AWS 01：アカウントと初期設定 ― 作った日に守りと見張りを付ける

AWS アカウントは「契約」であり「入れ物」

そもそも AWS アカウントとは何でしょうか。一言でいうと、AWS と結ぶ契約の単位であり、あなたが作ったものが入る入れ物です。

たとえるなら、大きな貸し倉庫の「区画」です。区画ごとに契約者がいて、請求書が届き、中に置いた荷物はその区画のものです。

「境界」という性質は、後の章でとても大事になります。たとえば会社では、本番用と開発用でアカウントを分けることがよくあります。開発用で何か失敗しても、本番用には届かないからです（第27章で扱います）。

この本では、まずアカウントを1つ作り、フォトログをその中で育てていきます。

アカウントを作る：6つの入力で終わる

アカウントは、AWS の公式サイト（aws.amazon.com）の「アカウントを作成」から作ります。入力する内容は、おおむね図の6つです。画面の順番や言い回しは時々変わりますが、聞かれることは大きく変わりません。

いちばん大事なのは1番のメールアドレスです。パスワードを忘れたときの再設定も、AWS からの大事な連絡も、すべてここに届きます。何年も使い続けられ、自分（またはチーム）が確実に読めるアドレスにしてください。

会社で作る場合は、担当者の個人アドレスではなく、複数人が読めるグループのアドレス（例：aws-root@会社のドメイン）を使うのが AWS の推奨です。担当者が休んだり辞めたりしても、連絡を受け取れるからです。

無料プランと有料プラン、どちらで始めるか

2025年7月から、新しく作るアカウントは登録時に無料プランか有料プランかを選ぶようになりました。どちらを選んでも、最初に100ドル分のクレジット（料金の支払いに使える割引券のようなもの）がもらえ、いくつかの入門的な操作をするとさらに最大100ドル分もらえます。

無料プランは「うっかり請求される」心配がないので、触ってみるだけなら安心です。ただし、この本の後半で使う一部の部品は無料プランでは使えないことがあります。

また、無料プランは組織（AWS Organizations、複数のアカウントをまとめる仕組み）を作ると自動的に有料プランに変わります。この章の後半で使う IAM Identity Center は、組織を作って使うのが基本なので、ここで有料プランに変わることになります。残っているクレジットは引き続き使えます。

この本では、無料プランで始めて構いませんが、有料プランになる前に必ず次の「予算の知らせ」を設定するという順番で進めます。

なお、プランの内容やクレジットの額は変わることがあります。登録時に公式の「AWS 無料利用枠」のページで確かめてください。

ルートユーザーは「マスターキー」

アカウントを作ったときに使ったメールアドレスとパスワードで入れるユーザーを、ルートユーザーと呼びます。

ルートユーザーは、たとえるなら建物のマスターキーです。どの部屋の扉も開けられ、建物の契約そのものも変えられます。

しかも、ルートユーザーは第3章で学ぶ「許可（ポリシー）」で縛ることができません。他のユーザーには「これだけはしてはいけない」と決められますが、ルートユーザーだけはいつでも何でもできます。

だから AWS は、ルートユーザーは普段使わず、どうしても必要な作業のときだけ使うことを強く勧めています。ルートでしかできない作業は、支払い方法の一部の変更やアカウントの閉鎖など、ごく少数です。

「普段使わない」ためには、代わりに毎日使う入口が要ります。それはこの章の後半で作ります。その前に、マスターキーそのものを守りましょう。

MFA：パスワードだけでは入れなくする

MFA（多要素認証）は、ログインのときに2種類以上の証拠を求める仕組みです。二段階認証とも呼ばれます。

図の上の「他人」は、あなたのパスワードをどこかで手に入れました。しかし MFA を付けてあると、パスワードの先にもう1つの鍵が待っています。スマホやセキュリティキーを持っていないので、ここで止まります。

一方、あなたはパスワードを入れた後、手元のスマホやセキュリティキーで2つ目の確認をして入れます。

パスワードは、どれだけ気をつけても漏れることがあります。他のサービスから漏れたパスワードを片っ端から試す攻撃も日常的に起きています。MFA は「漏れても入られない」ようにする、いちばん効果の大きい対策です。

AWS は、ルートユーザーに MFA を付けることをすべてのアカウントで必須にしています。付けていないと、初めてのサインインから一定の猶予期間を過ぎた時点でコンソール（AWS の操作画面）に入る前に登録を求められます。求められる前に、自分から付けてしまいましょう。

ルートユーザーに MFA を付ける

手順は次のとおりです。画面の文言は変わることがありますが、場所の考え方は同じです。

MFA の種類は3つあります。

フィッシングとは、本物そっくりの偽のログイン画面にパスワードなどを入力させて盗む手口です。パスキーやセキュリティキーは、接続先が本物の AWS かどうかを機械が確かめるため、偽サイトにだまされません。

4番の「もう1つ登録する」も大切です。ルートユーザーには MFA を最大8個まで登録できます。スマホをなくしたり機種変更したりしたとき、予備があれば困りません。1つしか無いと、復旧に本人確認の手続きが必要になり、時間がかかります。

請求アラート：使いすぎを早く知る

次は、お金の見張りです。第0章で書いたとおり、AWS は使った分だけ払う仕組みなので、消し忘れも「使った分」になります。

請求書は月が終わってから届きます。それを見て驚いても、もう1か月分は使ってしまった後です。そこで、月の途中で「使いすぎていますよ」と知らせてもらう仕組みを作ります。これには AWS Budgets（予算）を使います。

AWS Budgets では、次の3つを決めます。

しきい値の判定には2種類あります。図の上の太い帯が実績（今月もう使った金額）、下の細い帯が予測（このままのペースで使うと月末にいくらになるか）です。

いまは実績6ドル、予測も予算の範囲内なので、知らせは来ていません。

消し忘れがあると、月の途中で知らせが届く

月の半ばに、練習で作ったサーバーを消し忘れていたとします。実績が予算の80%を超え、予測では月末に予算を超える見込みになりました。そこで知らせが鳴り、メールが届きます。

予測で知らせる設定を入れておくと、実績がまだ少ないうちに「このままだと超える」とわかります。実績だけより早く気づけるので、実績と予測の両方を設定しておくのがおすすめです。

作り方は次のとおりです。

テンプレートには「ゼロ支出予算」もあります。1セントでも料金が発生したら知らせるもので、無料の範囲だけで試したい間に便利です。

知らせが届いたら、どのサービスで料金が増えているかを見て、要らないものを消します。その見方は第4章で説明します。今は「知らせが来る状態を作る」ことが先です。

なお、ここまでの設定はルートユーザーで行って構いません。この後で作る日常用のユーザーからも請求の画面を見られるようになります。

毎日の作業は、別の入口から入る

ルートユーザーに MFA を付け、お金の見張りも付けました。次は「ルートユーザーを普段使わない」ための、日常用の入口を作ります。

なぜ分けるのでしょうか。

たとえるなら、マスターキーは金庫にしまい、社員にはその人の部屋だけ開く合鍵を渡すということです。合鍵をなくしても、マスターキーほどの被害にはなりません。そしてその合鍵を無効にすれば済みます。

図の右のアカウントの中で、ルートユーザーは下へ移り「金庫」にしまわれました。上の空いた場所に、日常用の入口を作ります。

AWS で「誰に何を許すか」を管理する仕組みを IAM（アイアム）と呼びます。IAM の考え方そのものは第3章でじっくり扱います。この章では、日常用の入口を作るのに AWS が勧めている IAM Identity Center を使います。

IAM Identity Center：人と権限を1か所で管理する

IAM Identity Centerは、「人（ユーザー）」と「その人が何をしてよいか（権限）」を1か所で管理し、AWS アカウントに入れるようにする仕組みです。

図の真ん中の赤い囲みが Identity Center です。中には3つのものがあります。

ユーザーと許可セットを組み合わせて、アカウントに割り当てます。「あなたに、フォトログのアカウントで、管理者の許可セットを」という具合です。

割り当てると、右のアカウントの中に、許可セットと同じ内容のロール（役割）が自動で作られます。ロールは「かぶると、その権限で操作できる帽子」のようなものです（第3章で詳しく扱います）。

Identity Center 自体に追加料金はかかりません。そして、チームの人が増えてもアカウントが増えても、ここ1か所でまとめて管理できます。辞めた人がいれば、ここでユーザーを止めるだけで、すべてのアカウントに入れなくなります。

入るたびに「期限つきの鍵」を受け取る

実際に毎日入るときの流れを、図の番号で追います。

3番で、あなたには一時的な鍵（一時的な認証情報）が渡されます。この鍵には期限があり、数時間で使えなくなります。期限が来たら、もう一度ポータルから入り直します。

なぜわざわざ期限を付けるのでしょうか。鍵がいつまでも使えると、漏れたときの被害がいつまでも続くからです。期限つきの鍵なら、仮に漏れても、使える時間は限られます。

この「使うたびに、期限つきの鍵を受け取る」という考え方は、この本の中で何度も出てきます。サーバーが他のサービスを使うとき（第9章）、自動デプロイが AWS を操作するとき（第19章）も、同じ仕組みを使います。長く使える鍵を、どこにも置かない。これが AWS の安全の基本です。

Identity Center を用意する5つの手順

ルートユーザーでの作業は、これが最後です。

1番で作られる組織とは、複数のアカウントを束ねて管理する仕組みです。Identity Center でアカウントへの入口を管理するには、組織の一部として有効にする必要があります（組織なしの形もありますが、アカウントへの入口は作れません）。

図の右にある注意のとおり、無料プランの人は、組織を作った時点で自動的に有料プランに変わります。クレジットは残りますが、使いすぎれば請求が発生するようになります。だからこそ、先に MFA と予算の知らせを済ませる順番にしました。

5番まで終わったら、一度ルートユーザーからサインアウトし、ポータルから入り直してみてください。画面右上に、ルートではなく許可セットの名前が出ていれば成功です。

ちなみに、管理者用の許可セットは権限がとても強いので、第3章で「必要な分だけ」の考え方を学んだら、日常の作業はもっと弱い許可セットに寄せていきます。

AWS を操作する3つの入口

AWS を操作する入口は、大きく3つあります。

見た目はまったく違いますが、どの入口も最後は同じ AWS の API（プログラムから AWS に頼みごとをする窓口）を呼んでいます。コンソールのボタンを押すのも、CLI で命令を打つのも、裏では同じ API に同じ頼みごとを送っているのです。

そして API は、頼みごとが届くたびに「この人は、これをしてよいか」を確かめます（第3章）。だから、どの入口から入っても、使える権限は同じです。

CloudShell は、コンソールの上の方にある端末のアイコンから開けます。サインインしている人の権限がそのまま使え、CLI も最初から入っています。追加料金はかからず、リージョンごとに少しのファイルを残しておけます（中から作ったサーバーなどには、もちろん料金がかかります）。

この本の手順は、主にコンソールと、短い CLI の命令で示します。

手元の CLI も、アクセスキーを作らずに使う

自分のパソコンから CLI を使うときも、Identity Center の一時的な鍵を使います。

最初に1回だけ aws configure sso を実行し、聞かれた項目に答えます。

続けてブラウザが開き、ポータルでサインインすると、使うアカウントと許可セットを選んでプロファイル（CLI の設定のひとまとまり）が保存されます。以後は毎回 aws sso login でサインインし、--profile でプロファイルを指定して使います。最後の aws sts get-caller-identity は「いま自分は誰として操作しているか」を表示する命令で、設定の確認に便利です。

古い記事では、CLI を使うためにアクセスキー（長く使える、プログラム用の鍵）を作ってファイルに保存する方法がよく紹介されています。この本ではそれをしません。アクセスキーは自分で消すまでずっと使えるので、パソコンから漏れたり、うっかりコードと一緒に公開したりすると、その日から他人に使われ続けます。

なお、2025年からは aws login という命令で、コンソールのサインインをそのまま CLI に使う方法も加わりました。こちらも一時的な鍵を使う方法です。

フォトログ開発、最初の日にやること

この本で育てるサービス「フォトログ」は、利用者が写真を投稿し、一覧を見て、いいねできる小さな SNS です。

アプリを1行も書く前に、次の5つを終わらせます。

予算の金額は目安です。この本の練習では、作ったものをその日のうちに片付ければ、月に数ドル程度で収まることがほとんどです。20 ドルの知らせが来たら「何かを消し忘れている」と考えてください。

もしチームで開発するなら、仲間の分のユーザーも Identity Center で作ります。ルートユーザーのパスワードを共有することは絶対にしません。

お金と片付け：この章の設定はほぼ無料

この章で設定したものに、追加料金はほとんどかかりません。

AWS の料金は、多くの場合「何かを動かしている時間」や「しまっている量」にかかります。この章の設定は見張りと入口だけで、何も動かしていないので、ほぼ無料なのです。料金の考え方は第4章で詳しく扱います。

片付け

この章で作ったものは、消さないでください。以後のすべての章の土台になります。

もし AWS の利用をやめるときは、先に中で動いているもの（サーバーなど）を消してから、ルートユーザーでサインインし、アカウントの設定からアカウントを閉じます。閉じた後も90日間は元に戻すことができ、その後に完全に削除されます。

よくある落とし穴

初期設定まわりで実際によく起きる事故を並べます。

特に2つ目は、初心者に限らず毎年のように起きています。鍵を公開してしまった場合、気づいた時点ですぐに鍵を無効にし、AWS のサポートに連絡してください。長く使える鍵を最初から作らないのが、いちばん確実な防ぎ方です。

5つ目の「消えた」は、この後の第2章の内容そのものです。AWS には「どこのデータセンターで作るか」という概念があり、画面で見ている場所を間違えると、作ったものが見えなくなります。