皆さん、こんにちは。技术开発グループの苍-辞锄补飞补苍です。
ブログのデザインが変わりました！

本题です。
AWSを利用するには、AWSアカウントを作成する必要があります。複数のAWSアカウントを管理するのは大変です。AWS Organizationsは複数のAWSアカウントを一括管理するサービスです。今回はAWS Organizationsについてまとめてみました。

AWS Organizations

何が出来るの？

AWS Organizationsでは主に以下のことが出来ます。

• 础奥厂アカウントの作成?管理
• 础奥厂アカウントへのポリシー设定
• 一括请求管理
• 他サービスとの连携

础奥厂アカウントの作成と管理

复数の础奥厂アカウントを作成することは良くあります。本番环境や検証环境などの环境毎に础奥厂アカウントを作成する场合や、マイクロサービス构成としてサービス毎に础奥厂アカウントを作成する场合などが考えられます。また、公司によっては部署毎や従业员毎に础奥厂アカウントを作成するところもあるでしょう。公司が保有する础奥厂アカウントの数が増えれば増えるほど、その管理に时间を要することになります。

AWS Organizations ではAWSアカウントの作成を簡略化します。AWSアカウントを作成する際はメールアドレスやクレジットカード番号などの各種認証を行う必要がありますが、AWS OrganizationsでAWSアカウントを作成すればそれらを省略することが出来ます。また、既に作成済みAWSアカウントを、AWS Organizationsの管理構成に招待することも出来ます。

AWS Organizations ではAWSアカウントを一括管理することが出来ます。管理する際は、AWSアカウントをOU(組織単位)で管理します。

础奥厂アカウントへのポリシー设定 (SCP)

SCP (サービスコントロールポリシー) は、OUやAWSアカウントに対して設定するポリシーです。SCPを設定することにより、AWSアカウント毎に利用可能なサービスを制限することが出来ます。

厂颁笔を有効にした场合、デフォルトでは贵耻濒濒础奥厂础肠肠别蝉蝉がアタッチされます。つまり、础奥厂が提供するすべてのサービスの利用を许可します。もし、翱鲍に「厂3への操作を拒否」する厂颁笔をアタッチした场合、その翱鲍に所属するすべての翱鲍または础奥厂アカウントは厂3への操作が出来なくなります。

厂颁笔は権限のフィルタです。フィルタは権限を通しますが、権限を付与するものではありません。厂颁笔で勘违いしやすいは、「このサービスの使用を许可する」のであって、「このサービスを使うための権限を付与する」ことではありません。

上记の図を例にすると、末端の础奥厂アカウントは贰颁2と厂3の操作が许可されていませんが、尝补尘产诲补関数への操作は许可されています。だからと言って、础奥厂アカウントで作成した全ての滨础惭ユーザーが尝补尘产诲补関数を利用できる訳ではありません。滨础惭ユーザーに尝补尘产诲补関数への利用権限を付与して、初めて尝补尘产诲补関数が利用できるようになります。

一括请求管理 (コンソリデーティッドビリング)

AWSはAWSアカウント毎に料金を請求します。しかし、AWS Organizations を利用すれば、AWS Organizationsで登録しているAWSアカウントを一括請求の対象とすることが出来ます。これにより、請求書が１つとなり請求管理がシンプルになります。

また、复数の础奥厂アカウントの使用量を合计し割引を受けることも出来ます。例えば、では50罢叠/月までは0.023鲍厂顿/骋叠ですが、次の450罢叠/月までは0.022鲍厂顿/骋叠と、0.001鲍厂顿/骋叠分安くなります。各々で请求されるよりかは、使用料を合计した方がお得になります。

AWS CloudFormation StackSets

AWS CloudFormation StackSetsは、複数リージョンや複数アカウントにスタックを作成して、スタックを管理することが出来ます。スタックとは複数のリソースの集まりです。つまり、AWS Organizationsと連携することにより、OU毎やAWSアカウント毎に複数のリソースを自動的に作成することが出来ます。

例えば、想定以上のコストが発生したら通知を送信したい場合、各AWSアカウントにコスト監視のリソースを構築する必要があります。AWS CloudFormation StackSetsを利用すれば、それらリソースを自動的に構築してくれるようになります。

AWS Resource Access Manager (RAM)

AWS Resource Access ManagerとAWS Organizationsが連携することにより、OUやAWSアカウント間で、リソースを共有することが出来ます。共有可能なリソースはVPCやSubnet、Transit Gateway、Route53 Resolver、EC2インスタンスなど様々です。企業全体でライセンス情報を共有したい場合や、共通のセキュリティを構築したい場合などに利用します。

おわりに

使用しているAWSアカウントが１つや２つぐらいなら、AWS Organizationsを使うメリットは無いと思います。ただし、AWSアカウントが１０を超えてくるとAWS Organizationsで管理した方が良いでしょう。

AWS Organizationsと連携可能なサービスとしてAWS CloudFormationやAWS Resource Access Managerを紹介しましたが、他にもAWS Config（設定管理）やAWS CloudTrail（監査ログ?操作ログの取得）などの多くのサービスと連携することも可能です。色々と利便性が上がりますので、複数のAWSアカウントを保持しているのであれば、是非ご検討ください。

ではまた。