AWS Organizations
マネージドサービス部 佐竹です。本ブログでは「AWS Resource Explorer のマルチアカウント検索機能を組織で有効化する手順」をステップバイステップでご紹介すると共に、使い勝手についての所感を記載しています。
マネージドサービス部 佐竹です。2024年10月の最新版として、AWS Organizations における複数の組織ポリシーについて解説しつつ、過去説明した SCP の継承について最新の情報をお伝えします。特に「SCP は継承という用語を利用しなくなった」という点を深掘…
カスタマーサクセス部の井出です。 AWS Organizations 環境で AWS Security Hub を一元管理するための「中央設定」を設定する手順を記載します。 中央設定とは 設定手順 マネジメントアカウントでの作業 1. 統合 1-1. CloudShell を起動し、下記コマンドを実…
マネージドサービス部 佐竹です。マルチアカウント環境下において「AWS User Notifications」と「AWS Chatbot」を用い、お手軽に全 AWS アカウントの AWS Health の情報集約と Slack への通知が可能です。本ブログではその実装方法をステッブバイステップで…
マネージドサービス部 佐竹です。本ブログでは AWS Systems Manager クイックセットアップを利用してデフォルトホスト管理設定（Default Host Management Configuration setting）を AWS Organizations 全体で利用する際の具体的なセットアップ方法をステッ…
マネージドサービス部 佐竹です。本ブログでは、AWS のホワイトペーパー「Organizing Your AWS Environment Using Multiple Accounts」の「Recommended OUs and accounts」において、11個目の推奨 OU として新たに追加されました「Business Continuity OU」…
現地時間 2024年6月7日 に新しくリリースされた AWS Organzations の管理アカウントからメンバーアカウントの root メールアドレスを変更できるようになった機能を試してみるとともに影響範囲を確認してみた記事です。
エンタープライズクラウド部の山下(祐)です。 AWS Organizations環境下で、複数のアカウントを特定のOUに一括で移動させたかったので、簡単なスクリプトを組んで移動させてみました。 今回の環境 今回は、以下のような条件下で移動を行います。 Organization…
エンタープライズクラウド部の山下(祐)です。 今回は、AWS Config Rules（以下、Configルール）で一定期間利用の無いIAMユーザーを検知し、修復アクションでAWSDenyAllポリシーをアタッチ＆管理者へのメール通知を行ってみたいと思います。 また、CloudForma…
はじめに こんにちは。エンタープライズクラウド部の脇江です。 今回は Organizations 環境でデフォルトセキュリティグループのルールを自動的に無効化する方法について記載します。 はじめに 対象読者 デフォルトセキュリティグループとは？ デフォルトセキ…
IAM Identity Center において新たにアカウントインスタンスの提供が開始されていますが、その違いと、お客様からのお問い合わせを受けて認識した注意点についてまとめました
カスタマーサクセス部 岡部です。AWS Organizations を利用したマルチアカウント環境にて S3 バケットのレプリケーション設定の方法を記載しております。
こんにちは！ エンタープライズクラウド部技術2課の日高です。 今回はマルチアカウントへの「権限集約のポイントと必要な移行ステップ」についてブログを記載しようと思います。 はじめに マルチアカウントにおけるユーザー認証方法の選択基準 マルチアカウ…
現在は、以下の機能をご利用いただくのが最適です。 こんにちは。AWS CLIが好きな福島です。 はじめに 背景 それぞれの機能で出来ること 最適な実装について 注意点 その他の実装例について 終わりに はじめに 今回はマルチアカウント環境下におけるSecurity…
カスタマーサクセス部 岡部です。AWS Organizations を利用したマルチアカウント環境にて StackSets の失敗を EventBridge で検知し、AWS Chatbot へ通知する方法を記載しております。
マネージドサービス部 佐竹です。Amazon GuardDuty の検出結果をクロスアカウントアクセスして S3 バケットに保存する設定を行う際に、少々権限まわりでハマったため、その解決方法について詳細に記載しました。Amazon S3 のアクセス権に関するざっくりとし…
エンタープライズクラウド部の松田です。こんにちは。 今回はマルチアカウント環境での AWS Security Hub の通知についてです。 はじめに シングルアカウントでの実装方法 マルチアカウントでの実装方法 イベントパターンのサンプル まとめ 参考記事 はじめ…
こんにちは。技術課の加藤ゆです。 久しぶりブログを書きました。最近は30度近い日が続いて、アイスコーヒーがおいしい季節ですね。 本記事では、単一リージョンでのGuardDuty有効化手順を記します。 Organizations環境では、 組織内のすべてのアカウントへ …
こんにちは！エンタープライズクラウド部技術2課の日高です。 特定リージョン以外の操作をSCPで制限した場合、グローバルサービス（検証ではS3を利用しました）のマネジメントコンソールでの表示はどうなるのか気になったので調べてみました。 気になったこ…
3月よりIE課（インターナルエデュケーション課） に異動しました山﨑です。 今回はAWS Organizations における「アクセス統制」について整理してみます AWS Organizations におけるアクセス統制 AWS Organizations のおさらい アクセス統制について ①IAM方式…
3月よりIE課（インターナルエデュケーション課） に異動しました山﨑です。 今回はマルチアカウント環境でAWS Service Catalog を利用する方法について整理していきます。 先に結論 おさらい AWS Service Catalog とは 想定しているマルチアカウント環境につ…
3月よりIE課（インターナルエデュケーション課） に異動しました山﨑です。 今回はAWS Organizations でよく利用される「統合」と「委任」について整理してみます AWS Organizations のおさらい AWS Organizations の統合と委任 概要 サポートしているAWSサ…
3月よりIE課（インターナルエデュケーション課） に異動しました山﨑です。 最近は一気に気温が高くなり、我が家で生活しているフレンチブルドッグがバテ気味なのでそろそろクーラーを付けようか悩んでいます。 さて、昨今AWS Organizations を用いたマルチ…
3月よりIE課（インターナルエデュケーション課） に異動しました山﨑です。 サウナブームが到来しているせいか、毎週通っているサウナの人が徐々に増えてきて困っております さて、今回はAWS Organizations におけるSCP設計のポイントを整理してみようと思い…
EC部 技術1課の松田です。こんにちは。 今回はAWS Control TowerがやってくれるAWS Configの設定と、やってくれない設定についてお話しします。やってくれない設定についてはどうすればよいのか？という話にも触れていきたいと思います。 なおタイトル詐欺の…
カスタマーサクセス部 佐竹です。本ブログでは、AWS Organizations を利用したマルチアカウント統制下における、Savings Plans の購入戦略について解説します。また3つの戦略においてはそれぞれ環境概略図を掲載し、さらに各注意点も合わせて記載していきま…
こんにちは！ CS課でOJTをしていた日高です！ AWS Organizationsを利用していてセキュリティサービスの無効化・削除を拒否したい場合ってよくあるケースだと思います。 本記事ではOJT期間中に検証する機会があった IAM Access Analyzer、AWS Security Hub、A…
2022年9月よりサーバーワークスにジョインしましたCI2部2課の三角です。 今回はAWS Backupのバックアップポリシーを使ってOrganizationsのOU配下のバックアップを取得したいと思います。 具体的な作業内容はOrganizationsの管理アカウントでAWSBackupのバッ…
CI2-1の松田です。こんにちは。 今日はあまり知られていないであろうAWS Configの「リトライ」の挙動についてお話します。 知らないとハマるかも？というところですので、特にマルチアカウントでAWS Configを使われている方は、最後までお付き合い頂ければ幸…
カスタマーサクセス部 佐竹です。2022年11月28日、ついに Amazon VPC Reachability Analyzer が AWS Organization に対応し AWS アカウントを跨いだ到達可能性分析に対応しました。実際にハマってしまったポイントを含めて本アップデートについて解説します。
CI2部 技術2課の山﨑です。 先日ブログを書いたAWSリソースのタグ設計 - 基礎編- ではタグ設計に関する基礎知識を整理して考えてみましたが、今回はもう一歩踏み込んでアカウント設計のパターンごとにタグ設計について考えてみました。 検討したアカウント設…
CI2部 技術2課の山﨑です。 AWSリソースを設計する際に一度は目にしたことがある「タグ」の設定ですが、多くのAWSリソースではオプションとしてタグが付与できるようになっています。 今回はAWSリソースのタグ設計について考えてみました。 AWSリソースにお…
CI2部 技術2課の山﨑です。 AWS OrganizationsのSCPを利用する際、一からポリシー設計をするのは簡単ではありません。 それはSCPはIAM Policyとは用途が異なることが多い（拒否リスト、AWSアカウント全体のアクセス統制として利用することが多い）ため、同じ…
CI2部 技術2課の山﨑です。 複数のAWSアカウントならびに複数のリージョンにワンオペレーションでAWSリソースをデプロイすることができるCloudFormation StackSetsはとても便利で、マルチアカウント運用をしている場合は重宝されている方もいらっしゃるので…
CI2部の山﨑です。 IAMドキュメントの更新履歴を見る機会があり、そこでアクセスポリシーの評価ロジックが更新されていましたので、その点について簡単にご紹介させて頂きます。 はじめに 変更点 更新前 更新後 各種アクセスポリシーについて 拒否の評価（明…
CI2部 技術2課の山﨑です。 4月27日にIAM Policy の Condition要素で利用可能なGlobal Condition Key が3つ追加されるというアップデートがありました。 aws.amazon.com 今回はこのアップデートで一体何が便利になったのかを一部ご紹介します。 Global Condi…
はじめに 高橋 (ポインコ兄) です。 今回は Terrafoarm で AWS Single Sign-On (SSO) を作成してみます。 AWS SSO の基本的な部分については、以下ブログが参考になると思います。 blog.serverworks.co.jp また、Terraform についてはこちらをどうぞ。 blog.…
大文字化コンプライアンスって？ 実際にやってみた 大文字化コンプライアンスあり 大文字化コンプライアンスなし まとめ こんにちは！技術2課濱岡です。 最近はピクミンブルームにハマって散歩ばかりしてます！ さて、今回は小ネタです。 大文字化コンプライ…
営業部 佐竹です。本日は、Amazon S3 のコスト最適化に役立つツールである Storage Lens を組織単位で有効化する方法を記載します。
こんにちは。AWS CLIが好きな福島です。 はじめに 利用するコマンド,サブコマンド <command> <subcommand> Organizations周り describe-organization ①OrganizationsID,機能セット,AWSアカウントID,メールアドレス アカウント関連 list-accounts ①AWSアカウント名,ID,ステータス ②</subcommand></command>…
こんにちは。AWS CLIが好きな福島です。 はじめに 結論 構成図 Foundation OU とは Suspended OU とは 導入した理由 ①RootにアタッチできるSCPの擬似的な制限緩和 補足 ②CloudFormaion StackSetsのエラー回避 補足 ポイント 備考 終わりに はじめに 今回は、…
最近ランニングを始めたCI部2課の山﨑です。 今回はOrganizationsを用いたAWS環境を構成する上で、主要なセキュリティサービスを組織で一括で有効化する方法を整理しました。 はじめに Organizations組織への展開イメージ セキュリティサービスの設定方法一…
CI部 佐竹です。本日は、AWS Organizations に統合された AWS Config をメンバーアカウントに委任した後、AWS Config アグリゲーターを活用したデータ集約の設定方法について記載します。AWS Config Rules の状況を組織（Organization）でまとめて閲覧された…
CI部 佐竹です。 本日は AWS Organizations の SCP を活用し、ジャンプアカウント以外のアカウントで「マネジメントコンソールにログイン可能な IAM ユーザ」の作成を組織レベルで禁止してみます。
CI部 佐竹です。 本日は、AWSのホワイトペーパー（白書）を読みながら、AWS Organizations の OU に関するベストプラクティスを学びたいと思います。 はじめに Organization (組織) SCP (サービスコントロールポリシー) エンティティ Root OU (organizationa…
こんにちは。AWS CLIが好きな福島です。 はじめに 結論 注意点 ①SCP適用前のAWSアカウントが対象 ②全AWSアカウントが対象 SCPのポリシー 解説 ①自動割り当てパブリック IPを有効にした場合、EC2を作成させない制限 自動割り当てパブリック IPを無効にしなけ…
2021年6月の時点で、我々が通常使っているAWSアカウントには21リージョンが存在します。 しかし、多くの人が実際に使っているリージョンは数個ではないでしょうか。 AWS Organizations の SCPを利用し、特定リージョンのみ利用可とする方法を試したので紹介…
お久しぶりです。 クラウドインテグレーション部 柿﨑です。 IAMには属性ベースのアクセスコントロール(以下、ABAC)というものがございます。 ドキュメントを読んだだけではちゃんと理解できているか怪しいため、今回は触りながらABACの挙動を確認してみよう…
SRE部佐竹です。 今回は、AWS Organizations で AWS アカウントを新規に払い出ししたときに、その通知を送りたいという要望に対応します。実装方法は簡単で SNS と CloudWatch Events を設定するだけで、CloudTrail の API をフックして通知が可能です。
SRE部 佐竹です。 今回は AWS Trusted Advisor の新機能 Organizational view を活用し、組織内の全AWSアカウントまとめて Trusted Advisor の結果を取得後、分析を行います。 はじめに Organizational view を利用する Organizational view の結果を確認す…
