Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
おひとり様Organizations管理者もルートアクセス管理を有効にしよう!
Search
amarelo_n24
November 15, 2025
Education
0
6
おひとり様Organizations管理者もルートアクセス管理を有効にしよう!
2025/11/15 JAWS-UG 栃木 オフライン # 5 登壇資料
amarelo_n24
November 15, 2025
Tweet
Share
More Decks by amarelo_n24
See All by amarelo_n24
アウトプット再始動2025・つなげるアウトプット2026
amarelo_n24
0
15
AWS re_Invent に全力で参加したくて筋トレを頑張っている話
amarelo_n24
1
74
バケットポリシーの記述を誤りマネコンからS3バケットを操作できなくなりそうになった話
amarelo_n24
1
130
質のよいアウトプットをできるようになるために~「読む・聞く、まとめる、言葉にする」を読んで~
amarelo_n24
0
310
AWSと共に英語を学ぼう
amarelo_n24
0
190
ANS-C01_2回不合格から合格までの道程
amarelo_n24
1
360
今年のふりかえりと来年目指すこと
amarelo_n24
0
780
ANS-C01を2回不合格になり認定試験受験に対する想い
amarelo_n24
0
890
鈍行列車の旅をやってみた話2023
amarelo_n24
0
160
Other Decks in Education
See All in Education
Introduction - Lecture 1 - Web Technologies (1019888BNR)
signer
PRO
0
5.7k
Web Architectures - Lecture 2 - Web Technologies (1019888BNR)
signer
PRO
0
3.2k
外国籍エンジニアの挑戦・新卒半年後、気づきと成長の物語
hypebeans
0
230
Requirements Analysis and Prototyping - Lecture 3 - Human-Computer Interaction (1023841ANR)
signer
PRO
0
1.3k
QR-koodit opetuksessa
matleenalaakso
0
1.7k
Adobe Express
matleenalaakso
1
8k
Avoin jakaminen ja Creative Commons -lisenssit
matleenalaakso
0
2k
中間活動報告会 人材育成WG・技術サブWG / 20250808-oidfj-eduWG-techSWG
oidfj
0
820
生態系ウォーズ - ルールブック
yui_itoshima
1
340
生成AIとの付き合い方 / Generative AI and us
kaityo256
PRO
11
4k
吉岡研究室紹介(2025年度)
kentaroy47
0
600
社外コミュニティの歩き方
masakiokuda
2
220
Featured
See All Featured
Intergalactic Javascript Robots from Outer Space
tanoku
273
27k
YesSQL, Process and Tooling at Scale
rocio
174
15k
Save Time (by Creating Custom Rails Generators)
garrettdimon
PRO
33
1.8k
What’s in a name? Adding method to the madness
productmarketing
PRO
24
3.8k
Code Review Best Practice
trishagee
72
19k
The World Runs on Bad Software
bkeepers
PRO
72
12k
How STYLIGHT went responsive
nonsquared
100
5.9k
Why Our Code Smells
bkeepers
PRO
340
57k
"I'm Feeling Lucky" - Building Great Search Experiences for Today's Users (#IAC19)
danielanewman
231
22k
The Cult of Friendly URLs
andyhume
79
6.7k
Docker and Python
trallard
46
3.6k
RailsConf & Balkan Ruby 2019: The Past, Present, and Future of Rails at GitHub
eileencodes
140
34k
Transcript
おひとり様Organizations管理者も ルートアクセス管理を有効にしよう! 2025/11/16 JAWS-UG 栃木 オフライン #
5
自己紹介 藤田 直幸 | アマレロ@コーヒー焙煎人兼エンジニア JAWS-UG 彩の国埼玉支部 運営 X:@amarelo_n24 Facebook
https://www.facebook.com/naoyuki.fujita.37 仕事:所属企業の情シス 好きなAWSサービス:IAM、S3、CloudShell 好きなこと:コーヒー豆の焙煎
はじめに
個人でマルチアカウント運用していると、ルートアクセス管理 が大変なはず。今回は、おひとり様Organizations管理者は 活用した方が良い、マルチアカウント環境でのルートアクセス 管理について話します! ※個人の見解です。個人利用の範囲で試した結果のため、 参考程度に留めてください。 はじめに
Qiitaにブログ書きました。こちらも読んでいただけたら嬉しいです! ▪おひとり様Organizations管理者もルートアクセス管理を有効にしよう! https://qiita.com/amarelo_n24/items/3e2356e5fb215f128cb3 今回の元記事
1.ルートアクセス管理とは 2.ルートユーザーの認証情報を一括管理するメリット 3.ルートアクセス管理の有効化 4.ルートアクセス管理でできる各種機能 5.まとめ アジェンダ
1.ルートアクセス管理とは
2024年11月、IAMに追加されたアップデート。Organizations 所属の メンバーアカウントの ・ルートユーザーの認証情報削除・追加を一元管理 ・バケットポリシーの削除 ・Amazon SQSのキューポリシーの削除 をすることができます。
https://aws.amazon.com/jp/about-aws/whats-new/2024/11/manage-root-access-aws-identity-access-manag ement/ ルートアクセス管理とは
2.ルートユーザーの認証情報を一括管理するメリット
S3バケットのバケットポリシーを誤って編集できなくしても、 ルートユーザーでわざわざログインしなおす必要はない!! ※私は以前バケットポリシーの編集をやらかし、バケット内のオブジェクトを 見れなくなったり、バケットポリシーを編集できなくなって焦りました… ▪バケットポリシーの記述を誤りマネコンからS3バケットを操作できなくなりそうになった話 https://qiita.com/amarelo_n24/items/225456495d3a896c8004 ①メンバーアカウントのルートユーザーログインを不要に!
・利用頻度の低いルートユーザーの認証情報管理負荷の軽減 ・ルートユーザーの不正利用リスクの軽減 ※IAM Identity Center も有効にすれば、アカウントごとのIAM ユーザーの認証情報管理も無くすことができる!! ②ルートユーザーの認証情報管理から解放される!
3.ルートアクセス管理の有効化
管理アカウントにログインします。IAMの画面を開き、 「ルートアクセス管理」を開きます。 ※Organizationsではなく、IAMの画面なので、 お間違いなく! ルートアクセス管理を有効
有効化をクリックします。 ルートアクセス管理を有効
ルートアクセス管理を有効 ルート認証情報管理 ルートユーザーの認証情報削除・登録を許可 メンバーアカウントでの特権ルートアクション バケットポリシーの削除とSQSキューポリシーの削除を許可
「ルートアクセス管理が有効になっています」と表示されたら設定完了 ルートアクセス管理を有効
4.ルートアクセス管理でできる各種機能
IAMの「ルートアクセス管理」からルートユーザーのパスワードと MFA情報を削除することができる! ①メンバーアカウントのルートユーザー認証情報削除
以降は、ルートユーザーでログインしようとしても、「ルートユーザーの認証情 報が無効」と表示されてログインできなくなります。 ①メンバーアカウントのルートユーザー認証情報削除
メンバーアカウントのルートユーザーログイン情報を削除しても、 「パスワードの回復を許可」で再設定可能! ②メンバーアカウントのルートユーザーログイン復活
ルートユーザーログインを可能に戻しても、パスワードは自動で発行さ れません。ルートユーザーの管理者がリセットする必要があります。 マネジメントコンソールからパスワードリセット手続きができます。 紛失または忘れたルートユーザーのパスワードをリセットする https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reset-root-password.html ②メンバーアカウントのルートユーザーログイン復活
ルートユーザーでしか削除できなかったバケットポリシー、 SQSキューポリシーも特権的なアクションから削除が可能。 ③バケットポリシー・SQSキューポリシー削除
管理アカウント自身のルートユーザー認証情報は削除できません。 【注意】管理アカウントのルートユーザー管理は対象外 ルートアクセス管理画面で、管理アカウン トを選択しても「特権的なアクションを実行 する」ボタンが活性化されませんでした。
管理アカウントのルートユーザー認証情報管理を 無くすことができません!慎重に!! 【注意】管理アカウントのルートユーザー管理は対象外
5.まとめ
・ルートアクセス管理で、メンバーアカウントのルートユーザー 認証情報を一括管理でき、余分な認証情報を整理できる。 ・万が一、メンバーアカウント内のS3バケットポリシーやSQSキュー ポリシーを誤っても、ルートユーザーログイン不要。 ・管理アカウントのルートユーザー認証情報は対象外なので、 これまで同様、厳密な管理が必要。 ・おひとり様Organizationsを使っている人は、 ルートアクセス管理の負荷軽減を検討してみては? ※IAM Identity
Center の有効もいっしょに。 まとめ
Qiitaにブログ書きました。こちらも読んでいただけたら嬉しいです! ▪おひとり様Organizations管理者もルートアクセス管理を有効にしよう! https://qiita.com/amarelo_n24/items/3e2356e5fb215f128cb3 今回の元記事(再掲)
ご清聴ありがとうございました!