組織のメンバーアカウントの閉鎖
組織に不要になったメンバーアカウントがあり、課金を避けたい場合は、このセクションの手順に従って、AWS Organizations コンソール
注記
組織の管理アカウントを閉鎖するには、まず、組織内のすべてのメンバーアカウントを削除または閉鎖する必要があります。組織内にメンバーアカウントが存在しない場合、管理アカウントを閉鎖すると自動的に組織が削除されます。
メンバーアカウントを閉鎖する前に、保持したいアプリケーションとデータをバックアップします。ナレッジセンターの「AWS アカウントで不要になったアクティブなリソースを確認する方法を教えてください
アカウントはすぐに AWS アクティビティに使用できなくなります。ただし、ルートユーザーとしてサインインして過去の請求を確認したり、AWS Support に問い合わせたりすることはできます。詳細については、「カスタマーサポートへの請求に関するお問い合わせ」を参照してください。
このトピックは AWS アカウントのみに適用されます。
Amazon.com ショッピングアカウントの閉鎖については、http://www.amazon.com/gp/help/customer/display.html?nodeId=GDK92DNLSGWTV6MP
メンバーアカウントを閉鎖する前に考慮する事項
AWS アカウント を閉鎖する際には、アカウントの閉鎖前に考慮すべき影響がいくつかあります。
-
ルートユーザーの E メールアドレスは、アカウントを閉鎖しても再利用できません。
-
メンバーアカウントを閉鎖すると、閉鎖後期間が終了するまで、このアカウントは組織から削除されません。閉鎖後期間中、閉鎖したメンバーアカウントは、引き続き組織内のアカウントのクォータに対してカウントされます。
アカウントがクオーターにカウントされないようにするには、メンバーアカウントを閉鎖する前に組織から削除します。
-
30 日間で閉鎖できるメンバーアカウントは 10% のみです。このクォータは暦月に縛られず、アカウントを閉鎖した時点で開始されます。最初のアカウント閉鎖から 30 日以内に、制限である 10% を超えるアカウントを閉鎖することはできません。アカウントの 10% が 200 を超えていても、閉鎖できる最小のアカウントは 10 で、閉鎖できる最大のアカウント数は 200 です。Organizations のクォータについての詳細は、「AWS Organizations のクォータ」を参照してください。
-
AWS Control Tower を使用している場合、アカウントを閉じる前にアカウント管理を解除する必要があります。AWS Control Tower ユーザーガイド」の「Unmanage a member account」(メンバーアカウントの管理を解除する) を参照してください。
-
AWS GovCloud (US) アカウントとリンクしている AWS アカウント をお持ちの場合、AWS GovCloud (US) アカウントを閉鎖する前に標準のアカウントを閉鎖する必要があります。閉鎖前の重要な詳細については、「AWS GovCloud (US) ユーザーガイド」の「Closing an AWS GovCloud (US) Account」( アカウントを閉じる) を参照してください。
セキュリティ上推奨されますが、必須ではないベストプラクティス:
ベストプラクティスとして、ジョブの完了に必要な最小限の権限を付与するというセキュリティのベストプラクティスに従って、閉鎖されたアカウントへの参照をすべての IAM アクセス許可およびポリシーから削除することをお勧めします。アカウント閉鎖後に AWS がその ID 番号を再利用することは決してないので、これはセキュリティ上の問題になることはありません。IAM ポリシー内に閉鎖されたアカウントの ID がある場合、IAM Access Analyzer から通知されます。
アカウントを閉鎖してから 90 日経過するまで:
-
閉鎖されたアカウントは、組織内で SUSPENDED 状態と表示されます。
-
アカウント閉鎖前に終了していないアクティブなリソースの中には、90 日以内にアカウントを再開することを決定した場合、引き続き課金されるものがある可能性があります。詳細については、ナレッジセンターの「AWS アカウント で不要になったアクティブなリソースを終了するにはどうすればよいですか?
」を参照してください。 -
ログインして過去の請求書を表示し、AWS Support にアクセスすることができます。
90 日間の猶予期間終了後:
-
閉鎖された AWS アカウント は組織に表示されなくなります。
-
AWS アカウント は再稼働の対象ではなくなります。その時点で、アカウントにあったすべての AWS リソースは復元不可能になります。
メンバーアカウントを閉鎖する方法
組織の管理アカウントにサインインすると、組織に属しているメンバーアカウントを閉鎖できます。そのためには、以下の手順を完了します。
メンバーアカウントが閉鎖されないように保護する
メンバーアカウントが誤って閉鎖されないように保護したい場合、IAM ポリシーを作成して、閉鎖されないようにするアカウントを指定することができます。これらのポリシーで保護されているメンバーアカウントは閉鎖されません。SCP では、管理アカウントのプリンシパルに影響しないため、この操作を実行できません。
アカウントの閉鎖を拒否する IAM ポリシーは、次の 2 つの方法のいずれかで作成できます。
-
Resource
エレメントにarn
を含めることにより、ポリシーで保護するアカウントを明示的にリストする。例については、「 このポリシーに記載されているメンバーアカウントが閉鎖されないようにする」を参照してください。 -
個々のアカウントにタグを付けて、アカウントが閉鎖されないようにする。ポリシー内で
aws:ResourceTag
タググローバル条件キーを使用して、タグを付けたアカウントが閉鎖されないようにします。アカウントにタグを付ける方法については、「Organizations リソースのタグ付け」を参照してください。例については、「タグ付きのメンバーアカウントが閉鎖されないようにする 」を参照してください。
メンバーアカウントが閉鎖されないようにする IAM ポリシーの例
タグ付きのメンバーアカウントが閉鎖されないようにする
管理アカウントの ID に次のポリシーをアタッチできます。このポリシーにより、管理アカウントのプリンシパルは、aws:ResourceTag
タググローバル条件キー、AccountType
キー、および Critical
タグ値がタグ付けされているメンバーアカウントを閉鎖できなくなります。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "PreventCloseAccountForTaggedAccts", "Effect": "Deny", "Action": "organizations:CloseAccount", "Resource": "*", "Condition": { "StringEquals": {"aws:ResourceTag/AccountType": "Critical"} } } ] }
このポリシーに記載されているメンバーアカウントが閉鎖されないようにする
管理アカウントの ID に次のポリシーをアタッチできます。このポリシーにより、管理アカウントのプリンシパルは、Resource
エレメントで明示的に指定されたメンバーアカウントを閉鎖できなくなります。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "PreventCloseAccount", "Effect": "Deny", "Action": "organizations:CloseAccount", "Resource": [ "arn:aws:organizations::555555555555:account/o-12345abcdef/123456789012", "arn:aws:organizations::555555555555:account/o-12345abcdef/123456789014" ] } ] }