おひとり様Organizations管理者もルートアクセス管理を有効にしよう！

おひとり様Organizations管理者も   ルートアクセス管理を有効にしよう！   2025/11/16   JAWS-UG 栃木オフライン #
5  

自己紹介  藤田直幸 | アマレロ@コーヒー焙煎人兼エンジニア  JAWS-UG 彩の国埼玉支部運営  X：@amarelo_n24  Facebook
https://www.facebook.com/naoyuki.fujita.37    仕事：所属企業の情シス  好きなAWSサービス：IAM、S3、CloudShell  好きなこと：コーヒー豆の焙煎 

はじめに 

個人でマルチアカウント運用していると、ルートアクセス管理  が大変なはず。今回は、おひとり様Organizations管理者は  活用した方が良い、マルチアカウント環境でのルートアクセス  管理について話します！    ※個人の見解です。個人利用の範囲で試した結果のため、  　参考程度に留めてください。  はじめに 

Qiitaにブログ書きました。こちらも読んでいただけたら嬉しいです！    ▪おひとり様Organizations管理者もルートアクセス管理を有効にしよう！  https://qiita.com/amarelo_n24/items/3e2356e5fb215f128cb3    今回の元記事 

１．ルートアクセス管理とは  ２．ルートユーザーの認証情報を一括管理するメリット  ３．ルートアクセス管理の有効化  ４．ルートアクセス管理でできる各種機能  ５．まとめ  アジェンダ 

１．ルートアクセス管理とは 

2024年11月、IAMに追加されたアップデート。Organizations 所属の  メンバーアカウントの    ・ルートユーザーの認証情報削除・追加を一元管理  ・バケットポリシーの削除  ・Amazon SQSのキューポリシーの削除    をすることができます。 
  https://aws.amazon.com/jp/about-aws/whats-new/2024/11/manage-root-access-aws-identity-access-manag ement/    ルートアクセス管理とは 

２．ルートユーザーの認証情報を一括管理するメリット 

S3バケットのバケットポリシーを誤って編集できなくしても、  ルートユーザーでわざわざログインしなおす必要はない！！    ※私は以前バケットポリシーの編集をやらかし、バケット内のオブジェクトを  　見れなくなったり、バケットポリシーを編集できなくなって焦りました…    ▪バケットポリシーの記述を誤りマネコンからS3バケットを操作できなくなりそうになった話  https://qiita.com/amarelo_n24/items/225456495d3a896c8004    ①メンバーアカウントのルートユーザーログインを不要に！ 

・利用頻度の低いルートユーザーの認証情報管理負荷の軽減  ・ルートユーザーの不正利用リスクの軽減    ※IAM Identity Center も有効にすれば、アカウントごとのIAM  　ユーザーの認証情報管理も無くすことができる！！  ②ルートユーザーの認証情報管理から解放される！ 

３．ルートアクセス管理の有効化 

管理アカウントにログインします。IAMの画面を開き、  「ルートアクセス管理」を開きます。  ※Organizationsではなく、IAMの画面なので、  　お間違いなく！      ルートアクセス管理を有効 

有効化をクリックします。      ルートアクセス管理を有効 

    ルートアクセス管理を有効  ルート認証情報管理  ルートユーザーの認証情報削除・登録を許可     メンバーアカウントでの特権ルートアクション   バケットポリシーの削除とSQSキューポリシーの削除を許可
 

「ルートアクセス管理が有効になっています」と表示されたら設定完了    ルートアクセス管理を有効 

４．ルートアクセス管理でできる各種機能 

IAMの「ルートアクセス管理」からルートユーザーのパスワードと  MFA情報を削除することができる！    ①メンバーアカウントのルートユーザー認証情報削除 

以降は、ルートユーザーでログインしようとしても、「ルートユーザーの認証情報が無効」と表示されてログインできなくなります。    ①メンバーアカウントのルートユーザー認証情報削除 

メンバーアカウントのルートユーザーログイン情報を削除しても、  「パスワードの回復を許可」で再設定可能！    ②メンバーアカウントのルートユーザーログイン復活 

ルートユーザーログインを可能に戻しても、パスワードは自動で発行さ  れません。ルートユーザーの管理者がリセットする必要があります。  マネジメントコンソールからパスワードリセット手続きができます。    紛失または忘れたルートユーザーのパスワードをリセットする  https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reset-root-password.html    ②メンバーアカウントのルートユーザーログイン復活 

ルートユーザーでしか削除できなかったバケットポリシー、  SQSキューポリシーも特権的なアクションから削除が可能。    ③バケットポリシー・SQSキューポリシー削除 

管理アカウント自身のルートユーザー認証情報は削除できません。  【注意】管理アカウントのルートユーザー管理は対象外  ルートアクセス管理画面で、管理アカウントを選択しても「特権的なアクションを実行する」ボタンが活性化されませんでした。 

管理アカウントのルートユーザー認証情報管理を  無くすことができません！慎重に！！  【注意】管理アカウントのルートユーザー管理は対象外 

５．まとめ 

・ルートアクセス管理で、メンバーアカウントのルートユーザー  　認証情報を一括管理でき、余分な認証情報を整理できる。  ・万が一、メンバーアカウント内のS3バケットポリシーやSQSキュー  　ポリシーを誤っても、ルートユーザーログイン不要。  ・管理アカウントのルートユーザー認証情報は対象外なので、  　これまで同様、厳密な管理が必要。  ・おひとり様Organizationsを使っている人は、  　ルートアクセス管理の負荷軽減を検討してみては？  　※IAM Identity
Center の有効もいっしょに。  まとめ 

Qiitaにブログ書きました。こちらも読んでいただけたら嬉しいです！    ▪おひとり様Organizations管理者もルートアクセス管理を有効にしよう！  https://qiita.com/amarelo_n24/items/3e2356e5fb215f128cb3    今回の元記事（再掲） 

ご清聴ありがとうございました！  

おひとり様Organizations管理者もルートアクセス管理を有効にしよう！

おひとり様Organizations管理者もルートアクセス管理を有効にしよう！

amarelo_n24

More Decks by amarelo_n24

Other Decks in Education

Featured

Transcript