SCPでリージョン制限する時にIAM Access Analyzerとかは止めたほうがいいか検証してみた

IAM Access Analyzerなどの全リージョンに展開するサービスをSCPで制限するとどうなるのか検証して考察してみました。

#AWS Organizations

#SCP

#IAM Access Analyzer

臼田佳祐

2024.05.21

こんにちは、臼田です。

みなさん、SCPでリージョン制限してますか？(挨拶

AWS Organizationsを利用してリージョンを制限する場合には、全リージョンに展開しているIAM Access Analyzerなどについて停止したほうがいいのか、確認して検証してみました。

3行まとめ

SCPはサービスリンクドロールは制限しない
全リージョンに展開するIAM Access Analyzerなどは利用料金などかからなければそのままでもいい
CloudTrailのログなどの余分なものが出ることを気にするなら外してもいい

背景

AWS Organizationsを利用している時に、ガバナンスのために利用できるリージョンを制限することがあります。

例えば日本向けにサービスを提供するAWSアカウントであれば、東京と大阪に、念の為バージニアだけ許可しておけば、他は利用しないということはよくあります。

AWS OrganizationsのSCPでは一般的な例 - AWS Organizations、AWS Control TowerではRegion deny control applied to the OU - AWS Control Towerがあり、AWSアカウント単体では制限できないリージョンを制限できます。

上記のSCPを見ていただくとわかりますが、グローバルサービスなどは除外されますし、例外扱いにする管理用のIAM Roleの指定などが可能です。

しかし、この制限をかけていく場合には既存の環境やサービスの状態を気にする必要があります。今回はIAM Access Analyzerなどの全リージョンに展開していく必要がある機能についてどう扱えばいいか調査しました。

検証

まずリージョン制限を有効化する前に、IAM Access Analyzerを有効化してみます。今回は東京・大阪・バージニアのみ許可するため、オレゴンに展開してみます。

その後、SCPを適用して1日くらい放置します。

時間が経ったらCloudTrailで動作結果を見てみます。IAM Access Analyzerの履歴はユーザー名access-analyzerで指定すると確認できます。以下にあるように、ほとんど許可されています。S3系のAPIはSCPで許可されているものですが、DynamoDBやLambdaなども正常にアクセスできているため、SCPで止められていないことが確認できます。

SCPの仕様

SCPで制限されている動作をIAM Access Analyzerは実施することができました。これはどのような理由でしょうか？

SCPには以下の仕様があります。

SCP によって制限されないタスクおよびエンティティ SCP を使用して次のタスクを制限することはできません。

管理アカウントによって実行されるすべてのアクション

サービスにリンクされたロールにアタッチされたアクセス許可を使用して実行されるすべてのアクション。

root ユーザーとして Enterprise サポートプランに登録する

root AWS ユーザーとしてサポートレベルを変更します。

CloudFront プライベートコンテンツに信頼された署名者機能を提供する。

Amazon Lightsail メールサーバーおよび Amazon EC2 インスタンスの逆引き DNS をルートユーザーとして設定する

AWS一部の関連サービスのタスク:

Alexa Top Sites

Alexa Web Information Service

Amazon Mechanical Turk

Amazon Product Marketing API

サービスコントロールポリシー (SCP) - AWS Organizations