AWS Control Tower AFT に「plan-only customization runs」が追加、変更内容の事前プレビューが可能に

AWS Control Tower Account Factory for Terraform (AFT) に、Terraform の変更を適用（apply）する前に内容をプレビュー（plan）できる「plan-only customization runs」機能が導入されました。この機能は、オープンソース版、Terraform Cloud、および Terraform Enterprise を含む、すべての AFT サポート対象の Terraform ディストリビューションと互換性があります。グローバルおよびアカウント固有のカスタマイズにおいて、変更内容の確認、ドリフト検出、ドリフトの検知を CI/CD ワークフローに組み込むことが可能です。

🛠️ 運用上のメリットとエンジニアへのアドバイス

🔍 Problem/Solution: なぜこの機能が必要だったのか

従来、AFT を用いたカスタマイズ実行時には、常に terraform apply が走る仕組みになっており、**「何が変更されるのか事前に確認する手段がない」**という大きなリスクがありました。これにより、広範囲なアカウントへのロールアウト前に、意図しない設定の乖離（ドリフト）や、予期せぬ変更内容を検証することが困難でした。

この「plan-only runs」の導入により、管理者は変更を適用せずに terraform plan を実行できるようになり、**「安全な事前検証」と「CI/CD ワークフローへの統合」**が実現します。これは、マルチアカウント環境のマルチリソース管理において、非常に価値の高いアップデートです。

🇯🇵 日本国内リージョンでの利用状況

リサーチ結果に基づくと、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で利用可能です。AWS Control Tower が利用可能なリージョンであれば、AFT も同様に提供されます。

💡 運用上のアドバイス

• CI/CD への組み込み: terraform plan の結果を Pull Request のコメントとして自動的に投稿するワークフローを構成することで、レビュープロセスを強化できます。
• 💡 Drift Detection (ドリフト検出): 定期的な plan-only runs を実行し、管理対象アカウントの設定がコード（Terraform）と実際の環境との間で乖離していないかを監視する運用フローを構築しましょう。

🚀 Next Action: まず何をすべきか

AFT 1.22.0 以降のリリースノートを確認し、現在の環境がアップグレード可能な状態か、および設定変更のフローをテストしてください。

Reference: AWS Control Tower User Guide AFT 1.22.0 Release Notes