AWS Organizationsからアカウントを新規作成してみて

2019/06/04

AWS Organizationsでアカウントを新規作成することがありましたので、記録です。
メールアドレスだけを登録すればいいのですごく簡単でした。

ルートユーザーのパスワードは最低64桁以上で設定されているので、それだけでよければ放置でもいいのですが、今回は念のためMFAも有効にしました。

AWS Organizationsからアカウント作成

マネジメントコンソールから操作をしました。
Organizationsで[アカウントの追加]をクリックしました。

[アカウントの作成]をクリックしました。

任意のフルネームとメールアドレスを設定します。
スイッチロールするためのIAMロールを任意の名前に変更する場合は入力します。
IAMロール名を入力しない場合は、”OrganizationAccountAccessRole”になります。

[作成]をクリックしてアカウント作成です。
非常に簡単でした。

作成したアカウントにスイッチロール

アカウントが出来たので、親アカウントにログインしているIAMユーザーからスイッチロールしてみたいと思います。

親アカウントにログインしているユーザーは、AdministratorsというAdministratorAccessポリシーがアタッチされている、Administratorsグループのメンバーです。

ですので、Administratorsグループにインラインポリシーでsts:AssumeRoleの権限を設定します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1",
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": [
                "arn:aws:iam::000000000000:role/OrganizationAccountAccessRole"
            ]
        }
    ]
}

{

"Version": "2012-10-17",

"Statement": [

{

"Sid": "Stmt1",

"Effect": "Allow",

"Action": [

"sts:AssumeRole"

"Resource": [

"arn:aws:iam::000000000000:role/OrganizationAccountAccessRole"

]

}

]

}

新規アカウントのIAMロール名は変更していないので、ARNは見なくてもわかるはずです。
12桁のアカウントIDは仮で000000000000としてますので適宜読み変えてください。

保存したのでスイッチロールしてみます。
IAMユーザー名をクリックして、[スイッチロール]をクリックしました。

[ロールの切り替え]をクリックしました。

12桁のアカウントIDとロール名OrganizationAccountAccessRoleと、表示名はわかりやすい任意の名前を指定しました。
スイッチロールできました。

作成したアカウントのルートユーザーパスワード取得してMFA設定

スイッチロールはできましたが、ルートユーザーにMFAの設定がないことが気になります。
最低限64桁のパスワードは設定されています。
でも気になったので、ルートユーザーのMFA設定をしたいと思います。

もちろん親アカウントのIAMユーザーがスイッチロールしてアクセスした状態では、ルートユーザーのMFAは設定できません。

新アカウントのルートユーザーでマネジメントコンソールにログインする必要があります。
でもパスワードは知らされていません。
どうするかというと、パスワードを忘れた人から再設定します。

これでルートユーザーでログインできたので、MFAを設定しておきます。

やってみて

作成したアカウントのルートユーザーにMFAを設定するのは自動化するのはできなさそうなので、自動的に複数アカウントを作るのであれば、64桁以上のパスワードで良しとする運用を考えるべきか。
ロールが自動作成されるので、作成後のアカウントに親アカウントのLambdaからIAMユーザーを作成して、CloudFormationスタック作成を実行して、演習環境として一時的な提供はできそうです。

最後までお読みいただきましてありがとうございました！
【PR】「AWS認定試験対策 AWS クラウドプラクティショナー」という本を書きました。