AWS Organizations で実現するマルチアカウント管理 - OU 設計と SCP によるガバナンス
OU 階層の設計と SCP によるアクセス制御でマルチアカウント環境のガバナンスを確立する。一括請求によるコスト管理も紹介します。
Organizations の概要
Organizations は最大数千の AWS アカウントを一元管理するサービスです。単一アカウントで全環境を運用するとセキュリティ境界が曖昧になり、請求の分離も困難です。Organizations でアカウントを分離し、OU 階層でグループ化することで、環境ごとのセキュリティ境界と請求の分離を実現します。
SCP と一括請求
SCP は OU またはアカウントに適用するアクセス制御ポリシーで、IAM ポリシーの上限を設定します。例えば本番 OU に「特定リージョン以外の使用を禁止」する SCP を適用すると、配下のアカウントでは IAM で許可されていても制限リージョンのリソースを作成できません。一括請求では組織内の全アカウントの使用量が合算され、S3 や EC2 のボリュームディスカウントが適用されます。RI や Savings Plans も組織内で共有され、購入アカウント以外でも割引が適用されます。
OU 設計とアカウント戦略
OU (Organizational Unit) の設計はセキュリティ境界とガバナンスの基盤です。推奨される OU 構造は、 Security OU (ログアーカイブ、セキュリティ監査)、 Infrastructure OU (ネットワーク、共有サービス)、 Workloads OU (本番、開発、ステージング)、 Sandbox OU (実験用) です。 SCP は OU に適用し、配下の全アカウントに継承されます。委任管理者機能で、セキュリティ関連のサービス (GuardDuty 、 Security Hub 、 Config) の管理をセキュリティアカウントに委任し、管理アカウントの操作を最小限に保ちます。タグポリシーで全アカウントのリソースタグを標準化し、コスト配分の精度を向上させます。 Organizations の基礎から応用まで、書籍 (Amazon)で体系的に学べます。
Organizations の料金
Organizations 自体に追加料金は発生しません。一括請求でメンバーアカウントの使用量が集約され、ボリュームディスカウントの恩恵を受けられます。RI と Savings Plans の共有を有効にすると、購入アカウント以外のアカウントでも割引が適用されます。アカウント数が増えると、各アカウントで有効化されるサービス (CloudTrail、Config、GuardDuty) のコストが積み上がるため、必要なサービスのみを有効化する方針を OU レベルで管理します。
まとめ
Organizations はマルチアカウント環境のガバナンスとコスト管理を一元化するサービスです。OU 階層と SCP でセキュリティ境界を確立し、委任管理者機能でセキュリティサービスの管理を専用アカウントに委任します。一括請求でボリュームディスカウントと RI/Savings Plans の共有を活用し、タグポリシーで組織全体のリソースタグを標準化します。