[アップデート] 請求・コスト管理・アカウントのコンソールの権限廃止・変更に向けて、事前に切り替えが出来るようになりました

いわさ

2023.03.24

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

いわさです。

2023 年 1 月 11 日の以下のアナウンスを皆さん覚えていますでしょうか。
請求やコストエクスプローラーなど、請求ダッシュボード関連の IAM ポリシーアクションに変更・追加・廃止が発生するというアナウンスです。

本日、上記のアナウンスに関連したアップデートがありましたので紹介します。

元々のアナウンスって何だろ

2023 年 1 月 11 日のアナウンス内容は簡単にまとめると、請求ダッシュボード（Billing and Cost Management）のコンソール権限管理が、今まではアバウトにしか出来なかったのだがもっと細かく制御出来るようにするぜという内容です。

従来だと、例えばビリングコンソールへのアクセスをさせたくない場合はaws-portal:ViewBillingを Deny 設定することでアクセス出来ないように出来たのですが、コストエクスプローラーだけ許可する、支払いだけ拒否するなどの細かい制御が出来ませんでした。

上記に関連した IAM アクションの定義が見直されることで今後細かい制御が出来るようになります。

ただし、そのためにいくつかの既存 IAM アクションが廃止されたり、新しい IAM アクションが追加される形になります。
カスタムポリシーでこのあたりを制御していた方は切り替えのタイミングで影響（既存 IAM アクションが機能しなくなる）が出るためアナウンスがされていました。

廃止されるアクション

aws-portal:*
purchase-orders:ViewPurchaseOrders
purchase-orders:ModifyPurchaseOrders

AWS Health でも通知が確認出来ると思います。

2023 年 7 月 6 日まで待つしかなかった

ここまではなるほどな、という感じでしたがこの切り替えのタイミングは少し注意が必要でした。
以下の公式ブログでも次のように解説されています。

新しい IAM アクションは既存のアクションが廃止されるまで有効になりません。以下のポリシー例では “ThisPermissionWillContinueProvidingAccessAsNormal” ステートメントのブロック内に既存のアクションも含まれており、これらのアクションは 2023 年 7 月 6 日までコンソールへのアクセスを制限しています。また、既存のアクションaws-portal:ViewBilling は、2023 年 7 月 6 日まで請求コンソールとコスト管理コンソールのサービスへの閲覧アクセスを提供することにも注意してください。

2023 年 7 月 6 日までは新しいアクションが正しいか確認することは出来ず、古いアクションが有効になったままということで、2023 年 7 月 6 日になるまで設定したカスタムポリシーが正しいかどうかわからないというドキドキの状態でした。