メインコンテンツへスキップ

AWS 管理アカウントのルートユーザー認証情報

AWS 管理アカウントは、AWS Organizations を作成するために使用されるアカウントです。これは支払者アカウントであり、メンバーアカウントによって発生したすべての料金を支払います（AWS Organizations の用語と概念を参照）。

DoiT は、請求管理のために AWS 管理アカウントのルートユーザー認証情報をお客様と共同所有します（以前は Master Payer Account (MPA) と呼ばれていました）。DoiT が AWS メンバーアカウントのルートユーザーにアクセスする必要はありません。

なぜ DoiT は AWS 管理アカウントのルートユーザー認証情報を保有しているのですか？​

DoiT は、請求管理のために、AWS Organizations の支払者アカウントである AWS 管理アカウントのルートユーザー認証情報を保有します。

Amazon は、DoiT のようなパートナーが請求に関する問題で Amazon とやり取りする際に、支払者アカウントのルートユーザー認証情報を使用することを求めています。

さらに、管理アカウントのルートユーザーのメールアドレスは、DoiT が所有する一意のメールアカウントに設定します。このメールアドレスはディストリビューションリストであり、お客様の組織が所有するメールアドレスをこのグループに追加できます。これにより、ルートアカウント宛てに送信されるすべてのメールを引き続き受信できるようになります。

当社のエキスパートへ問い合わせシステムは、その特定のアドレスに送信されたメールに基づいて、リクエストを自動的に作成および更新します。これにより、Forward Deployed Engineering (FDE) チームがお客様であるあなたに対して、エキスパートへ問い合わせを通じてアカウントの最新情報を共有できるようになります。

AWS 管理アカウントのルートユーザー認証情報の共同所有について​

DoiT はセキュリティと透明性を高める新しいアプローチとして、お客様とともにルートユーザー認証情報を共同所有します。これは、DoiT とお客様の両方がルートユーザー認証情報にアクセスできることを意味し、お客様にとって追加のセキュリティとコントロールのレイヤーを提供します。

お客様のチームへの影響​

DoiT は、AWS 管理アカウントのルートユーザー認証情報を、請求管理の目的のみに使用します。

お客様にはルートユーザーアクセス権を提供し、お客様の会社向けに IAM ロールを作成し、そのアカウントへのアクセスを管理できるようにします。管理アカウントへのすべてのアクセスリクエストは、社内で対応してください。これは AWS の アカウントのルートユーザーを保護するためのベストプラクティス に沿ったものです。

DoiT はどのように管理アカウントのルートユーザー認証情報を保護・保管していますか？​

DoiT は、管理アカウントのルートユーザー認証情報をセキュアなボルトに保管します。このセキュアボルトにアクセスできるのは、特定の DoiT 従業員グループのみに限定されています。当社はアクセスを監査し、ルートユーザー認証情報が必要なタスク の実行に限定しています。お客様が DoiT とのパートナーシップを終了する場合には、認証情報の所有権をお客様に戻します。

AWS 管理アカウントのルートユーザー認証情報を DoiT のメールアドレスに更新した後、そのパスワードを扱い、管理アカウントに Multi-Factor Authentication (MFA) を有効化します。また、新しいパスワードを暗号化し、専用のソフトウェアを用いてボルトに保管します。

パスワードの取り扱いには、次の2つのシナリオがあります。

  • 既存のパスワードを保持したい場合：DoiT からセキュアなワンタイムリンクを送信します。そのリンクを使用して、パスワードを安全に共有していただきます。

  • パスワードを変更したい場合：DoiT から安全に生成したパスワードを、ワンタイムリンクを通じてお送りします。

いずれのシナリオでも、認証情報が安全に取り扱われるよう徹底します。

DoiT は業界最高水準のセキュリティ基準に基づいて運用しています。当社の認証およびコンプライアンス基準については、DoiT のコンプライアンス提供内容 を参照してください。

DoiT はどのように管理アカウントのルートユーザー認証情報を解放しますか？​

共同所有ポリシーの一環として、お客様はすでにルートユーザー認証情報にアクセスできます。この共同所有により、お客様に追加のセキュリティとコントロールのレイヤーが提供されます。

追加で想定されるシナリオは次の2つです。

  • アカウントのクローズ
  • リバースアサンプション（お客様がアカウントの請求所有権を引き継ぐ場合）

アカウントをクローズする場合、ルートユーザー認証情報は「行き止まり」となります。DoiT によって破棄される必要はありません。

DoiT とのマネージドサービス契約を終了する場合には、「リバースアサンプション」プロセスに従います。このプロセスには、ルートユーザー認証情報をお客様が指定する内容に変更することが含まれます。

ルートユーザー認証情報の利用方法​

DoiT はルートユーザー認証情報を慎重かつ限定的に使用します。主にオンボーディング時と、請求に関する問題で AWS とやり取りするために必要な場合にのみ使用します。通常の運用では IAM ロールを使用しており、これはアカウントセキュリティに関する AWS のベストプラクティスに沿うものです。このアプローチにより、ルートユーザー認証情報が不要なリスクにさらされないようにしています。

に最終更新