2023-02-22 · 7분

AWS Organizations と AWS IAM

cloudawsiam

この記事は公開から2年以上経過しています。

AWS Organizations と AWS IAM について

  • IAM はリソースへのアクセスを制御でき、ユーザーとグループを作成してアクセスの許可・拒否を設定できます。
  • Organizations は AWS アカウントを作成し、グループ化（OU）、ポリシー（SCP）を適用できます。

1. 適用対象

  • Organizations は AWS アカウントを対象としますが、IAM はユーザーを対象とします。
  • Organizations で特定のアカウントに SCP を適用すると、そのアカウントの全ユーザーが影響を受けます。
  • Organizations のポリシーは IAM のポリシーより優先されます。

2. 追加機能

  • Organizations はバックアップ、リソース、セキュリティポリシーなどを中央集権的に管理します。
  • Organizations で特定のアカウントに SCP を適用すると、そのアカウントの全ユーザーが影響を受けます。
  • Organizations はグループ（OU）ごとにリソースガバナンスの境界を作ります。
  • IAM はリソースへのアクセス制御を行います。

組織単位のアカウントに一種のガイドを適用し、アカウント/組織レベルで各種ポリシー（バックアップ、リソース、セキュリティなど）やコストを管理するときは Organizations を使います。

ユーザーごとに細かい権限を調整したいときは IAM を使えば OK です。

ガバナンスとは、データのセキュリティ、プライバシー保護、正確性、可用性、使用性を保証するために行うすべての作業を指します。ここには人が取るべき対応、従うべきプロセス、データのライフサイクル全体を通じてそれを支える技術が含まれます。— Google Cloud

IAM の機能

  • AWS アカウントへの共有アクセス
    • パスワードやアクセスキーを共有しなくても、AWS アカウントのリソースを管理・使用できる権限を他の人に付与できます。
  • 細分化された権限
    • リソースに応じて、複数の人に多様な権限を付与できます。
    • たとえば一部のユーザーに EC2、S3、DynamoDB、RedShift やその他 AWS サービスへの完全なアクセスを許可できます。
    • 別のユーザーには一部 S3 バケットへの読み取り専用権限、一部 EC2 インスタンスを管理できる権限、あるいは請求情報のみへのアクセス権限を許可できます。
  • EC2 で動くアプリケーションのための安全な AWS リソースアクセス
    • EC2 インスタンス上で動くアプリケーションには、IAM 機能で認証情報を安全に提供できます。この認証情報が、アプリケーションに他の AWS リソースへアクセスする権限を与えます。
    • たとえばこうしたリソースには S3 バケットや DynamoDB テーブルがあります。
  • 多要素認証（MFA）
    • セキュリティ強化のため、アカウントと個別ユーザーに 2 要素認証を追加できます。MFA を使う場合、アカウント所有者やユーザーはパスワードやアクセスキーだけでなく、専用に構成されたデバイスのコードも提供する必要があります。
    • すでに他のサービスで FIDO セキュリティキーを使っていて、その構成で AWS がサポートされている場合、MFA セキュリティに WebAuthn を使えます。
  • アイデンティティフェデレーション
    • 企業ネットワークやインターネットの ID プロバイダーなど、他の場所にすでにパスワードを持つユーザーに、AWS アカウントへの一時アクセス権を付与できます。
  • 保証のための認証情報ログ
    • AWS CloudTrail を使うと、アカウントのリソースをリクエストした人の情報を含むログレコードを受け取れます。
  • PCI DSS 準拠
  • eventually consistent
  • 無料で使用可能
    • AWS Identity and Access Management（IAM）と AWS Security Token Service（AWS STS）は、追加費用なしで AWS アカウントに提供される機能です。IAM ユーザーまたは AWS STS の一時セキュリティ認証情報で他の AWS サービスにアクセスした場合にのみ料金が発生します。

IAM へのアクセス

  • AWS Management Console — コンソールは IAM と AWS リソースを管理するためのブラウザベースのインターフェイスです。コンソールでの IAM アクセスの詳細は AWS Management Console に IAM ユーザーまたはルートユーザーとしてサインインを参照してください。
  • AWS コマンドラインツールを使うと、システムのコマンドラインからコマンドを実行して IAM と AWS の作業ができます。コマンドラインの方がコンソールより速くて便利な場合があります。AWS 作業を行うスクリプトを書くときにもコマンドラインツールは有用です。
  • AWS SDK — AWS は多様なプログラミング言語とプラットフォーム（Java、Python、Ruby、.NET、iOS、Android など）向けのライブラリとサンプルコードで構成されたソフトウェア開発キット（SDK）を提供します。SDK を使えば IAM と AWS にプログラムから便利にアクセスできます。たとえば SDK はリクエストへの暗号署名、エラー管理、自動リトライなどの作業を処理します。ダウンロード・インストール方法を含む AWS SDK の詳細は Amazon Web Services 用ツールページを参照してください。
  • IAM HTTPS API — サービスへ直接 HTTPS リクエストを実行できる IAM HTTPS API で、プログラムから IAM と AWS にアクセスできます。HTTPS API を使う際は、認証情報でリクエストにデジタル署名するコードを含める必要があります。詳細は HTTP クエリリクエストによる IAM API 呼び出しと IAM API リファレンスを参照してください。
  • AWS は AWS Command Line Interface（AWS CLI）と AWS Tools for Windows PowerShell の 2 種類のコマンドラインツールを提供します。AWS CLI のインストールと使用は AWS Command Line Interface ユーザーガイドを、Tools for Windows PowerShell のインストールと使用は AWS Tools for Windows PowerShell ユーザーガイドを参照してください。

参考

IAM とは？ - AWS Identity and Access Management このページの改善が必要であることをお知らせいただきありがとうございます。ご期待に沿えず申し訳ありません。少しお時間をいただき、ドキュメントの改善方法についてお聞かせください。 — docs.aws.amazon.com

AWS Organizations の機能

すべての AWS アカウントの中央集権管理

  • 既存アカウントを 1 つの組織に統合し、中央でアカウントを管理できます。
  • 自動的に組織の一部になるアカウントを作成したり、他のアカウントを組織に招待したりできます。またアカウントの一部または全体に影響するポリシーを紐づけることもできます。

全メンバーアカウントの一括請求

  • 一括請求（consolidated billing）は AWS Organizations の機能です。組織の管理アカウントを使って、全メンバーアカウントを統合し料金を支払えます。
  • 一括請求の管理アカウントは、組織に属するメンバーアカウントの請求情報、アカウント情報、アカウントアクティビティにもアクセスできます。
  • この情報は、管理アカウントが組織のコストパフォーマンス向上に役立てられる Cost Explorer のようなサービスで活用できます。

予算・セキュリティ・コンプライアンス要件を満たすためのアカウントの階層的グループ化

  • アカウントを組織単位（OU）にグループ化し、OU ごとに異なるアクセスポリシーを紐づけられます。
  • たとえば特定の規制要件を満たす AWS サービスのみアクセスすべきアカウントがある場合、それらを 1 つの OU に入れられます。
  • その後その OU にポリシーを紐づけ、規制要件を満たさないサービスへのアクセスを遮断します。OU は 5 階層まで他の OU にネストでき、アカウントグループを柔軟に構成できます。

各アカウントがアクセスできる AWS サービスと API 操作の制御を中央化するポリシー

  • 組織の管理アカウントの管理者は、サービスコントロールポリシー（SCP）を使って組織のメンバーアカウントの最大権限を指定できます。
  • SCP では、各メンバーアカウントのユーザーとロールがアクセスできる AWS サービス、リソース、個別の API 操作を制限できます。
  • AWS サービス、リソース、API 操作へのアクセスを制限する条件も定義できます。この制限は組織のメンバーアカウント管理者よりも優先されます。
  • AWS Organizations でメンバーアカウントのサービス・リソース・API 操作へのアクセスを遮断すると、そのアカウントのユーザーやロールはそれらにアクセスできません。メンバーアカウントの管理者が IAM ポリシーで明示的に権限を付与しても、この遮断は依然として適用されます。

参考

AWS Organizations とは？ - AWS Organizations AWS Organizations とは？ AWS Organizations は、作成した複数の AWS アカウントを組織に統合し中央で管理できるアカウント管理サービスです。AWS Organizations のアカウント管理と一括請求機能を活用すれば — docs.aws.amazon.com

原文（韓国語）: tistory — 2023-02-22 公開、当ブログへ移行。この翻訳は AI の協力で作成されました。

コメント

…

ログインしてコメント

コメントを削除しますか？

関連記事

AWS Organizations と AWS IAM · 나봄하랑