ビジネス成長を阻害しないために新しく AWS アカウントを作成した人がやるべきこと

© 2025, Amazon Web Services, Inc. or its affiliates. All
rights reserved. © 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. ビジネス成⻑を阻害しないために新しく AWS アカウントを作成した⼈がやるべきこと北川友稀 Solutions Architect 2025/01/30 2025 クラウドガバナンスはこう変わる︕ マルチアカウント運⽤のre:Invent最新情報と活⽤例

rights reserved. 2 ⾃⼰紹介北川友稀アマゾンウェブサービスジャパンソリューションアーキテクト ISV/SaaS ビジネスを展開されているお客様を中⼼にご⽀援しています。好きな AWS サービス AWS Control Tower AWS Config AWS Lambda

rights reserved. 3 本セッションについてお伝えする内容 1. マルチアカウント管理の重要性とやるべきこと 2. 管理アカウントは使わないお願いしたいこと 1. ご⾃⾝の AWS 環境の状態との差分を確認（チェックリスト） 2. 聞いていただく姿勢 • NG: マルチアカウント管理は⼤変... OK: マルチアカウント管理で楽になる︕ （＝ビジネス成⻑を阻害しない）

rights reserved. 6 • 様々なサービスを利⽤するための区画 • 複数ユーザで利⽤できる • 複数所有し環境を分離できる AWS アカウント AWS アカウントとは

rights reserved. 7 課⾦の分離セキュリティ境界リソースの分離 (※クォータを含む） AWS アカウントが実現すること

rights reserved. 8 開発環境検証環境本番環境シングルアカウントで構成した場合… プロダクト A 開発環境検証環境本番環境プロダクト B 開発環境検証環境本番環境プロダクト C

rights reserved. 開発環境検証環境本番環境シングルアカウントで構成した場合… プロダクト A 開発環境検証環境本番環境プロダクト B 開発環境検証環境本番環境プロダクト C tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = B tag: product = A tag: product =B tag: product = A tag: product = B tag: product = A tag: product = C tag: product = A tag: product = C tag: product = A tag: product = C 9

rights reserved. 開発環境検証環境本番環境シングルアカウントで構成した場合… プロダクト A 開発環境検証環境本番環境プロダクト B 開発環境検証環境本番環境プロダクト C tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = B tag: product = A tag: product =B tag: product = A tag: product = B tag: product = A tag: product = C tag: product = A tag: product = B tag: product = A tag: product = C オペレーションミス ︕ 10

rights reserved. 開発環境検証環境本番環境シングルアカウントで構成した場合… プロダクト A 開発環境検証環境本番環境プロダクト B 開発環境検証環境本番環境プロダクト C tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = B tag: product = A tag: product =B tag: product = A tag: product = B tag: product = A tag: product = C tag: product = A tag: product = B tag: product = A tag: product = C オペレーションミス ︕ クォータ浪費 ︕ 11

rights reserved. 開発環境検証環境本番環境シングルアカウントで構成した場合… プロダクト A 開発環境検証環境本番環境プロダクト B 開発環境検証環境本番環境プロダクト C tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = B tag: product = A tag: product =B tag: product = A tag: product = B tag: product = A tag: product = C tag: product = A tag: product = B tag: product = A tag: product = C オペレーションミス ︕ クォータ浪費複雑な権限管理 ︕ ︕ 12

rights reserved. 開発環境検証環境本番環境シングルアカウントで構成した場合… プロダクト A 開発環境検証環境本番環境プロダクト B 開発環境検証環境本番環境プロダクト C tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = B tag: product = A tag: product =B tag: product = A tag: product = B tag: product = A tag: product = C tag: product = A tag: product = B tag: product = A tag: product = C オペレーションミス ︕ クォータ浪費 ︕ ︕ セキュリティイベント波及 ︕ 複雑な権限管理 13

rights reserved. 開発環境検証環境本番環境シングルアカウントで構成した場合… プロダクト A 開発環境検証環境本番環境プロダクト B 開発環境検証環境本番環境プロダクト C tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = A tag: product = B tag: product = A tag: product =B tag: product = A tag: product = B tag: product = A tag: product = C tag: product = A tag: product = B tag: product = A tag: product = C オペレーションミス ︕ クォータ浪費 ︕ ︕ セキュリティイベント波及 ︕ 複雑な権限管理 14 いつか運⽤・管理がツラくなる

rights reserved. • 開発環境の設定ミスにより、強い権限が奪取され本番環境に意図しないアクセス 15 シングルアカウント構成のビジネス阻害例 ➡ セキュリティイベントの対応、レピュテーションリスク • オペレーションミスにより、他プロダクトの本番環境を変更 ➡ 障害発⽣による SLA 未達、個⼈情報漏洩 • 開発環境の負荷試験でクォータを消費し、本番環境で Rate Limit Exceed エラーが頻発 ➡ クレーム対応、機会損失 • タグの付け間違いにより、タグ付替や配賦のやり直し ➡ ⼯数消費 ※ 原因によるため、必ずしもシングルアカウント構成起因とは限りません

rights reserved. ※ VPC = Amazon Virtual Private Cloud VPC VPC VPC VPC VPC VPC VPC VPC 従来はネットワーク単位で環境を区切っていたが・・・ AWSアカウント単位で区切ることを推奨＝ AWSのベストプラクティス⾃体が変遷してきただから、マルチアカウント構成プロダクト A 開発環境プロダクト A 検証環境プロダクト A 本番環境プロダクト B 開発環境プロダクト A 開発環境プロダクト A 検証環境プロダクト A 本番環境プロダクト B 開発環境 16

rights reserved. ベストプラクティスに基づく AWS 環境を数クリックでセットアップ • ベストプラクティスに基づく AWS 環境 • 数クリックで利⽤開始 • 無償で利⽤可能 17

rights reserved. AWS Control Tower に興味を持った⽅へ以下のセッションタイトルで検索︕ (※ 各タイトルにリンクあり） • AWS Builders Online シリーズ • 『AWS Control Tower で始めるはじめての AWSアカウント管理』（初⼼者向け） • AWS Blackbeltシリーズ • 『AWS Control Tower 基礎編』 • 『AWS Control Tower 機能紹介編』 • 『AWS Control Tower ⼿順編 AWS Control Tower の有効化』 18

rights reserved. 20 資料に登場する AWS サービスの概要 AWS IAM Identity Center • 複数の AWS アカウントに対するシングルサインオンを提供 AWS Config • AWS リソースの設定を記録し、評価および監査 AWS CloudTrail • 「誰が」「いつ」「どこから」「何を」したのか（監査ログ）を記録 AWS Cloudformation • AWS リソースの Infrastructure as Code を実現 AWS Organizations • マルチアカウントを⼀元管理

rights reserved. 21 資料に登場する AWS サービスの概要 AWS Security Hub • セキュリティ検出結果の集約 Amazon GuardDuty • AWS アカウントとワークロードの継続的モニタリングによる脅威検出

rights reserved. 22 AWS Organizations 関連の⽤語管理アカウント (Payer アカウント） root 開発環境 OU 本番環境 OU メンバーアカウント 1 ルートユーザメンバーアカウント 2 AWS Organizations ルートユーザルートユーザ AWS Organizations ・マルチアカウントを⼀元管理・アカウント作成・OU によるグループ化・ポリシーの適⽤・⼀括請求管理アカウント・Organizations を管理する AWS アカウント・メンバーアカウントの作成・閉鎖等が可能メンバーアカウント・管理アカウント以外の AWS アカウント Organizational Unit (OU) ・AWS アカウントをグルーピング・統制の単位 ※ 上記の OU 構成を推奨している訳ではない ※ 管理アカウントも root や OU 配下に配置されるが、便宜上これらの外に記載プロダクト A OU ルートユーザ・メールアドレスとパスワードでログイン・基本的にすべてのリソースにアクセス可

rights reserved. ※ VPC = Amazon Virtual Private Cloud VPC VPC VPC VPC VPC VPC VPC VPC 従来はネットワーク単位で環境を区切っていたが・・・ AWSアカウント単位で区切ることを推奨＝ AWSのベストプラクティス⾃体が変遷してきたマルチアカウント構成プロダクト A 開発環境プロダクト A 検証環境プロダクト A 本番環境プロダクト B 開発環境プロダクト A 開発環境プロダクト A 検証環境プロダクト A 本番環境プロダクト B 開発環境 23

rights reserved. ※ VPC = Amazon Virtual Private Cloud VPC VPC VPC VPC VPC VPC VPC VPC 従来はネットワーク単位で環境を区切っていたが・・・ AWSアカウント単位で区切ることを推奨＝ AWSのベストプラクティス⾃体が変遷してきたマルチアカウント構成プロダクト A 開発環境プロダクト A 検証環境プロダクト A 本番環境プロダクト B 開発環境プロダクト A 開発環境プロダクト A 検証環境プロダクト A 本番環境プロダクト B 開発環境 24 それぞれ IAM ユーザ発⾏する︖ パスワード覚える︖ セキュリティ等の共通設定を個別に⾏う︖ 設定漏れやオペレーションミスによる設定削除の可能性は︖ ※ IAM = AWS Identity and Access Management

rights reserved. 25 ⽬指すべき状態 1. AWS アカウント作成時に、⾃動的に以下の状態を満たす A. ルートユーザが保護されている B. 「誰が」「いつ」「何を」したのかを追跡できる C. AWS リソースが、望ましくない設定になっていることに気付ける D. 共通の設定が漏れなく適⽤されている 2. 複数の AWS アカウントに適切な権限で簡単にログイン・利⽤できる 3. 管理アカウントを常⽤しないマルチアカウント管理をビジネス成⻑の阻害なく⾏うためには

rights reserved. 26 実装例 IAM ロールルートユーザ共通ログイン画⾯既存メンバーアカウント IAM ロールルートユーザ特権ユーザ (CCoE など）新規メンバーアカウント IAM ロールルートユーザ管理アカウントセキュリティアカウントログアーカイブアカウント⼀般ユーザ (開発者など）管理アカウントが必要なタスク ※セキュリティ、ログアーカイブアカウント内の IAM ロール等は省略 AWS Config GuardDuty Security Hub CloudTrail AWS Config GuardDuty Security Hub CloudTrail AWS Config GuardDuty Security Hub CloudTrail Security Hub AWS Config Amazon S3 IAM Identity Center CloudFormation AWS Organizations

rights reserved. 27 ルートユーザの保護 • ⾮常にリスクの⾼い操作を⾏える • ex. AWS アカウントの閉鎖 • ex. E メールアドレス・パスワードの変更 • 意図しないログインやオペレーションミス防⽌ AWS アカウント IAM ユーザユーザ (開発者など）ルートユーザログイン Why What to Do • 強度の⾼いパスワード、MFA を設定など • ルートユーザのベストプラクティスを参照 • IAM ユーザの利⽤ • ルートユーザは権限的に必要な時のみ利⽤ • 暫定的なユーザとして扱い、恒久的にはフェデレーションユーザ（後述）を利⽤状態 1 - A

rights reserved. 28 ⽬指すべき状態 1. AWS アカウント作成時に、⾃動的に以下の状態を満たす A. ルートユーザが保護されている B. 「誰が」「いつ」「何を」したのかを追跡できる C. AWS リソースが、望ましくない設定になっていることに気付ける D. 共通の設定が漏れなく適⽤されている 2. 複数の AWS アカウントに適切な権限で簡単にログイン・利⽤できる 3. 管理アカウントを常⽤しないマルチアカウント管理をビジネス成⻑の阻害なく⾏うためには ✅

rights reserved. 29 AWS Organizations の利⽤ • マルチアカウント管理を効率的に • さまざまな AWS サービスがマルチアカウント向け機能を提供 Why • 「組織」を作成 • 「すべての機能」を有効化 • 作成した AWS アカウントが管理アカウント（それ以外はメンバーアカウント） • Organizational Unit（OU）の作成 • AWS Organizations における組織単位のベストプラクティスブログ参照 What to Do 状態 1 - A

rights reserved. 30 メンバーアカウントのルートユーザの保護 • ⾮常にリスクの⾼い操作を⾏える • ex. AWS アカウントの閉鎖 • ex. E メールアドレス・パスワードの変更 • 意図しないログインやオペレーションミス防⽌管理アカウント（もしくは委任されたアカウント） IAM プリンシパル Why • Root access management を有効化 • 新規メンバーアカウントのルートユーザは利⽤不可となる • 既存アカウントの認証情報も削除可能 • 従来ルートユーザのみ実施できたタスクの⼀部は AssumeRoot により管理アカウントより実施可能 • ex. アクセス不可リソースのポリシー削除 What to Do メンバーアカウントルートユーザ AssumeRoot リソースポリシー削除状態 1 - A AWS Organizations Amazon S3 Amazon SQS 2025 年変わるポイント①

rights reserved. （参考）2025 年春より「Root access management」 or「メンバーアカウントのルートユーザに MFA 設定」が必須になります︕ https://aws.amazon.com/jp/blogs/news/secure-by-design-aws-enhances-centralized-security-controls-as-mfa-requirements-expand/ 31 2025 年変わるポイント②

rights reserved. 32 ⽬指すべき状態 1. AWS アカウント作成時に、⾃動的に以下の状態を満たす A. ルートユーザが保護されている B. 「誰が」「いつ」「何を」したのかを追跡できる C. AWS リソースが、望ましくない設定になっていることに気付ける D. 共通の設定が漏れなく適⽤されている 2. 複数の AWS アカウントに適切な権限で簡単にログイン・利⽤できる 3. 管理アカウントを常⽤しないマルチアカウント管理をビジネス成⻑の阻害なく⾏うためには管理アカウントもメンバーアカウントも ✅

rights reserved. 33 監査ログの取得・集約 • 「誰が」「いつ」「何を」したのか追跡する • 監査や有事の際に備える Why • CloudTrail の組織証跡作成 • マルチリージョンの証跡、整合性検証 ON • AWS Config の有効化 • すべてのリージョンで有効化 • 設定スナップショットを Amazon S3 に保存 • 保全専⽤の AWS アカウントに保存 • 必要最低限の⼈のみがアクセスする What to Do ログアーカイブアカウント Amazon S3 管理アカウントメンバーアカウントメンバーアカウント ※ Amazon Athena や AWS CloudTrail Lake 等を利⽤して調査できる状態にするのが望ましい状態 1 - B AWS Config CloudTrail AWS Config CloudTrail AWS Config CloudTrail AWS Organizations

rights reserved. 34 ⽬指すべき状態 1. AWS アカウント作成時に、⾃動的に以下の状態を満たす A. ルートユーザが保護されている B. 「誰が」「いつ」「何を」したのかを追跡できる C. AWS リソースが、望ましくない設定になっていることに気付ける D. 共通の設定が漏れなく適⽤されている 2. 複数の AWS アカウントに適切な権限で簡単にログイン・利⽤できる 3. 管理アカウントを常⽤しないマルチアカウント管理をビジネス成⻑の阻害なく⾏うためには管理アカウントもメンバーアカウントも ✅ ✅

rights reserved. 35 発⾒的統制の適⽤ • 望ましい設定であることをチェック • ex. 企業のポリシーへの準拠 • ”チェック”のみで強制しない • 開発者の作業を妨げず、アジリティは低下しない Why • チェックルールの選定・適⽤ • AWS Config ルール • AWS Control Tower のコントロール • SecurityHub のセキュリティ基準 • AWS Config Aggregator への結果集約 • ⾮準拠の通知があると Better What to Do Aggregator メンバーアカウント AWS Config パブリックアクセス⾮許可評価: 準拠メンバーアカウントパブリックアクセス許可評価: ⾮準拠 AWS Config 管理アカウント（もしくは委任されたアカウント）状態 1 - C AWS Organizations

rights reserved. 36 ⽬指すべき状態 1. AWS アカウント作成時に、⾃動的に以下の状態を満たす A. ルートユーザが保護されている B. 「誰が」「いつ」「何を」したのかを追跡できる C. AWS リソースが、望ましくない設定になっていることに気付ける D. 共通の設定が漏れなく適⽤されている 2. 複数の AWS アカウントに適切な権限で簡単にログイン・利⽤できる 3. 管理アカウントを常⽤しないマルチアカウント管理をビジネス成⻑の阻害なく⾏うためには管理アカウントもメンバーアカウントも ✅ ✅ ✅

rights reserved. 37 予防的統制の適⽤ • 望ましくない操作を禁⽌ • 望ましい設定を強制 ※開発者のアジリティ低下を避けるため必要最低限に Why • サービスコントロールポリシー (SCPs) の利⽤ • 組織全体の IAM プリンシパルに対する⼀元的なアクセス許可の制御 • リソースコントロールポリシー (RCPs) の利⽤ • 組織全体のリソースに対する⼀元的なアクセス許可の制御 • 宣⾔型ポリシーの利⽤ • 組織全体の特定の AWS サービスに設定を強制 What to Do root OU 1 OU 2 アカウント 1 アカウント 2 Polices Polices Polices 状態 1 - D AWS Organizations 2025 年変わるポイント③ 2025 年変わるポイント④

rights reserved. 38 （参考）各ポリシーのユースケース例 • サービスコントロールポリシー • 東京リージョン以外での操作を禁⽌（バージニア北部は除く） • 無効化操作禁⽌による設定の強制（AWS Config の無効化禁⽌、AWS Organizations の組織からの脱退禁⽌など） • リソースコントロールポリシー（New!） • 組織に属するプリンシパルのみにアクセスを限定 • HTTPS 接続のアクセスに限定 • 宣⾔型ポリシー（New! at re:Invent 2024） • VPC のパブリックアクセスブロック • AMI、EBS スナップショットのパブリックアクセスブロック 2025 年変わるポイント③ 2025 年変わるポイント④

rights reserved. • AWS Organizations と統合している機能を利⽤ • Amazon GuardDuty、Amazon Security Hub など • 全 AWS アカウント、全リージョンで有効化 • Cloudformation StackSets による設定の⼀元適⽤ • AWS Config など • 企業のベースラインとして定めているリソース・設定 • AWS Control Tower を利⽤している場合は、カスタマイズソリューションも候補 39 ベースラインの適⽤ • 設定のばらつき、作業漏れやミスを防⽌ Why What to Do 管理アカウント（もしくは委任されたアカウント）メンバーアカウントメンバーアカウント状態 1 - D AWS Organizations GuardDuty Security Hub GuardDuty GuardDuty Security Hub AWS Config AWS Config Security Hub CloudFormation

rights reserved. 40 ⽬指すべき状態 1. AWS アカウント作成時に、⾃動的に以下の状態を満たす A. ルートユーザが保護されている B. 「誰が」「いつ」「何を」したのかを追跡できる C. AWS リソースが、望ましくない設定になっていることに気付ける D. 共通の設定が漏れなく適⽤されている 2. 複数の AWS アカウントに適切な権限で簡単にログイン・利⽤できる 3. 管理アカウントを常⽤しないマルチアカウント管理をビジネス成⻑の阻害なく⾏うためには管理アカウントもメンバーアカウントも ✅ ✅ ✅ ✅ ✅

rights reserved. 41 フェデレーションユーザの利⽤ • 認証情報の記憶、ログイン・ログアウトが⼿間 • IAM ユーザ作成も管理⼯数が発⽣ • IAM ユーザのクレデンシャルは有効期限がなく漏洩時のリスクがある IAM ロール(Admin) ユーザログイン Why • IAM Identity Center の利⽤ • または SAML 準拠の IdP と IAM の連携 What to Do 共通ログイン画⾯ IAM ロール(Admin) IAM ロール(Admin) IAM ロール(ReadOnly) IAM ロール(ReadOnly) IAM ロール(ReadOnly) メンバーアカウントメンバーアカウントメンバーアカウント状態 2 AWS Organizations

rights reserved. 共通ログイン画⾯権限のあるアカウント⼀覧（参考）AWS IAM Identity Center の利⽤ 42

rights reserved. 43 ⽬指すべき状態 1. AWS アカウント作成時に、⾃動的に以下の状態を満たす A. ルートユーザが保護されている B. 「誰が」「いつ」「何を」したのかを追跡できる C. AWS リソースが、望ましくない設定になっていることに気付ける D. 共通の設定が漏れなく適⽤されている 2. 複数の AWS アカウントに適切な権限で簡単にログイン・利⽤できる 3. 管理アカウントを常⽤しないマルチアカウント管理をビジネス成⻑の阻害なく⾏うためには管理アカウントもメンバーアカウントも ✅ ✅ ✅ ✅ ✅ ✅

rights reserved. 44 管理アカウントを常⽤しない • メンバーアカウントの閉鎖等の特権操作が可能 • サービスコントロールポリシー等が適⽤されない • 請求や AWS アカウントの管理に特化した利⽤がベストプラクティス Why • 新しく AWS アカウントを作成する • 管理アカウントにワークロードを構築しない • すでにワークロードがある場合は、新しい AWS アカウントで組織を作成・移⾏を検討 • 委任可能な機能はメンバーアカウントへ委任 What to Do 管理アカウントメンバーアカウント特権ユーザ (CCoE など）⼀般ユーザ (開発者など）特権操作状態 3 AWS Organizations

rights reserved. 45 ⽬指すべき状態 1. AWS アカウント作成時に、⾃動的に以下の状態を満たす A. ルートユーザが保護されている B. 「誰が」「いつ」「何を」したのかを追跡できる C. AWS リソースが、望ましくない設定になっていることに気付ける D. 共通の設定が漏れなく適⽤されている 2. 複数の AWS アカウントに適切な権限で簡単にログイン・利⽤できる 3. 管理アカウントを常⽤しないマルチアカウント管理をビジネス成⻑の阻害なく⾏うためには管理アカウントもメンバーアカウントも ✅ ✅ ✅ ✅ ✅ ✅ ✅

rights reserved. 46 ⽬指すべき状態 1. AWS アカウント作成時に、⾃動的に以下の状態を満たす A. ルートユーザが保護されている B. 「誰が」「いつ」「何を」したのかを追跡できる C. AWS リソースが、望ましくない設定になっていることに気付ける D. 共通の設定が漏れなく適⽤されている 2. 複数の AWS アカウントに適切な権限で簡単にログイン・利⽤できる 3. 管理アカウントを常⽤しないマルチアカウント管理をビジネス成⻑の阻害なく⾏うためには管理アカウントもメンバーアカウントも ✅ ✅ ✅ ✅ ✅ ✅ ✅ ビジネス成⻑の阻害なし︕

rights reserved. 47 実装例（再掲） IAM ロールルートユーザ共通ログイン画⾯既存メンバーアカウント IAM ロールルートユーザ特権ユーザ (CCoE など）新規メンバーアカウント IAM ロールルートユーザ管理アカウントセキュリティアカウントログアーカイブアカウント⼀般ユーザ (開発者など）管理アカウントが必要なタスク ※セキュリティ、ログアーカイブアカウント内の IAM ロール等は省略 AWS Config GuardDuty Security Hub CloudTrail AWS Config GuardDuty Security Hub CloudTrail AWS Config GuardDuty Security Hub CloudTrail Security Hub AWS Config Amazon S3 IAM Identity Center CloudFormation

rights reserved. 48 まとめ • マルチアカウント管理は重要 • セキュリティ、リソース、請求が分離 • 2025 年こう変わる • Root Access Management を利⽤しない場合、メンバーアカウントの MFA 設定必須 • 予防的統制の選択肢追加（リソースコントロールポリシー、宣⾔的ポリシー） • AWS Control Tower の利⽤がマルチアカウント管理への近道であることは変わらない • AWS アカウントを作成した後にやるべきこと • ルートユーザを保護 • AWS Organizations で組織作成 • ガバナンスが効いた AWS アカウントを払い出す整備

rights reserved. 49 まとめ管理アカウントを常⽤しない

ビジネス成長を阻害しないために新しく AWS アカウントを作成した人がやるべきこと

ビジネス成長を阻害しないために新しく AWS アカウントを作成した人がやるべきこと

Other Decks in Technology

Featured

Transcript