「翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。」
組織内のすべての機能の有効化
AWS Organizations には、2 つの利用可能な機能セットがあります。
-
すべての機能 – この機能セットは AWS Organizations を使用するにあたって推奨され、一括請求機能が含まれています。組織を作成する場合、すべての機能を有効にすることがデフォルトです。 すべての機能が有効になっていると、サービスコントロールポリシー (SCP) およびタグポリシーなどの AWS Organizations で利用できる高度なアカウント管理機能を使用できます。
-
一括請求機能 – すべての組織ではこの機能サブセットがサポートされ、これによって組織内のアカウント管理を一元化するために使用できる基本的な管理ツールが提供されます。
一括請求機能のみを使用して組織を作成する場合、後ですべての機能を有効にできます。このページでは、すべての機能を有効にするプロセスについて説明します。
すべての機能を有効にする前に
一括請求のみをサポートする組織からすべての機能をサポートする機能に変更する前に、以下の点に注意してください。
-
すべての機能を有効にするプロセスを開始すると、AWS Organizations は、組織に参加するように招待されたすべてのメンバーアカウントにリクエストを送信します。すべての招待されたアカウントは、すべての機能を有効にするリクエストを受け入れて承認する必要があります。その場合にのみ、プロセスを完了して組織内のすべての機能を有効にします。アカウントがリクエストを拒否した場合は、組織からアカウントを削除するか、リクエストを再送信する必要があります。すべての機能を有効にするプロセスを完了する前に、リクエストを受け入れる必要があります。AWS Organizations を使用した作成済みのアカウントは、追加のコントロールを承認する必要がないため、リクエストを取得しません。
-
また、組織は、すべてのアカウントが、
AWSServiceRoleForOrganizations. すべての機能を有効にするには、すべてのアカウントでこの役割が必須です。招待したアカウントでこのロールが削除されている場合は、すべての機能を有効にするために招待を承諾するとロールが再作成されます。AWS Organizations を使用して作成されたアカウントでこのロールが削除されている場合は、このロールを再作成するための招待がアカウントに送信されます。組織ですべての機能を有効にする処理を完了するには、これらの招待をすべて受諾する必要があります。 -
すべての機能の有効化を進行中、組織内で引き続きアカウントを作成することはできますが、既存のアカウントを組織に参加するように招待することはできません。アカウントを招待するには、すべての機能を有効にするプロセスが完了するまで待つ必要があります。または、プロセスをキャンセルしてすべての機能を有効にし、アカウントを招待してから、プロセスを再起動してすべての機能を有効にすることができます。
-
すべての機能を有効にすると、 SCPsアカウント管理者に、 SCPs 組織、組織単位、またはアカウントへ。SCPs では、影響を受けるアカウントでユーザーや管理者が実行できる操作を制限できます。たとえば、 マスターアカウント 適用可能 SCPs これは、メンバーのアカウントが組織を去るのを防ぐことができます。
-
[ マスターアカウント はどのSCPにも影響されません。_内のどのユーザーと役割を マスターアカウント 応用することで SCPs. SCPs はメンバーアカウントのみに適用されます。
-
一括請求からすべての機能への移行は一方向です。すべての機能を有効にした組織を、統合された一括請求機能のみに切り替えることはできません。
-
組織が統合請求機能のみを有効にしている場合、メンバーアカウント管理者は、
AWSServiceRoleForOrganizations. ただし、組織内のすべての機能を有効にする場合、この役割は必須であり、すべての機能を有効にするために招待を受け入れる際に、すべてのアカウントで再作成されます。AWS Organizations でこのロールを使用する方法については、AWS Organizations とサービスにリンクされたロールを参照してください。
すべての機能を有効にするプロセスの開始
組織の マスターアカウントすべての機能を有効にするプロセスを開始できます。そのためには、以下の手順を完了します。
組織内のすべての機能を有効にするには、次のアクセス権限が必要です。
-
organizations:EnableAllFeatures
リクエストを承認してすべての機能を有効にする、またはサービスにリンクされたロールを再作成する
組織の招待されたメンバーアカウントのいずれかへの権限でサインインすると、 マスターアカウント. アカウントが元は組織に参加するように招待されたものである場合、招待はすべての機能を有効にするものであり、必要に応じた
AWSServiceRoleForOrganizations ロールの再作成の黙示的な承認を含んでいます。アカウントが AWS Organizations を使用して作成されたものであり AWSServiceRoleForOrganizations というサービスにリンクされたロールが削除されている場合、このロールの再作成専用の招待が送信されます。そのためには、以下の手順を完了します。
次の手順を実行する場合、 マスターアカウント 組織内のメンバーアカウントに対してポリシーベースのコントロールを適用できます。これらのコントロールは、ユーザーはもちろん、管理者として自分がアカウント内で実行できることも制限できます。このような制限により、あなたのアカウントが組織を離れることが妨げられる可能性があります。
メンバーアカウントのすべての機能を有効にするリクエストを承認するには、次のアクセス権限が必要です。
-
organizations:AcceptHandshake -
iam:CreateServiceLinkedRole– メンバーアカウントでAWSServiceRoleForOrganizationsロールを再作成する必要がある場合にのみ必須です
すべての機能を有効にするプロセスの最終処理
招待されたメンバーアカウントすべてが全機能を有効にするリクエストを承認する必要があります。組織に招待されたメンバーアカウントがない場合、[Enable all features progress] ページにはプロセスを終了できる緑色のバナーが表示されます。
組織のすべての機能を有効にするためのプロセスを終了するには、次のアクセス権限が必要です。
-
organizations:AcceptHandshake
