おひとり様Organizations管理者もルートアクセス管理を有効にしよう！

2025/11/15 JAWS-UG 栃木 オフライン # 5 登壇資料

Transcript

1. おひとり様Organizations管理者も 
 ルートアクセス管理を有効にしよう！ 
 2025/11/16 
 JAWS-UG 栃木 オフライン # 5 

2. 自己紹介
 藤田 直幸 | アマレロ@コーヒー焙煎人兼エンジニア
 JAWS-UG 彩の国埼玉支部 運営
 X：@amarelo_n24
 Facebook https://www.facebook.com/naoyuki.fujita.37
 
 仕事：所属企業の情シス
 好きなAWSサービス：IAM、S3、CloudShell
 好きなこと：コーヒー豆の焙煎

3. はじめに

4. 個人でマルチアカウント運用していると、ルートアクセス管理
 が大変なはず。今回は、おひとり様Organizations管理者は
 活用した方が良い、マルチアカウント環境でのルートアクセス
 管理について話します！
 
 ※個人の見解です。個人利用の範囲で試した結果のため、
 　参考程度に留めてください。
 はじめに

5. Qiitaにブログ書きました。こちらも読んでいただけたら嬉しいです！
 
 ▪おひとり様Organizations管理者もルートアクセス管理を有効にしよう！
 https://qiita.com/amarelo_n24/items/3e2356e5fb215f128cb3
 
 今回の元記事

6. １．ルートアクセス管理とは
 ２．ルートユーザーの認証情報を一括管理するメリット
 ３．ルートアクセス管理の有効化
 ４．ルートアクセス管理でできる各種機能
 ５．まとめ
 アジェンダ

7. １．ルートアクセス管理とは

8. 2024年11月、IAMに追加されたアップデート。Organizations 所属の
 メンバーアカウントの
 
 ・ルートユーザーの認証情報削除・追加を一元管理
 ・バケットポリシーの削除
 ・Amazon SQSのキューポリシーの削除
 
 をすることができます。
 
 https://aws.amazon.com/jp/about-aws/whats-new/2024/11/manage-root-access-aws-identity-access-manag ement/
 
 ルートアクセス管理とは

9. ２．ルートユーザーの認証情報を一括管理するメリット

10. S3バケットのバケットポリシーを誤って編集できなくしても、
 ルートユーザーでわざわざログインしなおす必要はない！！
 
 ※私は以前バケットポリシーの編集をやらかし、バケット内のオブジェクトを
 　見れなくなったり、バケットポリシーを編集できなくなって焦りました…
 
 ▪バケットポリシーの記述を誤りマネコンからS3バケットを操作できなくなりそうになった話
 https://qiita.com/amarelo_n24/items/225456495d3a896c8004
 
 ①メンバーアカウントのルートユーザーログインを不要に！

11. ・利用頻度の低いルートユーザーの認証情報管理負荷の軽減
 ・ルートユーザーの不正利用リスクの軽減
 
 ※IAM Identity Center も有効にすれば、アカウントごとのIAM
 　ユーザーの認証情報管理も無くすことができる！！
 ②ルートユーザーの認証情報管理から解放される！

12. ３．ルートアクセス管理の有効化

13. 管理アカウントにログインします。IAMの画面を開き、
 「ルートアクセス管理」を開きます。
 ※Organizationsではなく、IAMの画面なので、
 　お間違いなく！
 
 
 ルートアクセス管理を有効

14. 有効化をクリックします。
 
 
 ルートアクセス管理を有効

15. 
 
 ルートアクセス管理を有効
 ルート認証情報管理
 ルートユーザーの認証情報削除・登録を許可 
 
 メンバーアカウントでの特権ルートアクション 
 バケットポリシーの削除とSQSキューポリシーの削除を許可 

16. 「ルートアクセス管理が有効になっています」と表示されたら設定完了
 
 ルートアクセス管理を有効

17. ４．ルートアクセス管理でできる各種機能

18. IAMの「ルートアクセス管理」からルートユーザーのパスワードと
 MFA情報を削除することができる！
 
 ①メンバーアカウントのルートユーザー認証情報削除

19. 以降は、ルートユーザーでログインしようとしても、「ルートユーザーの認証情 報が無効」と表示されてログインできなくなります。
 
 ①メンバーアカウントのルートユーザー認証情報削除

20. メンバーアカウントのルートユーザーログイン情報を削除しても、
 「パスワードの回復を許可」で再設定可能！
 
 ②メンバーアカウントのルートユーザーログイン復活

21. ルートユーザーログインを可能に戻しても、パスワードは自動で発行さ
 れません。ルートユーザーの管理者がリセットする必要があります。
 マネジメントコンソールからパスワードリセット手続きができます。
 
 紛失または忘れたルートユーザーのパスワードをリセットする
 https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reset-root-password.html
 
 ②メンバーアカウントのルートユーザーログイン復活

22. ルートユーザーでしか削除できなかったバケットポリシー、
 SQSキューポリシーも特権的なアクションから削除が可能。
 
 ③バケットポリシー・SQSキューポリシー削除

23. 管理アカウント自身のルートユーザー認証情報は削除できません。
 【注意】管理アカウントのルートユーザー管理は対象外
 ルートアクセス管理画面で、管理アカウン トを選択しても「特権的なアクションを実行 する」ボタンが活性化されませんでした。

24. 管理アカウントのルートユーザー認証情報管理を
 無くすことができません！慎重に！！
 【注意】管理アカウントのルートユーザー管理は対象外

25. ５．まとめ

26. ・ルートアクセス管理で、メンバーアカウントのルートユーザー
 　認証情報を一括管理でき、余分な認証情報を整理できる。
 ・万が一、メンバーアカウント内のS3バケットポリシーやSQSキュー
 　ポリシーを誤っても、ルートユーザーログイン不要。
 ・管理アカウントのルートユーザー認証情報は対象外なので、
 　これまで同様、厳密な管理が必要。
 ・おひとり様Organizationsを使っている人は、
 　ルートアクセス管理の負荷軽減を検討してみては？
 　※IAM Identity Center の有効もいっしょに。
 まとめ

27. Qiitaにブログ書きました。こちらも読んでいただけたら嬉しいです！
 
 ▪おひとり様Organizations管理者もルートアクセス管理を有効にしよう！
 https://qiita.com/amarelo_n24/items/3e2356e5fb215f128cb3
 
 今回の元記事（再掲）

28. ご清聴ありがとうございました！