ついて個人用にまとめた記事です。アカウントを一元管理する場合に役立ちます。請求の一元管理、アクセスコントロール、コンプライアンス、セキュリティ、アカウント間でのリソース共有に役立ちます。使用して、アカウントのグループを作成し、カスタムスクリプトや手動プロセスなしでも正しいポリシーがアカウント全体に適用されるようにグループにポリシーを適用できます。使用して、プログラムで新しいアカウントを作成し、作成されたアカウントをグループに追加することで、予め設定していたポリシーも自動的に新しいアカウントに適用されます。アカウントを統合するために作成するエンティティ。コンソールを使用して、組織内のすべてのアカウントを一元的に表示および管理できます。つのマスターアカウントと、ゼロ以上のメンバーアカウントを含みます。ルートの階層ツリーを模擬した構造のアカウントや、ルート下に作られた組織単位を整理できます。いずれかに配置することができます。組織には、有効にする機能セットによって決定された機能を含みます。アカウントに適用されます。組織内のどのアカウントがマスターアカウントであるかを変更することはできません。組織内で発生したすべての料金を支払う責任があります。組織にアカウントを作成することができます。組織に他の既存のアカウントを招待することができます。組織からアカウントを削除することができます。招待を管理することができます。ポリシーを適用することができます。メンバーアカウントマスターアカウント以外のアカウントです。属することが可能です。)ルート内のアカウントのコンテナです。含めることもでき、上下反転したツリーのような階層を作成できます。枝が広がり、先端にはツリーの葉であるアカウントがあります。メンバーにすることができます。アカウントに対して、権限の制御が可能になります。ポリシーで細かに設定するイメージです。すべてのアクションとすべてのサービスの実行を許可します。マスターアカウントで実行されたアクションサービスにリンクされたロールにアタッチされたアクセス権限を使用して実行されるアクションルート承認情報の管理。関連のサービスのタスクを実行する。制限できることがあまりないので、ルートユーザの使用はセキュリティ上よくありません。サービスにリンクされたロールにも影響しません。Organizationsの組織単位(OU)とともに使用されます。SCPは、実際のアクセス許可を提供しないようなIAMポリシーを置き換えません。アクションを実行するには、適切なIAMポリシーのアクセス許可を付与する必要があります。プリンシパルが特定のアクション(IAMポリシーを通じて付与)の実行を許可されている場合でも、アタッチされたSCPは、そのアクションに対して拒否を強制すると、その機能をオーバーライドします。SCPはIAMポリシーよりも優先されます。SCPは、組織のルートまたはOUの個々のアカウントに適用できます。SCPをOUまたは個々のAWSアカウントに適用する場合、指定したAWSサービスを有効化(ホワイトリスト)または無効化(ブラックリスト)することを選択します。アカウント、その親OU、またはマスターアカウントに関連付けられたSCPによって明示的に許可されていないサービスへのアクセスは、AWSアカウントまたはSCPに関連付けられたOUに対して拒否されます。どのアカウントにも、その上のすべての親によって許可された権限のみがあります。暗黙的に(許可ポリシーステートメントに含まれないことにより)または明示的に(拒否ポリシーステートメントに含まれることにより)アカウントの上の任意のレベルでアクセス許可がブロックされている場合、ユーザーに管理者権限を付与するIAMポリシーがアタッチされている場合でも、影響を受けるアカウントのユーザーまたはロールはその権限を使用できません。SCPは、組織の一部であるアカウントによって管理されているプリンシパルのみに影響します。IAMIAMポリシーはプリンシパルレベルで動作します。IAMポリシーには2つのタイプがあります。アイデンティティベースのポリシーIAMユーザー、グループ、またはロールに関連付けられています。リソースベースのポリシーS3バケットなどのAWSリソースに添付されます。IAMポリシーは、特定のリソースに対して特定のアクションを実行するためのプリンシパル許可を許可/拒否できます。これをSCPと一緒に使用して、AWS組織でより厳密な制御を確保できます。IAMポリシーはIAMユーザー、グループ、またはロールにのみ適用でき、AWSアカウントのルートIDを制限することはできません。IAMポリシーはOUに添付できません。IAMポリシーは、アクションを許可または拒否できます。明示的な許可は、暗黙的な拒否をオーバーライドします。明示的な拒否は、明示的な許可をオーバーライドします。Organizationsは、管理者が指定したアクションが組織で発生したときに、CloudWatchイベントと連携してイベントを発生させることができます。誰かが組織内に新しいアカウントを作成するたび、またはメンバーアカウントの管理者が組織を離れようとするたびにアラートを受け取れます。SNSトピックでターゲットな送信することができます。CloudTrailと組み合わせて、一致するAPI呼び出しが受信されるたびにトリガーするイベントを設定できます。Configデータを単一のアカウントに集約できます。マルチアカウント、マルチリージョンのデータ集約は、中央のIT管理者が企業内の複数のAWSアカウントのコンプライアンスを監視するのに役立ちます。