Muiti-AWS Accountのアクセス制限（AWS Organizations）

AWS Organizationsを利用したアカウント制限想定対象読者本稿で取り扱っている内容 AWSのアカウント権限について検証の前に SCP定義【禁止】組織から離脱とアカウント解約【禁止】サポートへアクセス検証 AWS Organizationsの設定 AWS Organizationsの階層に適用【禁止】組織から離脱とアカウント解約【禁止】サポートへアクセスまとめ

AWS Organizationsを利用したアカウント制限

想定対象読者

複数のAWS Accountの制限について困っている方
- アカウントの解約を勝手にされると困る
- 組織から勝手に離脱をされると困る
- サポートケースを勝手に起票されると困る
  ... etc

本稿で取り扱っている内容

AWS Organizationsにおける SCP で制限

AWSのアカウント権限について

IAM でのセキュリティのベストプラクティスでも記載されていますが、
AWSにおける rootアカウント とは特権ユーザであり通常サービス制限はありません。
（AWSアカウント開設時登録したEメールアドレスでログインする場合）

ただし、AWS Organizationsでは rootアカウント に対して制限を掛けることが可能です。
一般的に、AWS Organizationsは一括請求の利用するケースでイメージをされる方が多いかと思います。

検証の前に

SCP定義

【禁止】組織から離脱とアカウント解約

denyModifyRoot.json
- rootアカウント でAWS Organizationsから離脱
- rootアカウント でアカウント解約

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyLeaveOrg4Root",
      "Effect": "Deny",
      "Action": [
        "organizations:LeaveOrganization"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::*:root"
          ]
        }
      }
    },
    {
      "Sid": "DenyModAct4Root",
      "Effect": "Deny",
      "Action": [
        "aws-portal:ModifyAccount"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::*:root"
          ]
        }
      }
    }
  ]
}

【禁止】サポートへアクセス

denyRootAccessSupport.json
- rootアカウントでサポートへアクセス

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyActionsRoot",
      "Effect": "Deny",
      "Action": [
        "support:*"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::*:root"
          ]
        }
      }
    }
  ]
}