はじめに
AWS Organizations でアカウントを増やすと、アカウントの数だけ「ルートユーザー」が増えます。
IAM ユーザーガイドには、このルートユーザーを守るためのベストプラクティスがまとまったページがあります。
この記事では、このページの内容のうち マルチアカウントで何をすればよいか を 図とアニメーションを中心として整理し、それぞれの設定方法がドキュメントのどこに書かれているか をまとめておきます。
ここ 2 年ほどで MFA の必須化やメンバーアカウントのルート認証情報の削除 など変更が続いており、2026 年 10 月時点 での情報を纏めたいと思います。
まず押さえたい変化：MFA は全アカウントで必須に
ベストプラクティスのページの Organizations の節だけを読むと、MFA が必須なのは管理アカウントだけに見えます。
ですが 2025 年 6 月からは、メンバーアカウントを含むすべてのアカウントで MFA が必須 です（初回サインインから 35 日以内に登録）。
メンバーアカウントのルートを残しておくと、そのすべてで MFA の管理が必要になります。
これが、後で紹介する「メンバーのルートは削除する」がおすすめされる理由のひとつです。
管理アカウントのルートを守る
管理アカウントのルートは削除できないので、しっかり守ったうえで、なるべく使わない ようにします。日常の作業は IAM Identity Center のユーザーで行います。
| やること | ポイント | ドキュメント |
|---|---|---|
| MFA を登録 | フィッシングに強い パスキー / セキュリティキー が推奨。複数台の登録がおすすめ | Multi-factor authentication for AWS account root user |
| アクセスキーを作らない | CLI が必要なときは aws login で一時認証情報を使う |
Login for AWS local development using console credentials |
| 1 人に任せない | パスワードと MFA、復旧用のメールと電話番号を別の人が持つ | Root user best practices for your AWS account |
パスワードだけでは MFA がないので入れず、MFA の復旧にはメールと電話番号の両方が必要 な状態にしておくのがポイントです。
ルートのメールアドレスは、担当者の不在で連絡を取りこぼさないよう 会社管理のグループメール にします。
メンバーアカウントのルートを守る
メンバーアカウントのルートは、次の 2 つの方針から選びます。
認証情報を削除する（ルートアクセスの一元管理）
ルートアクセスの一元管理 を有効にすると、管理アカウント（または IAM の委任管理者）から、メンバーのルートのパスワード・アクセスキー・MFA などをアカウントごとに削除 できます。
削除したメンバーはルートでサインインできなくなり、有効化後に新しく作るアカウントは最初からルート認証情報がありません。
ルートが必要だった作業の一部は、管理アカウントから一時的な特権セッションで行えます。
それ以外でどうしてもルートが必要なときは、「パスワード復旧を許可」してルートで作業し、終わったらまた削除 します。
| 設定したいこと | 場所 | ドキュメント |
|---|---|---|
| 一元管理を有効化 | IAM コンソール → Root access management → 2 つの機能（認証情報の管理 / 特権アクション）を選んで Enable | Centralize root access for member accounts |
| 削除・ポリシー解除・パスワード復旧 | 同画面でメンバーを選び Take privileged action | Perform a privileged task on an AWS Organizations member account |
認証情報を残すなら SCP で制限する
残す場合は、SCP でルートの操作を拒否 します。
Best practices for member accounts に例が書かれているので参考にしましょう。
組織全体で見張る
ルートが使われたら必ず気づける ようにしておきます。
| 見張りたいこと | 手段 | ドキュメント |
|---|---|---|
| ルートの利用を通知 | CloudTrail + EventBridge + Lambda + SNS（各アカウントのイベントを集約アカウントに集める構成） | Monitor IAM root user activity |
| 特権セッションの操作を追う | CloudTrail の AssumeRoot イベント |
Track privileged tasks in AWS CloudTrail |
| MFA の設定漏れを確認 | AWS Config、Security Hub CSPM | Security Hub CSPM controls for IAM |
まとめ
管理アカウントのルートは MFA で守り、メンバーのルートは一元管理で削除する のが、今のマルチアカウントでの基本形かと思う