▪️目的
AWSを利用するシステムが増えてくると、開発環境や本番環境、部署ごとにAWSアカウントを分けて管理したい場面が出てきます。
しかし、AWSアカウントが増えるほど、アカウントの管理やセキュリティ対策、利用料金の把握が複雑になります。
このような課題を解決するサービスが AWS Organizations です。
本記事では、AWS Organizationsの概要から、主な機能、利用するメリット、関連サービスとの違いまで、インフラ初心者向けに解説します。
▪️AWS Organizationsとは
AWS Organizationsは、複数のAWSアカウントを組織としてまとめ、一元的に管理するためのサービスです。
AWSアカウントの追加やグループ化、セキュリティ上のルールの適用、請求の集約などを実現できます。
例えば、企業がAWSを利用する場合、次のようにアカウントを分けることがあります。
- 開発環境用のAWSアカウント
- 本番環境用のAWSアカウント
- セキュリティ監査用のAWSアカウント
- ログ保管用のAWSアカウント
これらのアカウントを個別に管理するのではなく、AWS Organizationsによって組織としてまとめることで、管理しやすくなります。
AWS Organizations自体の利用に追加料金はかかりません。ただし、組織内の各アカウントで利用するAWSサービスには、それぞれ料金が発生する場合があります。
公式ドキュメント：AWS Organizationsとは
▪️AWS Organizationsの主な機能
AWS Organizationsの主な機能は、次の3つです。
- AWSアカウントの一元管理
- セキュリティルールの集中管理
- 複数アカウントの請求の集約
それぞれ詳しく見ていきましょう。
♦︎AWSアカウントの一元管理
AWS Organizationsでは、複数のAWSアカウントを1つの組織にまとめて管理できます。
組織内では、アカウントをOU（Organizational Unit：組織単位）というグループに分類できます。
例えば、次のような構成です。
AWS Organizations
│
├── 管理アカウント
│
└── Root
│
├── 開発OU
│ ├── 開発アカウント
│ └── 検証アカウント
│
├── 本番OU
│ └── 本番アカウント
│
└── セキュリティOU
└── 監査アカウント
※図は構成例です。管理アカウントは組織を管理するAWSアカウントであり、Rootは組織階層の最上位にあるコンテナです。
このようにアカウントを分類すると、環境や役割に応じて管理方針を整理できます。
また、OUには別のOUを配置することもできます。組織の規模や運用方針に合わせて階層構造を設計できる点が特徴です。
♦︎セキュリティルールの集中管理
AWS Organizationsでは、組織内のAWSアカウントに対して、共通のセキュリティルールを適用できます。
代表的な機能が、**SCP（Service Control Policy：サービスコントロールポリシー）**です。
SCPは、AWSアカウント内のIAMユーザーやIAMロールが利用できる権限の上限を定めるためのポリシーです。
例えば、次のようなルールを設けたい場合に利用できます。
- 特定のAWSリージョン以外では操作できないようにする
- 利用を禁止したいAWSサービスへのアクセスを制限する
- 組織で定めたセキュリティ方針に反する操作を制限する
SCPは、組織全体やOU、個別のメンバーアカウントに適用できます。
例えば、開発OUには開発に必要なサービスの利用を認めつつ、本番OUにはより厳しい制限を適用するといった設計が可能です。
ただし、重要なポイントがあります。
SCPは権限を付与するものではありません。
SCPは利用できる権限の上限を定めるものであり、実際に操作するためにはIAMポリシーなどによる許可も必要です。SCPで許可されていても、IAMポリシーで許可されていなければ操作できません。
また、SCPは管理アカウント内のIAMユーザーやIAMロールには適用されません。そのため、管理アカウントには必要最小限のリソースだけを配置し、厳重に管理することが重要です。
公式ドキュメント：SCPの仕組み
♦︎複数アカウントの請求の集約
AWS Organizationsでは、組織内の複数アカウントの請求を集約できます。これを**一括請求（Consolidated Billing）**といいます。
例えば、開発・検証・本番の3つのAWSアカウントを利用している場合、それぞれの請求を個別に確認するだけでなく、管理アカウントから組織全体の利用料金をまとめて確認できます。
一括請求には、次のようなメリットがあります。
- 複数アカウントの請求をまとめて管理できる
- アカウントごとの利用料金を把握しやすくなる
- 条件を満たす場合、利用量に応じた料金割引やSavings Plansなどの割引を組織内で共有できる
ただし、請求を集約しても、OUの構成がそのまま請求書の分類に反映されるわけではありません。より細かく費用を把握したい場合は、AWS Cost Explorerやコスト配分タグなども活用します。
公式ドキュメント：AWS Organizationsの一括請求
▪️AWS Organizationsの主要な構成要素
AWS Organizationsを理解するうえで、押さえておきたい用語を整理します。
| 用語 | 説明 |
|---|---|
| Organization | 複数のAWSアカウントをまとめた組織 |
| 管理アカウント | 組織を作成し、組織全体の管理や請求を担うアカウント |
| メンバーアカウント | 管理アカウント以外で、組織に所属するAWSアカウント |
| Root | 組織階層の最上位にあるコンテナ |
| OU | AWSアカウントを役割や環境ごとに分類するグループ |
| SCP | メンバーアカウントで利用できる権限の上限を定めるポリシー |
ここで、特に混同しやすいのが「管理アカウント」と「Root」です。
管理アカウントはAWSアカウントそのものです。一方、Rootは組織内のアカウントやOUをまとめる階層上のコンテナを指します。
また、AWSアカウントのRootユーザーとも異なります。AWSアカウントのRootユーザーは、そのアカウントを作成した際のメールアドレスなどでサインインする特別なユーザーです。
似た名前ですが、それぞれ役割が異なるため注意しましょう。
▪️AWS Organizationsを利用するメリット
AWS Organizationsを利用するメリットは、主に次の3つです。
1. 環境ごとにアカウントを分離できる
開発環境と本番環境を別々のAWSアカウントに分けることで、リソースや権限、利用料金を分離しやすくなります。
例えば、開発環境での設定変更が本番環境に直接影響するリスクを抑えやすくなります。
ただし、アカウントを分けるだけで自動的に安全になるわけではありません。各アカウントのIAM権限やネットワーク、監視なども適切に設計する必要があります。
2. セキュリティ方針を統一できる
複数のAWSアカウントを利用する環境では、アカウントごとに設定や運用ルールがばらばらになることがあります。
AWS Organizationsを利用すれば、SCPなどを活用して組織共通の制限を適用できます。
これにより、アカウント数が増えても、組織として一定のセキュリティ方針を維持しやすくなります。
3. コストを把握しやすくなる
AWSアカウントごとに利用料金を分けて管理しながら、組織全体の請求をまとめて確認できます。
例えば、開発環境で想定以上の料金が発生していないか、本番環境の利用料金がどの程度か、といった確認がしやすくなります。
AWSアカウントが増えるほど、こうしたコスト管理の仕組みが重要になります。
▪️AWS Organizationsと関連サービスの違い
AWSには、アカウント管理や権限管理、コスト管理に関連するサービスが複数あります。
それぞれの役割を整理しましょう。
| サービス | 主な役割 |
|---|---|
| AWS Organizations | 複数のAWSアカウントを組織として管理する |
| AWS IAM | AWSアカウント内のユーザーやロールの権限を管理する |
| AWS IAM Identity Center | 複数のAWSアカウントや対応アプリケーションへのアクセスを一元管理する |
| AWS Control Tower | マルチアカウント環境のセットアップやガバナンスを支援する |
| AWS Cost Explorer | AWSの利用料金や使用量を分析する |
| AWS Config | AWSリソースの設定を記録・評価し、ルールへの準拠状況を確認する |
これらのサービスは、互いに競合するというより、役割を分担して組み合わせて利用するものです。
例えば、AWS Organizationsでアカウントを管理し、IAM Identity Centerで利用者のアクセスを管理し、AWS Configでリソースの設定状況を確認するといった構成が考えられます。
なお、AWS OrganizationsとAWS Control Towerは同じものではありません。Control Towerは、Organizationsなどを利用するマルチアカウント環境の構築や統制を支援するサービスです。
▪️AWS Organizationsを利用する際の注意点
AWS Organizationsを導入する際は、次の点に注意しましょう。
1. 管理アカウントを厳重に保護する
管理アカウントは、組織全体の管理や請求に関わる重要なアカウントです。
管理アカウントが不正に利用されると、組織全体に大きな影響が及ぶ可能性があります。
そのため、管理アカウントには必要最小限のユーザーだけがアクセスできるようにし、MFA（多要素認証）などの対策を実施することが重要です。
また、通常の業務用リソースは可能な限りメンバーアカウントに配置し、管理アカウントの利用を限定する設計が推奨されます。
2. SCPだけでは権限管理は完結しない
SCPは、利用できる権限の上限を定める仕組みです。IAMポリシーの代わりに権限を付与するものではありません。
そのため、SCPとIAMポリシーの両方を適切に設計する必要があります。
また、SCPを誤って設定すると、必要な操作まで制限してしまう可能性があります。適用範囲や影響を確認したうえで導入しましょう。
3. アカウント分離だけでセキュリティが完成するわけではない
AWSアカウントを分けることは、リソースや権限を分離するための有効な方法です。
しかし、アカウントを分けただけで、すべてのアクセスや設定が自動的に制御されるわけではありません。
IAM権限、ネットワーク構成、ログ管理、監視、バックアップなども含めて、システム全体のセキュリティを設計することが重要です。
▪️まとめ
AWS Organizationsは、複数のAWSアカウントを一元管理するためのサービスです。
主な機能は次の3つです。
- アカウント管理： 複数のAWSアカウントを組織としてまとめ、OUなどで分類する
- セキュリティ管理： SCPなどを利用して、組織内のアカウントに共通の制限を適用する
- 請求管理： 複数アカウントの利用料金を集約して管理する
AWSの利用規模が大きくなり、開発環境や本番環境、監査環境などを複数のアカウントに分ける場合、AWS Organizationsは重要な役割を果たします。
AWSのマルチアカウント構成を理解するためにも、まずは「AWS Organizationsでアカウントをまとめ、OUで分類し、SCPで権限の上限を制御する」という基本を押さえておきましょう。
次の記事では、「AWS Control Tower」について解説します。
＊「AWS Control Tower」の記事はこちら
→「https://lovelabengineer.com/2026/10/11/【aws入門】aws-control-towerとは？マルチアカウント環境の構築/」
No responses yet