AWS Organizations でアカウントを新規作成し、IAM Identity Center でログイン設定を行うと、一度もルートユーザーが登場することなく設定や運用が完結します。
パスワード、MFA など、メンバーアカウントのルートユーザーに関する設定を何も行っていません。
ルートユーザーはどこにいったのでしょうか。
結論から言うと、AWS Organizations ではメンバーアカウントのルート権限の一部を 一元管理機能を通じて代理実行 できるため、個別にルート認証情報を設定する必要がなくなります。
そのためルートユーザーの設定を行わずに済むのです。
1. ルートユーザーの役割を代替
ルートユーザーの役割
まず前提として、ルートユーザーは何のために存在するのでしょうか。
ルートユーザーは、そのアカウントにおける最上位の認証主体です。
- 最初の IAM ユーザーの作成
- Billing 関連の設定
- アカウントの閉鎖
- 特定のセキュリティ設定変更
など、非常に強力な権限を持っています。
一方で、日常的な運用で利用するものではありません。
多くの環境では、ルートユーザーでのログインを検知するアラートを設定しているほどです。
ルートを使わない設計へ
AWS Organizations を活用すると、IAM の「ルートアクセス管理」機能を通じて、管理アカウントからメンバーアカウントの特権的なアクションを代理実行できます。
つまり、
- メンバーアカウントごとにルートユーザーでログインする
- その認証情報を管理・保管する
といった運用を取らなくても済む設計になっています。
メンバーアカウントのルートユーザーが行う操作は、基本的に管理アカウント (または委任されたアカウント) から実行する運用へと移行します。
その結果、メンバーアカウント側でルートユーザーのパスワードや MFA を設定する必要がなくなるのです。
ルートユーザーは消えていない
ここで重要なのは、ルートユーザーがなくなったわけではない、という点です。
IAM > ルートアクセス管理 > 特権的なアクションの実行
からパスワード回復を許可すると、メンバーアカウントのメールアドレスを使用してルートユーザーのパスワードを回復し、ログインすることが可能です。
つまり、ルートユーザーは存在しています。ただし「普段使わない前提」の設計になっているのです。
また、すべてのルート操作が代理実行できるわけではありません。
一部のタスクはアカウントのルートユーザーとしてサインインした場合にのみ実行できます。
完全に不要になるわけではない、という点は理解しておく必要があります。
2. AWS Organizations で既存アカウントを統合した場合
既存の AWS アカウントを Organizations に統合した場合は事情が少し異なります。
この場合、ルートユーザーの認証情報はそのまま引き継がれます。
ここが実務上とても重要なポイントです。
新規作成アカウントのように「最初からルート未設定」状態ではないため、意図的に一元化を有効化する必要があります。
IAM のルートアクセス管理から「メンバーアカウントのルートアクセスを一元化」を有効化します。
有効化できる項目は次の 3 つです。
- ルート認証情報の管理
- 特権ルートアクションの実行
- メンバーアカウントへのルートアクセス委任
設定後は、IAM のルートアクセス管理画面から、メンバーアカウントにルート認証情報が存在しているかを確認できます。
さらに、特権的なアクションの実行を用いることで、管理アカウントからメンバーアカウントのルート認証情報を削除することも可能です。
実際に削除されていることも確認できます。
これにより、既存アカウントも ルート認証情報を持たせない設計 へ移行できます。
3. ルートアクセスを委任する設計
一元化されたルートアクセスは、管理アカウントだけでなく、指定したメンバーアカウントへ委任することも可能です。
- セキュリティ専用アカウントを用意し、そこへ委任する
- 運用統制アカウントにルート関連タスクを集約する
といった構成が考えられます。
IAM > アカウント設定 > メンバーアカウントのための一元化されたルートアクセス
から委任設定が可能です。
まとめ
AWS Organizations を利用すると、メンバーアカウントごとにルート認証情報を管理する必要がなくなります。
これは単なる利便性向上ではなく、
- 人に依存しない設計
- 認証情報を増やさない統制モデル
- ルートを「使わない前提」にする設計思想
への転換と言えます。
アカウント数が増えても、ルート認証情報を増やさずに済むのは大きなメリットです。
一元管理を前提に、より安全で整理された運用へ寄せていきたいところですね。
今日も小さな学びを。
IAM Identity Center (& AWS Organizations) 関連記事