developersIO
[小ネタ] AWS の Service Quotas からの申請時に実行されるアクションを確認してみた

[小ネタ] AWS の Service Quotas からの申請時に実行されるアクションを確認してみた

AWS の Service Quotas からの申請時に実行されるアクションを確認してみました。
AWSAWS Service Quotas
2026.07.08

What is Service Quotas? - Service Quotas
AWS アカウントにはリソースやアクションに関する最大値としてクォータが存在します。
AWS アカウントのデフォルトのクォータ値で要件を満たせない場合にはクォータの増加をリクエストできます。

今回は Service Quotas のコンソールからクォータの増加をリクエストした際のアクションを確認してみました。

結論

  • Service Quotas のコンソールからクォータの増加をリクエストするアクションは RequestServiceQuotaIncrease
  • Service Quotas のコンソールからクォータの増加をリクエスト後、AWSServiceRoleForServiceQuotas によって CreateCase が実行される

検証内容

今回は Service Quotas のコンソールから AWS IAM Access Analyzer の
Access previews per analyzer per hour のクォータの増加を申請してみました。
2026-07-08_13h51_02

申請後、自動的に同アカウントに AWS サポートケースが作成されていることを確認できます。
2026-07-08_13h52_39

この段階で CloudTrail を確認したところ、東京リージョンでは
RequestServiceQuotaIncrease が記録されていました。

RequestServiceQuotaIncrease
{
  "eventVersion": "1.10",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "xxx:xxx",
    "arn": "arn:aws:sts::012345678901:assumed-role/xxx/xxx",
    "accountId": "012345678901",
    "accessKeyId": "xxx",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "xxx",
        "arn": "arn:aws:iam::012345678901:role/xxx",
        "accountId": "012345678901",
        "userName": "xxx"
      },
      "attributes": {
        "creationDate": "2026-07-07T23:00:25Z",
        "mfaAuthenticated": "true"
      }
    }
  },
  "eventTime": "2026-07-08T04:45:32Z",
  "eventSource": "servicequotas.amazonaws.com",
  "eventName": "RequestServiceQuotaIncrease",
  "awsRegion": "ap-northeast-1",
  "sourceIPAddress": "xxx",
  "userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/150.0.0.0 Safari/537.36",
  "requestParameters": {
    "serviceCode": "access-analyzer",
    "quotaCode": "L-8750DAE0",
    "desiredValue": 1001
  },
  "responseElements": {
    "requestedQuota": {
      "id": "242b432101fb4fa18c55f8bdbf5aa22aZIpJqhgs",
      "serviceCode": "access-analyzer",
      "serviceName": "Access Analyzer",
      "quotaCode": "L-8750DAE0",
      "quotaName": "Access previews per analyzer per hour",
      "desiredValue": 1001,
      "status": "PENDING",
      "created": "Jul 8, 2026, 4:45:32 AM",
      "requester": "{\"accountId\":\"012345678901\",\"callerArn\":\"arn:aws:sts::012345678901:assumed-role/xxx/xxx\"}",
      "quotaArn": "arn:aws:servicequotas:ap-northeast-1:012345678901:access-analyzer/L-8750DAE0",
      "globalQuota": false,
      "unit": "None",
      "quotaRequestedAtLevel": "ACCOUNT"
    }
  },
  "requestID": "ab3a4871-6ed0-422d-817a-a64a618136ac",
  "eventID": "a420765e-f788-443e-bd78-d4a1728a8864",
  "readOnly": false,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "012345678901",
  "eventCategory": "Management",
  "tlsDetails": {
    "tlsVersion": "TLSv1.3",
    "cipherSuite": "TLS_AES_128_GCM_SHA256",
    "clientProvidedHostHeader": "servicequotas.ap-northeast-1.amazonaws.com"
  },
  "sessionCredentialFromConsole": "true"
}

上記記録より、RequestServiceQuotaIncrease を実行したユーザーは Service Quotas コンソールから申請したユーザーであることがわかりました。
RequestServiceQuotaIncrease はクォータの増加をリクエストする際に使用されるアクションであるため、RequestServiceQuotaIncrease を制限することでクォータの増加のリクエストを制限することが可能です。
RequestServiceQuotaIncrease - Service Quotas

Submits a quota increase request for the specified quota at the account or resource level.

次にバージニア北部リージョンの CloudTrail を確認したところ、CreateCase が記録されていました。

CreateCase
{
  "eventVersion": "1.11",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "xxx:CaseManager",
    "arn": "arn:aws:sts::012345678901:assumed-role/AWSServiceRoleForServiceQuotas/CaseManager",
    "accountId": "012345678901",
    "accessKeyId": "xxx",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "xxx",
        "arn": "arn:aws:iam::012345678901:role/aws-service-role/servicequotas.amazonaws.com/AWSServiceRoleForServiceQuotas",
        "accountId": "012345678901",
        "userName": "AWSServiceRoleForServiceQuotas"
      },
      "attributes": {
        "creationDate": "2026-07-08T04:45:33Z",
        "mfaAuthenticated": "false"
      }
    },
    "invokedBy": "servicequotas.amazonaws.com"
  },
  "eventTime": "2026-07-08T04:45:35Z",
  "eventSource": "support.amazonaws.com",
  "eventName": "CreateCase",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "servicequotas.amazonaws.com",
  "userAgent": "servicequotas.amazonaws.com",
  "requestParameters": {
    "subject": "HIDDEN_DUE_TO_SECURITY_REASONS",
    "communicationBody": "HIDDEN_DUE_TO_SECURITY_REASONS",
    "ccEmailAddresses": [],
    "language": "ja",
    "issueType": "service-limit-increase",
    "serviceLimitIncreaseDetails": {
      "serviceLimitIncreases": [
        {
          "serviceLimitIncreaseId": "520fd2f6-3c3d-4a76-bb96-af312cda296e",
          "value": -1
        }
      ]
    }
  },
  "responseElements": {
    "caseId": "case-012345678901-mjja-2026-46a2466f8da6b55d"
  },
  "requestID": "beddaf2d-6e08-484e-9182-cbdee9a9f88c",
  "eventID": "0fbe901e-7c1b-468d-abff-243d9d541b5a",
  "readOnly": false,
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "012345678901",
  "eventCategory": "Management"
}

上記記録より、サービスリンクロールである AWSServiceRoleForServiceQuotas が AWS サポートケースを作成していることがわかりました。
Managing access to the AWS Support App - AWS Support

You must have the AWSServiceRoleForServiceQuotas role in your account to request quota increases from Service Quotas.

サービスリンクロールの権限について

サービスリンクロール AWSServiceRoleForServiceQuotas には AWS マネージドポリシーである ServiceQuotasServiceRolePolicy がアタッチされています。
ServiceQuotasServiceRolePolicy - AWS Managed Policy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "support:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

上記の通り ServiceQuotasServiceRolePolicy では support に関するすべてのアクセスが許可されています。
要件によっては AWS サポートケースの作成を制限したいケースもあると思いますが、以下の理由により AWSServiceRoleForServiceQuotas からの AWS サポートケースの作成を制限することはできません。

  • サービスリンクロールの権限を編集することはできない
  • SCP はサービスリンクロールに影響しない

サービスにリンクされたロールの作成 - AWS Identity and Access Management

IAM 管理者は、サービスリンクロールのアクセス許可を表示できますが、編集することはできません。

サービスコントロールポリシー (SCP) - AWS Organizations

SCP はサービスにリンクされたロールに影響しません。

以上のアクションや仕様を整理すると以下の通りです。

  • RequestServiceQuotaIncrease を制限することでクォータの増加のリクエストを制限することは可能
  • ServiceQuotasServiceRolePolicy からの AWS サポートケースの作成を制限することはできない

まとめ

今回は AWS の Service Quotas からの申請時に実行されるアクションを確認してみました。
どなたかの参考になれば幸いです。

参考資料

クラスメソッドオペレーションズ株式会社について

クラスメソッドグループのオペレーション企業です。
運用・保守開発・サポート・情シス・バックオフィスの専門チームが、IT・AIをフル活用した「しくみ」を通じて、お客様の業務代行から課題解決や高付加価値サービスまでを提供するエキスパート集団です。
当社は様々な職種でメンバーを募集しています。
「オペレーション・エクセレンス」と「らしく働く、らしく生きる」を共に実現するカルチャー・しくみ・働き方にご興味がある方は、クラスメソッドオペレーションズ株式会社 コーポレートサイト をぜひご覧ください。※2026年1月 アノテーション㈱から社名変更しました

この記事をシェアする

AWSのお困り事はクラスメソッドへ

関連記事

AWS IAM の6つのリソースで最大クォータが引き上げられたので、実際に引き上げを試してみた
suzuki.ryo
2026.05.11
[アップデート] Service Quotas の自動管理機能でクォータ増加リクエストを自動で行ってくれるモードが追加されました
いわさ
2025.11.27
TerraformでService Quotasを管理すると良さそう
あかいけ
2025.11.16
[アップデート] AWS IAM Identity Center で AWS アカウントとアプリケーションのクォータが個別管理されるようになりました
いわさ
2026.06.23