AWS Organizations

【Organizations】 主要なガバナンス・セキュリティサービスを組織で一括で有効化する

最近ランニングを始めたCI部2課の山﨑です。 今回はOrganizationsを用いたAWS環境を構成する上で、主要なセキュリティサービスを組織で一括で有効化する方法を整理しました。 はじめに Organizations組織への展開イメージ セキュリティサービスの設定方法一…

AWS Config Aggregator を委任してマルチアカウント&マルチリージョンの評価を集約する

CI部 佐竹です。本日は、AWS Organizations に統合された AWS Config をメンバーアカウントに委任した後、AWS Config アグリゲーターを活用したデータ集約の設定方法について記載します。AWS Config Rules の状況を組織(Organization)でまとめて閲覧された…

SCP を活用してマネジメントコンソールにログイン可能な IAM ユーザの作成を禁止する

CI部 佐竹です。 本日は AWS Organizations の SCP を活用し、ジャンプアカウント以外のアカウントで「マネジメントコンソールにログイン可能な IAM ユーザ」の作成を組織レベルで禁止してみます。

AWSのホワイトペーパーから学ぶ AWS Organizations における推奨 OU 構成

CI部 佐竹です。 本日は、AWSのホワイトペーパー(白書)を読みながら、AWS Organizations の OU に関するベストプラクティスを学びたいと思います。 はじめに Organization (組織) SCP (サービスコントロールポリシー) エンティティ Root OU (organizationa…

【Organizations】SCPを利用して複数AWSアカウントのEC2へのパブリックIP付与を禁止する

こんにちは。AWS CLIが好きな福島です。 はじめに 結論 注意点 ①SCP適用前のAWSアカウントが対象 ②全AWSアカウントが対象 SCPのポリシー 解説 ①自動割り当てパブリック IPを有効にした場合、EC2を作成させない制限 自動割り当てパブリック IPを無効にしなけ…

AWS Organizations の SCP でリージョン制限

2021年6月の時点で、我々が通常使っているAWSアカウントには21リージョンが存在します。 しかし、多くの人が実際に使っているリージョンは数個ではないでしょうか。 AWS Organizations の SCPを利用し、特定リージョンのみ利用可とする方法を試したので紹介…

AWS SSO、AD、ABACを触ってみる

お久しぶりです。 クラウドインテグレーション部 柿﨑です。 IAMには属性ベースのアクセスコントロール(以下、ABAC)というものがございます。 ドキュメントを読んだだけではちゃんと理解できているか怪しいため、今回は触りながらABACの挙動を確認してみよう…

AWS Organizations でのアカウント新規作成を通知する

SRE部佐竹です。 今回は、AWS Organizations で AWS アカウントを新規に払い出ししたときに、その通知を送りたいという要望に対応します。実装方法は簡単で SNS と CloudWatch Events を設定するだけで、CloudTrail の API をフックして通知が可能です。

組織内の AWS Trusted Advisor の推奨をまとめて取得できる Organizational view を活用する

SRE部 佐竹です。 今回は AWS Trusted Advisor の新機能 Organizational view を活用し、組織内の全AWSアカウントまとめて Trusted Advisor の結果を取得後、分析を行います。 はじめに Organizational view を利用する Organizational view の結果を確認す…

AWS Organizations タグポリシーで組織内のタグを標準化する

SRE部 佐竹です。 本日は AWS Organizations の「タグポリシー (Tag policies)」について記載します。 タグポリシー とは、AWSサービスが生成する各リソースに付与可能なタグの標準化を各AWSアカウントに強制し、結果として「タグの入力間違い」を防ぐことが…

AWS Organizations の SCP で 設計時に気を付けるべきポイント

SRE2課 佐竹です。 AWS Organizations の SCP を設計していくうえで「ハマりやすい」ポイント(制限)をまとめました。AWS Organizations の SCP を設計する前にご一読頂けると嬉しく思います。

AWS Organizations の SCP で MFA を組織の全 IAM ユーザに強制する

SRE2課 佐竹です。 引き続き、AWS Organizations のお話です。今回は IAM ユーザにおけるMFAの強制(MFAが設定されていない状態では、極限られた動作しか実行できない)を AWS Organizations の SCP で実装する方法とその検証結果について記載しました。

AWS Organizations の SCP の継承について

SRE2課 佐竹です。 AWS Organizations のサービスコントロールポリシー(SCP) の「継承」を正しく理解できておらず、設計でハマったので調査してみました。 はじめに 用語説明 SCP(サービスコントロールポリシー) エンティティ Root OU(organizational unit…

GuardDutyのマルチアカウント設定がAWS Organizationsで少し簡単になりました

2020年4月21日のアップデートです。 Amazon GuardDuty simplifies multi-account threat detection with support for AWS Organizations Amazon GuardDutyはAWS組織のサポートを追加して、組織内のすべての既存および将来のアカウントにわたる脅威の検出を簡…

Organization内のAWS ConfigをCloudFormation StackSetsで一気に設定する

最近は1つの法人で複数AWSアカウント利用するケースが増えてきました。 AWS Configのようなサービスを有効化する場合、「リージョン数 × アカウント数」の設定が必要になります。 CloudFormationでコード化したとしても、「リージョン数 × アカウント数」を…

AWS Organizationsの社内勉強会をしました

サーバーワークス社内でAWS Organizationsの勉強会をしましたので、資料を共有します。 まだまだ私も勉強中ですが、参考になれば幸いです。 AWS Organizations from Serverworks Co.,Ltd.

OrganizationsでCloudTrailの証跡を一元管理

御社のAWSアカウントは何個ありますか。 サービス単位、部門単位などでアカウントを分けているのをよく見かけます。 IT管理者はそれらの複数アカウントに対し、ある程度の統制・監視をする必要があります。 マルチアカウントを一つの組織という単位にまとめ…

【AWS Organizationsアップデート!】SCPで柔軟な設定が可能に!- Conditionを設定して「特定のロールのみEC2の操作ができる」ようにしてみた -

こんにちは、サーバーワークスのこけしの人、坂本(@t_sakam)です。本日、Organizationsの機能アップデートが発表されました。このアップデートで、いままでざっくりとした設定しかできなかったSCP(サービスコントロールポリシー)で「Resource」や「Condi…

Organizationsを触ってみた

こんにちは、カスタマーサポート課 マツシタです。 昨年のre:Inventで発表されたOrganizationsがついにGAとなりましたね! このサービスを待ちに待っていたのは私だけじゃないはずです。 Now Generally Available – AWS Organizations: Policy-Based Managem…