AWS Organizationsを活用したマルチアカウントのセキュリティサービス使用方法 ～2. コスト管理～
Organizationsシリーズ第二弾です。今回はコスト（利用料）管理についてです。
シングルアカウントの場合
シングルアカウントでは、コストの可視化のために以下の設定を行います。
Organizationsを使用している場合はどうなるのか見ていきます。
IAMユーザーの請求情報アクセス許可
デフォルトではIAMユーザーは請求情報にアクセスできず、ルートユーザのみアクセスが可能です。
右上のアカウント名＞マイアカウントを順に選択してアカウント設定ページへ遷移し、ページ下部にある「 IAM ユーザー/ロールによる請求情報へのアクセス」をアクティブ化することで、IAMユーザーが参照可能になります。
Organizationsを使用している場合は、マネジメントアカウントでこの設定を行うことで、Organizations配下のすべての連結アカウントで請求情報へのアクセスが有効になります。そのため、最初にマネジメントアカウントで有効にすればOKです。
マネジメントアカウントから請求の画面を確認すると、以下のようにアカウント単位の利用料も確認できます。
連結アカウント内で請求情報を確認すると、シングルアカウント運用時と同様に、自アカウントの利用料のみ表示されます。
Cost Explorerの有効化
Cost Explorerは、AWS利利用を月別、日別やサービス別で確認できるツールです。IAMユーザーの請求情報アクセス許可同様に、マネジメントアカウントで有効にすることで配下の連結アカウントでもCost Explorerが使用できるようになります。
請求同様に、マネジメント（親）アカウントから見ることで、アカウント単位のコスト確認も可能です。もちろん組織全体としてのコスト分析も可能です。
また、マネジメント（親）アカウントのCost Explorer＞設定では、配下の連結アカウント内で表示できる情報を設定できます。
たとえば、マネジメント（親）アカウントで利用料割引となるクレジットや返金が適用されると、それらの割引はOrganizations全体に渡って各アカウントに分配されますが、これらの割引情報を連結アカウント内では表示できないように設定できます。割引情報はマネジメント（親）アカウントで管理し、配下の連結アカウントでは実際に利用料としてかかっているコスト（割引なし）を管理するといった運用が可能になります。
予算およびアラートの設定
あらかじめ想定した利用料を決めておき、想定した利用料を超えたらアラートを行うといった設定がAWS Budgetsで可能です。
このBudgetsの設定は、マネジメントアカウントで組織全体として設定も可能ですし、連結アカウント内でアカウント単体としてのBudgetsも設定可能です。
マネジメントアカウント（組織全体）と各連結アカウントでコスト管理担当がそれぞれいる場合は、組織全体、アカウント単体それぞれで設定して管理していくと良いでしょう。
マネジメントアカウントの予算設定で、特定のアカウントを指定した設定も可能です。
OUの指定はできませんでしたが、組織内のいくつかのアカウントをまとめたコストを管理したいといった場合に利用できそうです。
さいごに
マネジメントアカウントと連結アカウントという言葉が頻繁に出てきて、ちょっと混乱しますが、まとめると以下のとおりです。
- コストサービスの有効化はマネジメント（親）アカウントで有効にすればOK
- 有効化後のコスト管理は、組織全体でもアカウント単体でも可能
コスト管理はクラウドではとても重要な運用項目となりますので、これらのサービスを使用してうまく管理していきたいですね。
次回はCloudTrailについて見ていく予定です。
