265-AWS SAP AWS 「理論・実践・一問道場」組織の移動

type

status

date

slug

summary

理論

AWS Organizations によるアカウント移行の本質的な知識

AWS Organizationsは、複数のAWSアカウントを一元管理するためのサービスで、組織内のアカウントをグループ化して管理することができます。複数のアカウントを効率的に管理するためには、アカウントの移行や再構成が必要になることがあります。以下では、AWS Organizationsを使用してアカウントを移行する際に必要な知識を解説します。

1. AWS Organizationsの基本概念

管理アカウントとメンバーアカウント AWS Organizations内には、管理アカウント（組織を作成するために必要なアカウント）と、メンバーアカウント（組織に参加するアカウント）があります。

組織の構成 組織内のアカウントは、OU（Organizational Units） にグループ化され、管理者はポリシーやアクセス権限を一元管理できます。

2. アカウントの移行方法

アカウントを異なる組織やOUに移動する際の手順は以下の通りです：

アカウントの削除と招待

RemoveAccountFromOrganization操作は、アカウントを現在のAWS Organizationsから削除するために使用します。この操作を実行した後、アカウントは完全に独立した状態になります。移行先の組織に再招待する必要があります。
InviteAccountToOrganization操作は、新しい組織にアカウントを招待する際に使用します。これにより、アカウントは新しい組織に追加され、再度管理下に入ります。

アカウント移行の順序

まず、アカウントを元の組織から削除し、次に新しい組織に招待するという順番で行います。
一度削除されたアカウントは新しい組織に招待することで再度追加され、移行が完了します。

3. 自動化と管理のベストプラクティス

APIの活用

AWS OrganizationsのAPIを使用することで、アカウント移行のプロセスを自動化できます。API操作には、MoveAccount、RemoveAccountFromOrganization、InviteAccountToOrganizationなどがあります。

一括移行の管理

1,000以上のアカウントを移行する場合、一括操作を実行できるようにAPIを利用したスクリプトやツールを作成することが重要です。これにより手動での操作ミスを減らし、効率的に移行作業を進めることができます。

移行の確認

アカウント移行後、移行先の組織内でアカウントの設定が正しく適用されていることを確認するため、ポリシーや権限設定を再確認することが推奨されます。

まとめ

AWS Organizationsを使用したアカウント移行には、アカウントの削除と招待を組み合わせて実行する必要があります。移行プロセスを効率的に行うためには、APIを活用して自動化することが重要です。また、大規模な移行を行う際は、移行後の設定確認をしっかり行い、移行作業の品質を保つことが求められます。

実践

略

一問道場

質問 #265

トピック 1

ある企業は、AWS Organizationsを使用して1,000以上のAWSアカウントを管理しています。企業は新しい開発者組織を作成しました。この新しい開発者組織に移動すべき開発者のメンバーアカウントが540件あります。すべてのアカウントには、各アカウントが独立したアカウントとして運用できるように必要な情報が設定されています。

開発者アカウントを新しい開発者組織に移動するために、ソリューションアーキテクトが取るべき手順の組み合わせはどれですか？（3つ選んでください。）

旧組織の管理アカウントからOrganizations APIのMoveAccount操作を呼び出して、開発者アカウントを新しい開発者組織に移行する。

管理アカウントから、Organizations APIのRemoveAccountFromOrganization操作を使用して、各開発者アカウントを旧組織から削除する。

各開発者アカウントから、Organizations APIのRemoveAccountFromOrganization操作を使用して、アカウントを旧組織から削除する。

新しい開発者組織の管理アカウントにサインインし、開発者アカウントの移行先として機能するプレースホルダーメンバーアカウントを作成する。

新しい開発者組織の管理アカウントからOrganizations APIのInviteAccountToOrganization操作を呼び出して、開発者アカウントに招待を送信する。

各開発者が自分のアカウントにサインインし、新しい開発者組織に参加することを確認する。