コマンド一発でAWSアカウントを作成する～AWS Organizationsを利用するための事前準備を添えて～

中山順博

2018.05.22

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

中山（順）です

AWSを大規模に利用している場合、複数のアカウントを用途に応じて使い分ける戦略を採用している組織も多いと思います。でも、AWSアカウントの作成は結構面倒ですよね。具体的には以下のような作業が発生します。

アカウント用のメールアドレスの準備
連絡先情報の入力
クレジットカード情報の入力
電話認証
サポートプランの変更

AWS アカウント作成の流れ

めんどい・・・。しかし、今ならAWS Organizationsというサービスがあります！もうリリースされてから1年半も経過しています。

【新サービス】「AWS Organizations」がリリースされました！ #reinvent

このサービスを使えば、（全てではありませんが）アカウント作成の手間を削減することが可能です。

今回はコマンドでAWSアカウントを作成する方法およびその前提条件や注意事項をまとめました。

AWS Organizationsとは

まずはAWS Organizationsについて概要を説明します。

AWS Organizationsを利用することにより、AWSアカウントを容易に作成したり、組織というリソースに対して複数のAWSアカウントを紐付けることで支払いの集約やアクセス制御を行うことができます。アカウントを集約するためのマスターアカウントを中心にそれ以外のAWSアカウント（メンバーアカウント）を組織に紐付けることで管理します。

主に以下のような機能を提供します。

アカウントの作成
一括請求
各アカウントがアクセスできる AWS サービスと API アクションのコントロール
アカウントの階層的なグループ化によりポリシーの適用範囲を制御
その他サービスとの連携
AWS SSO
AWS Firewall Manager
AWS Config

アカウントの作成、招待

組織内に新規AWSアカウントを作成することが可能です。作成は、マネージメントコンソールおよびCLI/SDKで行うことが可能です。また、作成済みのアカウントを組織に招待することも可能です。

組織の AWS アカウントの作成

組織への AWS アカウントの招待

一括請求

組織に含まれるAWSアカウントの請求をマスターアカウントに一本化できます（RIやAWSサポートの初回支払いを除いて請求書が月1枚になります）。従来はConsolidated Billingとして提供されていた機能ですがOrganizationsに統合されました。

組織の一括請求

SCP(Service Control Policy)

組織内のアカウントにおいて実行可能な操作をサービスコントロールポリシーとして定義できます。

サービスコントロールポリシー

OrganizationsではAWSアカウントをグルーピングするための概念としてOU(Organizational Unit : 組織単位)というリソースが定義されています。 OUは最大5階層のツリー構造で関係を表現することができます。

SCPはOUに対して割り当てることができ、ポリシーを割り当てたOU内のアカウントにポリシーが適用されます。また、配下のOUに対してもポリシーが継承されます。ポリシーはアカウントに対して直接割り当てることも可能です。ちなみに、SCPを利用したい場合には組織を作成する際に機能セットとして"All Features"を選択する必要があります。

AWSのAPIに対するリクエストの可否を評価する際、IAMとOrganizationsの両方で許可されたアクションのみ実行可能です。本番環境への適用を検討する際には事前に十分な評価を実施してください。

やってみた

今回は組織の作成とメンバーアカウントの作成までをやってみたいと思います。

メンバーアカウントの作成はAWS CLIで実行します。

前提条件

以下の状態を前提として説明を進めます。

マスターアカウントを作成しておくこと
マスターアカウントのIAMユーザーがOrganizationsのアクションを実行できる権限を有していること
今回は"AdministratorAccess"（AWS ManagedなIAM Policy）をアタッチしたIAMユーザーで作業を実施

用意しておくもの

AWSアカウントの作成にあたり、以下のものを準備します。

新規メンバーアカウント用のメールアドレス

ちなみに、メールアドレスはメンテナンス通知などにも利用されるためAWSアカウントの管理者が確実に受信できるようにする必要があります。ただし、重複はNGです。 AWSアカウントのために通常のメールアドレスを発行するのはコスト的にもったいないです。 Office 365であればGroupsを利用するといいでしょう。グルーブごとに受信可能なメールアドレスを取得することが可能になります。 AWSアカウントの管理者はもれなくグループのメンバーとなることでAWSからのメールを受信可能になります。その際にはグループへの参加権限やメンバーのメールボックスにメールをコピーするかどうかの設定などに留意しましょう。

Create an Office 365 group in the admin center

ちなみに、Office 365 Groupsでは1ユーザあたり250のグループを作成可能です。通常の組織であればこれで十分かと思います。

Learn about Office 365 Groups

G suiteでも同様のことは可能です。

ちなみに、G Suiteの限界を突破すると以下のブログ記事のようになり得ます。普通であれば「こうはならんやろ」という規模ですが、普通じゃない規模の組織の方はご覧頂くとよいと思います。

SaaSに依存した結果、死んだ。クラウド怖い。

組織の作成

アカウントを作成する前に、Organizationsを利用するために「組織」というリソースを作成します。

組織の作成

まず、AWS Organizationsのコンソールにアクセスします。

組織が作成されていない場合、以下のような画面が表示されますので「組織の作成」をクリックします。

ダイアログが表示されますので、「有効化　すべての機能」もしくは「一括請求のみを有効化」のいずれかを選択します。今回は「有効化　すべての機能」を選択します。

組織の作成（確認）

これで組織の作成は完了です。

それでは、組織の作成直後の状態を確認しておきましょう。

まず、組織に含まれるAWSアカウントを確認します。組織の作成直後はマスターアカウントのみが組織に含まれる状態となります（組織の作成を実行するアカウントがマスターアカウントになります）。マスターアカウントには行の頭に★マークが表示されます。

次に「アカウントの整理」というタブを確認します。

ここではOU（組織単位）を確認できます。組織の作成直後には、"Root"というOUのみが存在します。その名の通り階層の頂点に位置するOUです。 Rootにはマスターアカウントが含まれます。

また、サービスコントロールポリシーはOrganizationsの機能を全て有効化した場合でもデフォルトでは無効になっています。利用開始前に有効化してください。

最後に、「ポリシー」のタブを確認します。

ここでは、サービスコントロールポリシーの定義およびアカウントやOUへのアタッチ状況を確認できます。デフォルトでは"FullAWSAccess"というポリシーのみが定義されています。この記事はサービスコントロールポリシーが主題ではないので、詳細な説明は割愛します（後日、サービスコントロールポリシーについてもブログを書きます）。

アカウントの作成

ここまでの作業でアカウントの作成が可能になりました。 AWSアカウントを作成してみましょう。

アカウントの作成

今回はAWSアカウントの作成を繰り返し実行するような方に向けてAWS CLIでの作業手順をご紹介します。

コマンドリファレンスはこちらです。

organizations

アカウントの作成は以下のように実行できます。

EMAIL_ADDRESS="[email protected]"
ACCOUNT_NAME="aws-member01"
ROLE_NAME="default-role-by-organizations"
BILLING_ACCESS="ALLOW" # ALLOW | DENY

aws organizations create-account \
    --email ${EMAIL_ADDRESS} \
    --account-name ${ACCOUNT_NAME} \
    --role-name ${ROLE_NAME} \
    --iam-user-access-to-billing ${BILLING_ACCESS}

{
    "CreateAccountStatus": {
        "RequestedTimestamp": 1526897892.412,
        "State": "IN_PROGRESS",
        "Id": "car-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
        "AccountName": "aws-member01"
    }
}

コマンドの実行直後はAWSアカウントは作成中のステータスです。以下のコマンドでアカウント作成のステータスを確認できます。

ID="car-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"

aws organizations describe-create-account-status \
    --create-account-request-id ${ID}

{
    "CreateAccountStatus": {
        "AccountName": "aws-member01",
        "State": "SUCCEEDED",
        "RequestedTimestamp": 1526897892.506,
        "CompletedTimestamp": 1526897896.716,
        "Id": "car-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
        "AccountId": "XXXXXXXXXXXX"
    }
}

これだけです。簡単ですね。