を使用した組織ポリシーのデタッチ AWS Organizations - AWS Organizations
ポリシーをデタッチする

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

を使用した組織ポリシーのデタッチ AWS Organizations

このトピックでは、 AWS Organizationsでポリシーをデタッチする方法について説明します。ポリシーは、グループに適用するコントロールを定義します AWS アカウント。

を使用してポリシーをデタッチする AWS Organizations

最小アクセス許可

組織ルート、OU、またはアカウントからポリシーをデタッチするには、以下のアクションを実行する権限が必要です。

  • organizations:DetachPolicy

注記

ルート、OU、またはアカウントから最後の認可ポリシー (SCP もしくは RCP) をデタッチすることはできません。すべてのルート、OU、アカウントには常に少なくとも 1 つの SCP と RCP がアタッチされている必要があります。

Service control policies (SCPs)

SCP をデタッチするには、ポリシーまたはそのポリシーをデタッチするルート、OU、アカウントに移動する必要があります。

SCP がアタッチされているルート、OU、またはアカウントに移動して SCP をデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. AWS アカウント ページで、ポリシーをデタッチするルート、OU、またはアカウントに移動します。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。ルート、OU、またはアカウントの名前を選択します。

  3. [Policies] (ポリシー) タブで、デタッチする SCP の横にあるラジオボタンを選択して、[Detach] (デタッチ) を選択します。

  4. 確認ダイアログボックスで、[Detach policy] (ポリシーのデタッチ) を選択します。

    アタッチされている SCP のリストが更新されます。SCP のデタッチによるポリシーの変更はすぐに有効になります。例えば、SCP をデタッチすると、以前にアタッチされた 1 つ以上のアカウントの IAM ユーザーおよびロールのアクセス許可によって、以前にアタッチされた組織ルートまたは OU にすぐに影響します。

ポリシーに移動して SCP をデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. サービスコントロールポリシーページで、ルート、OU、またはアカウントからデタッチするポリシーの名前を選択します。

  3. [Targets] (ターゲット) タブで、ポリシーをデタッチするルート、OU、またはアカウントの横にあるラジオボタンをクリックします。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。

  4. [Detach] (デタッチ) を選択します。

  5. 確認ダイアログボックスで、[Detach] (デタッチ) を選択します。

    アタッチされている SCP のリストが更新されます。SCP のデタッチによるポリシーの変更はすぐに有効になります。例えば、SCP をデタッチすると、以前にアタッチされた 1 つ以上のアカウントの IAM ユーザーおよびロールのアクセス許可によって、以前にアタッチされた組織ルートまたは OU にすぐに影響します。

Resource control policies (RCPs)

RCP をデタッチするには、そのポリシーに移動するか、またはそのポリシーをデタッチするルート、OU、アカウントに移動する必要があります。特定のエンティティから RCP をデタッチすると、その RCP は、デタッチされたエンティティによって影響を受けるすべてのリソースに適用されなくなります。

注記

RCPFullAWSAccess ポリシーをデタッチすることはできません

RCPFullAWSAccess ポリシーは、ルート、すべての OU、および組織内のすべてのアカウントに自動的にアタッチされます。このポリシーをデタッチすることはできません。

RCP がアタッチされているルート、OU、またはアカウントに移動して RCP をデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. AWS アカウント ページで、ポリシーをデタッチするルート、OU、またはアカウントに移動します。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。ルート、OU、またはアカウントの名前を選択します。

  3. [ポリシー] タブで、デタッチする RCP の横にあるラジオボタンを選択して、[デタッチ] を選択します。

  4. 確認ダイアログボックスで、[Detach policy] (ポリシーのデタッチ) を選択します。

    アタッチされている RCP のリストが更新されます。RCP のデタッチによるポリシーの変更はすぐに有効になります。例えば、RCP をデタッチすると、それまでアタッチされていたアカウント、またはそれまでアタッチされていた組織ルートまたは OU の下のアカウントの IAM ユーザーおよびロールのアクセス許可にすぐに影響します。

ポリシーに移動して RCP をデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. [リソースコントロールポリシー] ページで、ルート、OU、またはアカウントからデタッチするポリシーの名前を選択します。

  3. [Targets] (ターゲット) タブで、ポリシーをデタッチするルート、OU、またはアカウントの横にあるラジオボタンをクリックします。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。

  4. [Detach] (デタッチ) を選択します。

  5. 確認ダイアログボックスで、[Detach] (デタッチ) を選択します。

    アタッチされている RCP のリストが更新されます。RCP のデタッチによるポリシーの変更はすぐに有効になります。例えば、RCP をデタッチすると、それまでアタッチされていたアカウント、またはそれまでアタッチされていた組織ルートまたは OU の下のアカウントの IAM ユーザーおよびロールのアクセス許可にすぐに影響します。

Declarative policies

宣言型ポリシーをデタッチするには、そのポリシーに移動するか、またはそのポリシーをデタッチするルート、OU、またはアカウントに移動します。

宣言型ポリシーがアタッチされているルート、OU、またはアカウントに移動してポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. AWS アカウント ページで、ポリシーをデタッチするルート、OU、またはアカウントに移動します。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。ルート、OU、またはアカウントの名前を選択します。

  3. [ポリシー] タブで、デタッチする宣言型ポリシーの横にあるラジオボタンを選択し、[デタッチ] を選択します。

  4. 確認ダイアログボックスで、[Detach policy] (ポリシーのデタッチ) を選択します。

    アタッチされている宣言型タグポリシーのリストが更新されます。ポリシーの変更はすぐに反映されます。

宣言型ポリシーに移動してポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. [宣言型ポリシー] ページで、ルート、OU、またはアカウントからデタッチするポリシーの名前を選択します。

  3. [Targets] (ターゲット) タブで、ポリシーをデタッチするルート、OU、またはアカウントの横にあるラジオボタンをクリックします。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。

  4. [Detach] (デタッチ) を選択します。

  5. 確認ダイアログボックスで、[Detach] (デタッチ) を選択します。

    アタッチされている宣言型タグポリシーのリストが更新されます。ポリシーの変更はすぐに反映されます。

Backup policies

バックアップポリシーのデタッチには、ポリシーに移動する方法と、ポリシーをデタッチするルート、OU、またはアカウントに移動する方法があります。

ポリシーがアタッチされているルート、OU、またはアカウントに移動してバックアップポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. AWS アカウント ページで、ポリシーをデタッチするルート、OU、またはアカウントに移動します。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。ルート、OU、またはアカウントの名前を選択します。

  3. [Policies] (ポリシー) タブで、デタッチするバックアップポリシーの横にあるラジオボタンを選択し、[Detach] (デタッチ) を選択します。

  4. 確認ダイアログボックスで、[Detach policy] (ポリシーのデタッチ) を選択します。

    アタッチされているバックアップポリシーの一覧が更新されます。ポリシーの変更はすぐに反映されます。

ポリシーに移動してバックアップポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. バックアップポリシーページで、ルート、OU、またはアカウントからデタッチするポリシーの名前を選択します。

  3. [Targets] (ターゲット) タブで、ポリシーをデタッチするルート、OU、またはアカウントの横にあるラジオボタンをクリックします。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。

  4. [Detach] (デタッチ) を選択します。

  5. 確認ダイアログボックスで、[Detach] (デタッチ) を選択します。

    アタッチされているバックアップポリシーの一覧が更新されます。ポリシーの変更はすぐに反映されます。

Tag policies

タグポリシーをデタッチするには、ポリシーをデタッチするルート、OU、またはアカウントに移動します。

タグポリシーがアタッチされているルート、OU、またはアカウントに移動してデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. AWS アカウント ページで、ポリシーをデタッチするルート、OU、またはアカウントに移動します。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。ルート、OU、またはアカウントの名前を選択します。

  3. [Policies] (ポリシー) タブで、デタッチするタグポリシーの横にあるラジオボタンをクリックし、[Detach] (デタッチ) を選択します。

  4. 確認ダイアログボックスで、[Detach policy] (ポリシーのデタッチ) を選択します。

    アタッチされているタグポリシーのリストが更新されます。ポリシーの変更はすぐに反映されます。

ポリシーに移動してタグポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. タグポリシーページで、ルート、OU、またはアカウントからデタッチするポリシーの名前を選択します。

  3. [Targets] (ターゲット) タブで、ポリシーをデタッチするルート、OU、またはアカウントの横にあるラジオボタンをクリックします。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。

  4. [Detach] (デタッチ) を選択します。

  5. 確認ダイアログボックスで、[Detach] (デタッチ) を選択します。

    アタッチされているタグポリシーのリストが更新されます。ポリシーの変更はすぐに反映されます。

Chat applications policies

チャットアプリケーションポリシーをデタッチするには、そのポリシーに移動するか、またはそのポリシーをデタッチするルート、OU、またはアカウントに移動します。

チャットアプリケーションポリシーがアタッチされているルート、OU、またはアカウントに移動してポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. AWS アカウント ページで、ポリシーをデタッチするルート、OU、またはアカウントに移動します。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。ルート、OU、またはアカウントの名前を選択します。

  3. [ポリシ―] タブで、デタッチするチャットアプリケーションポリシーの横にあるラジオボタンを選択し、[デタッチ] を選択します。

  4. 確認ダイアログボックスで、[Detach policy] (ポリシーのデタッチ) を選択します。

    アタッチされているチャットアプリケーションポリシーのリストが更新されます。ポリシーの変更はすぐに反映されます。

チャットアプリケーションポリシーに移動してポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. チャットボットポリシーページで、ルート、OU、またはアカウントからデタッチするポリシーの名前を選択します。

  3. [Targets] (ターゲット) タブで、ポリシーをデタッチするルート、OU、またはアカウントの横にあるラジオボタンをクリックします。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。

  4. [Detach] (デタッチ) を選択します。

  5. 確認ダイアログボックスで、[Detach] (デタッチ) を選択します。

    アタッチされているチャットアプリケーションポリシーのリストが更新されます。ポリシーの変更はすぐに反映されます。

AI services opt-out policies

AI サービスのオプトアウトポリシーのデタッチには、ポリシーに移動する方法と、ポリシーをデタッチするルート、OU、またはアカウントに移動する方法があります。

ポリシーがアタッチされているルート、OU、またはアカウントに移動して AI サービスのオプトアウトポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. AWS アカウント ページで、ポリシーをデタッチするルート、OU、またはアカウントに移動します。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。ルート、OU、またはアカウントの名前を選択します。

  3. [Policies] (ポリシー) タブで、デタッチする AI サービスのオプトアウトポリシーの横にあるラジオボタンを選択し、[Detach] (デタッチ) を選択します。

  4. 確認ダイアログボックスで、[Detach policy] (ポリシーのデタッチ) を選択します。

    アタッチされている AI サービスのオプトアウトポリシーの一覧が更新されます。ポリシーの変更はすぐに反映されます。

ポリシーに移動して AI サービスのオプトアウトポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. AI サービスのオプトアウトポリシーページで、ルート、OU、またはアカウントからデタッチするポリシーの名前を選択します。

  3. [Targets] (ターゲット) タブで、ポリシーをデタッチするルート、OU、またはアカウントの横にあるラジオボタンをクリックします。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。

  4. [Detach] (デタッチ) を選択します。

  5. 確認ダイアログボックスで、[Detach] (デタッチ) を選択します。

    アタッチされている AI サービスのオプトアウトポリシーの一覧が更新されます。ポリシーの変更はすぐに反映されます。

Security Hub CSPM policies

Security Hub CSPM ポリシーをデタッチするには、ポリシーに移動するか、ポリシーをデタッチするルート、OU、またはアカウントに移動します。

アタッチされているルート、OU、またはアカウントに移動して Security Hub CSPM ポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. AWS アカウント ページで、ポリシーをデタッチするルート、OU、またはアカウントに移動します。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。ルート、OU、またはアカウントの名前を選択します。

  3. ポリシータブで、デタッチする Security Hub CSPM ポリシーの横にあるラジオボタンを選択し、デタッチを選択します。

  4. 確認ダイアログボックスで、[Detach policy] (ポリシーのデタッチ) を選択します。

    アタッチされた Security Hub CSPM ポリシーのリストが更新されました。ポリシーの変更はすぐに反映されます。

ポリシーに移動して Security Hub CSPM ポリシーをデタッチするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、あるいはルートユーザーとしてサインイン (推奨されません) する必要があります。

  2. [Security Hub ポリシー] ページで、ルート、OU、またはアカウントからデタッチするポリシーの名前を選択します。

  3. [Targets] (ターゲット) タブで、ポリシーをデタッチするルート、OU、またはアカウントの横にあるラジオボタンをクリックします。場合によっては、目的の OU またはアカウントを表示するため、OU を展開 ( Gray cloud icon representing cloud computing or storage services. を選択) する必要があります。

  4. [Detach] (デタッチ) を選択します。

  5. 確認ダイアログボックスで、[Detach] (デタッチ) を選択します。

    アタッチされた Security Hub CSPM ポリシーのリストが更新されました。ポリシーの変更はすぐに反映されます。

ポリシーをアタッチする

次のサンプルコードは、DetachPolicy を使用する方法を説明しています。

.NET
SDK for .NET
注記

GitHub には、その他のリソースもあります。用例一覧を検索し、AWS コード例リポジトリでの設定と実行の方法を確認してください。

    using System;
    using System.Threading.Tasks;
    using Amazon.Organizations;
    using Amazon.Organizations.Model;

    /// <summary>
    /// Shows how to detach a policy from an AWS Organizations organization,
    /// organizational unit, or account.
    /// </summary>
    public class DetachPolicy
    {
        /// <summary>
        /// Initializes the Organizations client object and uses it to call
        /// DetachPolicyAsync to detach the policy.
        /// </summary>
        public static async Task Main()
        {
            // Create the client object using the default account.
            IAmazonOrganizations client = new AmazonOrganizationsClient();

            var policyId = "p-00000000";
            var targetId = "r-0000";

            var request = new DetachPolicyRequest
            {
                PolicyId = policyId,
                TargetId = targetId,
            };

            var response = await client.DetachPolicyAsync(request);

            if (response.HttpStatusCode == System.Net.HttpStatusCode.OK)
            {
                Console.WriteLine($"Successfully detached policy with Policy Id: {policyId}.");
            }
            else
            {
                Console.WriteLine("Could not detach the policy.");
            }
        }
    }
CLI
AWS CLI

root、OU、またはアカウントからポリシーをデタッチするには

次のコード例は、OU からポリシーをデタッチする方法を示しています。

aws organizations  detach-policy  --target-id ou-examplerootid111-exampleouid111 --policy-id p-examplepolicyid111

  • API の詳細については、AWS CLI コマンドリファレンスの「DetachPolicy」を参照してください。

Python
SDK for Python (Boto3)
注記

GitHub には、その他のリソースもあります。用例一覧を検索し、AWS コード例リポジトリでの設定と実行の方法を確認してください。

def detach_policy(policy_id, target_id, orgs_client):
    """
    Detaches a policy from a target.

    :param policy_id: The ID of the policy to detach.
    :param target_id: The ID of the resource where the policy is currently attached.
    :param orgs_client: The Boto3 Organizations client.
    """
    try:
        orgs_client.detach_policy(PolicyId=policy_id, TargetId=target_id)
        logger.info("Detached policy %s from target %s.", policy_id, target_id)
    except ClientError:
        logger.exception(
            "Couldn't detach policy %s from target %s.", policy_id, target_id
        )
        raise

ポリシーの変更はすぐに有効になり、それまでアタッチされていたアカウント、またはそれまでアタッチされていたルートまたは OU の下のすべてのアカウントの IAM ユーザー、ロールおよびリソースのアクセス許可に影響します。