AWS認定ソリューションアーキテクト – プロフェッショナルに合格するまで【管理&ガバナンス篇】

AWS認定ソリューションアーキテクトプロフェッショナル試験合格に向けての資料集。以下の資料を何度も読み込んで、手を動かしながら実践を繰り返すことが合格の近道となる。管理ガバナンス に関するサービスはこちら。

カテゴリ サービス名
コンピューティング EC2, ECS, Lambda, Batch, Elastic Beanstalk
ストレージ S3, EFS, Storage Gateway
データベース RDS, DynamoDB, ElastiCache, Redshift
移行と転送 Database Migration Service, Application Discovery Service, Migration Hub, Server Migration Service, Snowball
ネットワーク VPC, CloudFront, Route53, API Gateway, Direct Connect
開発者用ツール CodeCommit, CodeBuild, CodeDeploy, CodePipeline
管理とガバナンス Organizations, Config, CloudWatch, Auto Scaling, CloudFormation, CloudTrail, Config, OpsWorks, Systems Manager
分析 Athena, EMR, CloudSearch, Elasticsearch, Kinesis, QuickSight
セキュリティとコンプライアンス IAM, RAM, Cognito, GuardDuty, Inspector, CloudHSM, AD&SSO, WAF&Shield
モバイル Amplify, Mobile Hub
アプリケーション統合 SNS, SQS

AWS Organizations(1)Organizationsの概要

AWS Organizations

AWS Organizationsは、 複数のAWSアカウントを統合 するためのアカウント管理サービス。 ビジネスの予算、セキュリティ、コンプライアンスのニーズを満たす 以下の機能が備わっている。

  • アカウントの一元管理
  • 一括請求
  • アカウントのグループ( OU )化
  • アカウント毎の アクセスコントロール
  • タグの標準化
  • AIと機械学習サービスがデータを収集/保存する方法を制御
  • 自動バックアップポリシーの使用
  • IAMの統合

これらの機能を実現するために、AWS Organizationsは以下のAWSサービスと連携している。

サービス名 有効化 実現できること
AWS IAM 不要 サービスアクティビティ による 最終アクセス時間の確認
AWS Artifact 必要 組織契約 による 契約の受諾
AWS CloudTrail 必要 組織の証跡 による 証跡の組織への適用
AWS CloudWatch Events 不要
AWS Config 必要 アグリゲータ による 集約ビュー の表示
AWS Control Tower 不要
AWS Directory Service 必要
AWS Firewall Manager 必要 AWS Firewall Manager による WAFルールの管理
AWS ライセンスマネージャー 必要
AWS RAM 必要
AWS Service catalog 必要
Service Quotas 不要
AWS シングルサインオン 必要
AWS System Manager 必要 Systems Manager Explorer によるデータの同期
タグポリシー 必要

AWS Organizationsを有効化すると、複数のAWSアカウントを一括管理することができる。それぞれのアカウントは、ルートを親として 組織単位 (OU)ごとに分類することができる。アカウントは、 管理アカウント (=ルート)と メンバーアカウント に分かれ、管理アカウントにはメンバーアカウントを管理するための様々な権限が付与される。AWS Organizationsの全ての機能を有効化することも、 一括請求機能のみを有効化 することもできる。各OUもしくはアカウント単位に、 サービスコントロールポリシー と呼ばれる各アカウントが持つ権限を明示したポリシーを適用することができる。 サービスコントロールポリシーとタグポリシーは、デフォルトでは無効化されている ので、利用する場合は有効化する。

ベストプラクティス

管理アカウントのベストプラクティス

管理アカウントにはSCPが適用されない ため CloudTrailだけを有効化 し、それ以外のAWSリソースは保有しない。また、管理アカウントのrootユーザのメールアドレスには、 マネージャーを宛先に含むグループメールを指定 する。このrootユーザの パスワードは長くて複雑なものを使用 し、 定期的に変更せずにその内容を金庫に保管、もしくはマネージャーが保管、パスワード管理ツールで保管 する。rootユーザは、MFAの使用を有効した上で、 そのアクセス方法とアクセスのログの記録方法を定める 。管理アカウントに登録する電話番号用に、 専用のSIMカードとデバイスを用意 し、こちらもそのアクセス方法とアクセスのログの記録方法を定める。アカウントへのアクセスや認証情報の 使用方法やリセット方法を定めた上で、定期的にレビュー を行う。

メンバーアカウントのベストプラクティス

メンバーアカウントのrootユーザにも、「グループメールアドレスの指定」「複雑なパスワードの使用」「MFAの有効化」を行う。また、 電話番号は管理アカウントと同一のものを指定 する。アカウントへのアクセスや認証情報の 使用方法やリセット方法を定めた上で、定期的にレビュー を行う。さらに SCPを使用して、メンバーアカウントのrootユーザが実行できることを制限 する。

組織とアカウント

組織

組織を作成する際に、全ての機能を有効化する(奨励)か、課金機能のみ有効化するかを選択することができる。全ての機能を有効化する場合には、各メンバーアカウントに、 AWSServiceRoleForOrganizations ロールが必要となる。また、全て機能を有効化した場合は、 課金機能のみの有効化に戻すことはできない

組織にアカウントを追加するには、

  • メンバーアカウントを新規で作成
  • 既存のAWSアカウントを招待

のいずれかを選ぶことができる。 組織を作成した際、管理アカウントに登録されているメールアドレス宛に確認のメールが送信される 。AWS Organizationsが持つことのできる管理アカウントは1つのみである。 管理アカウントはサービスコントロールポリシーの影響を受けない 。Organizationsを削除すると復元できず、またポリシーも削除される。削除する際には、 全てのメンバーアカウントを消去する必要 がある。

Organizationsに参加したメンバーアカウントでは、サービスコントロールポリシーやタグポリシーが即座に適用され、またサービスの信頼を有効化している場合は、そのサービスからメンバーアカウントに対してアクションを実行することが許可される。また、Organizations内で新規のメンバーアカウントを作成することもできる。

アカウント

メンバーアカウントを新規で作成した場合は、 ルートアカウントと AWSServiceRoleForOrganizations ロール、 OrganizationAccountAccessRole が作成 される。一方で、既存のAWSアカウントを招待した場合には、 AWSServiceRoleForOrganizations ロールのみが作成される。既存のAWSアカウントを招待した場合でも、運用の統一性を考慮して、 OrganizationAccountAccessRole ロールを作成することが望ましい。

新規でメンバーアカウントを作成すると、 アカウント名や電話番号などの情報が管理アカウントからコピー される。また、 rootアカウントのパスワードが自動作成されるが、これを取得することはできない 。このパスワードを取得するためには、パスワードの回復プロセスを実行する必要がある。

組織に属する アカウントの一覧はCSVファイルでエクスポートすることができる

メンバーアカウントを新規で作成した場合は、作成から7日以降に組織から削除することができる 。また、メンバーアカウントが組織を離れると全てのタグが削除される。アカウント自体を閉鎖する場合には、 rootユーザのパスワードを取得した上でアカウントの閉鎖処理を行う。

OU

OUは最大5レベルの深さまでネスト できる。OUは名前の変更、タグ付け、アカウントとの紐付け、削除が可能。

組織ポリシー

組織にはサービスポリシーと管理ポリシーが存在する。 ポリシーはルート, OU, アカウントに関連づけることができルートもしくはOUに紐づけられたポリシーは、そのOUもしくはその下にあるOUが継承 する。

ポリシーの継承

サービスポリシーの場合、フィルタのように振る舞うため、 上位のSCPにDeny構文があった場合、下位のSCPでそのサービスを許可することはできない 。拒否リストの場合は、まず全てのサービスが許可されていて、不要なサービスを明示的に拒否する。 拒否リスト戦略は、AWSのサービスが追加された場合でもメンテナンスが不要 である。 許可リストの場合は、デフォルトのFullAWSAccessを削除して暗黙的なDenyを適用 し、必要なサービスのみを許可したSCPをアタッチする。

How SCP Permissions Work

管理ポリシーの場合、構文内に 継承演算子 が含まれており、これに従った動作を行う。継承演算子には、 @@assign, @@append, @@remove が存在する。

サービスポリシー( SCP

サービスポリシーは、 最大で使用できるアクセスの権限を各アカウントに対して指定できる機能 。Organizationsの全ての機能を有効化した場合に使用できる。 メンバーアカウントのルートユーザにも適用されアカウントに与える影響が非常に大きいため、適用する際には詳細なテストが必要である。IAMのサービスアクティビティに表示される、各アカウントの最終アクセス時刻を参考にポリシーの内容を決定することが望ましい。

サービスポリシーは以下のタスクには影響しない。

  • 管理アカウント
  • Service-linked Role
  • ルートユーザの認証
  • サポートプランの変更
  • CloudFrontの一部機能

サービスポリシーは、IAMポリシーとほぼ同じ構文を使用する。 Principal, NotPrincipal, NotResource は使用できない。複数のポリシーが適用されている場合は、明示的なDenyがAllowよりも優先される。ポリシーの例は、 サービスコントロールポリシーの例 を参照のこと。

管理ポリシー

AIサービスのオプトアウトポリシー は、Amazon CodeGuru Profiler、Amazon Comprehend、Amazon Lex、Amazon Polly、Amazon Rekognition、Amazon Textract、Amazon Transcribe、Amazon TranslateなどのAIサービスで行われるサービス改善のためのコンテンツ保存のオプトアウトを設定できる。

バックアップポリシー は、AWS Backupを使用したバックアップのルール(バックアップの頻度、バックアップが発生する時間枠、バックアップするリソースを含むAWSリージョン、バックアップを保存するボールト)を指定できる。

タグポリシーは、タグキーおよびタグ値の大文字と小文字の処理方法の設定などを規定することができる。デフォルトでは、タグポリシーへのコンプライアンスの強制はされない。強制をサポートするAWSサービスは 強制をサポートするサービスとリソースタイプ を参照のこと。

参考リンク