265-AWS SAP AWS 「理論・実践・一問道場」組織の移動

type

status

date

slug

summary

理論

AWS Organizations によるアカウント移行の本質的な知識

AWS Organizationsは、複数のAWSアカウントを一元管理するためのサービスで、組織内のアカウントをグループ化して管理することができます。複数のアカウントを効率的に管理するためには、アカウントの移行や再構成が必要になることがあります。以下では、AWS Organizationsを使用してアカウントを移行する際に必要な知識を解説します。

1. AWS Organizationsの基本概念

管理アカウントとメンバーアカウント AWS Organizations内には、管理アカウント（組織を作成するために必要なアカウント）と、メンバーアカウント（組織に参加するアカウント）があります。

組織の構成 組織内のアカウントは、OU（Organizational Units） にグループ化され、管理者はポリシーやアクセス権限を一元管理できます。

2. アカウントの移行方法

アカウントを異なる組織やOUに移動する際の手順は以下の通りです：

アカウントの削除と招待

RemoveAccountFromOrganization操作は、アカウントを現在のAWS Organizationsから削除するために使用します。この操作を実行した後、アカウントは完全に独立した状態になります。移行先の組織に再招待する必要があります。
InviteAccountToOrganization操作は、新しい組織にアカウントを招待する際に使用します。これにより、アカウントは新しい組織に追加され、再度管理下に入ります。

アカウント移行の順序

まず、アカウントを元の組織から削除し、次に新しい組織に招待するという順番で行います。
一度削除されたアカウントは新しい組織に招待することで再度追加され、移行が完了します。

3. 自動化と管理のベストプラクティス

APIの活用

AWS OrganizationsのAPIを使用することで、アカウント移行のプロセスを自動化できます。API操作には、MoveAccount、RemoveAccountFromOrganization、InviteAccountToOrganizationなどがあります。

一括移行の管理

1,000以上のアカウントを移行する場合、一括操作を実行できるようにAPIを利用したスクリプトやツールを作成することが重要です。これにより手動での操作ミスを減らし、効率的に移行作業を進めることができます。

移行の確認

アカウント移行後、移行先の組織内でアカウントの設定が正しく適用されていることを確認するため、ポリシーや権限設定を再確認することが推奨されます。

まとめ

AWS Organizationsを使用したアカウント移行には、アカウントの削除と招待を組み合わせて実行する必要があります。移行プロセスを効率的に行うためには、APIを活用して自動化することが重要です。また、大規模な移行を行う際は、移行後の設定確認をしっかり行い、移行作業の品質を保つことが求められます。

実践

略

一問道場

質問 #265

トピック 1

ある企業は、AWS Organizationsを使用して1,000以上のAWSアカウントを管理しています。企業は新しい開発者組織を作成しました。この新しい開発者組織に移動すべき開発者のメンバーアカウントが540件あります。すべてのアカウントには、各アカウントが独立したアカウントとして運用できるように必要な情報が設定されています。

開発者アカウントを新しい開発者組織に移動するために、ソリューションアーキテクトが取るべき手順の組み合わせはどれですか？（3つ選んでください。）

旧組織の管理アカウントからOrganizations APIのMoveAccount操作を呼び出して、開発者アカウントを新しい開発者組織に移行する。

管理アカウントから、Organizations APIのRemoveAccountFromOrganization操作を使用して、各開発者アカウントを旧組織から削除する。

各開発者アカウントから、Organizations APIのRemoveAccountFromOrganization操作を使用して、アカウントを旧組織から削除する。

新しい開発者組織の管理アカウントにサインインし、開発者アカウントの移行先として機能するプレースホルダーメンバーアカウントを作成する。

新しい開発者組織の管理アカウントからOrganizations APIのInviteAccountToOrganization操作を呼び出して、開発者アカウントに招待を送信する。

各開発者が自分のアカウントにサインインし、新しい開発者組織に参加することを確認する。

解説

B: 管理アカウントから、Organizations APIのRemoveAccountFromOrganization操作を使用して、各開発者アカウントを旧組織から削除する。

RemoveAccountFromOrganization操作は、管理アカウントから呼び出して、開発者アカウントを旧組織から削除するために使用します。この操作はメンバーアカウントではなく、管理アカウントからのみ実行可能です。開発者アカウントは自分自身で組織から削除することはできません。

E: 新しい開発者組織の管理アカウントからOrganizations APIのInviteAccountToOrganization操作を呼び出して、開発者アカウントに招待を送信する。

新しい組織に開発者アカウントを追加するためには、InviteAccountToOrganization操作を使用して招待を送信します。この操作を使って、新しい組織の管理アカウントから開発者アカウントに招待を送信し、アカウントが新しい組織に参加します。

F: 各開発者が自分のアカウントにサインインし、新しい開発者組織に参加することを確認する。

LeaveOrganization操作を使用することで、各開発者アカウントは旧組織から自分で退出し、新しい組織に参加します。これにより、開発者は自分自身で組織に参加することを確認することが可能です。

まとめ

B: 管理アカウントが開発者アカウントを旧組織から削除。

E: 新しい開発者組織に開発者アカウントを招待。

F: 各開発者が自分で新しい組織に参加を確認。

これで、正しい手順を踏まえた移行が実現できます。