---
title: Control policies for AWS Organizations
tags: 
author: [Tetsuya Shibao](https://www.docswell.com/user/midnight480)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/GJWP85M172.jpg?width=480
description: Control policies for AWS Organizations by Tetsuya Shibao
published: February 08, 25
canonical: https://www.docswell.com/s/midnight480/Z1RWW4-2025-02-08-153331
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/GJWP85M172.jpg)

AWS Organizationsに対する制御ポリシー
Control policies for AWS Organizations
2025-02-08
JAWS-UG福岡
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 2

![Page Image](https://bcdn.docswell.com/page/4EZK8NQXE3.jpg)

自己紹介
柴尾 哲也（しばお
Tetsuya Shibao
てつや）
大分（22年） → 東京（11年） → 福岡（2年）→ 佐賀（現
在）
JAWS-UG 佐賀 運営
AWS Startup Community 運営（最近は...
SAGA IT Community Day企画中
Coder Dojoさが（メンター）
HAGAKURE PROGRAMMING塾
etc…
JAWS-UG佐賀
#jawsugfuk
AWS Startup Community 福岡
Copyright © Tetsuya Shibao


# Page. 3

![Page Image](https://bcdn.docswell.com/page/Y76QP86P7V.jpg)

お話すること
・ 熊本での復習
・ 個人で運用するユースケース
・ハンズオンイベントの運営
・ 貸し出すときに注意したいこと
・ 先人たちの紹介
・ 現在利用可能なポリシー
・ まとめ
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 4

![Page Image](https://bcdn.docswell.com/page/G75RK96PE4.jpg)

熊本での復習
・ JAWS-UG熊本（2025/1/25）では、AWS OrganizationsとIAM Identity Centerについて話しました
・ OU（組織単位）にポリシーが適用できることについて話しました
https://speakerdeck.com/midnight480/reintroduction-to-aws-multiple-account-management
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 5

![Page Image](https://bcdn.docswell.com/page/9J2DW2MZJR.jpg)

ハンズオンイベントの運営
・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています
・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです
（松）AWSさんにご協力をいただき、Workshop環境を用意いただく or クレジットを頂く
（竹）参加者各自でAWSアカウントを保有していただく
（梅）運営側でハンズオン用アカウントを展開する
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 6

![Page Image](https://bcdn.docswell.com/page/DEY2LYXNEM.jpg)

ハンズオンイベントの運営
・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています
・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです
（松）AWSさんにご協力をいただき、Workshop環境を用意いただく or クレジットを頂く
（竹）参加者各自でAWSアカウントを保有していただく
（梅）運営側でハンズオン用アカウントを展開する
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 7

![Page Image](https://bcdn.docswell.com/page/VJN84P1V78.jpg)

ハンズオンイベントの運営
・ JAWS-UGをはじめとして各勉強会でハンズオンに参加する機会が提供されています
・その際にAWSアカウントをどのように取り扱うかが運営で悩ましいです
（松）AWSさんにご協力をいただき、Workshop環境を用意いただく or クレジットを頂く
（竹）参加者各自でAWSアカウントを保有していただく
（梅）運営側でハンズオン用アカウントを展開する
・ ハンズオンアカウントを貸し出すケース
・参加者が学生などクレジットカードを保有しておらずAWSアカウントを作成できない
→ Vプリカ（AWSは大手クラウドの中で唯一利用できるクラウドサービス[2022年柴尾調べ]）
https://vpc.lifecard.co.jp/
・課金が発生するためクレジット（≒クーポン）保有者から提供する
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 8

![Page Image](https://bcdn.docswell.com/page/YE9KQ35VE3.jpg)

貸し出すときに注意したいこと
・イベントに参加する方に悪意を持って参加者はいない前提でいる
ex. 重課金して貸出元のクレジットを溶かしてしまおう
・初心者が誤って高額、月額課金に関わるサービスを選択しないようにする
ex. AWSサポート、Sheild Advanced（DDoS攻撃を人的にチェック）...etc
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 9

![Page Image](https://bcdn.docswell.com/page/GE8RGMY4JD.jpg)

先人たちの紹介
・SCPに関する記事を書いている先人の一例です
https://www.yamamanx.com/scp-policy/
https://qiita.com/hirosys-biz/items/ecc34f8574094dc6be15
https://qiita.com/hirosys-biz/items/48d1db5fcce3bf6547ce
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 10

![Page Image](https://bcdn.docswell.com/page/LELKG34VJR.jpg)

現在利用可能なポリシー
・SCPs （Service Control Policy）
サービスに対する制限
（SCPsで制限できない機能）
・管理アカウントによって実行されるすべてのアクション
・サービスにリンクされたロールにアタッチされたアクセス許可を使用して実行されるすべてのアクション。
・root ユーザーとして Enterprise サポートプランに登録する
・CloudFront プライベートコンテンツに信頼された署名者機能を提供する
・Amazon Lightsail E メールサーバーと Amazon EC2インスタンスDNSをルートユーザーとしてリバースを設定する
一部の AWS関連サービスのタスク：
・Alexa Top Sites
・Alexa Web Information Service
・Amazon Mechanical Turk
・Amazon 製品マーケティング API
・RCPs （Resource Control Policy）
リソースに対する制限
（RCPsで制限できるリソース）
Amazon S3、AWS Security Token Service、AWS Key Management Service、Amazon SQS、AWS Secrets Manager
・DP（Declarative Policy）
新機能でAPIが追加されても永続的に制限
（DPで制限できるリソース）
シリアルコンソールアクセス、インスタンスメタデータのデフォルト、AMIの公開、
スナップショットのパブリックアクセス、インターネットゲートウェイからのパブリックアクセス
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 11

![Page Image](https://bcdn.docswell.com/page/4JM2QDKNJW.jpg)

まとめ
・ AWS Organizationsは従来SCPsでのみ制限を掛けられるものでしたが、
2024年11月のRCPs、12月のDPの登場によりAWSアカウントに統制を掛ける幅が広がりました。
SCPs
RCPs
DP
対象
IAM User/Roleなど
アクセス制御
リソースに対する
アクセス制御
予め定義された
リソースベースライン
サービスロールに対する
制御
対象外
対象外
対象
エラーメッセージの
カスタム
不可
不可
可能
・ AWS Organizationsで利用できるポリシーのサンプルを作成しています。
SCPs、RCPs、DPをそれぞれ適用できるようにしています。
https://github.com/midnight480/sample-aws-organization-policy
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 12

![Page Image](https://bcdn.docswell.com/page/PJRM84X4E9.jpg)

おしらせ
全国的に珍しい佐賀県のITコミュニティ運営支援施策を中心に、
佐賀県の方から話をいただいたり、コミュニティ間のコラボレーションを目的に、
イベントを企画、準備中です。
セッションの様子はYouTubeで配信予定ですのでよかったら見てみてください
https://sitcd.vercel.app/
#jawsugfuk
Copyright © Tetsuya Shibao


# Page. 13

![Page Image](https://bcdn.docswell.com/page/PEXV826Z7X.jpg)

Thanks for your time. :)
https://speakerdeck.com/midnight480
https://www.docswell.com/user/midnight480
2025-02-08
JAWS-UG福岡
#jawsugfuk
Copyright © Tetsuya Shibao