# AWS IAMのサービスコントロールポリシー（SCP）の使い方

## 1-1. 目次
1. **サービスコントロールポリシー（SCP）とは**
2. **SCPの基本的な考え方と使用例**
3. **SCPの設定方法**
4. **SCPのベストプラクティス**
5. **SCPの制限と考慮点**
6. **まとめ**

## 1-2. サービスコントロールポリシー（SCP）とは

AWS Organizationsを使用して複数のAWSアカウントを管理する際に、サービスコントロールポリシー（SCP）は、組織内のアカウントがAWSのリソースに対してどの操作を実行できるかを制御する重要なツールです。SCPは、組織単位（OU）のレベルでポリシーを適用でき、AWSアカウントの階層的な管理とアクセス制御を可能にします。

## 1-3. SCPの基本的な考え方と使用例

### 1-3-1. 基本的な考え方

SCPは、AWS IAMポリシーと似ていますが、異なるレベルで機能します。IAMポリシーは特定のアカウント内のユーザーやロールに適用されるのに対し、SCPはOUまたはアカウント単位で全てのIAMエンティティに制約をかけます。基本的に、SCPで許可されている操作のみが実行可能となり、明示的に許可されていない限り、全ての操作はデフォルトで禁止されます。

### 1-3-2. 使用例

例えば、ある組織が特定のAWSリージョンにのみリソースを展開したい場合、該当リージョン以外でのリソース作成を禁止するSCPを設定できます。

![img](/mosaic-code.jpg)

このポリシーでは、`us-west-2`リージョン以外での任意のアクションを拒否します。

## 1-4. SCPの設定方法

### 1-4-1. SCPの作成と適用手順

1. **AWS Organizationsを開く**: AWS Management Consoleにログインし、AWS Organizationsサービスへ移動します。
2. **ポリシーの作成**: 「サービスコントロールポリシー」セクションで、新しいSCPを作成します。
3. **ポリシーの編集**: JSON形式でポリシーの内容を記述します。必要に応じてポリシーを保存します。
4. **ポリシーのアタッチ**: SCPを特定のOUまたはアカウントにアタッチします。

SCPの設定には十分な注意が必要です。SCPを誤って設定すると、組織内の重要な操作がブロックされることがあります。

## 1-5. SCPのベストプラクティス

### 1-5-1. 明示的な許可と拒否を組み合わせる

SCPでは、許可と拒否を適切に組み合わせることでアクセス制御を行います。デフォルトで明示的に許可されたアクションのみを可能にして、その他は拒否とすると、セキュアな運用が可能です。

### 1-5-2. バージョニングとテスト

SCPを導入する前に、必ず検証環境でテストを行い、導入後に問題が発生した場合迅速に修正できるようにバージョン管理を徹底しましょう。ドキュメント化と変更履歴の保持も重要です。

### 1-5-3. ドキュメンテーションの活用

AWS公式ドキュメントやガイドラインを活用し、最新の情報を常に確認しながら運用することで、より安全で効果的なポリシー設定が可能となります。

## 1-6. SCPの制限と考慮点

- **影響範囲の確認**: SCPは組織全体に影響を及ぼす可能性があるため、影響範囲を事前に確認し、慎重に計画し適用する必要があります。
- **柔軟性の確保**: ビジネスニーズに応じてポリシーを柔軟に調整できるよう、定期的なレビューと更新を行うことが推奨されます。
- **ポリシーの複雑さ**: SCPが複雑化するとトラブルシューティングが困難になるため、可能な限りシンプルに保ち、必要な範囲で制限を設けると良いです。

## 1-7. まとめ

AWS IAMのサービスコントロールポリシー（SCP）は、組織のセキュリティ管理とガバナンスを増強する強力なツールです。正しく設定することで、組織全体のリソース管理を統合し、不要なアクセスを防ぐことができます。しかし、その設定には慎重さが求められ、適切なベストプラクティスを採用することが運用の成功に直結します。是非この機会にAWS SCPの導入と活用をご検討ください。 [cv:issue_marketplace_engineer]

# AWS IAMのサービスコントロールポリシー（SCP）の使い方

## 1-1. 目次
1. **サービスコントロールポリシー（SCP）とは**
2. **SCPの基本的な考え方と使用例**
3. **SCPの設定方法**
4. **SCPのベストプラクティス**
5. **SCPの制限と考慮点**
6. **まとめ**

## 1-2. サービスコントロールポリシー（SCP）とは

AWS Organizationsを使用して複数のAWSアカウントを管理する際に、サービスコントロールポリシー（SCP）は、組織内のアカウントがAWSのリソースに対してどの操作を実行できるかを制御する重要なツールです。SCPは、組織単位（OU）のレベルでポリシーを適用でき、AWSアカウントの階層的な管理とアクセス制御を可能にします。

## 1-3. SCPの基本的な考え方と使用例

### 1-3-1. 基本的な考え方

SCPは、AWS IAMポリシーと似ていますが、異なるレベルで機能します。IAMポリシーは特定のアカウント内のユーザーやロールに適用されるのに対し、SCPはOUまたはアカウント単位で全てのIAMエンティティに制約をかけます。基本的に、SCPで許可されている操作のみが実行可能となり、明示的に許可されていない限り、全ての操作はデフォルトで禁止されます。

### 1-3-2. 使用例

例えば、ある組織が特定のAWSリージョンにのみリソースを展開したい場合、該当リージョン以外でのリソース作成を禁止するSCPを設定できます。

```json
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSpecificRegion",
            "Effect": "Deny",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:RequestedRegion": "us-west-2"
                }
            }
        }
    ]
}
```

このポリシーでは、`us-west-2`リージョン以外での任意のアクションを拒否します。

## 1-4. SCPの設定方法

### 1-4-1. SCPの作成と適用手順

1. **AWS Organizationsを開く**: AWS Management Consoleにログインし、AWS Organizationsサービスへ移動します。
2. **ポリシーの作成**: 「サービスコントロールポリシー」セクションで、新しいSCPを作成します。
3. **ポリシーの編集**: JSON形式でポリシーの内容を記述します。必要に応じてポリシーを保存します。
4. **ポリシーのアタッチ**: SCPを特定のOUまたはアカウントにアタッチします。

SCPの設定には十分な注意が必要です。SCPを誤って設定すると、組織内の重要な操作がブロックされることがあります。

## 1-5. SCPのベストプラクティス

### 1-5-1. 明示的な許可と拒否を組み合わせる

SCPでは、許可と拒否を適切に組み合わせることでアクセス制御を行います。デフォルトで明示的に許可されたアクションのみを可能にして、その他は拒否とすると、セキュアな運用が可能です。

### 1-5-2. バージョニングとテスト

SCPを導入する前に、必ず検証環境でテストを行い、導入後に問題が発生した場合迅速に修正できるようにバージョン管理を徹底しましょう。ドキュメント化と変更履歴の保持も重要です。

### 1-5-3. ドキュメンテーションの活用

AWS公式ドキュメントやガイドラインを活用し、最新の情報を常に確認しながら運用することで、より安全で効果的なポリシー設定が可能となります。

## 1-6. SCPの制限と考慮点

- **影響範囲の確認**: SCPは組織全体に影響を及ぼす可能性があるため、影響範囲を事前に確認し、慎重に計画し適用する必要があります。
- **柔軟性の確保**: ビジネスニーズに応じてポリシーを柔軟に調整できるよう、定期的なレビューと更新を行うことが推奨されます。
- **ポリシーの複雑さ**: SCPが複雑化するとトラブルシューティングが困難になるため、可能な限りシンプルに保ち、必要な範囲で制限を設けると良いです。

## 1-7. まとめ

AWS IAMのサービスコントロールポリシー（SCP）は、組織のセキュリティ管理とガバナンスを増強する強力なツールです。正しく設定することで、組織全体のリソース管理を統合し、不要なアクセスを防ぐことができます。しかし、その設定には慎重さが求められ、適切なベストプラクティスを採用することが運用の成功に直結します。是非この機会にAWS SCPの導入と活用をご検討ください。 

AWS IAMのサービスコントロールポリシー（SCP）の使い方

1-1. 目次

1-2. サービスコントロールポリシー（SCP）とは

続きを読むには単価診断を受けてください（30秒）