AWS アカウント 組織へのメンバーの招待 - AWS Organizations
AWS アカウントへの招待の送信組織の保留中の招待の管理組織からの招待の承認または拒否

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS アカウント 組織へのメンバーの招待

組織を作成し、管理アカウントに関連付けられているメールアドレスを所有していることを確認したら、 AWS アカウント 既存のユーザーを組織に招待できます。

アカウントを招待すると、 AWS Organizations アカウント所有者に招待状が送信され、アカウント所有者は招待を受け入れるか拒否するかを決定します。 AWS Organizations コンソールを使用して、他のアカウントに送信する招待を開始および管理できます。別のアカウントへの招待は、組織の管理アカウントからのみ送信できます。

注記

すべてのアカウントの請求履歴とレポートは、組織内の支払者アカウントに残ります。アカウントを新しい Organization に移動する前に、保持するメンバーアカウントの請求履歴とレポート履歴をダウンロードしてください。これには、コストと使用状況レポート、詳細な請求レポート、または Cost Explorer サービスによって生成されたレポートが含まれることがあります。

の管理者の場合は AWS アカウント、組織からの招待を承諾または拒否することもできます。受諾する場合は、アカウントがその組織のメンバーになります。アカウントが参加できる組織は 1 つのみであるため、複数の招待を受信した場合は、1 つのみ受諾できます。

アカウントが組織への招待を受け入れた時点で、組織の管理アカウントは、新しいメンバーアカウントに発生するすべての課金に対して責任を負います。そのメンバーアカウントにそれまで適用されていた支払い方法は使用されなくなります。代わりに、メンバーアカウントに発生したすべての課金の支払いは、組織の管理アカウントに適用されている支払い方法に基づいて行われます。

招待されたアカウントが組織に加わり、組織が「すべての機能」モードになっている場合、管理アカウントは招待されたメンバーアカウントに対する完全な管理アクセス権と管理権限を持ちます。ただし、作成したアカウントとは異なり、OrganizationAccountAccessRole IAM ロールは、管理アカウントが引き受ける権限を持つメンバーアカウントに自動的に作成されることはありません。招待されたアカウントがメンバーになった後にこれを作成して設定するには、招待されたメンバーアカウント OrganizationAccountAccessRole での の作成次の手順に従います。

注記

既存のアカウントを招待する代わりに組織でアカウントを作成すると、管理アカウントのユーザーに、作成したアカウントへの管理者アクセス権限を付与するために使用できる IAM ロール (OrganizationAccountAccessRoleデフォルトで名前が付けられています) AWS Organizations が自動的に作成されます。

AWS Organizations AWS Organizations と他のサービスとの統合をサポートするために、招待されたメンバーアカウントにサービスにリンクされたロールが自動的に作成されます。 AWS 詳細については、「AWS Organizations とサービスにリンクされたロール」を参照してください。

1 日に送信できる招待の数については、最大値および最小値 を参照してください。承諾済みの招待は、このクォータに対してカウントされません。1 つの招待が承諾されるとすぐ、同じ日に別の招待を送信できます。各招待は、15 日以内に応答する必要があります。応答しない場合は期限切れとなります。

アカウントへ送られた招待は、組織内のアカウントのクォータに対してカウントされます。招待が辞退された場合や、管理アカウントによってキャンセルされた場合、または招待の有効期限が切れた場合、その招待はカウントから差し引かれます。

組織の一部としてアカウントを作成するには、「組織にメンバーアカウントを作成する」を参照してください。

重要

法的および請求上の制約により、 AWS アカウント AWS AWS 招待できるのは管理アカウントと同じ出品者およびパーティションからのみです。たとえば、 AWS EMEA の組織では、登録されている AWS EMEA SARL 出品者のアカウントのみ招待できます。

  • 組織内の管理アカウントが Amazon Internet Services Pvt. Ltd. (AISPL) によって作成されている場合、組織内のすべてのアカウントでは、登録販売者が管理アカウントと同じである必要があります。たとえば、 AWS インドの販売者は、他の AISPL アカウントのみを組織に招待できます。AISPL AWS のアカウントと他の販売者のアカウントを統合することはできません。 AWS

  • 組織内のすべてのアカウントは、 AWS 管理アカウントと同じパーティションに属している必要があります。 AWS リージョン 商用パーティションのアカウントは、 AWS GovCloud (US) 中国リージョンパーティションのアカウントまたはリージョンパーティションのアカウントを持つ組織に属することはできません。

AWS アカウントへの招待の送信

組織にアカウントを招待するには、まず管理アカウントに関連付けられたメールアドレスを所有していることを検証する必要があります。詳細については、「E メールアドレスの検証」を参照してください。メールアドレスを検証したら、次のステップを実施してアカウントを組織に招待します。

最小アクセス許可

AWS アカウント 組織にメンバーを招待するには、次の権限が必要です。

  • organizations:DescribeOrganization (コンソールのみ)

  • organizations:InviteAccountToOrganization

AWS Management Console
別のアカウントを組織に招待するには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、ルートユーザーとしてサインインする推奨されません必要があります。

  2. でメールアドレスを確認済みの場合は AWS、このステップをスキップしてください。

    まだメールアドレスを検証していない場合には、組織の作成から 24 時間以内に E メールアドレスの検証の手順を実施します。検証メールが届くまでには時間がかかる場合があります。メールアドレスの検証が完了したら、アカウントを組織に招待できます。

  3. [AWS アカウント] ページに移動し、[Add an AWS account] ( AWS アカウントを追加する) を選択します。

  4. [Add an AWS アカウント] ( AWS アカウントを追加する) ページで、[Invite an existing AWS account] (既存の AWS アカウントを招待する) を選択します。

  5. 「既存を招待する」 AWSページの「 AWS アカウント 招待するの E メールアドレスまたはアカウント ID」に、招待するアカウントに関連付けられているメールアドレスまたはアカウント ID 番号を入力します。

  6. (オプション) [Message to include in the invitation email message] (招待メールに含めるメッセージ) で、招待するアカウントの所有者に送る、メールによる招待に含める文章を入力します。

  7. (オプション) [Add tags] (タグの追加) セクションで、招待がアカウント管理者によって承諾されたときに自動的にアカウントに適用する 1 つ以上のタグを指定します。これを行うには、[Add tag] (タグの追加) を選択してから、キーとオプションの値を入力します。値を空白のままにすると、空の文字列が設定され、null にはなりません。1 つの AWS アカウントに最大 50 個のタグをアタッチできます。

  8. [Send invitation] (招待の送信) を選択します。

    重要

    組織内のアカウントのクォータを超過した、または組織がまだ初期化中であるためアカウントを追加できないというメッセージが表示された場合は、AWS Support までお問い合わせください。

  9. コンソールは自動的に [Invitations] (招待) ページに移動します。このページで、保留中または承諾済みのすべての招待を確認できます。作成した招待がリストの上部に表示され、ステータスが OPEN に設定されます。

    AWS Organizations 組織に招待したアカウントの所有者のメールアドレスに招待状を送信します。 AWS Organizations このメールメッセージにはコンソールへのリンクが含まれており、アカウント所有者は詳細を確認したり、招待を承諾するか拒否するかを選択できます。または、招待されたアカウントの所有者は、 AWS Organizations 電子メールメッセージをバイパスしてコンソールに直接アクセスし、招待を確認して、招待を承諾または拒否することもできます。

    このアカウントへの招待は、組織内で保持できるアカウントの上限数に対してすぐにカウントされます。 AWS Organizations は、アカウントが招待を承諾するまで待ちません。招待が辞退された場合は、管理アカウントはその招待をキャンセルします。招待されたアカウントが指定された期間内に応答しない場合、招待は期限切れになります。どちらの場合も、招待はクォータに対してカウントされなくなります。

AWS CLI & AWS SDKs
別のアカウントを組織に招待するには

他のアカウントを参加するよう組織を招待するには、次のいずれかのコマンドを使用します。

  • AWS CLI: invite-account-to-organization 

    $ aws organizations invite-account-to-organization \
    --target '{"Type": "EMAIL", "Id": "juan@example.com"}' \
    --notes "This is a request for Juan's account to join Bill's organization."
{
    "Handshake": {
        "Action": "INVITE",
        "Arn": "arn:aws:organizations::111111111111:handshake/o-exampleorgid/invite/h-examplehandshakeid111",
        "ExpirationTimestamp": 1482952459.257,
        "Id": "h-examplehandshakeid111",
        "Parties": [
            {
                "Id": "o-exampleorgid",
                 "Type": "ORGANIZATION"
            },
            {
                 "Id": "juan@example.com",
                 "Type": "EMAIL"
            }
        ],
        "RequestedTimestamp": 1481656459.257,
        "Resources": [
            {
                "Resources": [
                    {
                        "Type": "MASTER_EMAIL",
                        "Value": "bill@amazon.com"
                    },
                    {
                         "Type": "MASTER_NAME",
                         "Value": "Management Account"
                    },
                    {
                         "Type": "ORGANIZATION_FEATURE_SET",
                         "Value": "FULL"
                    }
                ],
                "Type": "ORGANIZATION",
                "Value": "o-exampleorgid"
            },
            {
                "Type": "EMAIL",
                "Value": "juan@example.com"
            }
        ],
        "State": "OPEN"
    }
}

  • AWS SDK: InviteAccountToOrganization

組織の保留中の招待の管理

管理アカウントにサインインすると、組織にリンクされているすべての AWS アカウント の表示と、保留中 (オープン) の招待のキャンセルが可能です。そのためには、以下の手順を完了します。

最小アクセス許可

組織の保留中の招待を管理するには、次のアクセス権限が必要です。

  • organizations:DescribeOrganization - Organizations コンソールを使用する場合にのみ必要

  • organizations:ListHandshakesForOrganization

  • organizations:CancelHandshake

AWS Management Console
組織から別のアカウントへ送信される招待を表示またはキャンセルするには

  1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、ルートユーザーとしてサインインする推奨されません必要があります。

  2. [Invitations] (招待) ページに移動します。

    組織から送信されたすべての招待と、各招待の現在のステータスが表示されます。

    注記

    承諾済み、キャンセル、および拒否された招待は、30 日間リストに表示され続けます。その後は削除され、リストに表示されなくなります。

  3. キャンセルする招待の横にあるラジオボタン を選択してから、[Cancel invitation] (招待をキャンセルする) を選択します。ラジオボタンが灰色で表示されている場合、その招待はキャンセルできません。

    招待のステータスが [OPEN] (オープン) から [CANCELED] (キャンセル済み) に変更されます。

    AWS 招待をキャンセルしたことを知らせるメールメッセージをアカウントオーナーに送信します。新しく招待を送信しない限り、対象アカウントで組織に参加することはできません。

AWS CLI & AWS SDKs
組織から別のアカウントへ送信される招待を表示またはキャンセルするには

招待を表示またはキャンセルするには、次のコマンドを使用します。

  • AWS CLI: list-handshakes-for-organization、キャンセルハンドシェイク

  • 以下は、組織から他のアカウントに送信された招待の例です。

    $ aws organizations list-handshakes-for-organization
{
    "Handshakes": [
        {
            "Action": "INVITE",
            "Arn": "arn:aws:organizations::111111111111:handshake/o-exampleorgid/invite/h-examplehandshakeid111",
            "ExpirationTimestamp": 1482952459.257,
            "Id": "h-examplehandshakeid111",
            "Parties": [
                {
                    "Id": "o-exampleorgid",
                    "Type": "ORGANIZATION"
                },
                {
                    "Id": "juan@example.com",
                    "Type": "EMAIL"
                }
            ],
            "RequestedTimestamp": 1481656459.257,
            "Resources": [
                {
                    "Resources": [
                        {
                            "Type": "MASTER_EMAIL",
                            "Value": "bill@amazon.com"
                        },
                        {
                            "Type": "MASTER_NAME",
                            "Value": "Management Account"
                        },
                        {
                            "Type": "ORGANIZATION_FEATURE_SET",
                            "Value": "FULL"
                        }
                    ],
                    "Type": "ORGANIZATION",
                    "Value": "o-exampleorgid"
                },
                {
                    "Type": "EMAIL",
                    "Value": "juan@example.com"
                },
                {
                    "Type":"NOTES",
                    "Value":"This is an invitation to Juan's account to join Bill's organization."
                }
            ],
            "State": "OPEN"
        },
        {
            "Action": "INVITE",
            "State":"ACCEPTED",
            "Arn": "arn:aws:organizations::111111111111:handshake/o-exampleorgid/invite/h-examplehandshakeid111",
            "ExpirationTimestamp": 1.471797437427E9,
            "Id": "h-examplehandshakeid222",
            "Parties": [
                {
                    "Id": "o-exampleorgid",
                    "Type": "ORGANIZATION"
                },
                {
                    "Id": "anika@example.com",
                    "Type": "EMAIL"
                }
            ],
            "RequestedTimestamp": 1.469205437427E9,
            "Resources": [
                {
                    "Resources": [
                        {
                            "Type":"MASTER_EMAIL",
                             "Value":"bill@example.com"
                        },
                        {
                            "Type":"MASTER_NAME",
                            "Value":"Management Account"
                        }
                    ],
                    "Type":"ORGANIZATION",
                    "Value":"o-exampleorgid"
                },
                {
                    "Type":"EMAIL",
                    "Value":"anika@example.com"
                },
                {
                    "Type":"NOTES",
                    "Value":"This is an invitation to Anika's account to join Bill's organization."
                }
            ]
        }
    ]
}

    次の例は、アカウントへの招待をキャンセルする方法を示しています。

    $ aws organizations cancel-handshake --handshake-id h-examplehandshakeid111
{
    "Handshake": {
        "Id": "h-examplehandshakeid111",
        "State":"CANCELED",
        "Action": "INVITE",
        "Arn": "arn:aws:organizations::111111111111:handshake/o-exampleorgid/invite/h-examplehandshakeid111",
        "Parties": [
            {
                "Id": "o-exampleorgid",
                "Type": "ORGANIZATION"
            },
            {
                "Id": "susan@example.com",
                "Type": "EMAIL"
            }
        ],
        "Resources": [
            {
                "Type": "ORGANIZATION",
                "Value": "o-exampleorgid",
                "Resources": [
                    {
                        "Type": "MASTER_EMAIL",
                        "Value": "bill@example.com"
                    },
                    {
                        "Type": "MASTER_NAME",
                        "Value": "Management Account"
                    },
                    {
                        "Type": "ORGANIZATION_FEATURE_SET",
                        "Value": "CONSOLIDATED_BILLING"
                    }
                ]
            },
            {
                "Type": "EMAIL",
                "Value": "anika@example.com"
            },
            {
                "Type": "NOTES",
                "Value": "This is a request for Susan's account to join Bob's organization."
            }
        ],
        "RequestedTimestamp": 1.47008383521E9,
        "ExpirationTimestamp": 1.47137983521E9
    }
}

  • AWS SDK:、ListHandshakesForOrganizationCancelHandshake

組織からの招待の承認または拒否

AWS アカウント 組織に加入するための招待状が届く場合があります。招待を承認または拒否することができます。そのためには、以下の手順を完了します。

注記

組織に対するアカウントのステータスは、表示できるコストと使用状況のデータに影響します。

  • メンバーアカウントが組織を離れてスタンドアロンアカウントになると、そのアカウントは組織のメンバーであったときのコストと使用状況のデータにアクセスできなくなります。アカウントがアクセスできるのは、スタンドアロンアカウントとして生成されたデータのみです。

  • メンバーアカウントが組織 A を離れ組織 B に参加すると、そのアカウントは組織 A のメンバーであったときのコストと使用状況のデータにアクセスできなくなります。アカウントがアクセスできるのは、組織 B のメンバーとして生成されたデータのみです。

  • アカウントが以前に属していた組織に再参加すると、そのアカウントはコストと使用状況データの履歴へのアクセスを再び許可されます。

注記

メンバーアカウントおよびスタンドアロンアカウントのみが、組織への招待を承諾または拒否することができます。メンバーアカウントに招待が送信されたら、そのアカウントは現在の組織を離れてから招待を承諾する必要があります。既に AWS 組織に参加している管理アカウントに招待状が送信された場合、そのアカウントは、組織からすべてのメンバーアカウントを削除 し、組織を削除 しない限り、招待状を受け入れることができません。

最小アクセス許可

AWS 組織への加入の招待を承諾または拒否するには、以下の権限が必要です。

  • organizations:ListHandshakesForAccount— コンソールに招待状のリストを表示するのに必要です。 AWS Organizations

  • organizations:AcceptHandshake.

  • organizations:DeclineHandshake.

  • iam:CreateServiceLinkedRole— 招待を受け付ける際に、他のサービスとの統合をサポートするために、メンバーアカウントにサービスにリンクされたロールを作成する必要がある場合にのみ必要です。 AWS 詳細については、「AWS Organizations とサービスにリンクされたロール」を参照してください。

AWS Management Console
招待を承諾または辞退するには

  1. 組織への招待は、アカウント所有者の Eメールアドレスに送信されます。アカウント所有者が招待メールを受け取ったら、そのメール内の手順に従うか、ブラウザで AWS Organizations コンソールに移動し、[Invitations] (招待) を選択します。または、[member account's Invitation] (メンバーアカウントの招待) ページに直接移動することもできます。

  2. プロンプトが表示されたら、招待されたアカウントに IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、アカウントのルートユーザー (推奨されません) としてサインインします。

  3. メンバーアカウントの招待ページには、保留中の組織への招待が表示されます。

    必要に応じて [Accept invitation] (招待を承諾) または [Decline invitation] (招待を辞退) を選択します。

    • 前のステップで [Accept invitation] (招待を承諾) を選択した場合、コンソールは自動的に組織の概要ページにリダイレクトされます。このページで、メンバーアカウントになることを承諾した組織についての詳細を確認できます。組織の ID および所有者の Eメールアドレスが表示されます。

      注記

      承諾済みの招待は、30 日間リストに表示され続けます。その後は削除されリストに表示されなくなります。

      AWS Organizations と他のサービスとの統合をサポートするために、新しいメンバーアカウントにサービスにリンクされたロールが自動的に作成されます。 AWS Organizations AWS 詳細については、「AWS Organizations とサービスにリンクされたロール」を参照してください。

      AWS 招待を承諾したことを伝える電子メールメッセージを組織の管理アカウントの所有者に送信します。また、メンバーアカウントの所有者に、組織のメンバーになったことがメールで通知されます。

    • 前述のステップで辞退を選択した場合、アカウントは、その他の保留中の招待が表示されているメンバーアカウントの招待ページにそのまま表示され続けます。

      AWS 招待を辞退したことを伝えるメールメッセージを組織の管理アカウント所有者に送信します。

      注記

      拒否された招待は、30 日間リストに表示され続けます。その後は削除されリストに表示されなくなります。

AWS CLI & AWS SDKs
招待を承諾または辞退するには

招待を承諾または拒否するには、次のコマンドを使用します。

  • AWS CLI: accept-handshake、decline-handshake

    次の例は、組織への招待を承諾する方法を示しています。

    $ aws organizations accept-handshake --handshake-id h-examplehandshakeid111
{
    "Handshake": {
        "Action": "INVITE",
        "Arn": "arn:aws:organizations::111111111111:handshake/o-exampleorgid/invite/h-examplehandshakeid111",
        "RequestedTimestamp": 1481656459.257,
        "ExpirationTimestamp": 1482952459.257,
        "Id": "h-examplehandshakeid111",
        "Parties": [
            {
                "Id": "o-exampleorgid",
                "Type": "ORGANIZATION"
            },
            {
                "Id": "juan@example.com",
                "Type": "EMAIL"
            }
        ],
        "Resources": [
            {
                "Resources": [
                    {
                        "Type": "MASTER_EMAIL",
                        "Value": "bill@amazon.com"
                    },
                    {
                        "Type": "MASTER_NAME",
                        "Value": "Management Account"
                    },
                    {
                        "Type": "ORGANIZATION_FEATURE_SET",
                         "Value": "ALL"
                    }
                ],
                "Type": "ORGANIZATION",
                "Value": "o-exampleorgid"
            },
            {
                "Type": "EMAIL",
                "Value": "juan@example.com"
            }
        ],
        "State": "ACCEPTED"
    }
}

    次の例は、組織への招待を辞退する方法を示しています。

  • AWS SDK:、AcceptHandshakeDeclineHandshake