AWS Organizations のサービスコントロールポリシーと IAM ポリシーの相違点を教えてください

解決策

AWS Organizations のサービスコントロールポリシー (SCP) と IAM ポリシーは、アクセス管理において異なる目的を果たします。以下のセクションを使用して、SCP と IAM ポリシーの違いと、どのように連携するかを理解してください。

AWS Organizations の SCP の仕組みを理解する

AWS Organizations の SCP は AWS アカウント内の IAM ポリシーの代わりにはなりません。SCP を使用して、組織単位 (OU) 内の個々の AWS アカウントまたはアカウントグループの AWS サービスへのアクセスを許可または拒否します。

アタッチされた SCP から指定されたアクションは、メンバーアカウントのルートユーザーを含むすべての IAM ID に影響します。SCP は、AWS アカウントまたはその親 OU に関連付けられている SCP によって明示的に許可されていない AWS サービスへのアクセスを拒否します。OU 内のすべての AWS アカウントは、その OU に関連付けられた SCP を継承します。

詳細については、「サービスコントロールポリシーの例」を参照してください。

IAM ポリシーの仕組みを理解する

IAM ポリシーは、AWS サービスまたは API オペレーションへのアクセスを許可または拒否します。IAM ポリシーは IAM ID (ユーザー、グループ、またはロール) にのみ適用します。IAM ポリシーでは ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html)AWS アカウントのルートユーザー[を制限することはできません。

詳細については、「IAM アイデンティティベースのポリシーの例」を参照してください。

SCP と IAM ポリシーがどのように連携するかを理解する

AWS Organizations のメンバーアカウントのユーザーがリソースへのアクセスをリクエストすると、AWS は SCP と IAM ポリシーの両方をまとめて評価します。ユーザーは、両方のポリシータイプで許可されているアクセス許可のみを受け取ります。

アクションを許可するには、IAM ポリシーと SCP の両方で明示的に許可されている必要があります。IAM ポリシーまたは SCP の明示的な拒否は、許可ステートメントよりも優先されます。SCP は、アカウントおよび OU に対して付与可能なアクセス許可の上限を定義します。IAM ポリシーでは、これらの境界内でのみアクセス許可を付与できます。

シナリオ例:

IAM ユーザーには、Amazon Simple Storage Service (Amazon S3) へのフルアクセスを許可する IAM ポリシーがあります。しかし、ユーザーのアカウントにアタッチされた SCP がすべての Amazon S3 アクションを拒否しています。SCP の拒否が IAM ポリシーのアクセス許可よりも優先されるため、ユーザーは Amazon S3 にアクセスできません。

関連情報

の Identity and Access Management AWS Organizations

チュートリアル: 組織の作成と設定

の用語と概念 AWS Organizations