# 委任された管理
<a name="aam-delegated-admin"></a><a name="aam-account-types"></a>

アカウントアクセスマネージャーを有効にすると、アカウントアクセスマネージャーは AWS 組織全体の IAM ロール割り当てを管理するため、AWS は AWS Organizations の管理アカウントでアカウントアクセスマネージャーに作成します。アカウントアクセスマネージャーの管理を AWS Organizations のメンバーアカウントに委任することを選択できます。

メンバーアカウントをアカウントアクセスマネージャーの委任管理者として登録することを選択した場合、このアカウントのユーザーはアカウントアクセスマネージャーのほとんどの管理タスクを実行できます。次のテーブルでは、組織管理アカウント、委任管理メンバーアカウント、別のメンバーアカウントのユーザーがアカウントアクセスマネージャーの管理タスクを実行できるかどうか示されています。管理タスクはアカウントアクセスマネージャーの外部で行われるため、IAM ロール管理は管理タスクのリストから除外されます。


| アカウントアクセスマネージャーの管理タスク | 管理アカウント | 委任された管理者アカウント | メンバーアカウント | 
| --- | --- | --- | --- | 
| IAM ロールの割り当てを管理する\* | 可能 | はい | いいえ | 
| アカウントアクセスマネージャーを有効にする | はい | いいえ | いいえ | 
| アカウントアクセスマネージャーを削除する | はい | いいえ | いいえ | 
| 管理アカウントのユーザーアクセスを有効または無効にします。 | はい | いいえ | いいえ | 
| メンバーアカウントのユーザーアクセスを有効または無効にします。 | 可能 | はい | いいえ | 
| メンバーアカウントを委任管理者として登録または登録解除する | はい | いいえ | いいえ | 

\* 管理アカウントへのユーザーとグループの割り当てに関する委任管理のベストプラクティスを参照してください。

## メンバーアカウントを作成する
<a name="aam-register-delegated-administrator"></a>

委任管理を設定するには、まず組織のメンバーアカウントを委任管理者として登録する必要があります。十分なアクセス許可を持つそのメンバーアカウントのユーザーは、アカウントアクセスマネージャーへの管理アクセス権を持ちます。

アカウントアクセスマネージャーでは、一度に 1 つのメンバーアカウントのみを委任管理者として登録できます。メンバーアカウントは、管理アカウントの認証情報を使用してサインインしている場合にのみ登録できます。

AWS 組織のメンバーアカウントを委任管理者として登録するには、次の手順に従います。

**メンバーアカウントを登録する**

1. AWS Organizations の管理アカウント認証情報を使用して AWS マネジメントコンソール にサインインします。[委任管理者の登録](https://docs.aws.amazon.com/organizations/latest/APIReference/API_RegisterDelegatedAdministrator.html) API を実行するには、管理アカウントの認証情報が必要です。

1. アカウントアクセスマネージャーが有効になっているリージョンを選択して、AWS Identity and Access Management コンソールを開きます。

1. **[アカウントアクセスマネージャー]** を選択して、**[設定]** タブを選択します。

1. **[委任管理者]** セクションで、**[登録]** を選択します。

1. **[委任管理者の登録]** ページで、登録する AWS アカウント を選択し、**[登録]** を選択します。

## メンバーアカウントを登録解除する
<a name="aam-deregister-delegated-administrator"></a>

メンバーアカウントは、管理アカウントの認証情報を使用してサインインした場合にのみ、登録解除できます。

委任された管理者として以前指定されていた AWS 組織のメンバーアカウントの登録を解除するには、次の手順に従います。

**重要**  
アカウントの登録を解除すると、すべての管理ユーザーがそのアカウントでアカウントアクセスマネージャーを管理できなくなります。このアカウントから AWS アカウント アクセスを管理できなくなりました。  
この操作は、アカウントアクセスマネージャーで設定されたアクセス許可や割り当てには影響しません。エンドユーザーは、アカウントアクセスポータルから引き続き AWS アカウント にアクセスできます。

**メンバーアカウントを登録解除する**

1. AWS Organizations の管理アカウント認証情報を使用して AWS マネジメントコンソール にサインインします。[委任管理者の登録解除](https://docs.aws.amazon.com/organizations/latest/APIReference/API_DeregisterDelegatedAdministrator.html) API を実行するには、管理アカウントの認証情報が必要です。

1. アカウントアクセスマネージャーが有効になっているリージョンを選択し、AWS Identity and Access Management コンソールを開きます。

1. **[アカウントアクセスマネージャー]** を選択して、**[設定]** タブを選択します。

1. [**委任管理者**]セクションで、[**登録解除**] を選択します。

1. **[委任管理者の登録解除]** ダイアログボックスでセキュリティへの影響を確認して、内容を理解したことを確認します。

1. **[登録解除]** を選択します。

## 登録済みの委任管理者アカウントを表示する
<a name="aam-view-delegated-administrator"></a>

次の手順に従って、アカウントアクセスマネージャーの委任管理者として設定されている AWS Organizations のメンバーアカウントを確認します。

**登録済みのメンバーアカウントを表示するには**

1. AWS Organizations の管理アカウント認証情報を使用して AWS マネジメントコンソール にサインインします。

1. アカウントアクセスマネージャーが有効になっているリージョンを選択して、AWS Identity and Access Management コンソールを開きます。

1. **[アカウントアクセスマネージャー]** を選択して、**[設定]** タブを選択します。

1. **[委任管理者]** セクションでは、現在の委任管理者アカウントの詳細を表示できます。