Organizations와 SCP를 손으로 조립하면 OU 설계, 로그 계정, CloudTrail 조직 추적, Config 집계, SCP 세트, 신규 계정 부트스트랩을 전부 직접 코딩해야 한다. AWS Control Tower는 이 모든 것을 *모범 사례 기반의 랜딩 존(Landing Zone)*으로 자동 구성·운영해 주는 거버넌스 오케스트레이터다. 보안 시험에서 Control Tower는 "다계정 보안 베이스라인을 어떻게 일관되게 깔고 유지하느냐"의 답으로 등장하며, 핵심 개념은 가드레일(컨트롤), 계정 팩토리, 드리프트 탐지다.
Control Tower를 켜면 자동으로 다음이 구성된다:
관리 계정 (Control Tower 오케스트레이션)
├── OU: Security
│ ├── 계정: Audit (Security Hub/GuardDuty 집계, 교차계정 감사 역할)
│ └── 계정: Log Archive (조직 CloudTrail/Config 로그 불변 보관)
└── OU: Sandbox (또는 Workloads)
└── 등록·신규 생성 계정들