AuditアカウントからAssumeできる組織横断のReadロールを各アカウントに配置する

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::XXXXXXXXXXXX:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

AWSTemplateFormatVersion: '2010-09-09'
Description: Organization-wide read-only role assumable from the Audit account

Parameters:
  AuditAccountId:
    Type: String
    Description: Audit account ID that is allowed to assume this role

Resources:
  OrganizationReadOnlyRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: organization-readonly-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              AWS: !Sub 'arn:aws:iam::${AuditAccountId}:root'
            Action: 'sts:AssumeRole'
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/ReadOnlyAccess

#!/usr/bin/env bash
#
# CloudFront VPC Origin 横断調査スクリプト
#   Audit アカウントの認証情報で実行し、Organizations 内の全アクティブアカウントに
#   organization-readonly-role を AssumeRole して VPC Origin の利用有無を確認する。
#
# 前提: Audit アカウントの認証情報が環境にセットされていること
#
set -uo pipefail

ROLE_NAME="organization-readonly-role"
# CloudFront はグローバルサービスのため us-east-1 を使用
CF_REGION="us-east-1"
OUT="cloudfront-vpc-origin-result-$(date +%Y%m%d-%H%M%S).tsv"

echo -e "AccountId\tAccountName\tType\tId\tName_or_Domain\tDetail" > "$OUT"

echo "実行アカウント: $(aws sts get-caller-identity --query Account --output text)"
echo "結果ファイル: $OUT"
echo

# アクティブなアカウント一覧を取得
accounts=$(aws organizations list-accounts \
  --query "Accounts[?Status=='ACTIVE'].[Id,Name]" --output text)

if [[ -z "$accounts" ]]; then
  echo "アカウント一覧が取得できませんでした。認証情報を確認してください。" >&2
  exit 1
fi

while IFS=$'\t' read -r acct_id acct_name; do
  [[ -z "$acct_id" ]] && continue
  printf "== %s (%s) ... " "$acct_id" "$acct_name"

  # AssumeRole
  creds=$(aws sts assume-role \
    --role-arn "arn:aws:iam::${acct_id}:role/${ROLE_NAME}" \
    --role-session-name "vpc-origin-scan" \
    --query "Credentials.[AccessKeyId,SecretAccessKey,SessionToken]" \
    --output text 2>/dev/null)

  if [[ -z "$creds" ]]; then
    echo "AssumeRole 失敗（スキップ）"
    echo -e "${acct_id}\t${acct_name}\tERROR\t-\t-\tassume-role-failed" >> "$OUT"
    continue
  fi

  read -r AK SK ST <<< "$creds"
  export AWS_ACCESS_KEY_ID="$AK"
  export AWS_SECRET_ACCESS_KEY="$SK"
  export AWS_SESSION_TOKEN="$ST"

  # 1) VpcOriginConfig を参照しているディストリビューションを抽出
  #    → CloudFront から「実際に使われている」VPC Origin はこれで特定できる
  dists=$(aws cloudfront list-distributions --region "$CF_REGION" \
    --query "DistributionList.Items[?Origins.Items[?VpcOriginConfig]].[Id,DomainName,Enabled,join(',',Origins.Items[?VpcOriginConfig].VpcOriginConfig.VpcOriginId)]" \
    --output text 2>/dev/null)

  # 2) アカウント内の VPC Origin リソース一覧（使用/未使用の区別に使う）
  vpc_origins=$(aws cloudfront list-vpc-origins --region "$CF_REGION" \
    --query "VpcOriginList.Items[].[Id,Name,Arn]" --output text 2>/dev/null)

  # クエリ結果が null（対象0件）のとき --output text は "None" を返すため空文字に正規化
  [[ "$dists" == "None" ]] && dists=""
  [[ "$vpc_origins" == "None" ]] && vpc_origins=""

  # ディストリビューションが参照している VpcOriginId の集合を作る
  used_ids=""
  found=0
  if [[ -n "$dists" ]]; then
    found=1
    while IFS=$'\t' read -r did ddom denabled dvpcids; do
      [[ -z "$did" ]] && continue
      echo -e "${acct_id}\t${acct_name}\tDISTRIBUTION(USED)\t${did}\t${ddom}\tenabled=${denabled};vpcOriginIds=${dvpcids}" >> "$OUT"
      used_ids="${used_ids} ${dvpcids//,/ }"
    done <<< "$dists"
  fi

  # VPC Origin リソースを「使用中(USED)」「未使用(ORPHANED)」に分類して出力
  if [[ -n "$vpc_origins" ]]; then
    while IFS=$'\t' read -r id name arn; do
      [[ -z "$id" ]] && continue
      if [[ " $used_ids " == *" $id "* ]]; then
        echo -e "${acct_id}\t${acct_name}\tVPC_ORIGIN(USED)\t${id}\t${name}\t${arn}" >> "$OUT"
      else
        echo -e "${acct_id}\t${acct_name}\tVPC_ORIGIN(ORPHANED)\t${id}\t${name}\t${arn}" >> "$OUT"
      fi
    done <<< "$vpc_origins"
  fi

  if [[ "$found" -eq 1 ]]; then
    echo "★ CloudFront が VPC Origin を使用中"
  elif [[ -n "$vpc_origins" ]]; then
    echo "使用なし（VPC Originリソースは存在するがディストリビューション未参照 = 孤立）"
  else
    echo "なし"
  fi

  # 認証情報をリセット（Audit アカウントに戻す）
  unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
done <<< "$accounts"

echo
echo "=== 完了 ==="
echo "【CloudFront が VPC Origin を実際に使用しているアカウント】"
grep "DISTRIBUTION(USED)" "$OUT" | cut -f1,2 | sort -u || echo "  （なし）"
echo
echo "【参考】VPC Originリソースは存在するが未参照（孤立）のアカウント:"
grep "VPC_ORIGIN(ORPHANED)" "$OUT" | cut -f1,2 | sort -u || echo "  （なし）"
echo
echo "詳細: $OUT"

AccountId       AccountName     Type                    Id              Name_or_Domain          Detail
XXXXXXXXXXXX    workload-prd    DISTRIBUTION(USED)      E1XXXXXXXXXXXX  dxxxxxxxxxxxxx.cloudfront.net   enabled=True;vpcOriginIds=vo-xxxxxxxxxxxx
XXXXXXXXXXXX    workload-prd    VPC_ORIGIN(USED)        vo-xxxxxxxxxxxx origin-alb              arn:aws:cloudfront::XXXXXXXXXXXX:vpcorigin/vo-xxxxxxxxxxxx
YYYYYYYYYYYY    workload-stg    VPC_ORIGIN(ORPHANED)    vo-yyyyyyyyyyyy old-origin              arn:aws:cloudfront::YYYYYYYYYYYY:vpcorigin/vo-yyyyyyyyyyyy