AWS Organizationsでメンバーアカウントのルートメールアドレスを変更できるようなりました #MFA

概要

AWS Organizationsで、配下のメンバーアカウントのルートメールアドレスを一元管理できるようになった旨のリリースがありました。

▼寝起きにこのリリースを読んだときの私の反応

Organizationsの管理アカウント側で勝手にメンバーアカウントのルートメールアドレス変えられちゃっていいのか？本当にできちゃうのか気になって、2度寝出来なくなったので試してみてブログ書いてます。
Bedrockネタじゃなくてすまんの

管理アカウント側でルートメールアドレスを変更しても、パスワードやMFA構成は以前のまま
- 新メールアドレスでログインを施行して「パスワードのリセット」でパスワードは変更可能

一般のご家庭なら大抵ある個人アカウントOrganizationsで試してみました。

メールアドレス: xxxxxxx+v2@gmail.comを設定したメンバーアカウントを用意しました。

※この段階(信頼できるサービスアクセス「AWS Account Management」が無効)では、メンバーアカウント詳細画面を開いてもメールアドレスの変更はできません。

AWS Organizationsコンソールから「サービス」画面を開いて「AWS Account Management」をクリックします。

「AWS Account Management」画面に移動するので「信頼されたアクセスを有効にする」ボタンをクリックします。

確認ウィザードが表示されるので「有効化」と入力して「信頼されたアクセスを有効にする」ボタンをクリックします。

「AWS Account Management に対する信頼されたアクセスを正常に有効にしました。」と表示されたら有効化完了です。

メンバーアカウントの詳細画面に移動すると、先程はなかった「アクション」が表示されていることが確認できます。

「アクション」から「Eメールアドレスを更新」をクリックします。

「Eメール」セクションでメールアドレスを入力して「保存」をクリックします。
今回はエイリアスをv2からv3に変更してみました。

変更した新メールアドレス宛てに検証メールが届くので認証コードをコピーする。
※認証コードは24時間で切れます。

認証コードを入力して「確認」ボタンをクリックします。

画面に「ルートユーザーのEメールアドレスが正常に更新されました」と表示されれば、完了です。

簡単にできちゃったなあ。。

つまり、今回の機能追加によって管理アカウント側でメンバーアカウントのメールアドレスと、パスワードのリセットによるパスワード変更まで可能となったということになりますね。

MFA、兎に角MFAを設定しましょう。