AWS CloudFormation の StackSets を使ってみました

こんにちは、SCSK一重です。

先日、お客様からの問い合わせをきっかけに AWS CloudFormation の StackSets という機能を使ってみましたので、使い方を記載したいと思います。

今回の困りごとは、Management AccountのAWS Organizationsの組織内で新規でメンバーアカウントの発行をした際に、ルートユーザーに紐づけたメールアドレスが管理下にないため初期ログイン時のパスワード変更メールを受信できず、ルートユーザーでログインできないということでした。

ルートユーザーでログイン後IAMユーザーを作成するという運用だったのですが、Management AccountからAWS CloudFormation StackSetsを実行して、メンバーアカウントにルートユーザーでログインすることなくIAMユーザーを作成できないか、検証してみました。

AWS Organizationsの設定

Management AccountのAWS OrganizationsでAWS CloudFormation StackSetsのサービスを有効化する。

AWS CloudFormation StackStesの設定

今回は、アクセス許可はデプロイ時に必要なアクセス許可を自動的に設定してくれる「サービスマネージドアクセス許可」を選択する。

実行テンプレートは準備済みなので、「テンプレートの準備完了」を選択し、「テンプレートファイルのアップロード」からAWS CloudFormationのテンプレートをアップロードする。

今回用意したテンプレートは下記のIAMユーザー作成用のテンプレート。

AWSTemplateFormatVersion: "2010-09-09"
Parameters:
  Password:
    Description: "IAM user's initial password"
    Type: String
    NoEcho: true

Resources:
  AccountAdmin:
    Type: 'AWS::IAM::User'
    DeletionPolicy: Delete
    Properties:
      UserName: AccountTest
      LoginProfile: 
        Password: !Ref Password
        PasswordResetRequired: true

StackSetの名前を入力し、必要であればStackSetsの説明を入力する。

パラメータはアップロードしたテンプレートで定義されているもので、

今回アップロードしたIAMユーザー作成用のテンプレートでは、パスワードの設定をするよう記載している。