AWS Organizationsでマルチアカウントを設計する方法｜OU・SCP・一括請求によるアカウント統制入門

この記事のポイント

・AWS OrganizationsはOU（組織単位）でアカウントを階層管理し、SCP（サービスコントロールポリシー）で全体統制する
・SCPはIAMポリシーの上位にある制御層で、AdministratorAccessでも突破できないガードレールを作れる
・OU設計は「本番/開発/セキュリティ/サンドボックス」の4層分離が実務の標準パターン
・Consolidated Billingで全アカウントのコストを一元集計し、RIの割引も組織全体で共有される

# 組織を作成する（All featuresモード）
aws organizations create-organization --feature-set ALL

# 出力例
{
    "Organization": {
        "Id": "o-exampleorgid11",
        "Arn": "arn:aws:organizations::111122223333:organization/o-exampleorgid11",
        "FeatureSet": "ALL",
        "MasterAccountId": "111122223333",
        "MasterAccountEmail": "management@example.com",
        "AvailablePolicyTypes": [
            {
                "Type": "SERVICE_CONTROL_POLICY",
                "Status": "ENABLED"
            }
        ]
    }
}

# 全アカウント一覧を確認する
aws organizations list-accounts   --query 'Accounts[*].[Id,Name,Status]'   --output table

# 出力例
------------------------------------------------------
|                   ListAccounts                     |
+----------------+------------------+----------------+
| 111122223333   | management       | ACTIVE         |
| 444455556666   | production       | ACTIVE         |
| 777788889999   | development      | ACTIVE         |
+----------------+------------------+----------------+

# ルートIDを確認する（OU作成時に必要）
aws organizations list-roots   --query 'Roots[*].[Id,Name]'   --output table

# 出力例
----------------------------------------------
|                 ListRoots                  |
+------------------+-------------------------+
| r-ab12           | Root                    |
+------------------+-------------------------+

# 新規アカウントを作成する
aws organizations create-account   --email sandbox-team@example.com   --account-name "sandbox"

# 出力例（作成中の状態）
{
    "CreateAccountStatus": {
        "Id": "car-examplecreaterequestid111",
        "AccountName": "sandbox",
        "State": "IN_PROGRESS",
        "RequestedTimestamp": "2026-07-01T09:00:00.000000+09:00"
    }
}

# 作成完了を確認する
aws organizations describe-create-account-status   --create-account-request-id car-examplecreaterequestid111

# 出力例（完了後）
{
    "CreateAccountStatus": {
        "Id": "car-examplecreaterequestid111",
        "AccountName": "sandbox",
        "State": "SUCCEEDED",
        "AccountId": "000011112222"
    }
}

# ルート直下にProductionOUを作成する（--parent-idにルートIDを指定）
aws organizations create-organizational-unit   --parent-id r-ab12   --name Production

# 出力例
{
    "OrganizationalUnit": {
        "Id": "ou-ab12-exampleouid111",
        "Arn": "arn:aws:organizations::111122223333:ou/o-exampleorgid11/ou-ab12-exampleouid111",
        "Name": "Production"
    }
}

# アカウントをProductionOUへ移動する
# --source-parent-idは現在の親（未分類の場合はルートID）
aws organizations move-account   --account-id 444455556666   --source-parent-id r-ab12   --destination-parent-id ou-ab12-exampleouid111

# OU配下のアカウントを確認する
aws organizations list-accounts-for-parent   --parent-id ou-ab12-exampleouid111   --query 'Accounts[*].[Id,Name]'   --output table

# scp-deny-regions.json（ap-northeast-1以外を拒否するSCP）
cat << 'EOF' > /tmp/scp-deny-regions.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyOutsideApNortheast1",
      "Effect": "Deny",
      "NotAction": [
        "iam:*",
        "organizations:*",
        "route53:*",
        "budgets:*",
        "support:*",
        "sts:*",
        "cloudfront:*",
        "waf:*"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": "ap-northeast-1"
        }
      }
    }
  ]
}
EOF

# SCPをOrganizationsに作成する
aws organizations create-policy   --content file:///tmp/scp-deny-regions.json   --description "ap-northeast-1以外のリージョン利用を禁止"   --name DenyNonApNortheast1   --type SERVICE_CONTROL_POLICY

# 出力例
{
    "Policy": {
        "PolicySummary": {
            "Id": "p-examplescpid111",
            "Name": "DenyNonApNortheast1",
            "Type": "SERVICE_CONTROL_POLICY"
        }
    }
}

# SCPをProductionOUにアタッチする
aws organizations attach-policy   --policy-id p-examplescpid111   --target-id ou-ab12-exampleouid111

# scp-deny-root.json（rootユーザー操作禁止SCP）
cat << 'EOF' > /tmp/scp-deny-root.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyRootAccess",
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:PrincipalArn": "arn:aws:iam::*:root"
        }
      }
    }
  ]
}
EOF

aws organizations create-policy   --content file:///tmp/scp-deny-root.json   --description "メンバーアカウントのrootユーザー操作を禁止"   --name DenyRootAccess   --type SERVICE_CONTROL_POLICY

# OUにアタッチされているポリシー一覧を確認する
aws organizations list-policies-for-target   --target-id ou-ab12-exampleouid111   --filter SERVICE_CONTROL_POLICY   --query 'Policies[*].[Id,Name]'   --output table

# 出力例（実サーバー確認済み）
-------------------------------------------------
|          ListPoliciesForTarget                |
+------------------------+----------------------+
| p-examplescpid111      | DenyNonApNortheast1  |
| p-examplescpid222      | DenyRootAccess       |
+------------------------+----------------------+

# 今月のアカウント別コストを確認する（AWS CLI）
aws ce get-cost-and-usage   --time-period Start=2026-07-01,End=2026-07-11   --granularity MONTHLY   --metrics "BlendedCost"   --group-by Type=DIMENSION,Key=LINKED_ACCOUNT   --query 'ResultsByTime[0].Groups[*].[Keys[0],Metrics.BlendedCost.Amount]'   --output table

# 出力例
---------------------------------------
|         GetCostAndUsage             |
+----------------+--------------------+
| 111122223333   | 12.34              |
| 444455556666   | 245.67             |
| 777788889999   | 89.10              |
+----------------+--------------------+

# サンドボックスアカウント（000011112222）で月50ドル超過アラートを設定する
# （メンバーアカウントのCLI環境で実行、またはaws stsでロール切り替え後に実行）

aws budgets create-budget   --account-id 000011112222   --budget '{
    "BudgetName": "sandbox-monthly-limit",
    "BudgetLimit": {"Amount": "50", "Unit": "USD"},
    "BudgetType": "COST",
    "TimeUnit": "MONTHLY"
  }'   --notifications-with-subscribers '[{
    "Notification": {
      "NotificationType": "ACTUAL",
      "ComparisonOperator": "GREATER_THAN",
      "Threshold": 80
    },
    "Subscribers": [{"SubscriptionType": "EMAIL", "Address": "admin@example.com"}]
  }]'

# CloudTrailの無効化・ログ削除を組織全体で禁止するSCP例
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyCloudTrailDisable",
      "Effect": "Deny",
      "Action": [
        "cloudtrail:DeleteTrail",
        "cloudtrail:StopLogging",
        "cloudtrail:UpdateTrail"
      ],
      "Resource": "*"
    }
  ]
}

# OUにアタッチされている全SCPを確認する
aws organizations list-policies-for-target   --target-id ou-ab12-exampleouid111   --filter SERVICE_CONTROL_POLICY

# FullAWSAccessが余分にアタッチされている場合はデタッチする
aws organizations detach-policy   --policy-id p-FullAWSAccess   --target-id ou-ab12-exampleouid111

# IAM Policy Simulatorでの権限確認（マネジメントコンソール）
# IAM → ポリシーシミュレーター → 対象ユーザーとアクションを指定して確認

# 送信済みの招待状況を確認する
aws organizations list-handshakes-for-organization   --filter ActionType=INVITE   --query 'Handshakes[*].[Id,State,ExpirationTimestamp]'   --output table

# 出力例
----------------------------------------------------------
|          ListHandshakesForOrganization                 |
+-------------------+------------+----------------------+
| h-examplehandshk1 | OPEN       | 2026-07-26T09:00:00  |
+-------------------+------------+----------------------+