Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
Control policies for AWS Organizations
Search
midnight480
February 08, 2025
Technology
0
150
Control policies for AWS Organizations
02/08/2025 JAWS-UG Fukuoka
midnight480
February 08, 2025
Tweet
Share
More Decks by midnight480
See All by midnight480
AWS Summit Japan 2025 個人的参加レポート
midnight480
0
160
Amazon Q Developer for CLI の紹介
midnight480
0
130
Postman Flows ✖️ Backlog API で可能性を探る
midnight480
0
150
Amazon Q Developer for CLIの基本的な使い方と便利なコマンドの紹介
midnight480
0
240
20250531 JAWS-UG佐賀 生成AI
midnight480
0
88
Amazon Q Developer for CLI 〜 Blender、Backlog GitをMCPで操作してみた 〜
midnight480
0
210
20240201_JAWS-UG_SAGA
midnight480
0
110
Reintroduction to AWS Multiple Account Management
midnight480
0
110
Try Dify self-hosted on AWS
midnight480
0
90
Other Decks in Technology
See All in Technology
pprof vs runtime/trace (FlightRecorder)
task4233
0
130
2重リクエスト完全攻略HANDBOOK / Double Request Handbook
shoheimitani
5
7k
analysis パッケージの仕組みの上でMulti linter with configを実現する / Go Conference 2025
k1low
1
240
AIが書いたコードをAIが検証する!自律的なモバイルアプリ開発の実現
henteko
1
220
コンテキストエンジニアリングとは? 考え方と応用方法
findy_eventslides
4
810
WebアプリケーションのUI構築で気を付けてるポイント
tomokusaba
0
120
Goのビルドシステムの変遷 / The history of Go's build system
ymotongpoo
12
3.4k
いま注目しているデータエンジニアリングの論点
ikkimiyazaki
0
520
Sidekiq その前に:Webアプリケーションにおける非同期ジョブ設計原則
morihirok
17
6k
GopherCon Tour 概略
logica0419
2
150
Green Tea Garbage Collector の今
zchee
PRO
1
340
Pure Goで体験するWasmの未来
askua
1
150
Featured
See All Featured
The Invisible Side of Design
smashingmag
301
51k
Designing Experiences People Love
moore
142
24k
The Art of Delivering Value - GDevCon NA Keynote
reverentgeek
15
1.7k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
333
22k
What’s in a name? Adding method to the madness
productmarketing
PRO
23
3.7k
The MySQL Ecosystem @ GitHub 2015
samlambert
251
13k
Building Flexible Design Systems
yeseniaperezcruz
329
39k
How STYLIGHT went responsive
nonsquared
100
5.8k
Creating an realtime collaboration tool: Agile Flush - .NET Oxford
marcduiker
32
2.2k
The Psychology of Web Performance [Beyond Tellerrand 2023]
tammyeverts
49
3.1k
Documentation Writing (for coders)
carmenintech
75
5k
Side Projects
sachag
455
43k
Transcript
Copyright © Tetsuya Shibao #jawsugfuk 2025-02-08 JAWS-UG福岡 AWS Organizationsに対する制御ポリシー Control
policies for AWS Organizations
Copyright © Tetsuya Shibao #jawsugfuk 自己紹介 大分(22年) → 東京(11年) →
福岡(2年)→ 佐賀(現 在) 柴尾 哲也(しばお てつや) Tetsuya Shibao JAWS-UG佐賀 AWS Startup Community 福岡 JAWS-UG 佐賀 運営 AWS Startup Community 運営(最近は... SAGA IT Community Day企画中 Coder Dojoさが(メンター) HAGAKURE PROGRAMMING塾 etc…
Copyright © Tetsuya Shibao #jawsugfuk ・ 熊本での復習 ・ 個人で運用するユースケース ・ハンズオンイベントの運営
・ 貸し出すときに注意したいこと ・ 先人たちの紹介 ・ 現在利用可能なポリシー ・ まとめ お話すること
Copyright © Tetsuya Shibao #jawsugfuk 熊本での復習 ・ JAWS-UG熊本(2025/1/25)では、AWS OrganizationsとIAM Identity
Centerについて話しました ・ OU(組織単位)にポリシーが適用できることについて話しました https://speakerdeck.com/midnight480/reintroduction-to-aws-multiple-account-management
Copyright © Tetsuya Shibao #jawsugfuk ハンズオンイベントの運営 ・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています ・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです (松)AWSさんにご協力をいただき、Workshop環境を用意いただく
or クレジットを頂く (竹)参加者各自でAWSアカウントを保有していただく (梅)運営側でハンズオン用アカウントを展開する
Copyright © Tetsuya Shibao #jawsugfuk ハンズオンイベントの運営 ・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています ・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです (松)AWSさんにご協力をいただき、Workshop環境を用意いただく
or クレジットを頂く (竹)参加者各自でAWSアカウントを保有していただく (梅)運営側でハンズオン用アカウントを展開する
Copyright © Tetsuya Shibao #jawsugfuk ハンズオンイベントの運営 ・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています ・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです (松)AWSさんにご協力をいただき、Workshop環境を用意いただく
or クレジットを頂く (竹)参加者各自でAWSアカウントを保有していただく (梅)運営側でハンズオン用アカウントを展開する ・ ハンズオンアカウントを貸し出すケース ・参加者が学生などクレジットカードを保有しておらずAWSアカウントを作成できない → Vプリカ(AWSは大手クラウドの中で唯一利用できるクラウドサービス[2022年柴尾調べ]) https://vpc.lifecard.co.jp/ ・課金が発生するためクレジット(≒クーポン)保有者から提供する
Copyright © Tetsuya Shibao #jawsugfuk 貸し出すときに注意したいこと ・イベントに参加する方に悪意を持って参加者はいない前提でいる ex. 重課金して貸出元のクレジットを溶かしてしまおう
・初心者が誤って高額、月額課金に関わるサービスを選択しないようにする ex. AWSサポート、Sheild Advanced(DDoS攻撃を人的にチェック)...etc
Copyright © Tetsuya Shibao #jawsugfuk 先人たちの紹介 ・SCPに関する記事を書いている先人の一例です https://qiita.com/hirosys-biz/items/ecc34f8574094dc6be15 https://qiita.com/hirosys-biz/items/48d1db5fcce3bf6547ce https://www.yamamanx.com/scp-policy/
Copyright © Tetsuya Shibao #jawsugfuk 現在利用可能なポリシー ・SCPs (Service Control Policy)
サービスに対する制限 ( (SCPsで制限できない機能) で制限できない機能) ・管理アカウントによって実行されるすべてのアクション ・サービスにリンクされたロールにアタッチされたアクセス許可を使用して実行されるすべてのアクション。 ・root ユーザーとして Enterprise サポートプランに登録する ・CloudFront プライベートコンテンツに信頼された署名者機能を提供する ・Amazon Lightsail E メールサーバーと Amazon EC2インスタンスDNSをルートユーザーとしてリバースを設定する 一部の AWS関連サービスのタスク: ・Alexa Top Sites ・Alexa Web Information Service ・Amazon Mechanical Turk ・Amazon 製品マーケティング API ・RCPs (Resource Control Policy) リソースに対する制限 ( (RCPsで制限できるリソース) で制限できるリソース) Amazon S3、AWS Security Token Service、AWS Key Management Service、Amazon SQS、AWS Secrets Manager ・DP(Declarative Policy) 新機能でAPIが追加されても永続的に制限 ( (DPで制限できるリソース) で制限できるリソース) シリアルコンソールアクセス、インスタンスメタデータのデフォルト、AMIの公開、 スナップショットのパブリックアクセス、インターネットゲートウェイからのパブリックアクセス
Copyright © Tetsuya Shibao #jawsugfuk まとめ ・ AWS Organizationsは従来SCPsでのみ制限を掛けられるものでしたが、 2024年11月のRCPs、12月のDPの登場によりAWSアカウントに統制を掛ける幅が広がりました。
・ AWS Organizationsで利用できるポリシーのサンプルを作成しています。 SCPs、RCPs、DPをそれぞれ適用できるようにしています。 https://github.com/midnight480/sample-aws-organization-policy SCPs RCPs DP 対象 IAM User/Roleなど アクセス制御 リソースに対する アクセス制御 予め定義された リソースベースライン サービスロールに対する 制御 対象外 対象外 対象 エラーメッセージの カスタム 不可 不可 可能
Copyright © Tetsuya Shibao #jawsugfuk https://sitcd.vercel.app/ 全国的に珍しい佐賀県のITコミュニティ運営支援施策を中心に、 佐賀県の方から話をいただいたり、コミュニティ間のコラボレーションを目的に、 イベントを企画、準備中です。 セッションの様子はYouTubeで配信予定ですのでよかったら見てみてください
おしらせ
Copyright © Tetsuya Shibao #jawsugfuk 2025-02-08 JAWS-UG福岡 Thanks for your
time. :) https://speakerdeck.com/midnight480 https://www.docswell.com/user/midnight480