AWS Organizationの接続

原文（出典）

このページは Aikido 公式ドキュメント「Connect AWS Organization」の日本語訳です。機械翻訳を含むため、正確な情報は原文をご参照ください。（翻訳更新日: 2026/07/07）

ノート

この機能はProプランおよびAdvancedプランでのみご利用いただけます。詳細はチャットでお問い合わせください。

多数のメンバーアカウントを持つAWS Organizationをお使いの場合、マネジメントアカウントだけを接続すれば、残りのAWSアカウントはAikidoが自動的に検出して接続します。

なぜAWS Organizationを接続するのか？

組織レベルでオンボーディングすることで、以下のメリットが得られます。

• セットアップの高速化: マネジメントアカウントを接続するだけで済みます。
• アカウントの自動検出: 今後作成するアカウントも含め、新しいメンバーアカウントは自動的にAikidoに追加されます。

前提条件

• Pro、Advanced、またはEnterpriseプランをご利用であること。
• AWS Organizationのマネジメントアカウントへのアクセス権があること。
• AWS CloudFormation StackSetsのTrusted Accessを有効化済みであること。

はじめに

AWS Organizationを接続するには、AWS接続ウィザードで「Full AWS Organization」オプションを選択します。以下の情報の入力が必要です。

• Organization ID: ‘o-wma21z4agr’ のような形式です。
• Root ID または1つ以上のOrganization Unit (OU) ID（カンマ区切り）: このオプションでは、Root IDを指定して組織全体を接続するか、特定の部分（例えば本番環境やステージング環境のOUのみ）を接続するかを選択できます。
• 除外するAccount ID: 必要に応じて、特定のAWSアカウントをAikidoへの追加対象から除外できます。

これらの情報はAWS Organizationページから取得できます。

セットアップが完了すると、数分以内に接続されたすべてのAWSアカウントが表示されます。

クラウドの用途判定

AWSアカウントの用途・環境は、親OUの名称に基づいて自動的に判定されます。Aikidoは「production」「staging」「uat」などの用語を検索し、それに応じてクラウドの用途を設定します。一致するものが見つからない場合、用途は「mixed」となります。各クラウド接続の用途は、「Configure」ボタンから手動で更新できます。

メンバーアカウントのECR/EBSスキャン

Aikidoは、AWSメンバーアカウントに対してECRスキャンおよび/またはEBS（EC2）スキャンを自動的に設定できます。これらを有効化すると、CloudFormation StackSetで追加のIAMリソース（各機能ごとのIAMロールとカスタムポリシー）がデプロイされます。AWSアカウントでCloudFormationページを開く前に、必要に応じてこれらのオプションを設定しておいてください。

まだAWS Organizationを接続していない場合は、初回セットアップ時にこれらを有効化するオプションがあります。「Enable EBS Scanning」オプションが表示されない場合は、お問い合わせください。

オンボーディング後の組織詳細の編集

オンボーディング後に組織固有の値（除外するAWSアカウントなど）を更新するには、以下の手順が必要です。

1. CloudFormationスタックのパラメータを更新します。
   1. aikido-security-readonly-org CloudFormationスタックを開きます。
   2. 「Update stack」→「Make a direct update」を選択します。
   3. デフォルトの「Use existing template」オプションのまま進めます。
   4. 必要に応じてパラメータを更新します。
   5. 次のページで、IAMリソースの作成を承認します。
   6. 「Submit」を押します。変更の反映には数分かかります。
2. Aikidoで「Clouds」に移動し、AWSマネジメントアカウントに対応するクラウドで「Configure」を選択し、設定を更新します。

3. Aikidoでマネジメントアカウントのスキャンをトリガーします。これにより、新しいAWSアカウントが検出されます。AWSアカウントを除外した（またはOUを削除した）場合は、対応するクラウドをAikidoから削除してください。

よくある質問

1. 安全ですか？

はい。AWS Organizationの接続は、個別のAWSアカウントを接続する際と同じセットアップに基づいており、外部IDを必要とする最小権限のIAMロールを使用します。実際には同一のテンプレートであり、各AWSアカウントでCloudFormation StackSetsを使ってデプロイされる点のみが異なります。

2. 組織にAWSアカウントを追加した場合、Aikidoに表示されますか？

はい。AikidoはマネジメントアカウントをスキャンするたびにAWS Organizationもスキャンし、新しいAWSアカウントを自動的に接続します。このプロセスは、AWS CloudFormation StackSetsが各AWSアカウントに必要なIAMロールとポリシーを自動作成することで実現されています。

3. 組織に新しいAWSアカウントを追加したのに、Aikidoに表示されません。

AWSマネジメントアカウントがAikidoによってスキャンされた（手動でスキャンすることも可能です）にもかかわらず新しいアカウントが表示されない場合、プランのクラウドアカウント上限に達している可能性があります。上限の引き上げについてはお問い合わせください。

4. AWSアカウントを一時停止した場合や、AWS Organizationから削除した場合はどうなりますか？

Aikidoは、そのアカウントがアクティブでなくなった、または組織の一部でなくなったことを検出し、対応する接続を「not reachable」としてマークします。これはcloudsページで確認できます。

5. 必要なAWSリソースのセットアップにTerraformを使用できますか？

はい。Terraformモジュールを使用できます。主なバリアントは、AWS CloudFormation StackSetを作成します。StackSetsが利用できない場合は、IAMサブモジュールを使用して各AWSアカウントにロールを作成することを検討してください。ただし、CloudFormation部分を除き、アプリ内の手順は引き続き実施する必要があります。