翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# を使用した組織のアクセス許可の管理 AWS Organizations
組織内のルート、OUs、アカウント、ポリシーを含むすべての AWS リソースは によって所有され AWS アカウント、リソースを作成またはアクセスするアクセス許可はアクセス許可ポリシーによって管理されます。組織では、管理アカウントはすべてのリソースを所有します。アカウント管理者は、IAM ID (ユーザー、グループ、ロール) にアクセス許可ポリシーをアタッチすることで、 AWS リソースへのアクセスを制御できます。
**注記**
アカウント管理者 (または管理者ユーザー) は、管理者アクセス許可を持つユーザーです。詳細については、「*AWS アカウント管理 リファレンスガイド*」の「[IAM でのセキュリティのベストプラクティス](https://docs.aws.amazon.com/accounts/latest/reference/getting-started-step4.html)」を参照してください。
アクセス許可を付与する場合、アクセス許可を取得するユーザー、取得するアクセス許可の対象となるリソース、およびそれらのリソースに対して許可される特定のアクションを決定します。
デフォルトでは、IAM ユーザー、グループ、ロールにはアクセス許可がありません。組織の管理アカウントの管理者として管理タスクを行うか、管理アカウントの他の IAM ユーザーまたはロールに管理者のアクセス許可を委任できます。そのためには、IAM ユーザー、グループ、またはロールに IAM アクセス許可ポリシーをアタッチします。デフォルトでは、ユーザーにこれらを行う権限はありません。これは、*暗黙的な拒否*と呼ばれます。このポリシーによって、暗黙的な拒否は、ユーザーが実行するアクションや、アクションを実行できるリソースを指定する*明示的な許可*に上書きされます。ロールにアクセス許可が付与されている場合は、組織内の他のアカウントのユーザーはそのロールを引き受けることができます。
## AWS Organizations リソースとオペレーション
このセクションでは、 AWS Organizations 概念が IAM と同等の概念にどのようにマッピングされるかについて説明します。
### リソース
では AWS Organizations、次のリソースへのアクセスを制御できます。
+ 組織の階層構造を構成するルートおよび OU
+ 組織のメンバーであるアカウント
+ 組織のエンティティにアタッチするポリシー
+ 組織の状態の変更に使用するハンドシェイク
このようなリソースにはそれぞれ、一意の Amazon リソースネーム (ARN) が関連付けられています。IAM アクセス許可ポリシーの `Resource` 要素の ARN を指定して、リソースへのアクセスをコントロールします。で使用されるリソースの ARN 形式の詳細なリストについては AWS Organizations、*「サービス認可リファレンス*」の[「 で定義されるリソースタイプ AWS Organizations](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsorganizations.html#awsorganizations-resources-for-iam-policies)」を参照してください。
### オペレーション
AWS は、組織内のリソースを操作するための一連のオペレーションを提供します。そのため、リソースの作成、一覧表示、変更、内容へのアクセス、削除などを行うことができます。ほとんどのオペレーションは、オペレーションの実行権限を制御する IAM ポリシーの `Action` 要素で参照できます。IAM ポリシーでアクセス許可として使用できる AWS Organizations オペレーションのリストについては、「*Service Authorization Reference*」の「[Actions defined by organizations](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsorganizations.html#awsorganizations-actions-as-permissions)」をご覧ください。
`Action` と `Resource` を 1 つのアクセス許可ポリシー `Statement` で組み合わせると、特定のアクションを使用できるリソースが正確に制御されます。
### 条件キー
AWS には、特定のアクションをより詳細に制御するためにクエリできる条件キーが用意されています。IAM ポリシーの `Condition` 要素でこれらの条件キーを参照し、ステートメントが一致しているとみなされる条件を満たすように追加条件を指定することができます。
以下の条件キーは、特に で役立ちます AWS Organizations。
+ `aws:PrincipalOrgID` － リソースベースのポリシーの `Principal` 要素の指定を簡素化します。このグローバルキーは、組織内のすべての AWS アカウント のすべてのアカウント ID を一覧表示する代わりに使用できます。組織のメンバーであるすべてのアカウントを一覧表示せずに、`Condition` 要素に[組織 ID](orgs_manage_org.md) を指定することができます。
**注記**
このグローバル条件は、組織の管理アカウントにも適用されます。
詳細については、「*IAM ユーザーガイド*」で「[AWS グローバル条件コンテキストキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)」の `PrincipalOrgID` の説明を参照してください。
+ `aws:PrincipalOrgPaths` － この条件キーを使用して、特定の組織ルート、OU、またはその子のメンバーを照合します。リクエストを行うプリンシパル (ルートユーザー、IAM ユーザー、またはロール) が指定された組織パスにある場合、`aws:PrincipalOrgPaths` 条件キーは true を返します。パスは、 AWS Organizations エンティティの構造のテキスト表現です。パスの詳細については、*IAM ユーザーガイド*[の AWS Organizations 「エンティティパスを理解する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_access-advisor-view-data-orgs.html#access_policies_access-advisor-viewing-orgs-entity-path)」を参照してください。この条件キーの使用の詳細については、*IAM ユーザーガイド*の「[aws:PrincipalOrgPaths](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-principal-org-paths)」を参照してください。
例えば次の条件要素は、同じ組織内の 2 つの OU のいずれかのメンバーと一致します。
```
"Condition": {
"ForAnyValue:StringLike": {
"aws:PrincipalOrgPaths": [
"o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
"o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
]
}
}
```
+ `organizations:PolicyType` － この条件キーを使用して、Organization ポリシー関連 API オペレーションを、指定したタイプの Organization ポリシーでのみ動作するように制限できます。この条件キーは、Organizations ポリシーとやり取りするアクションを含むポリシーステートメントに適用できます。
この条件キーでは、次の値を使用できます。
+ `SERVICE_CONTROL_POLICY`
+ `RESOURCE_CONTROL_POLICY`
+ `DECLARATIVE_POLICY_EC2`
+ `BACKUP_POLICY`
+ `TAG_POLICY`
+ `CHATBOT_POLICY`
+ `AISERVICES_OPT_OUT_POLICY`
例えば、次のポリシー例では、ユーザーが任意の Organizations オペレーションを実行できます。ただし、ポリシー引数を取るオペレーションをユーザーが実行した場合、指定したポリシーがタグ付けポリシーである場合にのみオペレーションが許可されます。ユーザーが他のタイプのポリシーを指定した場合、オペレーションは失敗します。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
"Effect": "Allow",
"Action": "organizations:*",
"Resource": "*",
"Condition": {
"StringLikeIfExists": {
"organizations:PolicyType": [ "TAG_POLICY" ]
}
}
}
]
}
```
------
+ `organizations:ServicePrincipal` － [EnableAWSServiceAccess](https://docs.aws.amazon.com/organizations/latest/APIReference/API_EnableAWSServiceAccess.html) オペレーションまたは [DisableAWSServiceAccess](https://docs.aws.amazon.com/organizations/latest/APIReference/API_DisableAWSServiceAccess.html) オペレーションで、他の AWS のサービスを使用して[信頼されたアクセス](orgs_integrate_services.md)を有効または無効にする場合の条件として使用できます。`organizations:ServicePrincipal` を使用して、これらのオペレーションからのリクエストを、承認されたサービスプリンシパル名のリストに制限できます。
たとえば、次のポリシーでは、 で信頼されたアクセスを有効または無効に AWS Firewall Manager する場合にのみ を指定できます AWS Organizations。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowOnlyAWSFirewallIntegration",
"Effect": "Allow",
"Action": [
"organizations:EnableAWSServiceAccess",
"organizations:DisableAWSServiceAccess"
],
"Resource": "*",
"Condition": {
"StringLikeIfExists": {
"organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
}
}
}
]
}
```
------
IAM ポリシーでアクセス許可として使用できる AWS Organizations特定の条件キーのリストについては、*「サービス認可リファレンス*」の「 [の条件キー AWS Organizations](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsorganizations.html#awsorganizations-policy-keys)」を参照してください。
## リソース所有権についての理解
は、リソースを作成したユーザーに関係なく、アカウントで作成されたリソース AWS アカウント を所有します。具体的には、リソース所有者は、リソース作成リクエスト AWS アカウント を認証する[プリンシパルエンティティ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html) (ルートユーザー、IAM ユーザー、または IAM ロール) の です。組織の場合は、これは***常に***管理アカウントになります。組織のリソースの作成またはアクセスを行うほとんどのオペレーションは、メンバーアカウントから呼び出すことができません。次の例は、この仕組みを示しています。
+ 管理アカウントのルートアカウントの認証情報を使用して OU を作成する場合の管理アカウントは、リソースの所有者です。( では AWS Organizations、リソースは OU です）。
+ 管理アカウントに IAM ユーザーを作成し、そのユーザーに OU を作成するためのアクセス権限を付与する場合、そのユーザーは OU を作成できます。ただし、OU リソースを所有しているのは、このユーザーが属する管理アカウントです。
+ OU を作成するためのアクセス権限を持つ管理アカウントに IAM ロールを作成する場合は、ロールを引き受けることのできるユーザーはいずれも OU を作成できます。OU リソースを所有するのは、ロール (引き受けるユーザーではない) が属する管理アカウントです。
## リソースへのアクセスの管理
*アクセス権限ポリシー* では、誰が何にアクセスできるかを記述します。以下のセクションで、アクセス許可ポリシーを作成するために使用可能なオプションについて説明します。
**注記**
このセクションでは、 のコンテキストでの IAM の使用について説明します AWS Organizations。ここでは、IAM サービスに関する詳細情報を提供しません。完全な IAM ドキュメントについては、「[IAM ユーザーガイド](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html)」を参照してください。IAM ポリシー構文の詳細と説明については、「*IAM ユーザーガイド*」の「[IAM JSON ポリシーリファレンス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html)」を参照してください。
IAM ID にアタッチされているポリシーは、*ID ベース* のポリシー (IAM ポリシー) と呼ばれます。リソースにアタッチされているポリシーは、*リソースベース* のポリシーと呼ばれます。
**Topics**
+ [ID ベースのアクセス許可ポリシー (IAM ポリシー)](#orgs-access-control-iam-policies)
### ID ベースのアクセス許可ポリシー (IAM ポリシー)
IAM ID にポリシーをアタッチして、それらの ID が AWS リソースに対してオペレーションを実行することを許可できます。例えば、次のオペレーションを実行できます。
+ **アカウントのユーザーまたはグループにアクセス許可ポリシーをアタッチする** – [サービスコントロールポリシー (SCP)](orgs_manage_policies_scps.md) や OU などの AWS Organizations リソースを作成するアクセス許可をユーザーに付与するには、ユーザーまたはユーザーが属するグループにアクセス許可ポリシーをアタッチできます。ユーザーまたはグループを組織の管理アカウントにする必要があります。
+ **アクセス許可ポリシーをロールにアタッチする (クロスアカウントのアクセス許可を付与する)** － アイデンティティベースのアクセス許可ポリシーを IAM ロールにアタッチして、クロスアカウントのアクセス許可を組織に付与することができます。例えば、管理アカウントの管理者はロールを作成し、次のようにクロスアカウントのアクセス許可をメンバーアカウントのユーザーに付与できます。
1. 管理アカウントの管理者は IAM ロールを作成し、ロールにアクセス許可ポリシーをアタッチして組織のリソースにアクセス許可を付与します。
1. 管理アカウントの管理者は、そのロールを引き受ける `Principal` として、メンバーアカウントの ID を識別するロールに信頼ポリシーをアタッチします。
1. その後、メンバーアカウント管理者は、ロールを引き受けるアクセス権限をメンバーアカウントのユーザーに委任できます。これにより、メンバーアカウントのユーザーは、管理アカウントや組織のリソースを作成し、アクセスできるようになります。ロールを引き受けるアクセス許可を AWS サービスに付与する場合は、信頼ポリシーのプリンシパルを AWS サービスプリンシパルにすることもできます。
IAM を使用した許可の委任の詳細については、「IAM ユーザーガイド」の「[アクセス管理](https://docs.aws.amazon.com/IAM/latest/UserGuide/access.html)」を参照してください。
以下に示しているのは、組織の `CreateAccount` アクションの実行をユーザーに許可するポリシーの例です。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Sid":"Stmt1OrgPermissions",
"Effect":"Allow",
"Action":[
"organizations:CreateAccount"
],
"Resource":"*"
}
]
}
```
------
ポリシーの `Resource` 要素に部分的な ARN を指定して、リソースのタイプを示すこともできます。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Sid":"AllowCreatingAccountsOnResource",
"Effect":"Allow",
"Action":"organizations:CreateAccount",
"Resource":"arn:aws:organizations::*:account/*"
}
]
}
```
------
作成するアカウントに特定のタグを含まないアカウントの作成を拒否することもできます。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Sid":"DenyCreatingAccountsOnResourceBasedOnTag",
"Effect":"Deny",
"Action":"organizations:CreateAccount",
"Resource":"*",
"Condition":{
"StringEquals":{
"aws:ResourceTag/key":"value"
}
}
}
]
}
```
------
ユーザー、グループ、ロール、アクセス許可の詳細については、「*IAM ユーザーガイド*」の「[IAM identities (users, user groups, and roles)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html)」を参照してください。
## ポリシー要素の指定: アクション、条件、効果、リソース
サービスは、 AWS Organizations リソースごとに、そのリソースと何らかの方法でやり取りまたは操作できる一連の API オペレーションまたはアクションを定義します。これらのオペレーションのアクセス許可を付与するために、 はポリシーで指定できる一連のアクション AWS Organizations を定義します。たとえば、OU リソースの場合、 は次のようなアクション AWS Organizations を定義します。
+ `AttachPolicy` および `DetachPolicy`
+ `CreateOrganizationalUnit` および `DeleteOrganizationalUnit`
+ `ListOrganizationalUnits` および `DescribeOrganizationalUnit`
場合によっては、API オペレーションを実行する際、アクションまたはリソースのアクセス許可が 2 つ以上必要になることがあります。
IAM アクセス許可ポリシーで使用できる最もベーシックなポリシーは、次のとおりです。
+ **Action** － このキーワードを使用して、許可または拒否するオペレーション (アクション) を識別します。たとえば、指定された に応じて`Effect`、 は `CreateAccount`オペレーションを実行するためのユーザーアクセス許可`organizations:CreateAccount`を許可または拒否します AWS Organizations 。詳細については、「*IAM ユーザーガイド*」の「[IAM JSON ポリシー要素 Action](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_action.html)」を参照してください。
+ **Resource** － このキーワードを使用して、ポリシー構文が適用されるリソースの ARN を指定します。詳細については、「*IAM ユーザーガイド*」の「[IAM JSON ポリシー要素 Resource](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html)」を参照してください。
+ **Condition** － ポリシーステートメントを満たす必要がある条件を指定するために、このキーワードを使用します。`Condition` は通常、ポリシーが一致するために満たす必要がある追加条件を指定します。詳細については、*IAM ユーザーガイド*」の「[IAM JSON ポリシー要素: 条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)」を参照してください。
+ **Effect** － このキーワードを使用して、ポリシー構文でリソースのアクションを許可または拒否するかどうかを指定します。リソースへのアクセス権を明示的に付与 (または許可) していない場合、アクセスは暗黙的に拒否されます。また、リソースへのアクセスを明示的に拒否することもできます。これにより、別のポリシーによってアクセスが許可されていても、ユーザーは、指定のリソースで指定のアクションを実行できないことがあります。詳細については、「*IAM ユーザーガイド*」の「[IAM JSON ポリシー要素 Effect](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_effect.html)」を参照してください。
+ **Principal** － アイデンティティベースのポリシー (IAM ポリシー) では、ポリシーがアタッチされているユーザーが自動的かつ暗黙的にプリンシパルとなります。リソースベースのポリシーでは、アクセス許可 (リソースベースのポリシーにのみ適用) を受け取りたいユーザー、アカウント、サービス、またはその他のエンティティを指定します。
IAM ポリシーの構文と記述の詳細については、「*IAM ユーザーガイド*」の「[IAM JSON ポリシーリファレンス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html)」を参照してください。