CloudFormationを利用したSCPの作成と適用

AWSのアカウントやOUに対して一括でサービスコントロールポリシー（以下、SCP）を適用したり、異なる組織に同じSCPを付与したい場合はありませんか。

今回は、CloudFormationを利用してSCPを付与するテンプレートの紹介と実例を紹介します。

CloudFormation テンプレート
- AWS公式ドキュメントの記載
- CloudFormationテンプレート例
実践
- CloudFormationのスタック作成
- SCP適用確認
おわりに

CloudFormation テンプレート

AWS公式ドキュメントの記載

AWS公式ドキュメントでは、CloudFormationテンプレートのサンプルがサービスごとに用意されており、「OrganizationsのSCP作成」についてもサンプルが存在します。

CloudFormationのテンプレートはJSONまたはYAML形式である必要があり、JSON形式における基本構成は以下のようになっています。

{
  "Type" : "AWS::Organizations::Policy",
  "Properties" : {
      "Content" : Json,
      "Description" : String,
      "Name" : String,
      "Tags" : [ Tag, ... ],
      "TargetIds" : [ String, ... ],
      "Type" : String
    }
}

プロパティにおける「Content」や「Name」、「TargetIds」といった各要素の詳細は公式ドキュメントに記載があるため、説明は割愛します。

AWS::Organizations::P olicy - AWS CloudFormation

上記基本構成をもとに、SCPの作成と適用を一括で実施するCloudFormationのテンプレートの例を紹介します。

CloudFormationテンプレート例

今回は、アカウント内で操作できるリージョンを制限するSCPのCloudForamtionテンプレートを作成していきます。

例として、東京リージョンと大阪リージョンの日本限定リージョンに制限したSCPを作成してみます。

また、今回様々なAWS環境で利用できるテンプレートを作成するため、CloudFormationのテンプレートにSCPを付与する宛先である「TargetId」をパラメータとして挿入します。

以下が今回使用するCloudFormation テンプレートのサンプルとなります。

{
    "AWSTemplateFormatVersion": "2010-09-09",
    "Description": "TestSCP",
    "Parameters": {
        "TargetIdParam": {
            "Type": "CommaDelimitedList",
            "Description": "TargetID"
        }
    },
    "Resources": {
        "PolicyTestTemplate": {
            "DeletionPolicy": "Retain",
            "Type": "AWS::Organizations::Policy",
            "Properties" : {
                "Type": "SERVICE_CONTROL_POLICY",
                "Name" : "test01",
                "Description" : "test01",
                "TargetIds": { "Ref": "TargetIdParam" },
                "Content":{
	                "Version": "2012-10-17",
                    "Statement": [
                        {
                            "Sid": "DenyOtherRegions",
                            "Effect": "Deny",
                            "Action": "*",
                            "Resource": "*",
                            "Condition": {
                                "StringNotEquals": {
                                    "aws:RequestedRegion": [
                                        "ap-northeast-1",
                                        "ap-northeast-3"
                                    ]
                                }
                            }
                        }
                    ]
                }
            }   
        }    
    }
}