Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
AWS Organizations 組織を移動する時に 考えること 100 連発 (AWS Control Tower への組み込みを添えて) / Hatena Engineer Seminar #20
Search
nabeo
June 07, 2022
Technology
2
2.6k
AWS Organizations 組織を移動する時に 考えること 100 連発 (AWS Control Tower への組み込みを添えて) / Hatena Engineer Seminar #20
Hatena Engineer Seminar #20 AWS Renovation 編
https://hatena.connpass.com/event/249039/
の発表資料です
nabeo
June 07, 2022
Tweet
Share
More Decks by nabeo
See All by nabeo
OpenTelemetry Collector 自身のモニタリング / Monitoring the OpenTelemetry Collector itself
nabeo
0
360
ヘンリーにおける可観測性獲得への取り組み
nabeo
2
1.6k
AWS CDK (TypeScript) を継続的にメンテ可能にするために取り入れているノウハウ集
nabeo
0
1.1k
AWS Transit Gateway を使った内部ネットワークの構成変更の話 / AWS Transit Gateway and Me
nabeo
0
490
Docker イメージのダイエットが成功するまで帰れまてん / Docker Image Diet Challenge
nabeo
4
3.9k
LVS 勉強会 (LVS Study)
nabeo
0
3.1k
Other Decks in Technology
See All in Technology
AOAI Dev Day - Opening Session
yoshidashingo
2
470
Docker互換のセキュアなコンテナ実行環境「Podman」超入門
devops_vtj
6
3.2k
Azure AI ことはじめ
tsubakimoto_s
0
130
さらに高品質・高速化を目指すAI時代のテスト設計支援と、めざす先 / AI Test Lab vol.1
shift_evolve
0
190
データ分析を支える技術 生成AI再入門
ishikawa_satoru
0
380
AIエージェントを現場に導入する目線とは
masahiro_nishimi
1
1.5k
ここがすごいよ! AWS Systems Manager!
saichan11
0
1.8k
コンテナ・K8s研修 - 後半 Kubernetes 基礎&ハンズオン【MIXI 24新卒技術研修】
mixi_engineers
PRO
1
120
20240724_cm_odyssey_hibiyatech
hiashisan
0
110
ペパボのオブザーバビリティ研修2024 説明資料
kesompochy
0
1.1k
サーバーレスAPI(API Gateway+Lambda)とNext.jsで 個人ブログを作ろう!
shuntaka
PRO
0
560
Classmethod流のPlatform Engineering / classmethod-platform-engineering-devio2024
tomoki10
0
480
Featured
See All Featured
Making Projects Easy
brettharned
111
5.7k
Keith and Marios Guide to Fast Websites
keithpitt
408
22k
The Pragmatic Product Professional
lauravandoore
29
6.1k
Robots, Beer and Maslow
schacon
PRO
157
8.1k
Put a Button on it: Removing Barriers to Going Fast.
kastner
58
3.3k
Exploring the Power of Turbo Streams & Action Cable | RailsConf2023
kevinliebholz
12
3.8k
Designing Experiences People Love
moore
136
23k
Building Effective Engineering Teams - LeadDev
addyosmani
47
2.2k
Templates, Plugins, & Blocks: Oh My! Creating the theme that thinks of everything
marktimemedia
23
1.9k
Gamification - CAS2011
davidbonilla
78
4.9k
Pencils Down: Stop Designing & Start Developing
hursman
118
11k
What's in a price? How to price your products and services
michaelherold
239
11k
Transcript
AWS Organizations 組織を移動する時に 考えること 100 連発 AWS Control Tower への組み込みを添えて
id:nabeop / @nabeo 2022/06/07 Hatena Engineer Seminar #20 AWS Renovation 編 1
自己紹介 組織・基盤開発本部 プラットフォーム部 システムプラットフォームチーム SRE id:nabeop Twitter : @nabeo https://twitter.com/nabeo
Blog : https://nabeop.hatenablog.com/ 2
AWS アカウント管理のガバナンス強化 3 【開催報告】アップデート紹介とちょっぴり Dive Deep する AWS の時間 第十七回
(04/28) https://aws.amazon.com/jp/blogs/news/update-divedeep-series-17/
用語の整理 (AWS アカウントの種類) • 管理アカウント ◦ AWS Organizations の組織を管理する AWS
アカウント • メンバーアカウント ◦ AWS Organizations の組織に入っている AWS アカウント • payer アカウント ◦ AWS アカウントの費用の支払い責任をもつ AWS アカウント 4
5 AWS Organizations の組織移動 と AWS Control Tower への組み 込み手順
6 手順 1 旧組織から離脱する
7 手順 2 新組織に加入する
8 手順 3 新組織の AWS Control Tower に組み込む
9 ね?簡単でしょ??
10 簡単ではない!!
お品書き • 一括請求の対象から外れる • RI/SP が共有できない • AWS Control Tower
と競合する AWS リソー ス • ポリシーで組織 ID を使っているケース 11
12 その1 : 一括請求から外れる
13 AWS Organizations の一括請求機能 • 組織内のメンバーアカウントの請求を1つの AWS アカウントにまとめる • 請求書が1つにまとまるので管理が楽になる
組織移動中の payer アカウントの変化 • 旧組織に所属している期間 ◦ payer アカウントは旧組織の管理アカウント • どの組織にも所属していない期間
◦ payer アカウントは自分自身 • 新組織に所属している期間 ◦ payer アカウントは新組織の管理アカウント 14
煩雑な請求手続き • 最大で3つに分割されて請求される • どの組織にも所属していない期間の扱い ◦ デフォルトではクレジットカード決済 15
中途半端な請求を発生させないために • 仮定1 : 請求金額は1時間ごとに計算してい る? ◦ だいたい時間課金のコスト体系 16
中途半端な請求を発生させないために • 仮定2 : 請求金額が確定するまでに新しい組織 に組み込まれたら請求が発生しないのでは? ◦ 一括請求の適用外になっている期間を1時間以内に納 めたら新組織で請求されるのではないか ◦
もしくはコストが発生しても十分小さい金額になるよ うに頑張る 17
AWS Organizations 組織移動 RTA Tips • 旧組織にいる時点で新組織から移動対象の AWS アカウントに組織の招待を送信する •
旧組織から離脱したら、すかさず新組織から の招待を受諾する 18
19 その2 : 他アカウントで購 入した RI/SP を使えなく なる
20 同一組織内で共有している RI/SP • 組織から外れた時点で他 AWS アカウントか ら RI/SP が共有されなくなる
組織移動を見越した RI/SP 購買 • 他アカウントの RI/SP を使っている場合は買 い増しを検討する ◦ 共有している/されている
RI/SP は AWS CUR で確認 できる • RI/SP 購買を計画と組織移動の計画をリンク させる 21
22 その 3 : AWS Control Tower と競合する AWS リ
ソースが作成されている
23 AWS Control Tower によって作られる AWS リソース (一部)
24 AWS Config • リージョンにつき1つしか作成できないリソー スを AWS Control Tower が使用する
◦ AWS CloudFormation のスタックで管理される
AWS Control Tower との競合を避ける • AWS Control Tower への組み込み前に AWS
サポートに該当するリソースを作らないよう に依頼する • 既存のリソースを手で修正する 25
運用上の課題 • AWS Control Tower のバージョンアップなど でアカウント単位での更新ができなくなる ◦ Acccount Factory
でのアカウントの登録でエラーに なる ◦ OU の再適用によって更新する 26
27 その 4 : ポリシーで組織 ID を使っている
28 組織 ID を IAM ポリシーで使う • aws:PrincipalOrgId • aws:ResourceOrgPaths
• aws:ResourceOrgId
潜んでいそうなところ 29 • IAM のポリシードキュメント ◦ awscli で使用箇所を特定することは可能 • リソースポリシードキュメント
◦ 各 AWS サービスに散らばっているので網羅的な調査 が難しい
30 最後に
31 AWS アカウント管理は面白い • 普段では意識しないところで色々と考えるこ とがある • AWS アカウントのガバナンス強化にはまだま だチャレンジできるところが残っている
32 32