- 資料ダウンロード
- お問い合わせ

AWS OrganizationsでルートユーザーをIP制限する

はじめに

こんにちは。クラウド活用推進担当の安田です。

AWSアカウントのルートユーザーは、全ての権限を持つ特権アカウントです。そのため、認証情報が漏洩した場合、アカウント内の全てのリソースが危険にさらされます。

今回は、AWS Organizations環境でメンバーアカウントのルートユーザーだけにSCPで接続元IP制限をかけられるのかを検証しました。

この記事の位置づけ

AWS Organizationsでは、新規作成するメンバーアカウントはroot資格情報なしがデフォルトであり、AWSはcentralized root accessによるroot資格情報の削除を推奨しています。

ただし、緊急時の復旧手段や一部のルートユーザー専用操作のために、root資格情報を残して運用するケースもあります。

この記事では、そのような場合の追加対策として、SCPによる接続元IP制限を検証します。

この記事で分かること

この記事では、以下の内容を紹介します。

・SCPでルートユーザーのみにIP制限をかける方法
・IP制限の動作特性
・許可IP外からのルートユーザー操作がどう拒否されるか
・IAMユーザーの日常業務に影響が出るか
・IP制限だけでは不十分な理由と追加対策

検証の目的

今回は、AWS Organizationsで複数のAWSアカウントを管理している環境を前提とします。

管理アカウント配下にあるメンバーアカウントのルートユーザーに対して、SCPで接続元IP制限を適用できるかを確認しました。

確認したいこと

メンバーアカウントのルートユーザーに対して、SCPで接続元IP制限が可能か
ルートユーザーだけを制限対象にできるか
IAMユーザーや通常業務に影響が出ないか

検証のポイント

SCPはアカウント全体に影響するため、条件指定を誤るとIAMユーザーやIAMロールの通常業務まで止めてしまう可能性があります。

今回は、aws:PrincipalArn 条件を使って、対象をルートユーザーに限定できるかを確認します。

検証環境

項目	内容
AWS Organizations	有効化済み
対象アカウント	メンバーアカウント1つ
検証方法	特定アカウントにSCPを直接アタッチ
影響範囲	検証対象アカウントのみ

実装方法

SCPポリシーの作成

以下のSCPポリシーを作成しました。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyRootUserOutsideApprovedIP",
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": ["arn:*:iam::*:root"]
        },
        "NotIpAddress": {
          "aws:SourceIp": [
            "xxx.xxx.xxx.xxx/xx",
            "yyy.yyy.yyy.yyy/yy"
          ]
        }
      }
    }
  ]
}

ポリシーのポイント

設定	意味
aws:PrincipalArn	ルートユーザー（arn::iam:::root）のみを対象にする
NotIpAddress	許可IPリスト以外からの操作を拒否する
*Action: ""**	全てのAWS操作を対象にする
Effect: Deny	条件に一致した操作を明示的に拒否する

アタッチ手順

AWS Organizations コンソールを開く
上記のSCPポリシーを作成する
対象のメンバーアカウントにSCPをアタッチする
許可IPと許可IP外の両方から動作を確認する

検証結果

テスト1：許可IPからルートユーザーでアクセス

結果：成功

・許可IPからルートユーザーでログイン成功
・S3、EC2などの各AWSサービスに正常にアクセス可能
・操作に制限なし

テスト2：許可IP外からルートユーザーでアクセス

結果：期待通りに拒否

・コンソールへのログイン自体は成功
・各サービスにアクセスすると「アクセス拒否」エラーが表示される
・例：servicecatalog:ListApplications などの操作が拒否される
・ログイン後の操作が実質的にブロックされる

テスト3：IAMユーザーへの影響確認

結果：今回のSCP条件では影響なし

・IAMユーザーでログイン成功
・接続元IPアドレスに関係なく正常にアクセス可能
・検証環境では、IAMユーザーは各AWSサービスに制限なくアクセス可能

結果の整理

検証内容	結果	補足
許可IPからルートユーザーで操作	成功	通常通りAWSサービスを操作できる
許可IP外からルートユーザーで操作	拒否	ログイン後のAPI操作が拒否される
IAMユーザーで操作	影響なし	aws:PrincipalArn 条件で対象外になる