ちゃだいん(@chazuke4649)です。 AWS Organizations環境で予防的ガードレールとしてSCPを利用する際に、特定のAWS SSOユーザーを制限から除外したいケースがあります。 例えば「基本的にAWS SSOでユーザー管理を行うので、IAMユーザーを作成できないようにSCPでIAMユーザー作成を禁止したい。ただし、一部の管理者だけ除外したい。」といったパターンなどが挙げられます。 うまくいかない方法 これを行う際に、最初に考えたのはAWS SSOによってユーザーアカウントに自動生成されるIAMロール(SSOユーザーの実体)のARNを使うことでした。ARNを条件キーで指定するのはよくあるパターンです。 しかしながら、このパターンだと、ユーザーアカウントが複数ある場合、IAMロールも各ユーザーアカウントごとに作成されるため、指定するIAMロールのARNがどんどん増えていき
![特定のAWS SSOユーザーのみ除外するSCPポリシー例 | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/dc28c45bef8bd0322aa905f532749cfa289fd3c7/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F05%2Faws-single-sign-on.png)