【AWS Organizations】組織とメンバアカウント作成してみた(マルチアカウント)

【AWS Organizations】個人でマルチアカウント作成してみた

開発をしているとあまり経験することがないOrganizationsを使用して複数組織を作成してみました。
本記事は参考URL一覧の手順を実際にやってみて自分なりのポイントなどを整理していきます。

最終的な構成図はこちらになります。
(dev-member-1は名称が良くないのでいつか再作成したいと思います)

• 1.組織とメンバアカウント作成
• 2.切り替え確認
• 3.まとめ

1.組織とメンバアカウント作成

こちらに関してはクラスメソッド様の手順をそのまま実行しています。

• AWS Organizationsの有効化

  • コンソール画面上部検索バーで「Organizations」で検索
    
  • AWS OrganizationsのTop画面にて「組織を作成する」を押下
    　※こちらはスクショを撮り忘れたため詳細は上記クラスメソッド様のサイトをご確認お願いします。

• メンバーアカウントの作成

  • 「AWSアカウントを追加」を押下
    

  • 作成したいアカウント名、メールアドレス、ロール名を記載して「AWSアカウントを作成」を押下
    

    • AWS アカウント名
      任意の値を記載(dev-member-1)
      ※用途にもよるが、ユーザーではなくアカウントなのでHoge-Accountなどの方が良い
    • アカウント所有者の E メールアドレス
      • [e-mail]
        メンバアカウント毎にメールアドレスを発行すると管理が煩雑になる為、Gmailのエイリアス機能を使用して1つのメールアドレスですべてのアカウントを作成します。詳細はこちらを参照してください

    こちらは任意ですが、Gmailのエイリアス機能が便利なので、簡単にご紹介します。
    通常、アカウント毎にメールアドレスを準備する必要があり、今回の手順を行うと最低4つ必要になり、管理も作成も面倒です。
    エイリアス機能を使うことで、異なるメールアドレスを、1つのメールアドレスに集約できます。
    使う方法は、メールアドレスの「@」の前に「+<任意文字列>」を付けるだけです。
    Gmail側での設定等も不要です。（受信ボックスを分けたい場合等は設定が必要）
    例えば、ルートユーザーのメールアドレスが、「[e-mail]」であれば、「[e-mail]」とします。
    「[e-mail]」宛のメールは、「[e-mail]」に届きます。

    • IAM ロール名
      これはスイッチロールする際に必要なロール名(追加アカウント内に作成される)なので基本デフォルトの「OrganizationAccountAccessRole」で良いです。
      ※作成後のロールには「AdministratorAccess」ポリシーが付与されます。
      

• OU（Organizational Unit）作成
  こちらに関しては注意する箇所はとくにありません。下記順序で作成していきます。

  • Rootのチェックボックスをチェック > アクション > 「新規作成」
    

  • 作成したい組織名を記載
    

  • メンバアカウントを対象組織配下へ移動
    ※下記画像は既に移動済みですが手順は同じです。
    
    ↓
    「AWS アカウントを移動」を押下
    

これで完了です。上記手順でSecurity OUも作成した最終的な状態はこちらになります。

2.切り替え確認

続いて作成したメンバアカウントへアクセスしていきます。(自分はマルチセッションサポートをオンにしています)

• コンソール画面右上 > 「セッションを追加」 > 「新しいロール」
  

• 必要な情報を記載 > 「ロールの切り替え」
  

  • アカウント ID
    • メンバアカウント時に発行されたIDを記載
  • IAM ロール名
    • メンバアカウント時に指定したロール名を記載。デフォルトの場合「OrganizationAccountAccessRole」
  • 表示名(オプション)
    • 指定しなくても良いですが、自分はアカウント名を指定しました。
  • 表示色(オプション)
    • 特に指定しなくても大丈夫です。

ロール切り替え後、コンソール画面右上が表示名(dev-member-1)になっていれば成功です。

3.まとめ

複数アカウント管理の方法は知識としては知っていましたが、実際作成すると知識だけではわからない部分もあったので良い勉強になりました。

また、このままでは各メンバアカウントのrootユーザーが存在してしまい、セキュリティリスクと管理の問題が発生します。時間があるときに別でrootユーザーの一元管理の記事を書こうと思います。

参考URL一覧

1. 【AWS Organizations】意外と簡単！個人で始めるAWSマルチアカウント入門
2. AWS Organizations を有効化しメンバーアカウントを新規作成するまでの全体の流れを把握してみる
3. 【Organizations】AWSアカウントを作成する