AWS Control Tower / 既存環境の移行難易度 高無料
ある企業には、Organizationsで管理されているが Control Tower は未導入の既存アカウントが15個ある。この既存環境にControl Towerを新規導入（enrollment）する際の考慮点として正しいものを2つ選べ。
- A既存アカウントに独自のCloudTrail証跡やConfig設定が既にある場合、Control Tower標準のベースラインと競合しないか事前に確認する必要がある
- B既存アカウントの登録（enrollment）はアカウント単位またはOU単位で段階的に進み、登録が進むにつれて該当アカウントにControl Towerのベースライン（ガードレール等）が適用されていく
- C既存アカウントをControl Towerで管理するには、まず該当アカウントをOrganizationsおよびAWSから完全に削除し、Account Factoryで新規アカウントとして作り直す必要がある
- D既存アカウントの登録中は、そのアカウント内で稼働中のワークロード（EC2インスタンス等）を必ず停止しなければならない
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
Control Towerは「新規に組織を作る」だけでなく、既存のOrganizations環境に後から導入（landing zoneのセットアップ）し、 既存アカウントを個別に登録（enroll）することもサポートしている。
- 既存アカウントをControl Towerに登録する前には、通常「Account Factory for Terraform (AFT)」やコンソールの 事前チェック機能で、既存のCloudTrail証跡・Config設定・IAMロールが Control Tower の想定と衝突しないか確認する必要がある （例：既存の独自CloudTrail証跡がある場合、Control Tower標準のものと重複・競合しうる）。
- 既存アカウントの登録（enrollment）はアカウント単位、またはOU単位（該当OUを登録・再登録することで配下の既存アカウントをまとめて登録）で 段階的に進み、登録が進むにつれて該当アカウントにControl Towerのベースライン（ガードレール・ロール等）がデプロイされていく。 登録中は既存ワークロードの停止までは通常発生しないが、事前の設定衝突確認は必須である。
- 一方で、「既存アカウントは登録前に一度削除して作り直す必要がある」というのは誤りで、 既存アカウントをそのまま登録できるのがControl Towerの既存環境移行機能の要点である。
- C誤り。Control Towerは既存アカウントをそのまま登録（enroll）できる設計であり、削除・作り直しは不要。
- D誤り。登録プロセスはガバナンス基盤（ガードレール・ロール等）の適用が中心であり、既存ワークロードの停止を必須とするものではない。
ひっかけ： 「既存アカウントはControl Tower導入のために一度削除して新規に作り直す必要がある（誤答の1つ）」という思い込みに注意。
Control Towerは既存アカウントをそのまま登録（enroll）できる設計であり、作り直しは不要（ただし既存のCloudTrail等の
設定衝突チェックは必要）。
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）