AWS organizations を利用して新しいAWS環境をゼロから作成する

AWSで新しい環境を作りたいけれど、「メールアドレスの新規作成やクレジットカードの登録が面倒だな……」と思ったことはありませんか？今回は、AWS Organizationsを活用して、完全新規のAWS環境をゼロから作成する手順を解説します。※新しいメールアドレスの用意や、カード情報の追加登録は一切不要です。

下記の流れで解説します。

1. Organizations の作成
2. アカウントの作成
3. プロファイル設定
4. ロールの作成
5. ロールの切り替え

Organizations の作成

まずはOrganizations を有効化します

aws organizations create-organization --feature-set ALL

プラスメールアドレスについて

AWS organization を利用して新しいAWS環境を作成するにはメールアドレスの登録が必要なのですが、プラスメールアドレスを使えば新しいメールアドレスを都度取得する必要はありません。

プラスメールアドレス

GmailやOutlook等は「ユーザー名+任意の文字列@メールドメイン」の形式で、事前設定なしにすぐプラスアドレスを利用できます。届いたメールはすべて元のアドレスの受信トレイに自動集約されます。

アカウントの作成

アカウントを作成します
このアカウントの作成が、新しいAWS環境を作ることに該当します。

ここでメールアドレスを指定する必要があるのですが、上記プラスメールアドレスを使用することで新しいメールアドレスを取得することなく、アカウントを作成できます。

下記例では、自分のメールアドレスが[e-mail]だったとするとプラスメールアドレスで[e-mail]を指定します。

aws organizations create-account ^
--email "[e-mail]" ^
--account-name "resources_env_01"

下記のような出力が得られます。

{
    "CreateAccountStatus": {
        "Id": "car-********************************",
        "AccountName": "resources_env_01",
        "State": "IN_PROGRESS",
        "RequestedTimestamp": "2026-07-18T15:00:49.361000+09:00"
    }
}

ここで得られたIdを使ってアカウントIDを取得します。

aws organizations describe-create-account-status ^
 --create-account-request-id ^
 "car-********************************"

下記のような出力が得られます。
AccountIdで出力されるのがアカウントIDです。

{
    "CreateAccountStatus": {
        "Id": "car-********************************",
        "AccountName": "resources_env_01",
        "State": "SUCCEEDED",
        "RequestedTimestamp": "2026-07-18T15:00:49.550000+09:00",
        "CompletedTimestamp": "2026-07-18T15:00:52.318000+09:00",
        "AccountId": "************"
    }
}

プロフィルの設定

CLIで切り替えられるように%USERPROFILE%/.aws/configにprofile設定を追加します。
YOUR_ACCOUNT_IDはアカウントIDを指定してください。

%USERPROFILE%/.aws/config

[default]
region = ap-northeast-1
output = json

[profile resources_env_01_admin]
role_arn = arn:aws:iam::YOUR_ACCOUNT_ID:role/OrganizationAccountAccessRole
source_profile = default

プロファイル（ロール）の切り替え

プロファイルを切り替えるにはAWS_DEFAULT_PROFILE環境変数にプロファイル名を指定します。

set AWS_DEFAULT_PROFILE=resources_env_01_admin

メインロールの作成

OrganizationAccountAccessRoleは非常に強力な権限なので、メインで利用するロールは別で作成します。

信頼関係ポリシーファイルtrust-policy.jsonを作成します。
YOUR_ACCOUNT_IDは親組織のアカウントIDを指定してください。
このロールはIAMユーザとlambdaへ許可するので、Principalは以下のように指定します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:root",
        "Service": "lambda.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

信頼関係ポリシーファイルtrust-policy.jsonを指定してIAMロールを作成します。

aws iam create-role ^
  --role-name ResourcesEnvMainRole ^
  --assume-role-policy-document file://trust-policy.json

読み取り専用ポリシーを設定します。

aws iam attach-role-policy ^
  --role-name ResourcesEnvMainRole ^
  --policy-arn arn:aws:iam::aws:policy/ReadOnlyAccess

プロフィルの設定

CLIで切り替えられるように%USERPROFILE%/.aws/configにprofile設定を追加します。
YOUR_ACCOUNT_IDはアカウントIDを指定してください。

%USERPROFILE%/.aws/config

[default]
region = ap-northeast-1
output = json

[profile resources_env_01_admin]
role_arn = arn:aws:iam::YOUR_ACCOUNT_ID:role/OrganizationAccountAccessRole
source_profile = default

[profile resources_env_01]
role_arn = arn:aws:iam::YOUR_ACCOUNT_ID:role/ResourcesEnvMainRole
source_profile = default

プロファイル（ロール）の切り替え

プロファイルを切り替えるにはAWS_DEFAULT_PROFILE環境変数にプロファイル名を指定します。

set AWS_DEFAULT_PROFILE=resources_env_01

Webコンソールから切り替えもできます。
👇右上のアカウントのところにあるロールの切り替えをクリックして
アカウントID``IAMロール名を入力すれば認証無しで切り替えできます。