AWS OrganizationsのSCPの継承について調べてみた～AWS100本ノック～ 28/100

Posted at 2025-03-02

はじめに

今回はAWS Organizationsの一機能であるSCPの継承についてご紹介します。
AWS Organizatoinsってなんだ？SCPってなんだ？と思った方は以前書いたこちらの記事をご確認ください。

SCPの継承とは

SCP(サービスコントロールポリシー)は、管理ルート・OU・メンバーアカウントそれぞれに1つ以上アタッチすることが出来ます。
その際、以下の公式説明の通り、上位にアタッチしたSCPが下位のOU・アカウントに継承されます。

管理ポリシーを組織ルートにアタッチすると、組織内のすべての OU およびアカウントがそのポリシーを継承します。
特定の OU に管理ポリシーをアタッチすると、その OU または子 OU の直下にあるアカウントがポリシーを継承します。
特定のアカウントに管理ポリシーをアタッチすると、そのアカウントにのみ影響します。

継承については上図の通りなのですが、結局どの操作が許可/拒否されているのかよくわからないですね...
これを理解するために、以下について説明します。

ポリシーには暗黙のDeny、明示的なDeny、明示的なAllowがある
SCPは許可を与えるものではない
SCPの継承は許可を通すフィルターである

ポリシーには暗黙的なDeny、明示的なDeny、明示的なAllowがある

ポリシーには、暗黙的なDeny、明示的なDeny、明示的なAllowの3つがあります。

例えば、以下のようなSCP：SCPAllowLambdaDenyEc2がアタッチされているとします。

SCPAllowLambdaDenyEc2

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ec2:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "lambda:*",
            "Resource": "*"
        }
    ]
}

この場合、

明示的なDeny：EC2の全てのActionをDeny
明示的なAllow：Lambdaの全てのActionをAllow
暗黙のDeny：それ以外を全てDeny
となります。

また、それぞれの優先順位としては
暗黙のDeny < 明示的なAllow < 明示的なDeny
になります。

つまり、このSCPの場合は
Lambdaの操作は全て許可するが、それ以外の操作は全て拒否となります。

複数のSCPがアタッチされた場合

複数のSCPがアタッチされている場合は、どうなるでしょうか？

SCPAllowLambdaDenyEc2

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ec2:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "lambda:*",
            "Resource": "*"
        }
    ]
}

FullAwsAccess

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        }
    ]
}