AWS Organizations
複数の AWS アカウントを一元管理するサービス
何ができるか
AWS Organizations は、複数の AWS アカウントを組織 (Organization) としてまとめて管理するサービスです。アカウントの作成、グループ化 (OU)、サービスコントロールポリシー (SCP) による権限制御、一括請求 (Consolidated Billing) によるコスト管理を提供します。
どのような場面で使うか
マルチアカウント戦略の実装 (本番・開発・ステージングの分離)、部門ごとのアカウント管理、組織全体のセキュリティポリシーの適用、一括請求によるボリュームディスカウントの活用などに利用されます。 この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。
身近な例え
企業グループの持株会社に例えられます。持株会社 (管理アカウント) が子会社 (メンバーアカウント) を統括し、グループ全体のルール (SCP) を定め、経理 (請求) を一本化します。各子会社は独立して事業を行いつつ、グループのガバナンスに従います。
Organizations とは
AWS Organizations は、AWS のマルチアカウント管理の基盤となるサービスです。AWS のベストプラクティスでは、ワークロードや環境ごとにアカウントを分離することが推奨されています。Organizations を使えば、これらのアカウントを階層的に管理し、統一されたガバナンスを適用できます。Organizations 自体の利用料金は無料です。
OU とサービスコントロールポリシー
組織単位 (OU) はアカウントをグループ化する仕組みです。例えば「本番 OU」「開発 OU」「セキュリティ OU」のように分類します。サービスコントロールポリシー (SCP) は OU やアカウントに適用するアクセス許可の上限を定義します。SCP で特定のリージョンの使用を禁止したり、特定のサービスの利用を制限したりできます。
はじめかた
Organizations コンソールで「組織の作成」をクリックすると、現在のアカウントが管理アカウントになります。「アカウントの作成」または「アカウントの招待」でメンバーアカウントを追加します。OU を作成してアカウントを配置し、SCP を適用してガバナンスを確立します。Control Tower を併用すると、ベストプラクティスに基づいたマルチアカウント環境を自動構築できます。
注意点
- 管理アカウントには SCP が適用されないため、管理アカウントでのワークロード実行は避けること
- SCP は許可の上限を定めるもので、IAM ポリシーとの組み合わせで最終的なアクセス権限が決まる
- Organizations 自体は無料だが、一括請求で集約されるリソースの料金は発生する
さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。
