Control policies for AWS Organizations

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © Tetsuya Shibao #jawsugfuk 自己紹介大分（22年） → 東京（11年） → 福岡（2年）→ 佐賀（現在）　柴尾　哲也（しばお　てつや） Tetsuya Shibao JAWS-UG佐賀 AWS Startup Community 福岡 JAWS-UG 佐賀運営 AWS Startup Community 運営（最近は... SAGA IT Community Day企画中 Coder Dojoさが（メンター） HAGAKURE PROGRAMMING塾 etc…

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Copyright © Tetsuya Shibao #jawsugfuk 熊本での復習・ JAWS-UG熊本（2025/1/25）では、AWS OrganizationsとIAM Identity Centerについて話しました・ OU（組織単位）にポリシーが適用できることについて話しました https://speakerdeck.com/midnight480/reintroduction-to-aws-multiple-account-management

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Copyright © Tetsuya Shibao #jawsugfuk ハンズオンイベントの運営・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています　・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです　　（松）AWSさんにご協力をいただき、Workshop環境を用意いただく or クレジットを頂く　　（竹）参加者各自でAWSアカウントを保有していただく　　　（梅）運営側でハンズオン用アカウントを展開する・ハンズオンアカウントを貸し出すケース　・参加者が学生などクレジットカードを保有しておらずAWSアカウントを作成できない　　→ Vプリカ（AWSは大手クラウドの中で唯一利用できるクラウドサービス[2022年柴尾調べ]）　　　https://vpc.lifecard.co.jp/ 　・課金が発生するためクレジット（≒クーポン）保有者から提供する

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Copyright © Tetsuya Shibao #jawsugfuk 先人たちの紹介・SCPに関する記事を書いている先人の一例です https://qiita.com/hirosys-biz/items/ecc34f8574094dc6be15 https://qiita.com/hirosys-biz/items/48d1db5fcce3bf6547ce https://www.yamamanx.com/scp-policy/

Slide 10

Slide 10 text

Copyright © Tetsuya Shibao #jawsugfuk 現在利用可能なポリシー・SCPs （Service Control Policy）　サービスに対する制限　（　（SCPsで制限できない機能）で制限できない機能）　・管理アカウントによって実行されるすべてのアクション　・サービスにリンクされたロールにアタッチされたアクセス許可を使用して実行されるすべてのアクション。　・root ユーザーとして Enterprise サポートプランに登録する　・CloudFront プライベートコンテンツに信頼された署名者機能を提供する　・Amazon Lightsail E メールサーバーと Amazon EC2インスタンスDNSをルートユーザーとしてリバースを設定する　　一部の AWS関連サービスのタスク：　　・Alexa Top Sites 　　・Alexa Web Information Service 　　・Amazon Mechanical Turk 　　・Amazon 製品マーケティング API ・RCPs （Resource Control Policy）　リソースに対する制限　（（RCPsで制限できるリソース）で制限できるリソース）　Amazon S3、AWS Security Token Service、AWS Key Management Service、Amazon SQS、AWS Secrets Manager ・DP（Declarative Policy）　新機能でAPIが追加されても永続的に制限　（　（DPで制限できるリソース）で制限できるリソース）　シリアルコンソールアクセス、インスタンスメタデータのデフォルト、AMIの公開、　スナップショットのパブリックアクセス、インターネットゲートウェイからのパブリックアクセス

Slide 11

Slide 11 text

Copyright © Tetsuya Shibao #jawsugfuk まとめ・ AWS Organizationsは従来SCPsでのみ制限を掛けられるものでしたが、　2024年11月のRCPs、12月のDPの登場によりAWSアカウントに統制を掛ける幅が広がりました。・ AWS Organizationsで利用できるポリシーのサンプルを作成しています。　SCPs、RCPs、DPをそれぞれ適用できるようにしています。 https://github.com/midnight480/sample-aws-organization-policy 　 SCPs RCPs DP 対象 IAM User/Roleなどアクセス制御リソースに対するアクセス制御予め定義されたリソースベースラインサービスロールに対する制御対象外対象外対象エラーメッセージのカスタム不可不可可能