AWS Organizations 完全ガイド v2.0

初心者から実務者向けの包括的解説

AWS Organizations は、複数の AWS アカウントを階層的に管理し、ポリシーを一元適用するサービス です。SCP（サービスコントロールポリシー）・RCP（リソースコントロールポリシー）で組織全体のガードレール設定、Consolidated Billing で統一請求・コスト最適化、Organizations 連携で GuardDuty・Security Hub・AWS Config を一括有効化できます。本ドキュメントは、Organizations の概念・アーキテクチャ・ポリシー・マルチアカウント戦略・最新動向を体系的に解説する包括的ガイドです。

ドキュメントの目的

本ガイドは以下を対象としています。

• 初心者向け： Organizations とは何か、マルチアカウント戦略の基本を学びたい方
• アーキテクト向け： AWS Well-Architected Frameworkに基づくマルチアカウント設計
• セキュリティ担当者向け： SCP・RCP でガードレール設定、セキュリティ一括管理
• 財務・コスト最適化向け： Consolidated Billing・Reserved Instance 共有・コスト配分タグ
• 意思決定者向け： Azure Management Groups・GCP Resource Hierarchy との比較

2025-2026 年の AWS Organizations エコシステム

• RCP（Resource Control Policy）拡大（2025年）：S3・KMS・STS に続き ECR・OpenSearch Serverless 対応
• AI Services Opt-out Policy：生成 AI の組織レベルでの使用制御
• Backup Policy 強化：自動バックアップスケジュール の一括管理
• Chatbot Policy（Chat Applications Policy）：Slack・Microsoft Teams からの AWS 操作制御
• Tag Policy 拡張：リソースタグの統制をより厳密に
• Control Tower との統合深化：プリセットガバナンスルール の自動デプロイ

目次

1. 概要
2. Organizations が解決する課題
3. 主な特徴
4. アーキテクチャ
5. 主要コンポーネント詳細
6. 組織構造：Root・OU・Account
7. SCP（Service Control Policy）
8. RCP（Resource Control Policy）
9. その他ポリシー（Tag・Backup・Chatbot・AI Services Opt-out）
10. Consolidated Billing・Cost 最適化
11. Delegated Administrator
12. Account Factory（Control Tower）
13. 主要ユースケース
14. 設定・操作の具体例
15. 類似ツール比較表
16. ベストプラクティス
17. トラブルシューティング
18. 2025-2026 最新動向
19. 学習リソース
20. 実装例・導入ロードマップ
21. 実装チェックリスト
22. まとめ
23. 参考文献

概要

初心者向けメモ： Organizations は「複数の AWS アカウントを一つの組織の下で管理・統制するサービス」です。単一アカウントで全チームのリソースを管理すると、権限漏出・コスト可視性低下・環境分離困難が発生しますが、Organizations で本番・開発・セキュリティ専用アカウントに分割すれば、環境分離・コスト配分・ガードレール設定が実現できます。

AWS Organizations は マルチアカウント戦略の基盤 です：

【図 1】Organizations の位置づけ：

graph TD
    Root["Root"]
    
    Root -->|OU作成| Security["OU: Security"]
    Root -->|OU作成| Prod["OU: Production"]
    Root -->|OU作成| Dev["OU: Development"]
    
    Security -->|Account| LogArchive["Log Archive Account<br/>（CloudTrail/Config ログ集約）"]
    Security -->|Account| Audit["Audit Account<br/>（GuardDuty/Security Hub 委任）"]
    
    Prod -->|Account| ProdApp["Production Apps<br/>（本番ワークロード）"]
    
    Dev -->|Account| DevTest["Dev/Test<br/>（開発・検証）"]
    
    Root -->|SCP適用| AllOUs["全OU へ<br/>Region/Service 制限"]
    Root -->|RCP適用| AllOUs
    Root -->|Tag Policy| AllOUs
    Root -->|Backup Policy| AllOUs
    
    Root -->|Consolidated<br/>Billing| Billing["統一請求"]
    Root -->|GuardDuty<br/>委任| Audit
    Root -->|Security Hub<br/>委任| Audit
    Root -->|Config<br/>委任| Audit
    
    Billing -->|RI共有| AllOUs
    Billing -->|コスト分析| Finance["財務・経営層"]
    
    style Root fill:#ff9999
    style Security fill:#99ccff
    style Prod fill:#99ff99
    style Dev fill:#ffff99

Organizations がカバーするスコープ

Organizations が解決する課題

1. マルチアカウント環境での権限管理の複雑さ

課題：

• 単一アカウントで全チーム・全環境を管理 → 誤削除リスク大
• クロスアカウントアクセスの設定が複雑（IAM Role + Trust Policy）
• 新規アカウント立ち上げ時に基本設定（IAM ロール・セキュリティ グループ）が不統一

Organizations の解決：

• SCP で「この OU 内のすべてのアカウントは ap-northeast-1 のみ」と設定
• → 全アカウントで自動的に他リージョン操作が拒否される
• → IAM ロールごとに条件設定不要

2. 環境分離・最小権限実現の困難性

課題：

• 開発者が本番 DB にアクセス可能（権限分離失敗）
• データベースのディザスタリカバリ環境が本番と同じアカウント → セキュリティリスク

Organizations + SCP の解決：

• Production OU: EC2・RDS 操作許可
• Development OU: Lambda・DynamoDB のみ操作許可
• → 環境ごとに利用できるサービスが異なる

3. 複数 AWS アカウントの請求管理

課題：

• A 社営業部・B 社エンジニア部それぞれが AWS を契約 → 請求書が複数
• 全社のクラウドコスト把握・最適化ができない

Consolidated Billing の解決：

• Organizations の Consolidated Billing 有効化
• → 営業部・エンジニア部の請求を一本化
• → Reserved Instance を全アカウントで共有 → 割引最大化
• → コスト配分タグで部門別分析

4. セキュリティ・コンプライアンスの一元管理

課題：

• 本社・支社・子会社それぞれが個別に GuardDuty・Security Hub を有効化 → 管理負荷
• セキュリティインシデント検出がバラバラ

Organizations 連携の解決：

• Management Account で 子アカウント向けに GuardDuty・Security Hub 一括有効化
• → Delegated Administrator（セキュリティ専用アカウント）で一元監視
• → 全アカウント の脅威検知・セキュリティ評価を統一

主な特徴

アーキテクチャ

graph TB
    subgraph Org["AWS Organizations"]
        Root["Root"]
        SCP1["SCP: DenyAllOutsideAllowedRegions"]
        RCP1["RCP: Deny Unencrypted S3 Upload"]
        
        Root -->|OU Policy| SCP1
        Root -->|OU Policy| RCP1
        
        Root -->|Security OU| Security["OU: Security"]
        Root -->|Production OU| Prod["OU: Production"]
        Root -->|Development OU| Dev["OU: Development"]
        
        Security -->|Delegated<br/>Admin| AuditAcc["Audit Account<br/>（GuardDuty・Security Hub・Config）"]
        Security -->|Log Arch| LogAcc["Log Archive Account<br/>（CloudTrail/Config ログ）"]
        
        Prod -->|Member| ProdAcc["Prod Account<br/>（EC2・RDS）"]
        
        Dev -->|Member| DevAcc["Dev Account<br/>（Lambda・DynamoDB）"]
    end
    
    subgraph Services["連携 AWS サービス"]
        CT["CloudTrail"]
        GB["GuardDuty"]
        SH["Security Hub"]
        Config["AWS Config"]
        CT -->|Organizations Trail| AuditAcc
        GB -->|Central<br/>Admin| AuditAcc
        SH -->|Central<br/>Admin| AuditAcc
        Config -->|Aggregator| AuditAcc
    end
    
    subgraph Billing["Consolidated Billing"]
        ConsAccount["Consolidated Billing Account"]
        Payment["一括請求・RI 共有・コスト分析"]
        ConsAccount -->|Members| ProdAcc
        ConsAccount -->|Members| DevAcc
        ConsAccount -->|Members| AuditAcc
        ConsAccount --> Payment
    end
    
    Root -.->|Policy効力範囲| SCP1
    AuditAcc -->|監視| AllMembers["全メンバーアカウント"]
    
    style Root fill:#ff9999
    style AuditAcc fill:#99ccff
    style ProdAcc fill:#99ff99
    style DevAcc fill:#ffff99

主要コンポーネント詳細

組織構造：Root・OU・Account

標準的な多アカウント構成（AWS Well-Architected）：

Root
├── Management Account（Organizations 管理用・本番ワークロード非配置）
│
├── OU: Security
│   ├── Log Archive Account（CloudTrail・Config ログ集約）
│   └── Audit Account（GuardDuty・Security Hub・Config 委任管理）
│
├── OU: Infrastructure
│   ├── Shared Services Account（VPC・DNS・SCM）
│   └── Network Account（Transit Gateway・Network Firewall）
│
├── OU: Workloads
│   ├── OU: Production
│   │   ├── my-app-prod
│   │   └── my-api-prod
│   └── OU: Non-Production
│       ├── my-app-stg
│       └── my-app-dev
│
└── OU: Sandbox（新規検証用・制限ポリシー適用）
    └── experiment-account

SCP（Service Control Policy）

例1: リージョン制限（本番 OU に適用）
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAllOutsideAllowedRegions",
      "Effect": "Deny",
      "NotAction": [
        "cloudfront:*",
        "iam:*",
        "route53:*",
        "support:*",
        "sts:*"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": ["ap-northeast-1", "us-east-1"]
        }
      }
    }
  ]
}

例2: CloudTrail 削除禁止（全OU に適用）
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "cloudtrail:DeleteTrail",
        "cloudtrail:StopLogging",
        "cloudtrail:PutEventSelectors"
      ],
      "Resource": "*"
    }
  ]
}

SCP の特徴：

• IAM ポリシーとは異なり「許可」ではなく「上限」を設定
• 最大権限の境界：SCP で Deny ならば IAM Policy で Allow でも実行不可
• 管理アカウントには適用されない
• （Management Account のルートユーザーはすべて実行可能）

RCP（Resource Control Policy）：2025 年の新型ポリシー

例：S3 への暗号化なしアップロード禁止（STS Deny Principal を指定）

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyUnencryptedObjectUploads",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::*/*",
      "Condition": {
        "StringNotEquals": {
          "s3:x-amz-server-side-encryption": "AES256"
        }
      }
    }
  ]
}

対応サービス（2025年）：
✓ Amazon S3
✓ AWS Key Management Service (KMS)
✓ AWS Security Token Service (STS)
✓ AWS Secrets Manager
✓ Amazon Simple Queue Service (SQS)
✓ Amazon Elastic Container Registry（ECR）- 2025年6月追加
✓ Amazon OpenSearch Serverless - 2025年6月追加

SCP vs RCP の使い分け：

• SCP: 権限の上限（IAM ユーザー/ロール単位）
• 例：このOU のユーザーは us-east-1 のみ操作可
• RCP: リソースレベルの制御（リソース保護）
• 例：このリソース（S3バケット）への暗号化なしアップロード禁止

Tag Policy・Backup Policy・Chatbot Policy・AI Services Opt-out

Tag Policy（タグ命名規則統制）:
  組織全体で「Environment=prod/stg/dev」「CostCenter=123」
  という命名規則を強制

Backup Policy（バックアップ自動化）:
  Production OU 内の全 RDS インスタンスへ 日次バックアップ適用

Chatbot Policy（Chat アプリケーション制御）:
  Slack から AWS 操作時に多要素認証必須化

AI Services Opt-out Policy（生成 AI 制限）:
  Bedrock・Amazon Q の利用を組織全体で禁止
  （データプライバシー要件対応）

Consolidated Billing

利点：
  ✓ 複数アカウントの請求を一本化
  ✓ Reserved Instance（RI）を全アカウント共有 → 割引率向上
  ✓ Savings Plan を全アカウント適用
  ✓ コスト配分タグで部門別・プロジェクト別に費用分析

例：
  営業部・エンジニア部・バックオフィスが個別 AWS アカウント
  → Consolidated Billing で統一請求
  → 営業部（tag:Dept=Sales）のコスト = $10K/月
  → エンジニア部（tag:Dept=Eng）のコスト = $50K/月

Delegated Administrator

有効化できるサービス：
  ✓ GuardDuty（脅威検知）
  ✓ Security Hub（セキュリティ評価）
  ✓ AWS Config（コンプライアンス監視）
  ✓ AWS CloudTrail（ログ一元化）
  ✓ Amazon Macie（データ分類・保護）
  ✓ AWS Backup（バックアップ一元管理）

例：
  Audit Account（セキュリティ専用）を
  GuardDuty・Security Hub の Delegated Admin に指定
  → Audit Account から全メンバーアカウントの
    セキュリティ状況を一元監視

具体例：設定・操作

Organizations 作成・OU 構築

# 1. Organizations 作成（Management Account で実行）
aws organizations create-organization \
  --feature-set ALL

# 2. Root ID 取得
ROOT_ID=$(aws organizations list-roots \
  --query 'Roots[0].Id' --output text)

# 3. OU 作成
aws organizations create-organizational-unit \
  --parent-id $ROOT_ID \
  --name Security

aws organizations create-organizational-unit \
  --parent-id $ROOT_ID \
  --name Production

# 4. OU ID 取得
SECURITY_OU=$(aws organizations list-organizational-units-for-parent \
  --parent-id $ROOT_ID \
  --query 'OrganizationalUnits[?Name==`Security`].Id' \
  --output text)

# 5. 既存アカウントを OU に移動
aws organizations move-account \
  --account-id 111111111111 \
  --source-parent-id $ROOT_ID \
  --destination-parent-id $SECURITY_OU

SCP 作成・適用

# 1. SCP ポリシー作成
aws organizations create-policy \
  --content '{
    "Version": "2012-10-17",
    "Statement": [{
      "Effect": "Deny",
      "NotAction": ["cloudfront:*", "iam:*", "route53:*"],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": ["ap-northeast-1", "us-east-1"]
        }
      }
    }]
  }' \
  --description 'Allowed regions: ap-northeast-1 and us-east-1' \
  --name AllowedRegionsPolicy \
  --type SERVICE_CONTROL_POLICY

# 2. SCP をOU に適用
POLICY_ID=$(aws organizations create-policy \
  --query 'Policy.PolicySummary.Id' \
  --output text)

aws organizations attach-policy \
  --policy-id $POLICY_ID \
  --target-id $SECURITY_OU

Consolidated Billing・コスト配分タグ

# 1. Cost Allocation Tags 有効化
aws ce activate-cost-category-definition \
  --cost-category-definition-arn arn:aws:ce:us-east-1:123456789012:costcategory/Dept

# 2. コスト分析（Dept タグで部門別）
aws ce get-cost-and-usage \
  --time-period Start=2024-01-01,End=2024-12-31 \
  --granularity MONTHLY \
  --metrics BlendedCost \
  --group-by Type=DIMENSION,Key=TAG \
           Type=DIMENSION,Key=LINKED_ACCOUNT

# 出力例：
# Month    Account    Tag:Dept    BlendedCost
# Jan 2024  123456789012  Sales      $10,000
# Jan 2024  111111111111  Eng        $50,000

Delegated Administrator 設定

# 1. Delegated Admin に Security Hub を委任
aws securityhub register-delegated-admin \
  --admin-account-id 999999999999

# Delegated Admin アカウント（999999999999）から確認：
aws securityhub get-findings \
  --filters AccountId='{"Value":"111111111111","Comparison":"EQUALS"}' \
  # 他のメンバーアカウント の findings を検索可能

類似ツール比較表

ベストプラクティス

実装✓

• ✅ Well-Architected ベースのOU設計

  • Security・Infrastructure・Workloads に分離
  • 最小権限・環境分離を実現

• ✅ SCP で Deny List パターン

  • デフォルト：全サービス許可
  • 禁止対象（リージョン・サービス削除）のみ Deny → 新サービス実装時に SCP 更新不要

• ✅ RCP で Data Perimeter 構築

  • 暗号化なしアップロード禁止
  • 指定外リージョンへのデータ移出禁止 → コンプライアンス・セキュリティ要件対応

• ✅ Consolidated Billing + Cost Allocation Tags

  • 部門・プロジェクト・環境でタグ統制
  • 月次コスト分析で予算超過を早期検出

• ✅ Delegated Admin で セキュリティ一元化

  • Audit Account に GuardDuty・Security Hub を委任
  • セキュリティチーム集約アカウント からの一元監視

実装❌

• ❌ 単一アカウントで全環境を管理

  • 誤削除リスク大、権限分離不可

• ❌ SCP を Management Account に適用

  • Management Account は SCP 対象外、無意味

• ❌ RCP を過剰に制限

  • 開発効率低下、デプロイメント困難化 → 本番環境のみに厳密に適用

• ❌ タグなしのリソース作成を許可

  • コスト分析・棚卸しが不可能

• ❌ Consolidated Billing なし

  • 複数アカウント時にコスト可視性喪失 → RI 割引を活用できない

トラブルシューティング

2025-2026 最新動向

RCP（Resource Control Policy）拡大

• 対応サービス拡大（2025年6月）：ECR・OpenSearch Serverless 新規対応
• GovCloud 対応（2025年5月）：AWS GovCloud（US）で RCP 利用可能

AI Services Opt-out Policy

• 生成 AI 組織統制：Bedrock・Amazon Q の使用を組織全体で制御
• データプライバシー対応：GDPR・個人情報保護法への準拠

Backup Policy 強化

• 自動バックアップスケジュール：OU 単位で統一管理
• 復旧方針自動適用：RPO/RTO を組織全体で標準化

Chatbot Policy（Chat Applications Policy）

• Slack・Microsoft Teams 統制：チャットアプリからの AWS 操作に MFA 必須化
• 監査ログ統合：Chat 経由の操作を CloudTrail で追跡

Control Tower との統合深化

• ガバナンスフレームワーク：SCP・RCP をプリセット + カスタマイズ可
• 自動コンプライアンス修復：違反自動検出・修正

学習リソース

AWS 公式ドキュメント

1. What is AWS Organizations
2. AWS Organizations User Guide
3. Service Control Policies
4. Resource Control Policies
5. Consolidated Billing
6. Delegated Administrator
7. AWS Multi-Account Strategy Whitepaper
8. AWS Control Tower User Guide
9. Tag Policies
10. Backup Policies

ホワイトペーパー・ベストプラクティス

1. Organizing Your AWS Environment (AWS Whitepaper)
2. Multi-Account Strategy (AWS Blog)
3. Well-Architected Framework - Security Pillar

実装例・導入ロードマップ

Phase 1（1-2 ヶ月）：Organizations 基盤構築

Week 1-2: Organizations 作成・OU 設計
  - 現在の全 AWS アカウントを把握
  - Well-Architected ベースの OU 設計（Security・Prod・Dev）
  - Organizations 作成、既存アカウント招待

Week 3-4: 基本ポリシー設定
  - SCP 有効化
  - リージョン制限 SCP を本番 OU に適用
  - テスト環境で動作確認

Phase 2（2-3 ヶ月）：Consolidated Billing・セキュリティ一元化

Week 5-6: Consolidated Billing 設定
  - すべてのメンバーアカウントが Organizations に参加
  - Cost Allocation Tags（Dept・Env など）定義
  - 月次コスト分析ダッシュボード作成

Week 7-8: セキュリティ一元化
  - Audit Account を Delegated Admin に指定
  - GuardDuty・Security Hub 一括有効化
  - Organizations Trail 設定（全アカウント CloudTrail）

Phase 3（3-4 ヶ月）：高度なポリシー・自動化

Week 9-10: RCP・Tag Policy 導入
  - 暗号化・Data Perimeter を RCP で強制
  - タグ命名規則を Tag Policy で統制
  - 開発環境で テスト実施

Week 11-12: Control Tower 統合
  - Account Factory で新規アカウント自動作成
  - Runbook 作成（災害復旧シナリオ など）

実装チェックリスト

• [ ] Organizations 基盤

  • [ ] Organizations 作成（Management Account）
  • [ ] All Features 有効化
  • [ ] OU 設計完了（Security・Infrastructure・Workloads など）
  • [ ] 既存アカウント招待・OU 配置

• [ ] ポリシー設定

  • [ ] SCP 有効化・リージョン制限ポリシー適用
  • [ ] RCP 有効化（対応サービス確認）
  • [ ] Tag Policy・Backup Policy 定義
  • [ ] テスト環境で動作確認

• [ ] 請求・コスト管理

  • [ ] Consolidated Billing 有効化
  • [ ] Cost Allocation Tags 設計・有効化
  • [ ] Reserved Instance を共有設定
  • [ ] 月次コスト分析体制整備

• [ ] セキュリティ一元化

  • [ ] Audit Account を Delegated Admin に指定
  • [ ] GuardDuty・Security Hub・AWS Config 一括有効化
  • [ ] Organizations Trail 設定
  • [ ] Amazon Macie・AWS Backup も委任（オプション）

• [ ] 自動化・監視

  • [ ] CloudWatch・EventBridge で Organizations イベント監視
  • [ ] SNS/Slack 通知設定（ポリシー違反時）
  • [ ] Control Tower Account Factory 検討（新規アカウント自動化）

まとめ

AWS Organizations は、マルチアカウント戦略の基盤 です。単一アカウントで全チーム・全環境を管理する危険性から解放され、環境分離・権限最小化・コスト可視化・セキュリティ一元化を実現できます。

SCP で「この OU では東京リージョンのみ」と設定すれば、全アカウント・全 IAM ロールに自動適用。RCP で「S3 への暗号化なしアップロード禁止」と設定すれば、リソースレベルで強制。Consolidated Billing で Reserved Instance を全アカウント共有すれば、割引を最大化。Delegated Admin で Audit Account に GuardDuty・Security Hub を一元化すれば、セキュリティ監視の運用負荷が激減します。

AWS Well-Architected Framework に基づいた OU 設計（Security・Infrastructure・Workloads）を実施することで、クラウド環境全体のガバナンス・セキュリティ・コスト最適化を実現する、エンタープライズグレードのマルチアカウント基盤を構築できます。

参考文献

AWS 公式（10+）

1. What is AWS Organizations
2. AWS Organizations User Guide
3. Service Control Policies (SCPs)
4. Resource Control Policies (RCPs)
5. Consolidated Billing
6. Delegated Administrator
7. Tag Policies
8. Backup Policies
9. AWS Multi-Account Strategy Whitepaper
10. AWS Control Tower User Guide

ホワイトペーパー・ブログ（5+）

1. Organizing Your AWS Environment (Whitepaper)
2. AWS Organizations Blog Category
3. Introducing Resource Control Policies (RCPs)
4. AWS Well-Architected Security Pillar
5. AWS Multi-Account Best Practices

最終更新：2026-04-26 バージョン：v2.0