Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
Control policies for AWS Organizations
Search
midnight480
February 08, 2025
Technology
0
110
Control policies for AWS Organizations
02/08/2025 JAWS-UG Fukuoka
midnight480
February 08, 2025
Tweet
Share
More Decks by midnight480
See All by midnight480
Amazon Q Developer for CLI の紹介
midnight480
0
61
Postman Flows ✖️ Backlog API で可能性を探る
midnight480
0
110
Amazon Q Developer for CLIの基本的な使い方と便利なコマンドの紹介
midnight480
0
120
20250531 JAWS-UG佐賀 生成AI
midnight480
0
36
Amazon Q Developer for CLI 〜 Blender、Backlog GitをMCPで操作してみた 〜
midnight480
0
150
20240201_JAWS-UG_SAGA
midnight480
0
69
Reintroduction to AWS Multiple Account Management
midnight480
0
76
Try Dify self-hosted on AWS
midnight480
0
62
20241123_SAGA IT Community DayのLP裏側
midnight480
0
29
Other Decks in Technology
See All in Technology
TROCCO今昔
gtnao
0
210
FAST導入1年間のふりかえり〜現実を直視し、さらなる進化を求めて〜 / Review of the first year of FAST implementation
wooootack
1
120
Microsoft Defender XDRで疲弊しないためのインシデント対応
sophiakunii
3
400
20150719_Amazon Nova Canvas Virtual try-onアプリ 作成裏話
riz3f7
0
130
PHPからはじめるコンピュータアーキテクチャ / From Scripts to Silicon: A Journey Through the Layers of Computing
tomzoh
2
380
ML Pipelineの開発と運用を OpenTelemetryで繋ぐ @ OpenTelemetry Meetup 2025-07
getty708
0
230
スプリントゴール未達症候群に送る処方箋
kakehashi
PRO
1
190
AI駆動開発 with MixLeap Study【大阪支部 #3】
lycorptech_jp
PRO
0
200
MCPと認可まわりの話 / mcp_and_authorization
convto
1
130
SAE J1939シミュレーション環境構築
daikiokazaki
0
140
ObsidianをLLM時代のナレッジベースに! クリッピング→Markdown→CLI連携の実践
srvhat09
7
8.9k
Shadow DOMとセキュリティ - 光と影の境界を探る / Shibuya.XSS techtalk #13
masatokinugawa
0
270
Featured
See All Featured
Agile that works and the tools we love
rasmusluckow
329
21k
The World Runs on Bad Software
bkeepers
PRO
70
11k
Helping Users Find Their Own Way: Creating Modern Search Experiences
danielanewman
29
2.8k
Building Flexible Design Systems
yeseniaperezcruz
328
39k
How to Think Like a Performance Engineer
csswizardry
25
1.8k
Put a Button on it: Removing Barriers to Going Fast.
kastner
60
3.9k
Fireside Chat
paigeccino
37
3.5k
10 Git Anti Patterns You Should be Aware of
lemiorhan
PRO
656
60k
Scaling GitHub
holman
461
140k
Git: the NoSQL Database
bkeepers
PRO
431
65k
No one is an island. Learnings from fostering a developers community.
thoeni
21
3.4k
The Success of Rails: Ensuring Growth for the Next 100 Years
eileencodes
45
7.5k
Transcript
Copyright © Tetsuya Shibao #jawsugfuk 2025-02-08 JAWS-UG福岡 AWS Organizationsに対する制御ポリシー Control
policies for AWS Organizations
Copyright © Tetsuya Shibao #jawsugfuk 自己紹介 大分(22年) → 東京(11年) →
福岡(2年)→ 佐賀(現 在) 柴尾 哲也(しばお てつや) Tetsuya Shibao JAWS-UG佐賀 AWS Startup Community 福岡 JAWS-UG 佐賀 運営 AWS Startup Community 運営(最近は... SAGA IT Community Day企画中 Coder Dojoさが(メンター) HAGAKURE PROGRAMMING塾 etc…
Copyright © Tetsuya Shibao #jawsugfuk ・ 熊本での復習 ・ 個人で運用するユースケース ・ハンズオンイベントの運営
・ 貸し出すときに注意したいこと ・ 先人たちの紹介 ・ 現在利用可能なポリシー ・ まとめ お話すること
Copyright © Tetsuya Shibao #jawsugfuk 熊本での復習 ・ JAWS-UG熊本(2025/1/25)では、AWS OrganizationsとIAM Identity
Centerについて話しました ・ OU(組織単位)にポリシーが適用できることについて話しました https://speakerdeck.com/midnight480/reintroduction-to-aws-multiple-account-management
Copyright © Tetsuya Shibao #jawsugfuk ハンズオンイベントの運営 ・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています ・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです (松)AWSさんにご協力をいただき、Workshop環境を用意いただく
or クレジットを頂く (竹)参加者各自でAWSアカウントを保有していただく (梅)運営側でハンズオン用アカウントを展開する
Copyright © Tetsuya Shibao #jawsugfuk ハンズオンイベントの運営 ・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています ・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです (松)AWSさんにご協力をいただき、Workshop環境を用意いただく
or クレジットを頂く (竹)参加者各自でAWSアカウントを保有していただく (梅)運営側でハンズオン用アカウントを展開する
Copyright © Tetsuya Shibao #jawsugfuk ハンズオンイベントの運営 ・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています ・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです (松)AWSさんにご協力をいただき、Workshop環境を用意いただく
or クレジットを頂く (竹)参加者各自でAWSアカウントを保有していただく (梅)運営側でハンズオン用アカウントを展開する ・ ハンズオンアカウントを貸し出すケース ・参加者が学生などクレジットカードを保有しておらずAWSアカウントを作成できない → Vプリカ(AWSは大手クラウドの中で唯一利用できるクラウドサービス[2022年柴尾調べ]) https://vpc.lifecard.co.jp/ ・課金が発生するためクレジット(≒クーポン)保有者から提供する
Copyright © Tetsuya Shibao #jawsugfuk 貸し出すときに注意したいこと ・イベントに参加する方に悪意を持って参加者はいない前提でいる ex. 重課金して貸出元のクレジットを溶かしてしまおう
・初心者が誤って高額、月額課金に関わるサービスを選択しないようにする ex. AWSサポート、Sheild Advanced(DDoS攻撃を人的にチェック)...etc
Copyright © Tetsuya Shibao #jawsugfuk 先人たちの紹介 ・SCPに関する記事を書いている先人の一例です https://qiita.com/hirosys-biz/items/ecc34f8574094dc6be15 https://qiita.com/hirosys-biz/items/48d1db5fcce3bf6547ce https://www.yamamanx.com/scp-policy/
Copyright © Tetsuya Shibao #jawsugfuk 現在利用可能なポリシー ・SCPs (Service Control Policy)
サービスに対する制限 ( (SCPsで制限できない機能) で制限できない機能) ・管理アカウントによって実行されるすべてのアクション ・サービスにリンクされたロールにアタッチされたアクセス許可を使用して実行されるすべてのアクション。 ・root ユーザーとして Enterprise サポートプランに登録する ・CloudFront プライベートコンテンツに信頼された署名者機能を提供する ・Amazon Lightsail E メールサーバーと Amazon EC2インスタンスDNSをルートユーザーとしてリバースを設定する 一部の AWS関連サービスのタスク: ・Alexa Top Sites ・Alexa Web Information Service ・Amazon Mechanical Turk ・Amazon 製品マーケティング API ・RCPs (Resource Control Policy) リソースに対する制限 ( (RCPsで制限できるリソース) で制限できるリソース) Amazon S3、AWS Security Token Service、AWS Key Management Service、Amazon SQS、AWS Secrets Manager ・DP(Declarative Policy) 新機能でAPIが追加されても永続的に制限 ( (DPで制限できるリソース) で制限できるリソース) シリアルコンソールアクセス、インスタンスメタデータのデフォルト、AMIの公開、 スナップショットのパブリックアクセス、インターネットゲートウェイからのパブリックアクセス
Copyright © Tetsuya Shibao #jawsugfuk まとめ ・ AWS Organizationsは従来SCPsでのみ制限を掛けられるものでしたが、 2024年11月のRCPs、12月のDPの登場によりAWSアカウントに統制を掛ける幅が広がりました。
・ AWS Organizationsで利用できるポリシーのサンプルを作成しています。 SCPs、RCPs、DPをそれぞれ適用できるようにしています。 https://github.com/midnight480/sample-aws-organization-policy SCPs RCPs DP 対象 IAM User/Roleなど アクセス制御 リソースに対する アクセス制御 予め定義された リソースベースライン サービスロールに対する 制御 対象外 対象外 対象 エラーメッセージの カスタム 不可 不可 可能
Copyright © Tetsuya Shibao #jawsugfuk https://sitcd.vercel.app/ 全国的に珍しい佐賀県のITコミュニティ運営支援施策を中心に、 佐賀県の方から話をいただいたり、コミュニティ間のコラボレーションを目的に、 イベントを企画、準備中です。 セッションの様子はYouTubeで配信予定ですのでよかったら見てみてください
おしらせ
Copyright © Tetsuya Shibao #jawsugfuk 2025-02-08 JAWS-UG福岡 Thanks for your
time. :) https://speakerdeck.com/midnight480 https://www.docswell.com/user/midnight480