ストーリー

ランディングゾーンの全体像

ランディングゾーンのコンポーネント

ランディングゾーンの構成:

┌─────────────────────────────────────────────┐
│             ガバナンスレイヤー                    │
│  ├── SCP/Organizations Policy                │
│  ├── Config Rules / ガードレール                │
│  └── 監査ログ / CloudTrail                    │
├─────────────────────────────────────────────┤
│             アイデンティティレイヤー               │
│  ├── SSO / IdP連携                           │
│  ├── IAM ベースライン                          │
│  └── 特権アクセス管理                           │
├─────────────────────────────────────────────┤
│             ネットワークレイヤー                  │
│  ├── Transit Gateway / VPC設計               │
│  ├── DNS / Route 53                         │
│  └── オンプレミス接続（Direct Connect等）        │
├─────────────────────────────────────────────┤
│             セキュリティレイヤー                  │
│  ├── 暗号化キー管理（KMS）                      │
│  ├── セキュリティハブ / SIEM                    │
│  └── 脆弱性管理                               │
├─────────────────────────────────────────────┤
│             ログ・モニタリングレイヤー              │
│  ├── 集中ログ管理                              │
│  ├── モニタリング / アラート                     │
│  └── ダッシュボード                             │
└─────────────────────────────────────────────┘

マルチアカウント戦略

アカウント設計パターン

OU（Organizational Unit）構造

Root
├── Security OU
│   ├── Security Account
│   └── Logging Account
├── Infrastructure OU
│   ├── Network Account
│   └── Shared Services Account
├── Sandbox OU
│   └── Sandbox Accounts (個人/チーム)
├── Workloads OU
│   ├── Development OU
│   │   ├── Dev-Engineering
│   │   ├── Dev-IoT
│   │   └── Dev-Data
│   ├── Staging OU
│   │   ├── Stg-Engineering
│   │   ├── Stg-IoT
│   │   └── Stg-Data
│   └── Production OU
│       ├── Prod-Engineering
│       ├── Prod-IoT
│       └── Prod-Data
└── Suspended OU
    └── (閉鎖予定アカウント)

ネットワーク設計

ハブ＆スポーク型ネットワーク

VPC設計標準

セキュリティベースライン

全アカウント共通セキュリティ設定

SCP（Service Control Policy）の設計

ランディングゾーンの自動化

IaC（Infrastructure as Code）によるプロビジョニング

アカウントファクトリー

新規アカウントの自動プロビジョニングパイプラインです。

アカウント申請フロー:

申請（セルフサービスポータル）
  ↓
自動承認チェック
  ├── 予算確認
  ├── 目的の妥当性
  └── 命名規則の確認
  ↓
アカウント作成（自動）
  ├── Organizations でアカウント作成
  ├── 適切なOUに配置
  ├── SCP適用
  ├── セキュリティベースライン展開
  ├── VPC作成
  ├── SSO設定
  └── タグ付け
  ↓
完了通知（申請者にアクセス情報を通知）

所要時間: 申請から30分以内

まとめ

チェックリスト

• ランディングゾーンの5レイヤーを理解した
• マルチアカウント戦略のOU構造を理解した
• ネットワーク設計のハブ＆スポーク型を理解した
• アカウントファクトリーによる自動化を理解した

次のステップへ

次は「コンプライアンス自動化」を学びます。ポリシーへの準拠を継続的に自動チェックする仕組みを身につけましょう。

推定読了時間: 30分