この記事について

JAWS-UG CLI専門支部 #83 Organizations入門で実施するハンズオン用の手順書です。

前提条件

必要な権限

Organizationsのフルコントロール権限
Identity and Access Managementのフルコントロール権限
Security Token Serviceのフルコントロール権限

必要なリソース

本日のハンズオンは、親アカウントの作成と削除も含めて実施します

メールアドレス × 2（親アカウントおよび子アカウント用）
クレジットカード情報
通話可能な電話番号（個人認証用）

0. 準備

0.1. リージョンを指定

AWS Organizatonsのリージョンは、バージニアリージョンのみで提供されています。

コマンド

export AWS_DEFAULT_REGION="us-east-1"

0.2. 資格情報を確認

コマンド

aws configure list

結果（例）

      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile                  aws-org           manual    --profile
access_key     ****************6TOQ shared-credentials-file
secret_key     ****************EtJQ shared-credentials-file
    region                us-east-1              env    AWS_DEFAULT_REGION

0.3. バージョン確認

コマンド

aws --version

結果

aws-cli/1.11.80 Python/2.7.12 Linux/4.9.20-10.30.amzn1.x86_64 botocore/1.5.43

0.4. バージョンアップ（必要に応じて）

コマンド

sudo pip install -U awscli

1. Accountの作成

1.1. Accountの作成

メールアドレスおよびアカウント名の指定

コマンド

EMAIL="***@***.jp"
ACCOUNT_NAME="test-account"

アカウントの作成

コマンド

aws organizations create-account \
    --email ${EMAIL} \
    --account-name ${ACCOUNT_NAME} \
    --iam-user-access-to-billing ALLOW

結果

{
    "CreateAccountStatus": {
        "RequestedTimestamp": 1493025376.947,
        "State": "IN_PROGRESS",
        "Id": "car-abcc5ac028ce11e799da500c04b7b2c5",
        "AccountName": "test-account"
    }
}

アカウント作成の進捗を確認

作成が完了すると、アカウントに設定したメールアドレスにアカウント作成が完了した旨のメールが送付されます。

コマンド

STATUS_ID=$(aws organizations list-create-account-status \
    --query "CreateAccountStatuses[?AccountName==\`${ACCOUNT_NAME}\`].Id" \
    --output text) \
    && echo ${STATUS_ID}

コマンド

aws organizations describe-create-account-status \
    --create-account-request-id ${STATUS_ID}

結果

{
    "CreateAccountStatus": {
        "AccountName": "test-account",
        "State": "SUCCEEDED",
        "RequestedTimestamp": 1493025377.308,
        "CompletedTimestamp": 1493025385.25,
        "Id": "car-abcc5ac028ce11e799da500c04b7b2c5",
        "AccountId": "642906553190"
    }
}

アカウントが作成されたことを確認

コマンド

aws organizations list-accounts

結果

{
    "Accounts": [
        {
            "Status": "ACTIVE",
            "Name": "Nobuhiro Nakayama",
            "JoinedMethod": "INVITED",
            "JoinedTimestamp": 1493008453.5,
            "Id": "************",
            "Arn": "arn:aws:organizations::************:account/o-0vapyd2tob/************"
        },
        {
            "Status": "ACTIVE",
            "JoinedMethod": "CREATED",
            "JoinedTimestamp": 1493025383.162,
            "Id": "XXXXXXXXXXXX",
            "Arn": "arn:aws:organizations::************:account/o-0vapyd2tob/XXXXXXXXXXXX"
        }
    ]
}

作成したアカウントの詳細を確認

コマンド

ACCOUNT_ID=$(aws organizations list-create-account-status \
    --query "CreateAccountStatuses[?AccountName==\`${ACCOUNT_NAME}\`].AccountId" \
    --output text) \
    && echo ${ACCOUNT_ID}

コマンド

aws organizations describe-account \
    --account-id ${ACCOUNT_ID}

結果

{
    "Account": {
        "Status": "ACTIVE",
        "Name": "test-account",
        "JoinedMethod": "CREATED",
        "JoinedTimestamp": 1493025383.162,
        "Id": "XXXXXXXXXXXX",
        "Arn": "arn:aws:organizations::************:account/o-0vapyd2tob/XXXXXXXXXXXX"
    }
}

2. AccountをOUに移動

先に作成したOUにアカウントを移動します。

2.1. AccountをOUに移動

Account移動前の親リソースを確認

Account作成直後はRoot配下になることが確認できます。

コマンド

aws organizations list-parents \
    --child-id ${ACCOUNT_ID}

結果

{
    "Parents": [
        {
            "Type": "ROOT",
            "Id": "r-e2uv"
        }
    ]
}

Accountの移動

コマンド

aws organizations move-account \
    --account-id ${ACCOUNT_ID} \
    --source-parent-id ${ROOT_ID} \
    --destination-parent-id ${OU_ID}

結果

（返値無し）

Account移動後の親リソースを確認

コマンド

aws organizations list-parents \
    --child-id ${ACCOUNT_ID}

結果

{
    "Parents": [
        {
            "Type": "ORGANIZATIONAL_UNIT",
            "Id": "ou-e2uv-0w028u9k"
        }
    ]
}

3. 動作確認

3.1. Assume Roleによる認証情報の取得

認証情報の取得

デフォルトでは"OrganizationAccountAccessRole"というRoleが作成されているため、このRoleにAssume Roleします。

コマンド

aws sts assume-role \
    --role-arn "arn:aws:iam::${ACCOUNT_ID}:role/OrganizationAccountAccessRole" \
    --role-session-name "test-session"

結果

{
    "AssumedRoleUser": {
        "AssumedRoleId": "A********************:test-session",
        "Arn": "arn:aws:sts::************:assumed-role/OrganizationAccountAccessRole/test-session"
    },
    "Credentials": {
        "SecretAccessKey": "****************************************",
        "SessionToken": "****************************************************************************************************************************************************************************************************************************************************************************************************************************************************",
        "Expiration": "2017-03-04T16:37:55Z",
        "AccessKeyId": "********************"
    }
}

認証情報を環境変数に格納

コマンド

export AWS_ACCESS_KEY_ID=XXXX
export AWS_SECRET_ACCESS_KEY=XXXXXXXX
export AWS_SESSION_TOKEN=XXXXXXXXXXXXXXXX

コマンド

aws configure list

結果

      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile                  aws-org           manual    --profile
access_key     ****************F5VQ              env
secret_key     ****************AYXL              env
    region                us-east-1              env    AWS_DEFAULT_REGION

3.2. 動作確認

許可したアクションを実行できることを確認

EC2のAPIを呼び出します。

コマンド

aws ec2 describe-instances

結果

{
    "Reservations": []
}

許可していないアクションが実行できないことを確認

RDSのAPIを呼び出します。

コマンド

aws rds describe-db-instances

結果

An error occurred (AccessDenied) when calling the DescribeDBInstances operation: User: arn:aws:sts::642906553190:assumed-role/OrganizationAccountAccessRole/test-session is not authorized to perform: rds:DescribeDBInstances

作成したアカウントのロールを確認

コマンド

aws iam list-roles

結果

{
    "Roles": [
        {
            "AssumeRolePolicyDocument": {
                "Version": "2012-10-17",
                "Statement": [
                    {
                        "Action": "sts:AssumeRole",
                        "Effect": "Allow",
                        "Principal": {
                            "AWS": "arn:aws:iam::************:root"
                        }
                    }
                ]
            },
            "RoleId": "AROAIR4DS2TGGFYOWAILG",
            "CreateDate": "2017-04-24T09:16:21Z",
            "RoleName": "OrganizationAccountAccessRole",
            "Path": "/",
            "Arn": "arn:aws:iam::XXXXXXXXXXXX:role/OrganizationAccountAccessRole"
        }
    ]
}

既存のIAMロールにアタッチされているポリシーを確認

コマンド

aws iam list-role-policies --role-name OrganizationAccountAccessRole

結果

{
    "PolicyNames": [
        "AdministratorAccess"
    ]
}

以上