AWS Organizations
複数アカウント管理
複数の AWS アカウントを 1 つの組織にまとめます: 一括請求、グループ分け（OU）、権限を制限するポリシー（SCP）の適用。
- コスト$ 安い
- 難易度●●●●●
- 未使用でも課金？いいえ
- AWS マネージド
- 出題試験CLF · SAA · SOA
たとえるなら親会社が子会社を管理し、共通のルールを定めるようなものです。
Organizations はシステムのどこにある？
OrganizationsOrganizations が呼び出す
具体例でステップごとに
- 開発、テスト、本番、部門ごとにアカウントが分かれていて、請求書があちこちに散らばっています。
- AWS Organizations で組織を作り、各アカウントを招待して Production、Development、Sandbox の OU に分けます。
- Sandbox OU に付けた SCP で、シンガポール以外のリージョンをすべてブロックし、高価なインスタンスタイプを禁止します。
- Sandbox アカウント内の管理者であっても、この SCP を超えることはできません。
- 月末には管理アカウントにまとめた 1 枚の請求書が届き、利用量が合算されて割安になります。
いつ使う？
✓ 使うべき場面
2 つ以上のアカウントがある場合（dev/prod の分離、チーム別）。
よくある使い方
- dev / staging / prod アカウントの分離
- 一括請求、Savings Plans/RI の割引共有
- SCP で使わない Region やサービスをブロック
Organizations・IAM・IAM Identity Center の違い
| Organizations |  IAM |  IAM Identity Center | |
|---|---|---|---|
| 範囲 | 多数のアカウント | 1 つのアカウント | 多数のアカウントへのサインイン |
| 権限の制御 | SCP：最大権限の上限（権限は付与しない） | ポリシー：具体的な権限を付与 | 権限セット：一時的なアクセス |
| 請求 | まとめて 1 つの請求 | なし | なし |
| 料金 | 無料 | 無料 | 無料 |
料金はいくら？
- 課金方式: 無料です。
- 無料枠: 無料です。
落とし穴はありません。逆に、請求をまとめることで段階的料金の恩恵を受けて節約にもなります。
管理者を含め、アカウントのグループに対してリージョンやサービスをブロックするなら SCP です。SCP は権限を付与せず、制限するだけです。統制されたマルチアカウント環境の構築なら Control Tower、GuardDuty/CloudTrail/Config を組織全体で一か所から有効にすることもできます。
本番の試験問題に挑戦
1A company uses AWS Organizations to create dedicated AWS accounts for each business unit to manage each business unit's account independently upon request. The root email recipient missed a notification that was sent to the root user email address of one account. The company wants to ensure that all future notifications are not missed. Future notifications must be limited to account administrators. Which solution will meet these requirements?
- AConfigure the company's email server to forward notification email messages that are sent to the AWS account root user email address to all users in the organization.
- BConfigure all AWS account root user email addresses as distribution lists that go to a few administrators who can respond to alerts. Configure AWS account alternate contacts in the AWS Organizations console or programmatically.
- CConfigure all AWS account root user email messages to be sent to one administrator who is responsible for monitoring alerts and forwarding those alerts to the appropriate groups.
- DConfigure all existing AWS accounts and all newly created accounts to use the same root user email address. Configure AWS account alternate contacts in the AWS Organizations console or programmatically.
答えを見る
正解: B
各アカウントのルートメールを数人の管理者に届く配信リストにし、AWS Organizations で代替連絡先を設定します。すべてのアカウントで同じルートメールを使うことはできません。
2A company's cloud operations team wants to standardize resource remediation. The company wants to provide a standard set of governance evaluations and remediations to all member accounts in its organization in AWS Organizations. Which self-managed AWS service can the company use to meet these requirements with the LEAST amount of operational effort?
- AAWS Security Hub compliance standards
- BAWS Config conformance packs
- CAWS CloudTrail
- DAWS Trusted Advisor
答えを見る
正解: B
AWS Config の適合パックはルールと修復をひとまとめにし、組織内のすべてのアカウントに一度で展開できます。Trusted Advisor や CloudTrail は設定を修復しません。
よくある質問
一括請求とは何ですか？
管理アカウントがすべてのメンバーアカウントの請求をまとめて 1 つで受け取る仕組みです。利用量が合算されてボリュームディスカウントが適用され、リザーブドインスタンスや Savings Plans をアカウント間で共有できます。
AWS Organizations に料金はかかりますか？
料金はかかりません。メンバーアカウントが使うリソースの料金のみがかかります。
AWS 認定試験では Organizations について何が問われますか？
許可されていないリージョンやサービスを SCP でブロックすること、OU によるアカウントのグループ化、一括請求、統制されたマルチアカウント環境を構築する Control Tower、CloudTrail や GuardDuty などを組織全体で有効にすることなどです。