0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@yuta-katayama-23(yuta katayama)

AWS Organizations の（サービスの）委任管理者

0
Posted at

AWS Organizations の委任管理者シリーズの第2回です。AWS サービスの委任管理者で何ができるようになるのか、登録の前提と手順、確認方法、対応サービスを整理します。AWS Config を例に、メンバーアカウントを委任管理者に登録し、そのアカウントで組織アグリゲーターを作るまでを実機で確認した結果もまとめます。

この記事について

  • doc の確認は 2026-10-01 時点です。対応サービスの一覧は追加・変更されるので、使う前に AWS services that you can use with AWS Organizations で最新を確認してください。
  • 記事中の「dev」は、検証に使ったメンバーアカウントです。

シリーズの構成

  1. AWS Organizations の「委任」の全体像と、信頼されたアクセス（トラステッドアクセス）の仕組み
  2. AWS Organizations の（サービスの）委任管理者（この記事）
  3. 信頼されたアクセスと委任管理者の違い、AWS Organizations 自体の委任

何ができるようになるか

Many AWS services that integrate with Organizations enable you to reduce the usage of the management account. These services enable you to register one or more member accounts as administrators that can manage all of the organization's accounts used in the service. These accounts are called delegated administrators for that specific service. By registering a member account as a delegated administrator for an AWS service you enable that account to have some administrative permissions for that service, as well as permissions for Organizations read-only actions.
参考訳：Organizations と統合する多くの AWS サービスでは、管理アカウントの利用を減らせます。これらのサービスでは、1つ以上のメンバーアカウントを、そのサービスで使われる組織の全アカウントを管理できる管理者として登録できます。このアカウントを、そのサービスの「委任管理者」と呼びます。メンバーアカウントをあるサービスの委任管理者に登録すると、そのアカウントはそのサービスについての一部の管理権限と、Organizations の読み取り専用の操作の権限を持ちます。
出典：Delegated administrator for AWS services that work with Organizations

ポイントは次の3つです。

  1. 委任管理者は「アカウントの種類」ではなく、サービスごとの役割
    • CloudTrail の委任管理者に登録したアカウントも、ほかのサービスから見ればただのメンバーアカウント
  2. 委任設定でそのアカウントができるようになるのは以下の2つで、他のサービスでできることは変わらない
    • そのサービスで、組織全体を対象にした操作（本来は管理アカウントで行う操作の一部）
    • Organizations の読み取り専用の操作（組織の構成やアカウント一覧を見る）
  3. 委任設定で変わるのは「アカウントとして何ができるか」で、実際に操作できるかは、そのアカウントで操作する人（IAM ユーザーやロール）の IAM 権限による。サービスを操作するための IAM 権限は別に付ける必要がある
    • Config の例でいえば、dev で組織アグリゲーターを作る人には、Config でアグリゲーターを作る権限と、ListDelegatedAdministrators を呼ぶ権限が必要（詳細は【例】 Config で委任管理者を設定する場合は CLI のみを参照）
      • ※アグリゲーターの作成時に指定する IAM ロールは、これとは別のもの（人ではなく Config が引き受けるロールで、Config が組織のアカウント一覧などを読むために使う）

It grants read-only access to AWS Organizations service data. The account still requires IAM permissions to access and administer the AWS service.
参考訳：AWS Organizations のサービスデータへの読み取り専用アクセスを付与します。そのアカウントが AWS サービスにアクセスして管理するには、引き続き IAM 権限が必要です。
出典：register_delegated_administrator（AWS SDK for Ruby）

委任管理者で参照可能になるデータは、委任されたサービスの範囲だけ

委任管理者はサービスごとの役割であり、組織全体のデータが見えるようになる範囲は、委任登録されたサービスの中だけです。

コスト変動の要因分析で使うデータで見ると、次のようになります。

データ 取得元のサービス 委任管理者
コスト（いくらかかったか・異常が出たか） Cost Explorer・Cost Anomaly Detection（AWS Billing and Cost Management） 非対応。委任管理者からコストを見る方法はない
ログ（誰が何をしたか） CloudTrail 対応
リソースの現況（メトリクス・構成） CloudWatch・AWS Config 対応

※ Cost Optimization Hub は委任管理者に対応しています。

登録の前提と手順

前提は2つです（Delegated administrator for AWS services that work with Organizations）。

  1. そのサービスが委任管理者に対応している
  2. そのサービスの信頼されたアクセス（トラステッドアクセス）を有効にしている（仕組みと有効化の方法は第1回を参照）

登録は管理アカウントからしかできません。API は RegisterDelegatedAdministrator で、登録するアカウント ID と、サービスプリンシパルを指定します。

aws organizations register-delegated-administrator \
    --account-id <member-account-id> \
    --service-principal <service-principal>

ただし、登録方法はサービスによって違い、サービス側のコンソールから登録 or Organizations の CLI で登録 or 複数のサービスプリンシパルを登録 などがあります。手順は一覧の「Supports delegated administrator」列の Learn more から、サービスごとに確認します。

  • CloudTrail：CloudTrail コンソールの「設定」か、aws cloudtrail register-organization-delegated-admin で登録する。Organizations の CLI で登録すると、CloudTrail のサービスにリンクされたロールが作られない（サービスにリンクされたロールは第1回の「トラステッドサービスとサービスにリンクされたロール」を参照）。
  • IAM のルートアクセス管理：IAM コンソールの有効化画面で委任管理者のアカウント ID を入れる
  • AWS Config：コンソールでは登録できず、CLI で登録する。組織アグリゲーター用は config.amazonaws.com、組織の Config ルールとコンフォーマンスパック用は config-multiaccountsetup.amazonaws.com で登録する（「【例】 Config で委任管理者を設定する場合は CLI のみ」）

【例】 Config で委任管理者を設定する場合は CLI のみ

Config の委任管理者は、コンソールからは登録できず、管理アカウントから AWS CLI で登録します（Registering a Delegated Administrator for AWS Config）。登録したあと、委任管理者のアカウントで組織アグリゲーターを作る操作はコンソールでできます。

dev を Config の委任管理者に登録し、dev で組織アグリゲーターを作成しました。config.amazonaws.com の信頼されたアクセスは有効の状態です。

実際に行った手順：

  1. 管理アカウントで、config.amazonaws.com だけを指定して dev を登録（成功しても出力なし） 
    aws organizations register-delegated-administrator \
    --service-principal config.amazonaws.com \
    --account-id <dev のアカウント ID>
  2. list-delegated-administrators --service-principal config.amazonaws.com で dev が Status: ACTIVE で出ること、list-delegated-services-for-account --account-id <dev のアカウント ID> で config.amazonaws.com が出ることを確認
  3. Organizations の「設定」画面の「AWS のサービスの委任された管理者」の枠には、登録後も何も表示されない
  4. dev-org-aggregator（ソースタイプ「組織」、ap-northeast-1）を作成できた

わかったこと：

  • 委任管理者で組織アグリゲーターを作るのに必要なのは、config.amazonaws.com での登録だけ
    • config-multiaccountsetup.amazonaws.com は、組織全体に Config ルールとコンフォーマンスパックを展開・管理するためのもの（Registering a Delegated Administrator for AWS Config）
    • Creating Aggregators for AWS Config の CLI 手順の注記は両方での登録を求めているが、同じページのコンソール手順の注記と、コンソールの「組織を追加する」の説明文は config.amazonaws.com だけを挙げている
  • 「アグリゲータ」のメニューは、委任管理者かどうかに関係なく表示
    • アグリゲーターは「個々のアカウント ID を追加する」でも作れる
    • 委任管理者かどうかで変わるのは、「組織を追加する」で作成できるかどうか
  • 委任管理者がアグリゲーターを作っても、信頼されたアクセスは有効にならないため、先に管理アカウント側で有効にする必要がある（コンソールの「組織を追加する」の説明文に以下の記載がある）

    管理アカウントがこのアグリゲーターを作成していない場合は、このオプションを選択しても、AWS Config と AWS Organizations の間の統合が自動的に有効になることはありません。

    • 管理アカウント側で有効にする経路（Organizations 側・サービス側）は、第1回の「Organizations 側とサービス側での有効化の違い（実機確認）」を参照

※ちなみに、委任管理者の設定前に Config コンソールで「アグリゲータを作成」→「組織を追加する」で作成すると、次のエラーになりました。

This action can only be performed if you are a registered delegated administrator for AWS Config with permissions to call ListDelegatedAdministrators API.

dev で作ったアグリゲーターの見え方：

  • アグリゲーターは、作ったアカウントとリージョン（dev の ap-northeast-1）のリソース
    • 管理アカウントの Config コンソールに出るのは管理アカウント自身の org-aggregator だけで、dev のアグリゲーターは出ない
  • アグリゲーターは読み取り専用で、アグリゲーターを通してソースアカウントにルールを展開するといった操作はできない
  • dev の dev-org-aggregator にも、管理アカウントの org-aggregator にも、dev と管理アカウントの両方のリソースが確認できた
    • リソース総数・管理アカウントのリソース数・非準拠ルールの数も同じで、委任管理者で作っても管理アカウントで作っても見える範囲は同じ
  • アグリゲーターで見られるのは、リソースの現在の構成のみ
  • API でも、アグリゲーターから変更の履歴は取れない（2026-10-02 に dev で確認）
    • dev で get-aggregate-resource-config を使い、dev-org-aggregator 経由で管理アカウントのセキュリティグループを取得すると、現在の構成項目が1件だけ返った
    • GetResourceConfigHistory で取れるのは呼び出したアカウント自身のリソースの履歴だけで、委任管理者からほかのアカウントの履歴は参照不可

未確認事項
Config の doc（Multi-Account Multi-Region Data Aggregation for AWS Config）がアグリゲーターの用途に挙げている「Change Tracking」が、何を指しているのかは確認できていません。

登録できるアカウント数はサービスごとに違う

サービス 委任管理者の上限 出典
AWS Account Management 組織で1アカウント AWS Account Management and AWS Organizations
Cost Optimization Hub 組織で1アカウント Getting started with Cost Optimization Hub
CloudTrail 3アカウント Organization delegated administrator
AWS Config 3アカウント Set up an organization-wide aggregator in AWS Config using a delegated administrator account（AWS Cloud Operations Blog）

登録状況の確認

# 組織内で委任管理者になっているアカウントの一覧
aws organizations list-delegated-administrators
# あるアカウントが、どのサービスの委任管理者になっているか
aws organizations list-delegated-services-for-account --account-id <account-id>
# あるサービスの委任管理者は誰か
aws organizations list-delegated-administrators --service-principal <service-principal>

※委任管理者になっているアカウントを組織から外すときは、先に委任管理者の登録を解除する必要があります（AWS Organizations, moving an organization member account to another organization: Part 2（AWS Cloud Operations Blog））。

※ Organizations のコンソールの「AWS のサービスの委任された管理者」の枠には一覧が出ないので、確認は上の CLI で行います（一部のサービスは、そのサービスのコンソールでも委任管理者を確認可能）。

委任管理者にも SCP は効く

委任管理者に登録されたアカウントもメンバーアカウントなので、SCP の制限を受けます。管理アカウントと違い、SCP でガバナンスを効かせられます。

委任管理者に対応しているサービス

AWS services that you can use with AWS Organizations の「Supports delegated administrator」列（2026-10-01 時点）を、分類ごとにまとめたものです。

分類 委任管理者に対応（Yes）
コスト・最適化 Cost Optimization Hub, Compute Optimizer, Trusted Advisor, AWS Marketplace Private Marketplace, AWS Marketplace procurement insights dashboard
ログ・監視・構成 CloudTrail, CloudWatch, AWS Config, AWS Health, Amazon Security Lake, AWS Resource Explorer, AWS User Notifications, Amazon DevOps Guru, Amazon S3 Storage Lens
セキュリティ Amazon GuardDuty, AWS Security Hub CSPM, Amazon Inspector, Amazon Macie, Amazon Detective, IAM Access Analyzer, AWS Firewall Manager, AWS Audit Manager, AWS Security Incident Response
アカウント・ID 管理 AWS Account Management, IAM, AWS IAM Identity Center, Tag policies
運用・デプロイ AWS Systems Manager, AWS Backup, AWS CloudFormation StackSets, AWS Service Catalog, AWS Resilience Hub, AWS License Manager, AWS Managed Services (AMS) Self-Service Reporting
ネットワーク AWS Network Manager, Amazon VPC IP Address Manager (IPAM), Amazon VPC Reachability Analyzer
コンピュート・その他 EC2 Capacity Manager, Amazon EKS（ダッシュボード）, AWS Transform MGN, AWS Agent Registry
委任管理者に非対応（No） 備考
AWS Billing and Cost Management 信頼されたアクセスのみ（split cost allocation data 用）
Amazon Q Developer 信頼されたアクセスのみ（有料サブスクリプションに必要）
Service Quotas 信頼されたアクセスのみ
AWS Control Tower 信頼されたアクセスのみ
AWS Resource Access Manager (RAM) 信頼されたアクセスのみ
AWS Artifact 信頼されたアクセスのみ
AWS Directory Service 信頼されたアクセスのみ
AWS Marketplace 信頼されたアクセスのみ
AWS Well-Architected Tool 信頼されたアクセスのみ
Amazon EC2（宣言型ポリシーのレポート） 信頼されたアクセスのみ
Amazon EventBridge 信頼されたアクセスにも非対応

参考情報

公式ドキュメント（AWS Organizations ユーザーガイド）

公式ドキュメント（そのほか）

AWS ブログ

前の記事：AWS Organizations の「委任」の全体像と、信頼されたアクセス（トラステッドアクセス）の仕組み
次の記事：信頼されたアクセスと委任管理者の違い、AWS Organizations 自体の委任

0
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?