AWS Control Tower AFTでOU移動時のカスタマイズ自動再適用に対応

AWS Control Tower Account Factory for Terraform (AFT) において、アカウントを別の組織単位 (OU) に移動した際に、そのアカウントへのカスタマイズを自動的に再適用する機能が追加されました。AFT設定で aft_customization_triggers = ["account_move"] を指定することで有効化でき、ブートストラップおよびプロビジョニングフェーズをスキップしてグローバルおよびアカウントレベルのカスタマイズのみを実行するため、高速に適用されます。また、特定のアカウントを自動適用から除外する設定 (account_skip_customization_triggers = "true") も提供されます。あわせて、Terraform Cloud/Enterpriseのワークスペース命名変数のサポート、ロギングバケットのアクセス制御強化、大規模なEnterprise Support登録時のスケーリング改善も実施されました。

運用上のメリット

これまでAFTで管理しているアカウントをOU間で移動させた場合、移動先のOUに紐づくカスタマイズを適用させるには手動でトリガーをかける必要がありました。これが自動化されたことで、設定の乖離（コンフィギュレーション・ドリフト）を防ぎ、ガバナンスレベルを維持したままアカウントを柔軟に移動できるようになります。

日本国内での利用について

本機能はAFTが提供されているすべてのリージョンで利用可能です。したがって、東京リージョンおよび大阪リージョンを含む日本国内の環境でも利用可能です。

実務上のアドバイス

• 適用範囲の制御: 全アカウントに一律で適用するのではなく、account_skip_customization_triggers を活用して、特殊な設定を持つアカウントを誤って上書きしないよう制御することを推奨します。
• 実行速度の最適化: プロビジョニングフェーズをスキップしてカスタマイズのみを適用する仕様であるため、実行時間は短縮されますが、依存関係がある場合は挙動を十分に検証してください。

次のアクション

まずは開発環境などで aft_customization_triggers = ["account_move"] を設定し、実際にOUを移動させて意図したカスタマイズが適用されるかを確認してください。

参考ドキュメント

• AFT documentation
• AFT release notes on GitHub