AWSのアカウント管理｜適切な管理方法と期待できる効果

●AWSのアカウント管理に関する基礎知識

ここでは、AWSにおけるアカウントの管理について基本的な部分から解説します。

・AWSのアカウント管理とは

AWSでは、システムにおける役割に応じたユーザーの単位としてアカウントを作成します。多くのシステムでは、開発担当者、運用担当者、管理者、システムのエンドユーザーといった役割ごとにアカウントを発行することが一般的です。

アカウントには与えられた役割に応じて、できることとできないことの権限を設定します。例えば、エンドユーザーのアカウントに対して、システムの設定変更を行える権限を与えることは基本的にありません。このように、役割に応じたアカウント管理を行うことで、システムの安全性やセキュリティの向上、運用の効率化につながります。

・なぜアカウントを複数に分ける必要があるのか

AWSに限らず、システムの構築や運用においては関係者に適切な権限を割り当てることが重要です。そのため、AWS上でシステムを構築する場合は最初に発行されるルートユーザーを始めとして、複数のアカウントを作成します。

もし、複数のアカウントを作成せずにルートユーザーのみでシステムを運用する場合、どのような弊害があるのでしょうか。ルートユーザーは、AWSにおけるあらゆる権限を持ったアカウントです。そのため、例えば、本来は権限を持たないはずのエンドユーザーがルートユーザーのアカウントを使ってしまうと、AWS上のサーバやデータベースを削除してしまうといったリスクが考えられます。また、システムで個人情報を扱っている場合には、全てのユーザーに閲覧権限を与えてしまうことで情報漏洩のリスクも高まります。

このように、適切な権限を適切な役割を持った担当者に割り当てるという観点で、複数のアカウントを使用することは必須といえます。

●AWSアカウントの管理方法

大企業などのシステムでは、ユーザーが多岐にわたることからアカウントの数も自ずと増えるでしょう。AWSでは、多数のアカウントを管理するためのサービスが整備されています。ここでは、AWSにおけるアカウントの管理方法について、実際に利用できるサービスの内容も含めて具体的に解説します。

・AWS Organizationsを活用する

多数のアカウントを一つずつ人手で管理する場合、運用負荷の増大やミスの多発が懸念されます。このようなケースを想定してAWSから提供されているサービスが、AWS Organizationsです。

AWS Organizationsを使うことで、組織内に存在する多数のアカウントをOU(組織単位)というグループに分け、SCP(サービスコントロールポリシー)というルールに基づいて効率的に管理できます。具体的には、開発者、運用担当者、システム管理者といった役割分担に応じてOUを設定し、各OUに対して利用可能なサービス、アクセス権限等をポリシーとしてまとめたSCPを適用します。AWS Organizationsを利用することで個々のアカウントに対する権限の設定作業が不要になり、組織全体で効率的なアカウント管理が可能になるでしょう。

また、それぞれのアカウントで発生する支払いについてもAWS Organizationsによってまとめることが可能です。

・AWS Control Towerを活用する

AWSの適切なアカウント管理を助けるサービスとしてAWS Control Towerも挙げられます。このサービスの大きな特徴は、AWSが推奨する構成(ベストプラクティス)に基づいたアカウント管理を実装できる点です。ベストプラクティスの例としては、システムにアクセスする際のMFA(多要素認証)の強制、強力なパスワードポリシーの設定などが挙げられます。

一方で、先述のAWS Organizationsでは各アカウントに設定するポリシーについては、ユーザー側で検討することが必要です。このことから、AWSの有識者がいない、ベストプラクティスに沿ったアカウント管理を行いたいといったケースではAWS Control Towerを利用するとよいでしょう。

社内で内製化することが難しい場合、AWSパートナーを活用することも有効です。
サーバーワークスが提供する請求代行サービス「ガバナンスプラン」では、オプションとしてAWS OrganizationsまたはAWS Control Towerを利用することができます。複数のアカウントを適切に管理し、ガバナンスの向上を図ることができるので、セキュリティや運用に課題を感じている企業の担当者の方は、ぜひお気軽にご相談ください。

ガバナンスプランの詳細はこちら。

AWS Organizations オプションの詳細はこちら。

AWS Control Tower オプションの詳細はこちら。

●適切なアカウント管理によって期待できること

AWSから提供されるサービスを用いて適切なアカウント管理を行うことにより、複数のメリットが期待できます。ここでは、具体的なメリットについて代表的なものを解説します。

・複数のアカウントを一元管理できる

AWS Organizationsなどのサービスを活用することで、多数のアカウントであっても一元的な管理が可能です。また、組織で定めたルールやポリシーを一括で設定できることから、システム運用にかかる負荷を低減させられます。担当者の変更や組織体系の見直しがあった場合にも、スムーズに対応できるでしょう。

もし、AWSのサービスを使わずに各アカウントのポリシー設定を行う場合、運用管理にかかる工数が大きくなることに加え、意図しない権限を付与してしまうなどの人為的なミスも起こりえます。

このように、複数のアカウントを一元管理できることは、運用の効率化とリスク低減の両面で有効といえるでしょう。

・セキュリティ統制を実現できる

システムの構築、運用における適切な役割分担や、権限に基づくアカウント管理を行うことで、セキュリティ面での統制を高められます。例えば、それぞれのアカウントに対して適切かつ最小限の権限設定ができていれば、情報漏洩やシステム上の誤操作といったリスクを減らすことが可能です。

また、システム開発の段階においても開発、テスト、本番といった形で環境別にアカウントを管理すれば、本番環境での意図せぬ操作や変更を防ぐことができます。

用途や役割に応じてアカウントを分離し、適切な権限を与えることによって、万が一何らかのインシデントが発生した際も、対象のアカウントを切り離して被害を最小化できます。

・コスト削減につながる

適切なアカウント管理によって、システム全体のコストが可視化され、コスト削減に向けた施策を検討しやすくなります。もしアカウントごとにコスト管理を行う場合、組織全体でのコストが見えづらくなり、手作業の集計を強いられるでしょう。AWSが提供するサービスを活用することで、アカウントのグループ単位でサービスの使用状況やコストをまとめたレポートを作成できるので、手間をかけずにコストに関する情報収集を行えます。

さらにAWS Organizationsにはクラウドサービス利用料の請求を一元化する機能もあるので、アカウント別のコスト管理が発生せず、支払いの対応を効率化することが可能です。

●AWSの利用において適切なアカウント管理は必須

本記事では、AWSにおけるアカウント管理の重要性とメリットについて解説しました。AWSではAWS OrganizationsやAWS Control Towerといったアカウント管理に役立つサービスが提供されており、アカウント管理の一元化、セキュリティの向上、コスト削減につなげることができます。企業や官公庁といった多数の担当者がシステムの開発、運用に関わる組織において、適切なアカウント管理は必須といえるでしょう。

アカウント管理に課題を感じている場合は、AWSパートナーに依頼することをおすすめします。

「AWSの運用に関するサービスはこちら」