ControlTower④ガードレールの設定 

[前回](https://qiita.com/tonkatsu_oishi/items/281ad127699115ff54c3)はControlTowerで設定したSSOへの設定追加と、ControlTowerへアカウントを追加していく方法について記載しました。今回はControlTower配下の組織にガードレールを追加する手順について書いていこうと思います。

## ControlTower関連リンクまとめ
[・ControlTower①マルチアカウント環境をセットアップする](https://qiita.com/tonkatsu_oishi/items/6890ecc24c3b3bf8ee32)
[・ControlTower②ControlTower内の状況確認](https://qiita.com/tonkatsu_oishi/items/b6dc3d548461d21b440d)
[・ControlTower③SSOの確認・アカウントの追加・削除](https://qiita.com/tonkatsu_oishi/items/281ad127699115ff54c3)
・ControlTower④ガードレールの設定←今ここ
[・ControlTower⑤Auditアカウントに作成されるリソースについて](https://qiita.com/tonkatsu_oishi/items/82811c94ebdc6fe509f2)
[・ControlTower⑥LogArchiveアカウントに作成されるリソースについて ](https://qiita.com/tonkatsu_oishi/private/5bb4fea771ec2a5e075b)
[・ControlTower⑦SecurityHubの有効化](https://qiita.com/tonkatsu_oishi/private/6fd0e2c73718057adcc9)
[・ControlTower⑧GuardDutyの有効化](https://qiita.com/tonkatsu_oishi/private/c28b6dd7652c8546d745)
[・ControlTower⑨CloudWatchクロスアカウントダッシュボードの設定](https://qiita.com/tonkatsu_oishi/private/a9a7c1becb8bfa832573)
[・ControlTower⑩LogArchiveアカウント内バケットへのCloudWatchLogs集約](https://qiita.com/tonkatsu_oishi/items/e8d8efc681cdc2616273)

## ガードレールの追加
まずはControlTowerのトップページからガードレールの一覧ページに移動します。
初期状態では[必須のガードレール](https://docs.aws.amazon.com/ja_jp/controltower/latest/userguide/mandatory-guardrails.html)のみが有効になっている状態です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/21635e95-8c3d-d06a-6c1c-459a574bbbfe.png)

「強く推奨」のガードレールを有効にしてみます。
「ガードレール」上部の検索ボックスにキーワードを入れると、関連のありそうなガードレールが予測で表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/7551202c-2283-aac7-fb63-57b427ed12ea.png)

ガードレール名のリンクからガードレールの詳細画面に移動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/bb10bcf6-0fcd-0184-d227-720e42066e79.png)

ガードレールの詳細画面をスクロールしていくと、「組織単位が有効」というセクションがあります。ここからガードレールを有効化できそうです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/9b3db7d4-cf48-4144-e4de-50ef350c3233.png)

「OUでガードレールを有効にする」のボタンを押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/b8888d44-a3f1-328f-933d-32489e80448c.png)

ガードレールを適用するOUの選択画面が表示されます。
ガードレールを適用したいOUのチェックボックスにチェックを入れ、「OUでガードレールを有効にする」ボタンを押下します。
ちなみにこのチェックボックスは複数選択できないので、複数OUにガードレールを適用したい場合は一つ一つ作業する必要があります。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/c17d741c-67f6-c21b-9198-1b332541f3b7.png)

ガードレール詳細の画面に戻ります。上部に「ガードレール有効化中」の表示が出ていることを確認します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/fa8305d4-e6ee-e1cc-4b03-81c7db94d316.png)

ガードレールの有効化には数分かかります。
ガードレールの有効化が完了しないうちに別のガードレールを追加しようとすると、「ガードレールを有効にできません」というエラーが出てしまいます。
複数OUに複数のガードレールを追加したい場合は意外と時間がかかります。今後のアップデートでの改善されるとうれしいですね。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/7de7b3a1-a5ad-4e6f-dfcf-d310ab738a54.png)

### ガードレールを無効にする
追加したガードレールを無効にする場合も、各ガードレールの詳細画面「組織単位が有効」から行うことができます。ガードレールを無効化したい組織のチェックボックスにチェックを入れ、「ガードレールを無効にする」ボタンを押下します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/68238699-a6aa-3dda-f4fb-5956fa20a413.png)

ガードレール無効化の確認画面が表示されるので、「無効化」を押下します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/27164151-4459-5788-6b9b-1ceb778622be.png)

無効化を選択したOUには「無効化中」の表示が出ていますね。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/bd8b50a6-281b-d222-d06d-9a922c09114e.png)


画面上部にも「ガードレールが無効化されました」と表示が出ています。
有効化と同様、無効化にも数分かかります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/15444f74-bc97-a234-4d03-0a4fb2fd0bc1.png)

## 管理（Root）アカウントの役割整理
ControlTower①～④までの記事では、管理アカウント内のControlTowerでできることを確認していきました。
ControlTowerを有効化すると、LogArchiveアカウント・Auditアカウントなど、役割ごとにいくつかアカウントが作成されます。そのため、ここで一旦管理アカウントの役割をまとめてみました。
管理(Root)アカウントでは、ControlTowerの管理画面からControlTower配下の各組織の管理が行えます。ガードレールの追加・削除、アカウントの追加・削除、ランディングゾーンの追加・削除などです。また、アカウントの追加・削除を行った際のSSOの設定についても、管理アカウントから行うことになります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2237429/024d1989-cf93-8e3c-4811-91cf31383a8d.png)



ここまでお読みいただきありがとうございました。
次回はAuditアカウント内に構築されているリソースの状況について記事を書こうと思います。