできません。OU では、そのうちの 1 つだけが許可されます。
+  **名前**: `BackupBaseline`

  **説明**: このベースラインは、ターゲット OU 内のメンバーアカウントのリソースとコントロールを設定します。これらは、 との統合 AWS Backup によってデータのバックアップが自動化され AWS のサービス、バックアップポリシー管理が一元化されるようにするために必要です。

  **前提条件**:
  + AWS Backup 統合は、AWS Control Tower ランディングゾーンで有効にする必要があります。
  + AWS Config 統合は、AWS Control Tower ランディングゾーンで有効にする必要があります。
  + `AWSControlTowerBaseline` ターゲット OU で を有効にする必要があります。

  **考慮事項**: ターゲット OU で `BackupBaseline` を有効化する前に、ターゲット OU で `AWSControlTowerBaseline` が有効になっていることを確認してください。つまり、ターゲット OU は AWS Control Tower で登録されている必要があります。
  + AWS Control Tower ランディングゾーンの作成プロセス AWS Backup 中にアクティブ化するか、ランディングゾーンの更新プロセス中にアクティブ化するかを選択できます。
  + `BackupBaseline` は、ランディングゾーンバージョン 3.1 以降と互換性があります。
  + `BackupBaseline` は管理アカウントには適用されません。

## ランディングゾーンのセットアップ中に共有アカウントに適用できるベースラインタイプ
<a name="lz-baseline-types"></a>

AWS Control Tower は、ランディングゾーンのセットアップと更新プロセスの一環として、共有アカウントの特定のベースラインを有効にします。ランディングゾーンの設定を変更すると、ランディングゾーンのベースラインが変更される場合があります。例えば、IAM アイデンティティセンターをオプトインした場合、AWS Control Tower はランディングゾーンで最新バージョンの `IdentityCenterBaseline` ベースラインを有効にすることができます。

 `ListEnabledBaselines` API コールを使用すると、ランディングゾーンで有効になっているベースラインを表示できます。

**注記**  
 Landing Zone バージョン 4.0 以降、AuditBaseline は `CentralSecurityRolesBaseline`と の 2 つの異なるベースラインに置き換えられます`CentralConfigBaseline`。
+ **名前**: `CentralConfigBaseline`

  **説明**: AWS Config を使用して、組織内のコンプライアンスのモニタリングと監査のための中央リソースを設定します。
+ **名前**: `CentralSecurityRolesBaseline`

  **説明**: 組織内のセキュリティモニタリング用の中央リソースを設定します。
+ **名前**: `AuditBaseline`

  **説明**: 組織内のアカウントのセキュリティとコンプライアンスをモニタリングするためのリソースを設定します。
+ **名前**: `LogArchiveBaseline`

  **説明**: 組織内のアカウントからの API アクティビティとリソース設定のログ用に中央リポジトリを設定します。
+ **名前**: `IdentityCenterBaseline`

  **説明**: IAM アイデンティティセンターの共有リソースを設定します。これにより、`AWSControlTowerBaseline` がアカウントのアイデンティティセンターアクセスを設定する準備が整います。

  **考慮事項**: このベースラインが機能するのは、ランディングゾーンの初期設定時に ID プロバイダーとして IAM アイデンティティセンターを選択した場合、または後でランディングゾーン設定を変更して、IAM アイデンティティセンターをランディングゾーンに対して有効にした場合のみです。別の ID プロバイダーを使用している場合、このベースラインを有効にするためのアクセス権限はありません。
+ **名前**: `BackupCentralVaultBaseline`

  **説明**: 組織内の中央 AWS Backup ボールトを設定します。
+ **名前**: `BackupAdminBaseline`

  **説明**: 委任管理者と AWS Backup Audit Manager を設定します。

## 有効なベースラインとメンバーアカウント
<a name="baselines-and-member-accounts"></a>

OU でベースラインを有効にすると、その設定は OU のメンバーアカウントによって継承されます。継承の事実により、アカウントを参照するときに*子で有効なベースライン*と呼びます。OU に適用されるベースラインは、*親で有効なベースライン*と呼ばれます。親で有効なベースラインは、子で有効なベースラインの設定を制御します。これは、OU で有効になっている制御が OU 内のすべてのアカウントに適用されるのに似ています。

**アカウントのベースラインのステータスを表示する**

AWS Control Tower では、ベースラインを使用してアカウントを直接ターゲットにすることはできません。ただし、継承された子で有効なベースラインを使用して、各メンバーアカウントの有効化とドリフトのステータスを追跡できます。アカウントのステータスを表示するには、`includeChildren` 機能フラグを使用して [https://docs.aws.amazon.com//controltower/latest/APIReference/API_ListEnabledBaselines.html](https://docs.aws.amazon.com//controltower/latest/APIReference/API_ListEnabledBaselines.html) API を呼び出します。

**アカウントのベースラインを無効にする**

AWS Control Tower では、親が有効なベースラインにリンクされた子が有効なベースラインを無効にすることはできません。子が有効なベースラインは、継承がドリフトし、親が有効なベースラインにリンクされなくなった場合に無効にできます。

## ベースラインとバージョニングのデフォルト
<a name="baselines-and-versioning"></a>

AWS Control Tower のランディングゾーンが既に設定されている場合に、ランディングゾーンのベースラインの有効化を選択すると、AWS Control Tower はランディングゾーンのバージョンと互換性のある最新バージョンのベースラインを有効にします。まだ AWS Control Tower に登録されていない OU に対してベースラインの有効化を選択すると、AWS Control Tower は互換性のある最新バージョンのベースラインをその OU に自動的に提供します。