Control policies for AWS Organizations
>100 Views
February 08, 25
スライド概要
Oita(1988.03) → Tokyo(2010.04) → Fukuoka(2021.11)
関連スライド
各ページのテキスト
AWS Organizationsに対する制御ポリシー Control policies for AWS Organizations 2025-02-08 JAWS-UG福岡 #jawsugfuk Copyright © Tetsuya Shibao
自己紹介 柴尾 哲也（しばお Tetsuya Shibao てつや） 大分（22年） → 東京（11年） → 福岡（2年）→ 佐賀（現 在） JAWS-UG 佐賀 運営 AWS Startup Community 運営（最近は... SAGA IT Community Day企画中 Coder Dojoさが（メンター） HAGAKURE PROGRAMMING塾 etc… JAWS-UG佐賀 #jawsugfuk AWS Startup Community 福岡 Copyright © Tetsuya Shibao
お話すること ・ 熊本での復習 ・ 個人で運用するユースケース ・ハンズオンイベントの運営 ・ 貸し出すときに注意したいこと ・ 先人たちの紹介 ・ 現在利用可能なポリシー ・ まとめ #jawsugfuk Copyright © Tetsuya Shibao
熊本での復習 ・ JAWS-UG熊本（2025/1/25）では、AWS OrganizationsとIAM Identity Centerについて話しました ・ OU（組織単位）にポリシーが適用できることについて話しました https://speakerdeck.com/midnight480/reintroduction-to-aws-multiple-account-management #jawsugfuk Copyright © Tetsuya Shibao
ハンズオンイベントの運営 ・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています ・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです （松）AWSさんにご協力をいただき、Workshop環境を用意いただく or クレジットを頂く （竹）参加者各自でAWSアカウントを保有していただく （梅）運営側でハンズオン用アカウントを展開する #jawsugfuk Copyright © Tetsuya Shibao
ハンズオンイベントの運営 ・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています ・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです （松）AWSさんにご協力をいただき、Workshop環境を用意いただく or クレジットを頂く （竹）参加者各自でAWSアカウントを保有していただく （梅）運営側でハンズオン用アカウントを展開する #jawsugfuk Copyright © Tetsuya Shibao
ハンズオンイベントの運営 ・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています ・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです （松）AWSさんにご協力をいただき、Workshop環境を用意いただく or クレジットを頂く （竹）参加者各自でAWSアカウントを保有していただく （梅）運営側でハンズオン用アカウントを展開する ・ ハンズオンアカウントを貸し出すケース ・参加者が学生などクレジットカードを保有しておらずAWSアカウントを作成できない → Vプリカ（AWSは大手クラウドの中で唯一利用できるクラウドサービス[2022年柴尾調べ]） https://vpc.lifecard.co.jp/ ・課金が発生するためクレジット（≒クーポン）保有者から提供する #jawsugfuk Copyright © Tetsuya Shibao
貸し出すときに注意したいこと ・イベントに参加する方に悪意を持って参加者はいない前提でいる ex. 重課金して貸出元のクレジットを溶かしてしまおう ・初心者が誤って高額、月額課金に関わるサービスを選択しないようにする ex. AWSサポート、Sheild Advanced（DDoS攻撃を人的にチェック）...etc #jawsugfuk Copyright © Tetsuya Shibao
先人たちの紹介 ・SCPに関する記事を書いている先人の一例です https://www.yamamanx.com/scp-policy/ https://qiita.com/hirosys-biz/items/ecc34f8574094dc6be15 https://qiita.com/hirosys-biz/items/48d1db5fcce3bf6547ce #jawsugfuk Copyright © Tetsuya Shibao
現在利用可能なポリシー ・SCPs （Service Control Policy） サービスに対する制限 （SCPsで制限できない機能） ・管理アカウントによって実行されるすべてのアクション ・サービスにリンクされたロールにアタッチされたアクセス許可を使用して実行されるすべてのアクション。 ・root ユーザーとして Enterprise サポートプランに登録する ・CloudFront プライベートコンテンツに信頼された署名者機能を提供する ・Amazon Lightsail E メールサーバーと Amazon EC2インスタンスDNSをルートユーザーとしてリバースを設定する 一部の AWS関連サービスのタスク： ・Alexa Top Sites ・Alexa Web Information Service ・Amazon Mechanical Turk ・Amazon 製品マーケティング API ・RCPs （Resource Control Policy） リソースに対する制限 （RCPsで制限できるリソース） Amazon S3、AWS Security Token Service、AWS Key Management Service、Amazon SQS、AWS Secrets Manager ・DP（Declarative Policy） 新機能でAPIが追加されても永続的に制限 （DPで制限できるリソース） シリアルコンソールアクセス、インスタンスメタデータのデフォルト、AMIの公開、 スナップショットのパブリックアクセス、インターネットゲートウェイからのパブリックアクセス #jawsugfuk Copyright © Tetsuya Shibao
まとめ ・ AWS Organizationsは従来SCPsでのみ制限を掛けられるものでしたが、 2024年11月のRCPs、12月のDPの登場によりAWSアカウントに統制を掛ける幅が広がりました。 SCPs RCPs DP 対象 IAM User/Roleなど アクセス制御 リソースに対する アクセス制御 予め定義された リソースベースライン サービスロールに対する 制御 対象外 対象外 対象 エラーメッセージの カスタム 不可 不可 可能 ・ AWS Organizationsで利用できるポリシーのサンプルを作成しています。 SCPs、RCPs、DPをそれぞれ適用できるようにしています。 https://github.com/midnight480/sample-aws-organization-policy #jawsugfuk Copyright © Tetsuya Shibao
おしらせ 全国的に珍しい佐賀県のITコミュニティ運営支援施策を中心に、 佐賀県の方から話をいただいたり、コミュニティ間のコラボレーションを目的に、 イベントを企画、準備中です。 セッションの様子はYouTubeで配信予定ですのでよかったら見てみてください https://sitcd.vercel.app/ #jawsugfuk Copyright © Tetsuya Shibao
Thanks for your time. :) https://speakerdeck.com/midnight480 https://www.docswell.com/user/midnight480 2025-02-08 JAWS-UG福岡 #jawsugfuk Copyright © Tetsuya Shibao