Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
AWS Organizations 組織を移動する時に 考えること 100 連発 (AWS C...
Search
nabeo
June 07, 2022
Technology
2
3.1k
AWS Organizations 組織を移動する時に 考えること 100 連発 (AWS Control Tower への組み込みを添えて) / Hatena Engineer Seminar #20
Hatena Engineer Seminar #20 AWS Renovation 編
https://hatena.connpass.com/event/249039/
の発表資料です
nabeo
June 07, 2022
Tweet
Share
More Decks by nabeo
See All by nabeo
kotlin-lsp を Emacs で使えるようにしてみた / use kotlin-lsp in Emacs
nabeo
0
230
Docker Compose で手軽に手元環境を実現する / Simplifying Local Environments with Docker Compose #CinemaDeLT
nabeo
0
450
OpenTelemetry Collector 自身のモニタリング / Monitoring the OpenTelemetry Collector itself
nabeo
0
520
ヘンリーにおける可観測性獲得への取り組み
nabeo
2
2.1k
AWS CDK (TypeScript) を継続的にメンテ可能にするために取り入れているノウハウ集
nabeo
0
1.3k
AWS Transit Gateway を使った内部ネットワークの構成変更の話 / AWS Transit Gateway and Me
nabeo
0
700
Docker イメージのダイエットが成功するまで帰れまてん / Docker Image Diet Challenge
nabeo
4
4.2k
LVS 勉強会 (LVS Study)
nabeo
0
3.5k
Other Decks in Technology
See All in Technology
ecspressoの設計思想に至る道 / sekkeinight2025
fujiwara3
12
2.1k
AIを使っていい感じにE2Eテストを書けるようになるまで / Trying to Write Good E2E Tests with AI
katawara
3
1.9k
SAE J1939シミュレーション環境構築
daikiokazaki
1
190
Ktor + Google Cloud Tasks/PubSub におけるOTel Messaging計装の実践
sansantech
PRO
1
340
メモ整理が苦手な者による頑張らないObsidian活用術
optim
0
150
地域コミュニティへの「感謝」と「恩返し」 / 20250726jawsug-tochigi
kasacchiful
0
100
Wasmで社内ツールを作って配布しよう
askua
0
150
LLM開発を支えるエヌビディアの生成AIエコシステム
acceleratedmu3n
0
340
増え続ける脆弱性に立ち向かう: 事前対策と優先度づけによる 持続可能な脆弱性管理 / Confronting the Rise of Vulnerabilities: Sustainable Management Through Proactive Measures and Prioritization
nttcom
1
220
少人数でも回る! DevinとPlaybookで支える運用改善
ishikawa_pro
4
1.8k
Step Functions First - サーバーレスアーキテクチャの新しいパラダイム
taikis
1
280
AI時代の知識創造 ─GeminiとSECIモデルで読み解く “暗黙知”と創造の境界線
nyagasan
0
160
Featured
See All Featured
For a Future-Friendly Web
brad_frost
179
9.8k
Principles of Awesome APIs and How to Build Them.
keavy
126
17k
Why You Should Never Use an ORM
jnunemaker
PRO
58
9.5k
Understanding Cognitive Biases in Performance Measurement
bluesmoon
29
1.8k
The Invisible Side of Design
smashingmag
301
51k
Art, The Web, and Tiny UX
lynnandtonic
301
21k
Measuring & Analyzing Core Web Vitals
bluesmoon
7
530
A Tale of Four Properties
chriscoyier
160
23k
Done Done
chrislema
184
16k
Refactoring Trust on Your Teams (GOTO; Chicago 2020)
rmw
34
3.1k
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
130
19k
ピンチをチャンスに:未来をつくるプロダクトロードマップ #pmconf2020
aki_iinuma
126
53k
Transcript
AWS Organizations 組織を移動する時に 考えること 100 連発 AWS Control Tower への組み込みを添えて
id:nabeop / @nabeo 2022/06/07 Hatena Engineer Seminar #20 AWS Renovation 編 1
自己紹介 組織・基盤開発本部 プラットフォーム部 システムプラットフォームチーム SRE id:nabeop Twitter : @nabeo https://twitter.com/nabeo
Blog : https://nabeop.hatenablog.com/ 2
AWS アカウント管理のガバナンス強化 3 【開催報告】アップデート紹介とちょっぴり Dive Deep する AWS の時間 第十七回
(04/28) https://aws.amazon.com/jp/blogs/news/update-divedeep-series-17/
用語の整理 (AWS アカウントの種類) • 管理アカウント ◦ AWS Organizations の組織を管理する AWS
アカウント • メンバーアカウント ◦ AWS Organizations の組織に入っている AWS アカウント • payer アカウント ◦ AWS アカウントの費用の支払い責任をもつ AWS アカウント 4
5 AWS Organizations の組織移動 と AWS Control Tower への組み 込み手順
6 手順 1 旧組織から離脱する
7 手順 2 新組織に加入する
8 手順 3 新組織の AWS Control Tower に組み込む
9 ね?簡単でしょ??
10 簡単ではない!!
お品書き • 一括請求の対象から外れる • RI/SP が共有できない • AWS Control Tower
と競合する AWS リソー ス • ポリシーで組織 ID を使っているケース 11
12 その1 : 一括請求から外れる
13 AWS Organizations の一括請求機能 • 組織内のメンバーアカウントの請求を1つの AWS アカウントにまとめる • 請求書が1つにまとまるので管理が楽になる
組織移動中の payer アカウントの変化 • 旧組織に所属している期間 ◦ payer アカウントは旧組織の管理アカウント • どの組織にも所属していない期間
◦ payer アカウントは自分自身 • 新組織に所属している期間 ◦ payer アカウントは新組織の管理アカウント 14
煩雑な請求手続き • 最大で3つに分割されて請求される • どの組織にも所属していない期間の扱い ◦ デフォルトではクレジットカード決済 15
中途半端な請求を発生させないために • 仮定1 : 請求金額は1時間ごとに計算してい る? ◦ だいたい時間課金のコスト体系 16
中途半端な請求を発生させないために • 仮定2 : 請求金額が確定するまでに新しい組織 に組み込まれたら請求が発生しないのでは? ◦ 一括請求の適用外になっている期間を1時間以内に納 めたら新組織で請求されるのではないか ◦
もしくはコストが発生しても十分小さい金額になるよ うに頑張る 17
AWS Organizations 組織移動 RTA Tips • 旧組織にいる時点で新組織から移動対象の AWS アカウントに組織の招待を送信する •
旧組織から離脱したら、すかさず新組織から の招待を受諾する 18
19 その2 : 他アカウントで購 入した RI/SP を使えなく なる
20 同一組織内で共有している RI/SP • 組織から外れた時点で他 AWS アカウントか ら RI/SP が共有されなくなる
組織移動を見越した RI/SP 購買 • 他アカウントの RI/SP を使っている場合は買 い増しを検討する ◦ 共有している/されている
RI/SP は AWS CUR で確認 できる • RI/SP 購買を計画と組織移動の計画をリンク させる 21
22 その 3 : AWS Control Tower と競合する AWS リ
ソースが作成されている
23 AWS Control Tower によって作られる AWS リソース (一部)
24 AWS Config • リージョンにつき1つしか作成できないリソー スを AWS Control Tower が使用する
◦ AWS CloudFormation のスタックで管理される
AWS Control Tower との競合を避ける • AWS Control Tower への組み込み前に AWS
サポートに該当するリソースを作らないよう に依頼する • 既存のリソースを手で修正する 25
運用上の課題 • AWS Control Tower のバージョンアップなど でアカウント単位での更新ができなくなる ◦ Acccount Factory
でのアカウントの登録でエラーに なる ◦ OU の再適用によって更新する 26
27 その 4 : ポリシーで組織 ID を使っている
28 組織 ID を IAM ポリシーで使う • aws:PrincipalOrgId • aws:ResourceOrgPaths
• aws:ResourceOrgId
潜んでいそうなところ 29 • IAM のポリシードキュメント ◦ awscli で使用箇所を特定することは可能 • リソースポリシードキュメント
◦ 各 AWS サービスに散らばっているので網羅的な調査 が難しい
30 最後に
31 AWS アカウント管理は面白い • 普段では意識しないところで色々と考えるこ とがある • AWS アカウントのガバナンス強化にはまだま だチャレンジできるところが残っている
32 32