AWS Organizations のよくある質問

AWS Organizations は、AWS のワークロードをスケールする際に、環境を一元的に管理する場合に役立ちます。成長を続けるスタートアップでも大企業でも、Organizations は、プログラムを使用して新しいアカウントを作成してリソースを割り当て、すべてのアカウントに単一の支払い方法を設定して請求を簡素化し、アカウントのグループを作成してワークフローを整理し、ガバナンスのためにこれらのグループにポリシーを適用するのに役立ちます。加えて、AWS Organizations は他の AWS のサービスと統合しているため、中央での設定、セキュリティメカニズム、組織内のアカウント間でのリソース共有を定義できます。

AWS Organizations は、すべての AWS 商用リージョン、AWS GovCloud (米国) リージョンおよび中国リージョンで利用できます。AWS Organizations のサービスエンドポイントは、営利団体向けの米国東部 (バージニア北部)、AWS GovCloud (米国) 組織向けの AWS GovCloud (米国西部)、および NWCD が運営する AWS 中国 (寧夏) のリージョンに設置されています。

使用を開始するには、まず管理アカウント (旧マスターアカウント) になる AWS アカウントを決める必要があります。新しい AWS アカウントを作成するか、既存のアカウントを選択することができます。

1. 組織の管理に使用する AWS アカウントを使用して、管理者として AWS マネジメントコンソールにサインインします。
2. AWS Organizations コンソールを開きます。
3. [組織を作成] を選択します。
4. 組織に対して有効にする機能を選択します。すべての機能を利用することも、一括請求 (コンソリデーティッドビリング) の機能のみを選択することもできます。 AWS Organizations のすべての中央管理機能を利用する場合は、すべての機能を選択することをお勧めします。
5. 以下の 2 つの方法のいずれかを使用して、AWS アカウントを組織に追加します。 
   1. 既存の AWS アカウントの ID かそのアカウントに関連付けられた E メールアドレスを使用して、組織に招待する。
   2. 新しい AWS アカウントを作成する。
6. OU に所属する AWS アカウントをグループ化することにより、組織階層をモデル化します。
7. OU、アカウント、または組織 (すべての機能を備えた組織でのみ使用可能) のポリシー (サービスコントロールポリシーやバックアップポリシーなど) を作成します。
8. AWS Organizations と統合されている AWS サービスを有効にします。

AWS CLI (コマンドラインによるアクセス) または AWS SDK を使用して、新しい組織を作成するステップを実行することもできます。

注: 新しい組織を作成できるのは、別の組織のメンバーではない AWS アカウントを使用しているときのみです。

詳細については、「AWS Organizations の開始方法」をご覧ください。

AWS Organizations などの AWS のサービスに基づいて構築された AWS Control Tower は、新しい安全なマルチアカウント AWS 環境をセットアップおよび管理するための最も簡単な方法を提供します。これは、ベストプラクティスの青写真に基づいて Well-Architected でマルチアカウントの環境であるランディングゾーンを確立し、選択可能なガードレールを使用したガバナンスを可能にします。ガードレールは、セキュリティ、コンプライアンス、および運用のガバナンスを実装する SCP、RCP、および AWS Config ルールです。

AWS Control Tower は、AWS Organizations に加えて、抽象化および自動化された、規範的なエクスペリエンスを提供します。アカウントを整理するための基盤となる AWS のサービスとして AWS Organizations を自動的に設定し、SCP と RCP を使用して予防ガードレールを実装します。Control Tower と Organizations は連携して機能します。Control Tower を使用して環境をセットアップし、ガードレールを設定してから、AWS Organizations を使用して、複数の AWS アカウント間で AWS のサービスとリソースの使用を一元的に管理するカスタムポリシー (タグ、バックアップ、SCP など) をさらに作成できます。

ガードレールは、セキュリティ、オペレーション、コンプライアンス向けの事前にパッケージ化された SCP および AWS Config ガバナンスルールです。これらは、お客様が選択し、企業全体または特定のアカウントのグループに適用できます。ガードレールは簡単な英語で表現されています。これを使用することで、特定のガバナンスポリシーが AWS 環境に適用され、組織単位 (OU) 内で有効になります。

AWS Control Tower は、組み込みのベストプラクティスを使用してマルチアカウント AWS 環境を作成または管理したいお客様のためのものです。AWS 環境を大規模に管理するための規範的なガイダンスを提供し、AWS がビルダーに提供する速度と俊敏性を犠牲にすることなく環境を管理できるようにします。新しい AWS 環境を構築する場合、AWS でのジャーニーを始める場合、新しいクラウドイニシアチブを開始する場合、AWS を初めて使用する場合、または既存のマルチアカウント AWS 環境がある場合は、AWS Control Tower の恩恵を享受できます。

組織は AWS アカウントのコレクションで、階層化して一元管理できます。

AWS アカウントは AWS リソースのコンテナです。AWS リソースは AWS アカウント内で作成と管理が行われます。AWS アカウントにはアクセスと請求の管理機能もあります。

複数の AWS アカウントを使用することは、コストの自然な請求境界を提供し、セキュリティのためにリソースを分離し、個人やチームのために柔軟性を提供するだけでなく、新しいビジネスプロセスに適応できるため、環境をスケーリングするためのベストプラクティスです。

管理アカウントは、組織の作成に使用する AWS アカウントのことです。管理アカウントでは、組織内の他のアカウントの作成、他のアカウントが組織に参加するための招待の送信と管理、組織からのアカウントの削除を行うことができます。管理用ルート、組織単位 (OU)、組織内のアカウントといったエンティティにポリシーをアタッチすることもできます。管理アカウントは、組織の最終的な所有者であり、セキュリティ、インフラストラクチャ、および財務ポリシーについての最終的な管理権限を有しています。このアカウントには支払者アカウントの役割もあり、組織内のアカウントによって発生した料金すべてに対する支払いの責任を負います。組織の管理アカウントを変更することはできません。

メンバーアカウントは、組織に所属する AWS アカウントのうち、管理アカウントではないものです。組織の管理者は、組織内にメンバーアカウントを作成することや、組織に参加するよう既存のアカウントを招待することができます。メンバーアカウントにポリシーを適用することもできます。メンバーアカウントは、一度に 1 つの組織にのみ所属できます。

組織単位 (OU) は組織内で作成した AWS アカウントのグループです。OU に他の OU をネストさせて階層化することもできます。例えば、同じ部門に所属するすべてのアカウントを部門 OU にグループ化できます。同様に、セキュリティサービスを実行しているすべてのアカウントをセキュリティ OU にグループ化できます。OU は、同じコントロールを組織内のアカウントのサブセットに適用するために使用できます。OU をネストすると管理の単位を小さくすることができます。たとえば、ワークロードごとに OU を作成してから、各ワークロード OU に 2 つのネストされた OU を作成して、本番ワークロードと本番前のワークロードを分割できます。このような OU では、そのチームレベル OU に直接割り当てられたコントロールに加えて、親 OU から継承したポリシーも適用されます。

AWS Organizations のポリシーを使用すると、組織全体のコントロールを、組織内の AWS アカウントに一元的に適用できます。 

• サービスコントロールポリシー (SCP) は、組織内の IAM ユーザーと IAM ロールに利用可能な最大権限を一元的に制御します。 
• リソースコントロールポリシー (RCP) は、組織内のリソースについての使用可能な最大の許可に対する一元的なコントロールを提供します。 
• バックアップポリシーを使用すると、一元的に、組織のアカウント全体の AWS リソースのバックアッププランを管理したり、これらのリソースに適用したりできます。
• 宣言型ポリシーは、クリックまたはコマンドを数回実行するだけで、組織内の特定の AWS サービスのベースライン設定などの永続的な意図を適用するのに役立つ管理ポリシーです。これらのポリシーを適用すると、違反行為を防止できます。宣言型ポリシーで定義された設定は、AWS が新しい API や機能を導入したとき、またはリソース、プリンシパル、アカウントの追加など組織に変更があった場合にも維持されます。
• タグポリシーにより、組織のアカウントの AWS リソースに添付されたタグを標準化できます。
• チャットボットポリシーを使用すると、SlackやMicrosoft Teamsなどのチャットアプリケーションから組織のアカウントへのアクセスを制御できます。
• AI サービスのオプトアウトポリシーにより、組織内のすべてのアカウントの AWS AI サービスのデータ収集を制御できます。

いいえ。1 つの AWS アカウントが同時に複数の組織のメンバーになることはできません。

AWS アカウント作成の一環として、AWS Organizations は、新しいアカウントで完全な管理アクセス許可を持つ IAM ロールを作成します。マスターアカウント内で適切なアクセス許可を持つ IAM ユーザーと IAM ロールには、新しく作成されたアカウントにアクセスできるよう、この IAM ロールが割り当てられます。

いいえ。現時点でこの機能はサポートされていません。

はい。しかし、まずお客様の組織からアカウントを削除して、スタンドドアロンのアカウントにしておく必要があります (下参照)。アカウントをスタンドアロンにしてから、別の組織に加入するように招待できます。

はい。AWS Organizations コンソール、API、またはCLI コマンドを用いてアカウントを作成した場合、AWS はスタンドアロンアカウントに必要な情報をすべては集めません。スタンドアロンにしたい各アカウントについて、この情報を更新してください。これには、連絡先情報、有効な支払方法の指定、サポートプランのオプションの選択が含まれる場合があります。このお支払い方法は、アカウントが組織に関連付けられていない間に発生する AWS の課金対象 (AWS 無料利用枠外) のアクティビティに対して課金するために使用されます。詳細については、「組織からのメンバーアカウントの削除」をご覧ください。

これは場合によって異なります。アカウントの追加が必要な場合、AWS サポートセンターでサポートケースを開いて追加を依頼してください。

メンバーアカウントを削除するには、以下の 2 つの方法のうちいずれかを使用します。Organizations を使用して作成したアカウントを削除するには、情報の追加が必要になる場合があります。アカウントを削除できない場合は、AWS サポートセンターに問い合わせて、アカウントの削除についてのサポートを依頼してください。

方法 1: 管理アカウントにサインインして、招待したメンバーアカウントを削除する

1.マスターアカウントの管理者としてサインインし、AWS Organizations コンソールに移動します。

2.左側のペインで [アカウント] を選択します。

3.削除するアカウントを選択してから、[アカウントを削除] を選択します。

4.そのアカウントに有効な支払い方法がない場合は、支払い方法を設定する必要があります。

方法 2: メンバーアカウントにサインインして、招待したメンバーアカウントを削除する

1.組織から削除するメンバーアカウントの管理者としてサインインします。

2.AWS Organizations コンソールを表示します。

3.[Leave organization] (組織を離れる) を選択します。

4.そのアカウントに支払い方法がない場合は、支払い方法を設定する必要があります。

OU にメンバーアカウントを追加するには、以下のステップを実行します。

1.AWS Organizations コンソールで、[Organize accounts] (アカウントの整理) タブを選択します。

2.AWS アカウントを選択してから、[Move account] (アカウントの移動) を選択します。

3.ダイアログボックスで、AWS アカウントの追加先になる OU を選択します。

別の方法として、AWS CLI や AWS API を使用して OU に AWS アカウントを追加できます。

いいえ。1 つの OU が同時に複数の OU のメンバーになることはできません。

OU をネストできる階層の数は最大で 5 つです。ルートに加え、最下層の OU で作成された AWS アカウントも 1 つの階層と見なされます。

ポリシーは、組織のルートにアタッチして組織内の全アカウントに適用することも、個別の組織単位 (OU) にアタッチして (ネストされた OU も含め) OU 内の全アカウントに適用することもできます。また、個別のアカウントにアタッチすることもできます。

ポリシーは、以下の 2 つの方法のいずれかでアタッチできます。

• AWS Organizations コンソールで、ポリシーを割り当てる対象 (ルート、OU、アカウント) に移動してから、[ポリシーをアタッチ] を選択します。
• Organizations コンソールで [ポリシー] タブを選択し、次のいずれかを実行します。
  既存のポリシーを選択して、[アクション] ドロップダウンリストの一覧から [ポリシーをアタッチ] を選択し、ポリシーをアタッチするルート、OU、アカウントを選択します。
• [ポリシーを作成] を選択してから、ポリシー作成ワークフローの一環として、新しいポリシーをアタッチするルート、OU、アカウントを選択します。

詳細については、「ポリシーの管理」をご覧ください。

現在、AWS Organizations は次のポリシーをサポートしています。

• サービスコントロールポリシー (SCP) は、組織内の IAM ユーザーと IAM ロールについての使用可能な最大の許可に対する一元的なコントロールを提供します。 
• リソースコントロールポリシー (RCP) は、組織内のリソースについての使用可能な最大の許可に対する一元的なコントロールを提供します。
• 宣言型ポリシーは、クリックまたはコマンドを数回実行するだけで、組織内の特定の AWS サービスのベースライン設定などの永続的な意図を適用するのに役立つ管理ポリシーです。これらのポリシーを適用すると、違反行為を防止できます。宣言型ポリシーで定義された設定は、AWS が新しい API や機能を導入したとき、またはリソース、プリンシパル、アカウントの追加など組織に変更があった場合にも維持されます。
• バックアップポリシーを使用すると、一元的に、組織のアカウント全体の AWS リソースのバックアッププランを管理したり、これらのリソースに適用したりできます。
• タグポリシーを使用すると、組織のアカウント内の AWS リソースにアタッチされたタグを標準化できます。
• チャットボットポリシーを使用すると、Slack や Microsoft Teams などのチャットアプリケーションから組織のアカウントに対するアクセスを制御できます。
• AI サービスオプトアウトポリシーを使用すると、組織内のすべてのアカウントについて、AWS の AI サービスのためのデータ収集を制御できます。

SCP は IAM ポリシーと同じルールと文法に従います。SCP の構文については、「SCP の構文」をご覧ください。SCP の例については、こちらのドキュメントをご覧ください。

SCP が適用された AWS アカウントでのプリンシパル (アカウントルート、IAM ユーザー、IAM ロール) に付与される有効なアクセス許可は、SCP でのアクセス許可と IAM アクセス許可ポリシーでプリンシパルに付与されたアクセス許可の共通部分になります。例えば、ある IAM ユーザーに "Allow": "ec2:* " および "Allow": "sqs:* " が指定されており、そのアカウントにアタッチされた SCP では "Allow": "ec2:* " および "Allow": "s3:* " が指定されている場合、その IAM ユーザーに対する最終的なアクセス許可は "Allow": "ec2:* " となります。このプリンシパルは Amazon SQS (SCP で許可されていない) や S3 アクション (IAM ポリシーでアクセス許可が付与されていない) を実行できません。

はい。IAM Policy Simulator では SCP の影響も確認できます。Policy Simulator を組織内のメンバーアカウントで使用すると、そのアカウント内の個別のプリンシパルに対する影響を確認できます。AWS Organizations の適切なアクセス許可を持つメンバーアカウント内の管理者は、SCP がメンバーアカウント内のプリンシパル (アカウントルート、IAM ユーザー、IAM ロール) に対するアクセスに影響しているかどうかを確認できます。
詳細については、「サービスコントロールポリシー」をご覧ください。

はい。適用するポリシーは自分で決定できます。例えば、組織を作成して、一括請求 (コンソリデーティッドビリング) 機能のみを活用できます。これにより、組織内のすべてのアカウントに対して 1 つの支払人アカウントを持つことができ、デフォルトの階層化された料金を自動的に活用できます。

宣言型ポリシーは、クリックまたはコマンドを数回実行するだけで、組織内の特定の AWS サービスのベースライン設定などの永続的な意図を適用するのに役立つ管理ポリシーです。これらのポリシーを適用すると、違反行為を防止できます。宣言型ポリシーで定義された設定は、AWS が新しい API や機能を導入したとき、またはリソース、プリンシパル、アカウントの追加など組織に変更があった場合にも維持されます。

サービスコントロールポリシー (SCP) は、組織内の IAM ユーザーと IAM ロールについての使用可能な最大の許可に対する一元的なコントロールを提供します。宣言型ポリシーを使用すると、構成をより簡単に定義でき、カスタマイズ可能なエラーメッセージを使用してアクションが失敗した理由をエンドユーザーに通知できます。宣言型ポリシーでは、設定目的を守るために SCP を新しい API で更新する必要がなくなります。一度設定すると、宣言型ポリシーによって設定が維持されます。宣言型ポリシーでサポートされている管理用の既存の SCP がある場合は、それらを宣言型ポリシーに追加することで、必要な構成を適用するための保護層が強化されます。引き続き AWS Config 検出ルールを活用して環境の変化を継続的に監視できます。また、AWS Config のプロアクティブルールを活用して、CloudFormation により非準拠リソースの作成を防ぐことができます。

RCP の例については、ドキュメントページにアクセスしてください。RCP の一般的な例には次が含まれます:

• 混乱した代理の保護を強制適用する
• リソースへの HTTPS 接続のみを許可する
• 一貫性のある Amazon S3 バケットポリシーコントロール

AWS Organizations に追加料金は必要ありません。

組織内のアカウントによって使用されたすべてのサービス、データ、リソースに対する支払いに責任があるのは、管理アカウントの所有者です。

いいえ。現時点では、組織内で定義された構造は請求書に反映されません。個別の AWS アカウントでコスト配分タグを使用すると、AWS のコストを分類および追跡できます。また、この配分は組織の一括請求書で確認できます。

AWS のサービスは AWS Organizations と統合されたことで、組織内のアカウント間で集中管理および設定を行う機能をお客様に提供します。これにより、アカウント全体のサービスを 1 か所で管理でき、デプロイメントと設定を簡単に行うことができます。

AWS Organizations と統合された AWS サービスの一覧については、「AWS Services That You Can Use with AWS Organizations」をご覧ください。

AWS Organization と統合された AWS サービスの使用を開始するには、AWS マネジメントコンソールでそのサービスに移動して統合を有効にしてください。