AWS Organizationsからアカウントを新規作成してみて
AWS Organizationsでアカウントを新規作成することがありましたので、記録です。
メールアドレスだけを登録すればいいのですごく簡単でした。
ルートユーザーのパスワードは最低64桁以上で設定されているので、それだけでよければ放置でもいいのですが、今回は念のためMFAも有効にしました。
目次
AWS Organizationsからアカウント作成
マネジメントコンソールから操作をしました。
Organizationsで[アカウントの追加]をクリックしました。
[アカウントの作成]をクリックしました。
任意のフルネームとメールアドレスを設定します。
スイッチロールするためのIAMロールを任意の名前に変更する場合は入力します。
IAMロール名を入力しない場合は、”OrganizationAccountAccessRole”になります。
[作成]をクリックしてアカウント作成です。
非常に簡単でした。
作成したアカウントにスイッチロール
アカウントが出来たので、親アカウントにログインしているIAMユーザーからスイッチロールしてみたいと思います。
親アカウントにログインしているユーザーは、AdministratorsというAdministratorAccessポリシーがアタッチされている、Administratorsグループのメンバーです。
ですので、Administratorsグループにインラインポリシーでsts:AssumeRoleの権限を設定します。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 |
{ "Version": "2012-10-17", "Statement": [ { "Sid": "Stmt1", "Effect": "Allow", "Action": [ "sts:AssumeRole" ], "Resource": [ "arn:aws:iam::000000000000:role/OrganizationAccountAccessRole" ] } ] } |
新規アカウントのIAMロール名は変更していないので、ARNは見なくてもわかるはずです。
12桁のアカウントIDは仮で000000000000としてますので適宜読み変えてください。
保存したのでスイッチロールしてみます。
IAMユーザー名をクリックして、[スイッチロール]をクリックしました。
[ロールの切り替え]をクリックしました。
12桁のアカウントIDとロール名OrganizationAccountAccessRoleと、表示名はわかりやすい任意の名前を指定しました。
スイッチロールできました。
作成したアカウントのルートユーザーパスワード取得してMFA設定
スイッチロールはできましたが、ルートユーザーにMFAの設定がないことが気になります。
最低限64桁のパスワードは設定されています。
でも気になったので、ルートユーザーのMFA設定をしたいと思います。
もちろん親アカウントのIAMユーザーがスイッチロールしてアクセスした状態では、ルートユーザーのMFAは設定できません。
新アカウントのルートユーザーでマネジメントコンソールにログインする必要があります。
でもパスワードは知らされていません。
どうするかというと、パスワードを忘れた人から再設定します。
これでルートユーザーでログインできたので、MFAを設定しておきます。
やってみて
作成したアカウントのルートユーザーにMFAを設定するのは自動化するのはできなさそうなので、自動的に複数アカウントを作るのであれば、64桁以上のパスワードで良しとする運用を考えるべきか。
ロールが自動作成されるので、作成後のアカウントに親アカウントのLambdaからIAMユーザーを作成して、CloudFormationスタック作成を実行して、演習環境として一時的な提供はできそうです。
最後までお読みいただきましてありがとうございました!
【PR】 「AWS認定試験対策 AWS クラウドプラクティショナー」という本を書きました。
【PR】 「AWSではじめるLinux入門ガイド」という本を書きました。
【PR】 「ポケットスタディ AWS認定 デベロッパーアソシエイト」という本を書きました。
【PR】 「AWS認定資格試験テキスト&問題集 AWS認定ソリューションアーキテクト - プロフェッショナル」という本を書きました。

開発ベンダー5年、ユーザ企業システム部門通算9年、ITインストラクター5年目でプロトタイプビルダーもやりだしたSoftware Engineerです。
質問はコメントかSNSなどからお気軽にどうぞ。
出来る限りなるべく答えます。
このブログの内容/発言の一切は個人の見解であり、所属する組織とは関係ありません。
このブログは経験したことなどの共有を目的としており、手順や結果などを保証するものではありません。
ご参考にされる際は、読者様自身のご判断にてご対応をお願いいたします。
また、勉強会やイベントのレポートは自分が気になったことをメモしたり、聞いて思ったことを書いていますので、登壇者の意見や発表内容ではありません。
ad
ad
関連記事
-
-
NGINXで500と502のエラーが実は頻発していたらしい
先日Mackerelで当ブログの外形監視を始めたのですが、500と502のエラー …
-
-
AWS Toolkit for Eclipseで「Error Message: Unable to find a region via the region provider chain. Must provide an explicit region in the builder or setup environment to supply a region.」
AWS Toolkit for Eclipseをセットアップ(2021年版)の環 …
-
-
AWS Service CatalogポートフォリオをOrganizations組織で共有する
AWS Service Catalogチュートリアルで作成したポートフォリオのO …
-
-
Lucidchart AWSアカウントからインポート機能で自動作図
SNSでLucidchartというサービスが話題になってました。 AWSの環境を …
-
-
Amazon EC2(Amazon Linux 2)にRedmine3.4をインストール
久しぶりに新しい環境でRedmineを構築したくなり、せっかくなのでAmazon …
-
-
JAWS-UG 大阪 関西女子合同 Amazon Personalizeハンズオンやってみました
久しぶりに大阪でJAWS-UGに参加です。 Amazon Personalize …
-
-
特定AWSアカウント特定リージョンのCloud9環境を削除するLambda(Python)
やりたいこと 特定アカウント内特定リージョン内のCloud9環境を全部削除したい …
-
-
試そうとしてたらSavings Plans買っちゃいました
Savings Plansの購入画面を確認していました。 画面遷移も確認しようと …
-
-
S3 過去のオブジェクトバージョンをコピーしてロールバックしました
バージョニングを有効にしているS3バケットで、オブジェクトを以前のバージョンに戻 …
-
-
EC2ハードウェア専有インスタンス(Dedicated Instances)を起動して請求書を確認してみました
EC2ハードウェア専有インスタンスのサイトには、次の料金と表記されています。 * …