【AWS Organization】SCPで別AWSアカウントの権限を管理してみる

2022 2/12

はじめに

AWSでAWS Organizarionsを使用して２つのAWSアカウントを管理し、SCPを使用してポリシーの管理をやってみたいと思います。

SCPを使用すれば、AWSアカウント内のIAMポリシーやIAMロールを上書きして権限の付与ができます。

たとえば、AWSアカウントの中で「AdministratorAccess」が付与されているユーザーであろうと、SCPでEC2だけの権限を付与すれば、EC2しか操作できなくなります。

SCPとは

SCPとはService Control Policyの略で、AWS Organizationを使って組織単位やアカウント単位でポリシーを付与する（管理する）ことができる仕組みです。

例えば以下の図の例ですと、OU1に所属するAWSアカウント1はEC2の操作のみできます。

OU2に所属するAWSアカウント2はS3のみ実行できません。

SCPでは上位で許可されたポリシーが下位に継承され、上位で許可されなかったポリシーは、下位で許可することができません。

たとえば、AWSアカウント1では、EC2とRDS以外の権限を付与することができません。（OU1でEC2とRDSのみ許可しているため）

設定投入

AWS Organizarionsの状態

「AtsushiAWS」、「AtsushiAWS1」、「AtsushiAWS2」の３つのアカウントを使って、AWS Organizationsを構成してみました。

SCPの検証は、「AtsushiAWS1」と「AtsushiAWS2」で行います。なぜなら、「AtsushiAWS」アカウントは管理アカウントとなっており、SCPの影響を受けないからです。（サービスコントロールポリシー (SCPs)）

構成図を書いてみると、以下のようになります。

付与するSCP構成

今回は以下のようにしてみたいと思います。

OU1：実行不可→S3（すべて不可）
AtsushiAWS1：特に指定しない。
OU2：実行可能→EC2とRDS（すべてFullAccess）
AtsushiAWS2：実行可能→EC2（FullAccess）

想定される動作は、以下になるはずです。

AtsushiAWS1：S3以外のことが実行できる。
AtsushiAWS2：EC2のみ実行できる（FullAccess）

OU1のSCP作成

「AWS Organizations」→「ポリシー」→「サービスコントロールポリシー」→「ポリシーの作成」からSCPを作成します。

以下のように作成しました。

コードは下記です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyS3",
      "Effect": "Deny",
      "Action": "s3:*",
      "Resource": "*"
    }
  ]
}

「ターゲット」から「OU1」アタッチしました。

OU2のSCP作成

ポリシーのJSONコードのみ記載します。作成後は「OU2」にアタッチしました。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "FullEC2AndRDS",
			"Effect": "Allow",
			"Action": [
				"ec2:*",
				"rds:*"
			],
			"Resource": "*"
		}
	]
}

AtsushiAWS2のSCP作成

JSONコードのみ記載します。作成後は「AtsushiAWS2」アカウントにアタッチしました。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "FullEC2",
      "Effect": "Allow",
      "Action": "ec2:*",
      "Resource": "*"
    }
  ]
}