AWS OrganizationsとSCPを理解する

Organizationsで複数アカウントをまとめる目的と、SCPで操作の上限を決める役割を分けます。

この単元で学ぶこと

  • 組織とOUの役割を説明する
  • SCPの非付与と適用範囲を理解する
  • 制限変更を安全に検証する

本文解説

1. 複数アカウント 開発と本番を別アカウントにすると、資源や管理の境界を分けられます。Organizationsは複数アカウントをまとめて管理する仕組みです。同じ組織へ参加しても、IAMユーザーや資源が一つに合体するわけではありません。

2. OUの役割 OUはアカウントをまとめる組織単位です。開発OUと本番OUへ共通方針を適用する例があります。IAMグループはユーザーの集合であり、OUとはメンバーも適用するポリシーの目的も違います。

3. 一括請求 一括請求は組織の利用料金をまとめる仕組みです。請求がまとまっても、あるアカウントの利用者が別アカウントのS3を自動的に読めるようにはなりません。課金管理と操作権限を別に考えます。

4. SCPは上限 SCPはメンバーアカウントの主体が利用できる最大権限を制限します。SCPでS3を許容しても、新しいユーザーへS3読取り権限が自動で付くわけではありません。実際のAllowはIAMの権限ポリシー等で設定します。

5. 機能設定と階層 SCPにはOrganizationsの全機能が必要で、一括請求のみでは利用できません。組織ルートからOU、アカウントへ至る経路で制限を評価します。上位で明示的に拒否した操作を下位のAllowで復活させることはできません。

6. 対象と例外 メンバーアカウントのrootも一般にSCP制限の対象です。一方、管理アカウントの主体やサービスリンクロールは対象外です。メンバーを特定サービスの委任管理者にしても、管理アカウントになったわけではなくSCP対象のままです。

7. 管理者でも越えない メンバーのIAMユーザーへAdministratorAccessを付けても、適用されるSCPのDenyを越えられません。IAMの許可を増やすだけでは直らない拒否があるため、組織側の方針と業務の必要性を照合します。

8. 検証して適用 本番OUへ広く適用する前に、小さい検証OUで必要APIの成功と禁止APIの拒否を試します。OU移動でも適用されるSCPが変わり得ます。対象アカウントと継承経路を記録し、変更後の業務を確認します。

図解

上限と権限付与
SCPで許容されているだけでは操作権限は付与されません。

重要ポイント

  • OrganizationsとOUはアカウントを整理する。
  • SCPは権限の付与ではなく上限。
  • メンバーrootと管理アカウントを区別する。

間違えやすい点

  • 一括請求で資源の操作権限も共有されると思う。
  • FullAWSAccessで全ユーザーに管理者権限が付くと思う。
  • すべてのrootやサービス用ロールがSCP例外だと考える。

用語解説

OU
組織内のアカウントをまとめる単位。
SCP
メンバーアカウントの主体の最大権限を制御するポリシー。
管理アカウント
Organizationsを管理するアカウントで、SCP制限の適用範囲がメンバーと異なる。

関連教材

参考資料

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。