ハンズオン(簡易版): Organizations基礎(アカウント作成)

ハンズオン(簡易版): Organizations基礎(アカウント作成)

作成者:

波田野 裕一

公開日:

2021-12-23

更新日:

2023-12-07

目的

Organizationsの組織を構築し、新規AWSアカウントを作成します。

前提

作業権限条件

作業権限条件:

  • 親アカウントのroot権限

作業環境条件

本作業は、以下の環境で行います。

環境条件1: CloudShell

本作業は、AWS CloudShellでの実施を前提としています。

環境条件2: AWS CLIのバージョン

本作業は、AWS CLIのバージョン"2.7.12"以降での実施を前提としています。

コマンド:

aws --version

結果(例):

aws-cli/2.7.12 Python/3.7.10 Linux/4.14.291-218.527.amzn2.x86_64 exec-env/CloudShell exe/x86_64.amzn.2 prompt/off

構成

本手順書で構築するAWSリソースの構成は以下の図のようになります。

注釈

構成情報

手順

注釈

CLIハンズオンの実施方法や効果的に行うためのポイントについては、CLIハンズオンガイドをご参照ください。

注釈

CloudShell環境で作業を実施します。

(リージョンはus-east-1で検証していますが、他のリージョンでも実施可能なはずです。)

事前作業 (ルートもしくはAdministratorAccess権限)

1. 組織の作成

2. SCPの有効化

3. ポリシーの作成

4. 組織ユニットの作成

5. 組織ユニットへのポリシーアタッチ

6. アカウントの作成

アカウントの作成

アカウントのOU移動

7. 動作確認 (親アカウント)

注釈

Webブラウザのプライベートブラウジングを利用することをお奨めします。

IAMユーザーを使用します。

IAMユーザーでのマネジメントコンソールログイン

MFAの設定と再ログイン

親アカウントから子アカウントへのスイッチロール

アカウントメニュー

  • 右上のアカウント名をクリックします。

    • アカウントメニューが表示されます。

  • "ロールの切り替え"(ボタン)をクリックします。

    • "ロールの切り替え"(画面)が表示されます。

ロールの切り替え (画面)

  • "ロールの切り替え"(ボタン)をクリックします。

  • 以下を入力します。

    • アカウント: <子アカウントのAWS ID>

    • ロール名: OrganizationAccountAccessRole

    • 表示名: handson-cli-organizations-child

  • "ロールの切り替え"(ボタン)をクリックします。

子アカウントのアクセス確認

  • 検索ボックスでEC2を検索します。

    • "EC2"をクリックします。

    • バージニア北部が表示されます。(ブラウザがプライベートモードの場合)

      • EC2 (正常)

  • リージョン(スイッチ)をクリックします。

    • 東京リージョンをクリックします。

      • EC2 (正常)

  • リージョン(スイッチ)をクリックします。

    • 米国東部(オハイオ)をクリックします。

      • EC2 (エラー)

親アカウントへ切り戻し

IAMユーザーのログアウト

  • AWSマネジメントコンソールのメニューバーにある"アカウント名"をクリックします。

  • プルダウンメニューの"サインアウト"をクリックします。

アンケート

今後の参考にするため、本手順についてご意見・コメントをお願いします。

注釈

  • 必須項目はありません。お気軽にご回答ください。

  • 内容が違えばお一人何回回答していただいても問題ありません。

  • はまりどころや誤字・脱字などの修正のご指摘もお待ちしています。

注釈

このアンケートシステムはS3 + Cognitoで構築しています。

後始末

クリーンアップ1. アカウントの組織からの離脱 (子アカウント root)

注釈

https://docs.aws.amazon.com/ja_jp/organizations/latest/userguide/orgs_manage_accounts_remove.html

アカウントがスタンドアロンアカウントとして動作するために必要な情報を持っている場合に限り、組織からアカウントを削除できます。

スタンドアロンとして使用する各アカウントについて、以下の登録が必要。

  • サポートプランの選択 (スタンダードが選択されている)

  • 必須の連絡先情報 (親アカウントの情報が転記されている)

  • 現在の支払い方法 (新規に設定が必要)

警告

以下は、Organizationsから離脱する子アカウントで実施します。

子アカウントのrootパスワード設定

子アカウントの設定

注釈

  • 電話番号認証

    • 組織の詳細で、「この組織を離れる」ボタンをクリックする。

      • 「まだ組織を離れることはできません」エラーが表示される。

    • 「アカウントのサインアップステップを完了」リンクをクリックする。

      • 「AWSにサインアップ」画面が表示されるので、電話番号認証を行う。

子アカウントの離脱

警告

アカウントが作成されてから 7 日以上が経過している必要があります。

課題

  • アカウントの組織からの削除

クリーンアップ2. 組織ユニットからのポリシーデタッチ (親アカウント)

クリーンアップ3. 組織ユニットの削除 (親アカウント)

クリーンアップ4. ポリシーの削除 (親アカウント)

クリーンアップ5. SCPの無効化 (親アカウント)

クリーンアップ6. 組織の削除 (親アカウント)

クリーアップ7. MFAの削除 (親アカウント)

事後作業

備考

(特になし)

参照情報