[アップデート]AWS Organizationsで作成出来るSCP数の上限が2,000に引き上げられました

1組織あたりのSCP上限が2,000になり、より柔軟な権限設計が可能になりました

#AWS Organizations

#SCP

#AWS

べこみん

2024.06.30

こんにちは、AWS事業本部@福岡オフィスのべこみん(@beco_minn)です。

re:Inforceの直前に AWS Identity からこういうpostが投稿されました。

🚀 DYK 🤔 you can now apply up to 2000 service control policies (SCPs) in your organization? This exciting update gives you more flexibility to manage access control in your #AWSOrganizations 👉 https://t.co/lsi9fs5EWG pic.twitter.com/6huKy1HPfF

— AWS Identity (@AWSIdentity) June 4, 2024

(訳)
知ってますか？
組織内で最大2000のサービス・コントロール・ポリシー（SCP）を適用できるようになりました。このエキサイティングなアップデートにより、組織内のアクセス制御をより柔軟に管理できるようになりました。

ということで、SCPが2,000個まで作成出来るようになりました。今まで1,000が上限だったので、倍になりましたね。

既に日本語のドキュメントにも反映されていました。何故かドキュメントヒストリーにもWhat's Newにも載っていませんでしたが。

組織の各タイプのポリシーの数

AI サービスのオプトアウトポリシー: 1000
バックアップポリシー: 1000
サービスコントロールポリシー: 2000
タグポリシー: 1000

ざっくりまとめ

組織内のSCP上限値が2,000になりました。
今までは1,000までしか作成出来なかったので、より柔軟に組織内のアクセス権限管理が可能に

やってみた

やってみるも何も無いんですが、興味本位で2,000個SCPを作ってみました。

ちなみに実施前のSCPは3個でした。

[cloudshell-user@ip-10-134-26-2 ~]$ aws organizations list-policies --filter SERVICE_CONTROL_POLICY --query 'Policies[*].Id' --output json | jq 'length'
3

この状況でこんな感じのスクリプトを作って実行。

#!/bin/bash
for i in {1..2000}; do
    policy_name="TestPolicy_$i"
    policy_content='{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Deny",
                "Action": "*",
                "Resource": "*",
                "Condition": {
                    "StringEquals": {
                        "aws:RequestedRegion": "us-east-1"
                    }
                }
            }
        ]
    }'
    aws organizations create-policy --content "$policy_content" --description "Test Policy $i" --name "$policy_name" --type SERVICE_CONTROL_POLICY > /dev/null
    if [ $((i % 100)) -eq 0 ]; then
        echo "$i 個のSCPを作成しました"
    fi
done

2,000個出来るまでにまあまあ時間が掛かりました。

カウントしてみると

[cloudshell-user@ip-10-134-26-2 ~]$ aws organizations list-policies --filter SERVICE_CONTROL_POLICY --query 'Policies[*].Id' --output json | jq 'length'
2000

確かに2,000個まで作成出来ました。クォータは上がっているようです。