379-AWS SAP AWS 「理論・実践・一問道場」AWS Organizations

type

status

date

slug

summary

理論

AWS Organizationsとコスト管理、セキュリティ管理のベストプラクティス

AWSでは、複数のAWSアカウントを効率的に管理するためにAWS Organizationsを使用することが推奨されます。以下は、AWS Organizationsを使用する際の重要なポイントとそのメリットです。

1. AWS Organizationsの利用

AWS Organizationsを使用することで、複数のアカウントを一元的に管理できます。これにより、各事業部門やチームが独自のアカウントを持ちながら、組織全体でのコスト管理やポリシーの適用が簡単になります。

アカウントは**組織単位（OU）**としてグループ化でき、各部門やワークロードに基づいてポリシーや請求を管理できます。

2. サービスコントロールポリシー（SCP）

*サービスコントロールポリシー（SCP）**は、AWS Organizations内のアカウントに対する許可・拒否を制御します。SCPを使って、特定の操作（例：EC2インスタンスの起動、S3バケットへのアクセス）を制限することができます。

これにより、セキュリティチームは最小権限の原則を遵守し、全アカウントにわたって一貫したポリシーを適用できます。

3. タグによるコスト配分と管理

各AWSリソースにはタグを設定し、コスト配分を行うことができます。タグは部門やプロジェクトに関連するリソースを識別するために利用され、AWS Cost Explorerを使ってコストの可視化やレポート作成が可能になります。

タグ付けにより、AWSのリソース使用量やコストを部門単位で管理できるため、部門ごとのコスト管理が容易になります。

4. コンソリデーションによる支払い管理

*統合請求（Consolidated Billing）**を活用すると、すべてのAWSアカウントを1つの請求アカウントに集約することができます。この機能を使用すると、親アカウント（支払者アカウント）で1つの請求書を受け取り、複数のアカウントで発生したコストを合算して管理できます。

複数のアカウントでの割引（例：利用量に応じた価格割引）を最大化するためにも役立ちます。

5. アカウントのプロビジョニングと管理

AWS Organizationsを使うことで、新しいアカウントを自動的にプロビジョニングしたり、既存のアカウントを組織に招待したりすることができます。これにより、アカウントの作成と管理が効率化され、企業の成長に合わせてスムーズにアカウントを増やすことができます。

6. コスト管理と予算設定

AWS Budgetsを利用することで、各部門ごとのコスト予算を設定し、予算超過を防ぐためのアラートを設定できます。これにより、コスト超過のリスクを早期に察知し、予算内での運用が可能となります。

7. IAM権限の集中管理

AWS IAMを使用して、ユーザーやグループごとにアクセス権を設定し、権限を細かく制御できます。これにより、個々のアカウント内でのアクセス権限を管理する際に、セキュリティリスクを最小化できます。

結論

AWS Organizationsを使用することで、企業は複数のAWSアカウントを効率的に管理し、コスト管理とセキュリティ管理の一貫性を保ちながら運用できます。サービスコントロールポリシー（SCP）、統合請求、タグ付けによるコスト管理などの機能を活用することで、最小の労力で組織全体をスケーラブルかつセキュアに管理することが可能です。

実践

略

一問道場

問題 #379

大企業がそのITポートフォリオ全体をAWSに移行しています。各事業部門は、開発およびテスト環境をサポートする独立したAWSアカウントを持っています。まもなく、プロダクションワークロードをサポートする新しいアカウントが必要になります。

財務部門は、支払いのための集中管理方法を要求していますが、各グループの支出に対する可視性を維持して、コストを割り当てる必要があります。

セキュリティチームは、会社のすべてのアカウントでIAMの使用を制御するための集中管理メカニズムを要求しています。

最小の労力で会社のニーズを満たすために、次のオプションの組み合わせはどれですか？（2つ選択）

A. パラメータ化されたAWS CloudFormationテンプレートのコレクションを使用して、共通のIAM権限を定義し、各アカウントに展開します。新しいアカウントと既存のアカウントに、適切なスタックを起動させて最小特権モデルを強制します。

B. AWS Organizationsを使用して、選択した支払者アカウントから新しい組織を作成し、組織単位の階層を定義します。既存のアカウントを組織に招待し、Organizationsを使用して新しいアカウントを作成します。

C. 各事業部門に自分のAWSアカウントを使用させます。各AWSアカウントに適切なタグを付け、Cost Explorerを有効にして費用配分を管理します。

D. AWS Organizationsのすべての機能を有効にし、適切なサービスコントロールポリシーを確立して、サブアカウントのIAM権限をフィルタリングします。

E. 会社のすべてのAWSアカウントを単一のAWSアカウントに統合します。請求目的でタグを使用し、IAMのAccess Advisor機能を使用して最小特権モデルを強制します。

解説

この問題は、企業がAWSの複数のアカウントを管理し、コスト管理、セキュリティ、IAMの統制を効率的に行うための方法を選ぶことに関するものです。各選択肢について詳しく解説します。

正解となる選択肢：

D. AWS Organizationsのすべての機能を有効にし、適切なサービスコントロールポリシーを確立して、サブアカウントのIAM権限をフィルタリングします。

選択肢の解説：

A. CloudFormationテンプレートでIAM権限を定義し、各アカウントでこれらのスタックを起動する方法：

CloudFormationを使って共通のIAM権限を定義する方法も考えられますが、これは複数のアカウントにわたって権限を一貫して適用するには手間がかかります。また、新しいアカウントが追加されるたびに、適切なスタックを手動で起動する必要があり、管理が複雑になります。このため、最小の労力という点では最適ではありません。

B. AWS Organizationsを使用して組織を作成し、アカウントを管理する方法：

AWS Organizationsを使用すると、企業全体での集中管理が容易になります。特に、各事業部門に独立したAWSアカウントを使用し、それらを一元的に管理できます。組織単位（OU）を使ってアカウントを階層化し、支払いとコストの管理を簡単にすることができます。この方法で新しいアカウントを追加したり、既存のアカウントを管理したりするのが効率的です。

C. 各事業部門に独立したAWSアカウントを使用し、タグを使ってコストを管理する方法：

各アカウントにタグを適用することでコスト配分は可能ですが、AWS Organizationsを使用した集中管理の方がよりスケーラブルで柔軟です。タグだけでは、IAMの統制や一貫したポリシー適用に限界があります。

D. AWS Organizationsのすべての機能を有効にし、サービスコントロールポリシー（SCP）を使ってIAM権限を管理する方法：

*サービスコントロールポリシー（SCP）**を使用すると、組織全体でIAMの使用を中央集権的に管理できます。これにより、セキュリティチームは各アカウントで適切なIAM権限が使用されているかを確認し、最小権限の原則を実施することができます。

E. すべてのAWSアカウントを単一アカウントに統合し、タグを使って管理する方法：

複数のアカウントを単一のAWSアカウントに統合する方法は、スケーラビリティや管理の観点で問題があります。複数のアカウントを使うことによって、それぞれの部署の独立性やセキュリティを確保できるため、単一アカウントにまとめるのは適切ではありません。また、タグによる管理も十分ではなく、SCPを活用した管理の方が効果的です。

結論：

最も効率的で労力が少なく、セキュリティとコスト管理を簡単にする方法は、AWS Organizationsを使用してアカウントを管理し、SCPでIAM権限を制御する方法です。