✨ はじめに

AWS Organizations では、複数の AWS アカウントを統合管理できます。その中で、組織全体のアクセス制御を行うために SCP（Service Control Policy：サービスコントロールポリシー） という機能が提供されています。

本記事では、SCP の基本概念、用途、IAM ポリシーとの違い、具体的な活用例を解説します。

✨ 1. SCP とは？

SCP は AWS Organizations 内の アカウントや組織単位（OU）に対して適用されるポリシー であり、IAM ユーザー、IAM ロール、Root ユーザーを含めた AWS アカウント全体のアクセス制御を行う ための仕組みです。

✅ SCP の特徴

SCP 自体は権限を付与しない（制限のみを行う）
組織内の AWS アカウント全体に適用される
Root ユーザーの操作も制限可能
IAM ポリシーと組み合わせて細かくアクセス制御を設定可能

SCP を適切に活用することで、組織全体のセキュリティ管理を強化できます。

✨ 2. SCP の適用シナリオ

✅ 特定の AWS サービスのみを許可する

特定の AWS アカウントでは、利用できる AWS サービスを制限したい場合があります。例えば、「EC2 と S3 のみを許可し、それ以外は禁止する」場合、以下の SCP を適用できます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "NotAction": [
        "ec2:*",
        "s3:*"
      ],
      "Resource": "*"
    }
  ]
}

✅ 重要なリソースの削除を防ぐ

例えば、誤って S3 バケットを削除するのを防ぐため、以下の SCP を設定できます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "s3:DeleteBucket",
      "Resource": "*"
    }
  ]
}

✅ Root ユーザーのリスクを低減する

Root ユーザーによるアカウントの削除などのリスクを回避するために、SCP で制限をかけることが可能です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "aws-portal:CloseAccount",
      "Resource": "*"
    }
  ]
}

このように、SCP を活用することで、誤操作や不正アクセスのリスクを低減できます。

✨ 3. SCP の適用範囲と継承ルール

AWS Organizations の SCP は、階層構造で適用されます。

Root（組織全体）
  ├── OU A（Root の SCP を継承）
  │    ├── アカウント A1（OU A の SCP を継承）
  │    ├── アカウント A2（OU A の SCP を継承）
  │
  ├── OU B（Root の SCP を継承）
       ├── アカウント B1（OU B の SCP を継承）
       ├── アカウント B2（OU B の SCP を継承）

✅ Root に適用した SCP は、すべての OU・アカウントに影響を与えます。
✅ OU に SCP を適用すると、その配下のすべてのアカウントに継承されます。
✅ IAM ポリシーと組み合わせることで、柔軟なアクセス管理が可能です。

✨ 4. SCP と IAM ポリシーの違い

項目	SCP（サービスコントロールポリシー）	IAM ポリシー
適用範囲	AWS Organizations（組織全体）	AWS アカウント内
影響対象	アカウント全体（Root ユーザー含む）	IAM ユーザー、IAM ロール
権限の管理	制限のみ（権限付与は不可）	権限の付与・制限が可能
Root ユーザーへの影響	✅ 制限可能	❌ 影響なし
主な用途	組織単位でのアクセス制御	アカウント内部の詳細な権限管理

✅ SCP は AWS アカウント全体の最大権限を制御し、IAM は個々のリソースへのアクセスを制御するものです。

✨ 5. SCP の注意点

SCP は権限を付与せず、制限のみを行う。 IAM で許可されていない操作は SCP で制限されていなくても実行できない。
Root ユーザーにも適用される。 誤って Root ユーザーの操作をすべてブロックしないように注意。
SCP のデフォルト設定ではすべての操作が許可される。 何も設定しない場合、制限はかからない。
AWS Organizations 内でのみ利用可能。 個別の AWS アカウントでは SCP は利用不可。
適用範囲をよく確認する。 誤った SCP 設定が組織全体に影響を与える可能性があるため、事前テストを推奨。

✨ 6. まとめ

✅ SCP（サービスコントロールポリシー）は AWS Organizations で AWS アカウントのアクセス制限を行うためのポリシー です。
✅ SCP を使うと、IAM ポリシーだけでは制御できない Root ユーザーの権限制限も可能 です。
✅ 特定の AWS サービスの利用制限、重要なリソースの削除防止、Root ユーザーのリスク低減 などに役立ちます。
✅ SCP と IAM ポリシーを組み合わせることで、より厳密なアクセス制御が可能になります。

AWS Organizations を活用する際は、ぜひ SCP を適切に設定し、セキュリティを強化しましょう！💡