AWS Organizationsでメンバーアカウントが削除できるようになった

心から望んでいたアップデートが出ました!!

AWS Organizations からメンバーアカウントを削除できるようになり、これまでアカウントを閉鎖するためにルートアカウントを設定するなど結構手間がかかっていましたが、この神アップデートにより超簡単に削除できるようになりました!! ありがとう!!

AWS Organizations : CloseAccount
https://docs.aws.amazon.com/organizations/latest/APIReference/API_CloseAccount.html

マネジメントコンソールから削除してみる

マネジメントコンソールからも実行できるようになっていたので、嬉しすぎて早速やってみました。

まずは、 AWS Organizations のコンソールから削除したいメンバーアカウントを選択して「閉じる」のボタン押します。 いやww 「閉じる」てwww せめて「閉鎖」とかにしてw

確認の画面でチェックボックスに全てチェックをいれて、アカウントIDを入力後、「閉じる」をクリック。 いやwww閉じるてwwwww

これでアカウントが停止の状態になります。

えー…これは感動すぎる…

このアクションはもちろん CloudTrail にも記録されていました。最高かよ。

{
    "eventVersion": "1.08",
    "userIdentity": {
        "accountId": "<AccoutID>",
        "invokedBy": "organizations.amazonaws.com"
    },
    "eventTime": "2022-03-30T05:35:56Z",
    "eventSource": "organizations.amazonaws.com",
    "eventName": "CloseAccountResult",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "organizations.amazonaws.com",
    "userAgent": "organizations.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "<eventID>",
    "readOnly": false,
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "<accountId>",
    "serviceEventDetails": {
        "closeAccountStatus": {
            "accountId": "<accountId>",
            "state": "SUCCEEDED",
            "requestedTimestamp": "Mar 30, 2022 5:35:49 AM",
            "completedTimestamp": "Mar 30, 2022 5:35:49 AM"
        }
    },
    "eventCategory": "Management"
}

これでゴミのない美しいOrganizationsの運用が楽になりますね🥺

使いどころ

社内やセミナー等でハンズオンを行う際に使い捨てのアカウントを発行する際に、使い終わった後の削除作業がなかなか面倒だったのですが、これからは気にすることなくバンバン作ってバンバン消せますね!
ControlTower のAccountFactoryで一括作成した後に、指定の日時にアカウントを消し去るなんてことも実現できそうです。

あとは、サンドボックスアカウントの運用にも使えそうです。
社内のメンバーの学習用途としてサンドボックスアカウントを提供しているのですが、毎月1日に aws-nuke を使ってアカウントの中身を全て消し去る運用をしています。ただ、たまに失敗するケースもあって、ゴミが残ってたりするのがなんか気持ち悪いなぁと悩んでいました。
この運用を毎月月初にアカウントを作成して月末に削除するといった流れを自動化すれば、ルートアカウントを持つことなく私の運用負荷も最小限に済みそうです。

制限

アカウントを復旧させたい場合は、90日の猶予期間内にAWSサポートに連絡するとよいみたいです。

また、30日間に閉じることができるアカウント数にはクォータがあります。頻繁に削除が想定される場合はサービスクォータからリクエストしてみるのがよいかもです。

まとめ

待ち望んだ機能がリリースされ、久しぶりにブログ投稿してしまうくらい高まってしまいました。この神アップデートにより全管理者が涙すること間違い無いのではないでしょうか。

AWS ControlTower, AWS Organizations, AWS Single Sign-On をフル活用して、アカウントの作成から削除までの自動化が捗りそうでワクワクします!

では!