AWS Organizations とマルチアカウント管理

概要

企業がAWSを利用する場合、開発・ステージング・本番といった環境分離や、部門ごとの管理のために複数のAWSアカウントを使い分けることが一般的です。AWS Organizationsはこれらの複数アカウントをひとつの組織として管理するためのサービスです。

Organizationsを使うことで、アカウントの一括請求・ポリシーの一元適用・アカウントの自動作成などが可能になります。CP試験では特に一括請求（Consolidated Billing）とSCP（サービスコントロールポリシー）が頻出です。

CP試験で押さえるポイント

• 一括請求でボリューム割引を集約：複数アカウントの使用量を合算することでより大きな割引を受けられます。
• SCP は最大権限の上限を設定：SCPで拒否された操作は、IAMで許可しても実行できません。
• ルートアカウント（管理アカウント）でSCPを管理：メンバーアカウントにSCPを適用して制御します。
• OU（組織単位）で階層的にアカウントを整理：部門・環境ごとにグループ化できます。
• Control TowerはOrganizationsを使ったマルチアカウント環境の自動セットアップツールです。
• Organizations自体は無料で利用できます。

マルチアカウント管理の利点

なぜ複数のAWSアカウントを使い分けるのでしょうか？主な理由は以下の通りです。

• 環境分離：開発環境のミスが本番環境に影響しないよう、アカウントレベルで分離できます。
• セキュリティ境界：あるアカウントが侵害されても、他のアカウントへの影響を最小限に抑えられます。
• コスト管理：アカウント単位でコストを把握し、部門ごとの費用配分（チャージバック）が行いやすくなります。
• コンプライアンス：規制対象のデータを扱うアカウントと通常業務のアカウントを分離できます。

OU（組織単位）の仕組み

Organizations内のアカウントはOU（Organizational Unit：組織単位）を使って階層的に整理できます。

たとえば、「本番環境OU」「開発環境OU」「セキュリティOU」のように分け、OUごとに異なるポリシーを適用できます。OUはネスト（入れ子）にすることも可能で、企業の組織構造に合わせた階層を作れます。

SCP（サービスコントロールポリシー）

SCP（Service Control Policy：サービスコントロールポリシー）は、組織・OUまたはアカウントレベルで使用できるAWSサービスや操作の上限（ガードレール）を設定するポリシーです。

IAMポリシーとの違い

重要なのは、SCPで拒否された操作は、メンバーアカウント内でIAMが許可していても実行できないという点です。SCPは「権限の上限」であり、「権限の付与」ではありません。

一括請求（Consolidated Billing）

OrganizationsのConsolidated Billingにより、組織内のすべてのアカウントの請求を管理アカウント（ルートアカウント）に一本化できます。

一括請求のメリット

• 支払いの一元化：各アカウントの請求を個別に管理する必要がなくなります。
• ボリューム割引の集約：S3・EC2などのサービスは使用量に応じて単価が下がる従量課金です。複数アカウントの使用量を合算することで、より大きなボリューム割引が適用されます。
• 無料利用枠の共有：組織内のすべてのアカウントで無料利用枠を共有できます（ただし合計で月次の上限まで）。

AWS Control Tower（マルチアカウント環境の自動セットアップ）

Control Towerは、Organizationsを活用したマルチアカウント環境をベストプラクティスに沿って自動的にセットアップするサービスです。

Landing Zone（適切に設定されたマルチアカウント環境の基盤）を自動的に構築し、セキュリティとコンプライアンスのガードレールを自動設定します。新しいAWSアカウントを安全・一貫した方法でプロビジョニングするのに役立ちます。

関連サービスとの違い・使い分け