Organizations環境でConfigルールを展開する方法を確認してみた | DevelopersIO
確認してみた 前提条件 前提条件として、以下の設定は事前に行っています。 各アカウントでのConfig有効化 Organizationsの信頼されたアクセスの有効化 CloudFormation StackSets : AWS Organizations で信頼されたアクセスを有効にします。 - AWS CloudFormation Config : aws organizations enable-aws-service-access --service-principal config-multiaccountsetup.amazonaws.comの実行 CloudFormation StackSets CloudFormation StackSetsで展開する場合、ConfigルールをCloudFormationで設定する必要があります。 Configマネージドルールの場合AWSでC
AWS Organizations でシンプルかつセキュアにメンバーアカウントを閉鎖できるようになりました | Amazon Web Services
Amazon Web Services ブログ AWS Organizations でシンプルかつセキュアにメンバーアカウントを閉鎖できるようになりました AWS Organizations の管理アカウントからメンバーアカウントを閉鎖できるようになりました。 今後は AWS 環境のアカウント管理をより簡単かつ効率的に行うことができます。つまり、ルートユーザの認証情報を使用して各メンバーアカウントに個別にログインしなくても、組織の管理アカウントからメンバーアカウントを閉鎖できます。 また、Identity and Access Management (IAM) のアクセス権限ポリシーを活用して、承認された IAM ロールと IAM ユーザーのみがアカウント閉鎖を実行するようにし、環境内で重要な AWS アカウントを誤って閉鎖するリスクを防ぐこともできます。この機能は、AWS Organiz
他の AWS アカウントが Amazon SNS トピックに発行することを許可する
Amazon Simple Notification Service (Amazon SNS) トピックで、AWS Organizations の組織内の任意の AWS アカウントからのメッセージを受け付けるようにしたいと考えています。設定する方法を教えてください。 簡単な説明 Amazon SNS トピックのアクセスポリシーを設定して、組織内の任意のアカウントがトピックにメッセージを発行できるようにします。アクセスポリシーで、グローバル条件キー aws:PrincipalOrgID を含め、組織の ID を指定します。 解決方法 1. Organizations コンソールで組織の ID を探します。詳細については、「管理アカウントから組織の詳細を表示する」 を参照してください。 2. Amazon SNS コンソールでトピックを作成します。新しいトピックの Amazon リ
既存のAWSアカウントをAWS Control Towerに追加 - ヤマムギ
Account Factoryからは既存アカウントは追加できない？ AWS Control TowerのAccount Factoryの画面の解説には以下のように書いてありました。 「アカウント登録により、新しいアカウントがプロビジョニングされるか、既存のアカウントがAWS Control Towerによる管理に追加されます。 ランディングゾーンに新しいアカウントを作成する場合は、新しいEメールを指定するか、既存のEメールを指定して、既存のAWSアカウントにガバナンスを拡張します。」 既存のアカウントも追加できそうな雰囲気です。 ユーザーガイドでは、Organizationsに招待した既存アカウントをAWS Control Towerの管理下にすることができるとは書いてますが、Account Factoryから招待できるとは書いていないようです。 ですが、やってみました。 Service
TerraformでAWSアカウントを作るのは簡単だけど削除はひと手間かかったのは昔の話 | DevelopersIO
以前「TerraformでAWSアカウントを作るのは簡単だけど削除はひと手間かかる」というブログを書きました。 タイトル通り、TerraformでAWS Organizations配下のアカウントを作成するのはaws_organizations_accountリソースを定義してterraform applyするだけなのでチョー簡単ですが、削除はaws_organizations_accountリソースを削除してterraform applyするだけではだめで、色々設定が必要になって大変だという内容です。 ですが、少し前に激アツアップデートがありました。 そしてこの簡単削除機能がTerraformでも利用可能になっていることを知ったのでレポートします。 close_on_deletion flag Terraform AWS Provider v4.9.0でaws_organizations
[アップデート] AWS Organizationsでメンバーアカウントを簡単に削除できるようになりました | DevelopersIO
CloseAccount APIを使うことでAWS Organizationsのメンバーアカウントを簡単に削除できるようになりました。 ついに簡単にメンバーアカウントを削除できるようになったぞ こんにちは、のんピ(@non____97)です。 AWS Organizationsで作成したメンバーアカウントを簡単に削除したいなと思ったことありますか? 私はあります。 今までメンバーアカウントを削除するためには、スタンドアロンアカウントとして動作するように変更した上でOrganizationから離脱し、メンバーアカウントのルートユーザーからアカウントの解約をする必要がありました。 そのため、検証のために一時的に大量にアカウントを発行すると、検証完了後にアカウントを削除する際に、削除したいメンバーアカウント全てに請求情報の登録やルートユーザーのパスワードを設定することとなります。 経験したことが
Organizations連携を使って組織内のAmazon Inspectorを有効化してみる | DevelopersIO
最近アップデートがあったInspectorのOrganizations連携を使って、組織内のアカウント全てでInspectorを有効化してみました。 Organizations連携以外にもたくさんのアップデートがあったので、詳細を知りたい方は以下ブログをご参照ください。 概要 Organizations連携することで、組織内のアカウントのInspectorを簡単に管理できます。また、GuardDutyやSecurity Hubと同様管理者を委任できるため、最小権限の原則に従ってセキュリティを司るアカウントに委任しましょう。 実装すると以下のようなイメージで管理ができるようになります。 やってみた ユーザーガイドに従って進めていきます。 AWS Organizationsで複数のアカウントを管理する- Amazon Inspector Organizationsが既に有効化されている環境を想
【AWS Organizations】アカウントが 特定OUに所属したタイミングで Lambda を実行させる | DevelopersIO
CFnテンプレートを作成してみました。 AWSTemplateFormatVersion: "2010-09-09" Parameters: RoleName: Type: String Default: InitialSetupRole-EnableS3PublicAccessBlock Resources: EnableS3PublicAccessBlock: Type: Custom::EnableS3PublicAccessBlock Properties: ServiceToken: !GetAtt "LambdaFunction.Arn" LambdaFunction: Type: AWS::Lambda::Function Properties: Role: !GetAtt "LambdaExecutionRole.Arn" Runtime: "python3.8" Hand
Organizationsコンソールで管理アカウントから子アカウントの代替連絡先の管理が出来るようになりました | DevelopersIO
いわさです。 AWS Organizationsコンソール上で、管理アカウントから各アカウントの代替連絡先を一元的に管理出来るようになりました。 管理アカウントによる代替連絡先の管理機能は従来は、aws accountコマンドなどを使ってコンソール以外から更新する必要がありました。 put-alternate-contact — AWS CLI 2.4.17 Command Reference これからは管理コンソール上から簡単に登録や更新が出来ます。 アカウント管理サービスを有効化 まず、子アカウントのアカウント管理情報へアクセスするためにOrganizationsのAWS Account Managementサービスの信頼されたアクセスを有効化する必要があります。 有効化されていない場合は、連絡先情報へのアクセスが出来ません。 連絡先情報の登録 あとはAWSアカウントメニューの各アカウ
AWS Organizationsで新規メンバー登録したアカウントを組織から離して解約 - ヤマムギ
2021年現在ではこの方法しかないと認識していますので書き残します。 そのうち新機能でもっと簡単になってくれるといいですね。 AWS Organizationsで新規作成されたメンバーアカウント AWS Organizationsで新規作成されたメンバーアカウントは、支払い方法の登録、所有者電話確認が完了していないので単独のAWSアカウントとして独立することができません。 AWS Organizationsの[除外]ボタンで組織から離そうとすると、 ConstraintViolationExceptionが発生してエラーになります。 メンバーアカウントの初期登録 メンバーアカウントにrootユーザーでサインインして初期登録を完了させる必要があります。 メンバーアカウントのパスワードは自動的に設定されますが、IAMロールでクロスアカウントアクセスする前提なので、作成時のパスワードを知りません
[アップデート] AWS Control Tower で入れ子構造の OU を利用できる様になりました | DevelopersIO
こんにちは、大前です。 Control Tower に激アツなアップデートがありましたので紹介させていただきます。 どんなアップデートか アップデートとしては単純で、Control Tower 利用時に OU を入れ子構造にする事が出来る 様になりました。 「OU を入れ子構造にする」とは、以下の様に OU の中にさらに OU を作成することができる、という意味合いです。 Root ∟ hogehogeOU ∟ fugafugaOU ∟ barbarOU 今までは Control Tower で入れ子構造の OU が使えなかった制限があったため、Root 直下のフラットな OU 構成しか使う事が出来ませんでした。今回のアップデートにより、Control Tower を利用しても、Organizations のみを利用している場合と同様に柔軟な OU 設計が出来る様になる点が嬉しいポイントで
![[アップデート] AWS Control Tower で入れ子構造の OU を利用できる様になりました | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/1486b2da4d87633e58aebde2114c02dc06f61935/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F05%2Faws-control-tower.png)
AWS Organizations における組織単位のベストプラクティス | Amazon Web Services
Amazon Web Services ブログ AWS Organizations における組織単位のベストプラクティス AWS のお客様は、新しいビジネスのイノベーションを生み出す際に、迅速かつ安全に行動できることを求めています。マルチアカウントフレームワークは、お客様に合ったAWS 環境を計画するのに役立つガイダンスを提供します。このフレームワークは、変化するビジネスニーズに合わせて環境の拡張と適応能力を維持しながら、セキュリティのニーズを満たすように設計されています。適切に設計されたマルチアカウントの AWS 環境の基礎は AWS Organizations です。これは、複数のアカウントを一元的に管理および管理できる AWS サービスです。 この記事では、AWS環境の構築を検討する際に役立つAWS のベストプラクティスに基づいたアーキテクチャについて詳細に説明します。推奨される組織
Organizations 環境で Amazon GuardDuty を全リージョンへ簡単セットアップしてみる | DevelopersIO
AWS Organizations の連携で Amazon GuardDuty のセットアップが楽ちん実行できます。セットアップ方法を書きました。 以下 GuardDuty のベストプラクティスなセットアップをなるべく楽ちんに行います。 Amazon GuardDutyを Organizations環境内の 全てのアカウントの全てのリージョンで有効化する 『S3 データアクセスイベントの脅威検出』※ も自動有効化する 今後追加されたメンバーアカウントに対して自動で上記の有効化を行う ※参考: 【アップデート】 Amazon GuardDuty で S3 への不審なアクティビティを脅威検出できるようになりました！ | DevelopersIO なお GuardDuty の Organizations連携の説明自体は以下を参照ください。 【Organizations】組織内の GuardDut
AWS Organizationsによるマルチアカウント戦略とその実装 - クラウドワークス エンジニアブログ
SREチームの @tmknom です。ジョジョ5部のアニメ化に興奮を隠せない今日このごろです。 みなさん、AWS Organizationsは使ってますか？ クラウドワークスでも最近使い始めました。AWS Organizations、超絶便利です。こんなに便利なのに、意外と公開されてる事例が少なくて、ぐぬぬってなります。というわけで、使い始めたばかりですが、サクッと公開してみます。他の会社さんも、公開してくれ！！ AWS Organizations マルチアカウント戦略 先行事例の調査 コンセプト策定 Terraform戦略 Terraformモジュールによる共通化 インフラテンプレート VPCのIPアドレス空間 メールアドレスの管理ポリシー OU（Organizational Unit）の責務 管理用AWSアカウントの責務 Masterアカウントによるアカウント管理 組織 OU（Orga
Auto Scalingの起動設定で指定できるインスタンスタイプをSCPで制限する | DevelopersIO
こんにちは。サービスグループの武田です。 Auto Scalingグループを使用する際、起動するEC2インスタンスの設定テンプレートとして、「起動設定」と「起動テンプレート」があります。今回は「起動設定」を対象として、作成する際に指定されたインスタンスタイプが含まれていた場合、拒否するようなSCPを設定してみました。 今回作成したポリシーは次のようなものです。 { "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Action": "autoscaling:CreateLaunchConfiguration", "Resource": "*", "Condition": { "StringLike": { "autoscaling:InstanceType": "t2.*" } } } ] } T2ファミリーをインスタ
AWS Organizations連携でAWS Backupの設定を集中管理する | DevelopersIO
はじめに こんにちは。大阪オフィスの林です。 AWS Organizations環境でAWS Backup設定の集中管理を検証する機会がありましたのでまとめておきたいと思います。 今回やること AWS OrganizationsとAWS Backupを連携しバックアップポリシーの設定とバックアップの取得までを確認していきたいと思います。下記がザックリやることのイメージです。 やってみた 管理アカウントでの作業 AWS Backupのダッシュボード左メニュー「設定」を選択し「バックアップポリシー」と「クロスアカウントモニタリング」を有効にします。 有効になりました。 次に「自分の組織」-「バックアップポリシー」を選択し「バックアップポリシーを作成」を選択します。 ポリシー名に任意の名称を入力します。 バックアッププラン名に任意の名称を入力します。本検証のリージョンは「東京リージョン」とします
AWS OrganizationsのSCPでresourceやconditionが指定できるようになりさらに便利になりました | DevelopersIO
こんにちは。サービスグループの武田です。 AWS Organizationsに待望のアップデートがありました！AWS OrganizationsにはSCP（サービスコントロールポリシー）という機能があり、IAMポリシーと同じ文法で組織内のアカウントに対して一括で制限がかけられます。これまでSCPではresourceやconditionの指定ができず、ある操作に対してオンかオフすることしかできませんでした。今回のアップデートでそれが可能となり、柔軟によりきめ細やかなアクセス制御が可能となりました。 Service control policies in AWS Organizations enable fine-grained permission controls 具体的には、メンバーアカウントに対してSCPで次のような制御が可能となりました。 特定リージョンのみアクセスを許可する EC2
[小ネタ]AWS OrganizationsのSCPで特定リージョンのみ使用できるようにする | DevelopersIO
オンジー(@onzuka_muscle)です！ 特定のリージョン以外ではなにもできないようにしたいという要件に対応することがあったのでSCP（サービスコントロールポリシー）を使って制限してみます。 やってみた 今回は東京リージョン以外での操作を制限してみたいと思います。 こちらのサンプルからSCPを作成しています。 { "Version": "2012-10-17", "Statement": [ { "Sid": "DenyAllOutsideEU", "Effect": "Deny", "NotAction": [ "a4b:*", "acm:*", "aws-marketplace-management:*", "aws-marketplace:*", "aws-portal:*", "awsbillingconsole:*", "budgets:*", "ce:*", "chime
SCPを使用してAmazon EC2で起動できるインスタンスタイプを制限する | DevelopersIO
こんにちは。サービスグループの武田です。アクセスキーが漏洩して高額請求につながるひとつのケースとして、高額なEC2インスタンスの起動があります。AWS OrganizationsのSCPを用いて、そのようなインスタンスタイプの起動を制限してみます。 こんにちは。サービスグループの武田です。 皆さんAWSはセキュアに利用できていますか？自信を持って Yes と言えない場合は次のエントリなどをぜひ熟読ください。 さて世間ではSQLインジェクションなどが話題ですが、被害の契機として多いのはアクセスキーの漏洩です。機密情報のないアカウントであっても、高額なEC2インスタンスを起動されるなどけっして少なくはない被害が起こりえます。 このような対策を万全にしていたとしても事故を100%防ぐことはできません。ほかにできることはないのでしょうか？ アクセスキーが漏洩して高額請求につながるひとつのケースとし
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Best practices for the management account - AWS Organizations