AWS初心者向け研修で発行すべき管理者アカウント・受講者アカウントと発行手順

こんにちは。ゆうせいです。

今回は、AWSの初心者向け研修で、どのような管理者アカウントや受講者アカウントを発行するのが適切か、また、その発行手順について解説します。

まず結論です。

AWS初心者向け研修では、受講者にrootユーザーや共有IAMユーザーを渡すのではなく、AWS Organizationsで研修用のAWSアカウントを分離し、AWS IAM Identity Centerで受講者ユーザーを発行する構成がおすすめです。

AWSのIAMベストプラクティスでは、人間のユーザーは一時的な認証情報を使うフェデレーションアクセスを利用することが推奨されており、集中アクセス管理にはIAM Identity Centerの利用が推奨されています。

まず「AWSアカウント」と「ログインユーザー」を分けて考える

AWS研修の設計で最初につまずきやすいのが、「アカウント」という言葉です。

AWSでは、次の2つを分けて考える必要があります。

たとえるなら、AWSアカウントは「教室」です。

ログインユーザーは「教室に入る人」です。

1つの教室に全員を入れることもできます。

しかし、初心者研修では、受講者がEC2やS3などを自由に触るため、できれば受講者ごと、またはチームごとに教室を分けるほうが安全です。

おすすめ構成

初心者向け研修でおすすめする構成は、次の形です。

AWS Organizations 管理アカウント
        ↓
Training OU または Sandbox OU
        ↓
受講者用メンバーアカウント
        ↓
IAM Identity Centerの受講者ユーザー
        ↓
TrainingLearner権限でログイン

AWS Organizationsは、複数のAWSアカウントを一元管理するための基盤です。AWS公式ドキュメントでも、複数アカウントの利用は、セキュリティ要件や請求、ワークロードの分離に役立つベストプラクティスとして説明されています

また、AWS Organizationsの推奨OU例には、個々のデベロッパーが実験に使えるAWSアカウントを保持する「サンドボックス」が示されています。研修用アカウントも、このサンドボックスに近い考え方です。

発行すべきアカウントの種類

研修では、最低限次の4種類を用意すると運用しやすくなります。

ここで大事なのは、管理アカウントを研修の作業場にしないことです。

管理アカウントは、学校で言えば「職員室」です。

受講者が演習する場所ではありません。

受講者用AWSアカウントは1人1つが理想

初心者向け研修で最も安全なのは、受講者1人につき1つのAWSメンバーアカウントを用意する方法です。

初心者は、悪気なく大きなEC2を起動したり、VPCを消したり、S3バケットを公開しそうになったりします。

1人1アカウントなら、失敗の影響範囲を小さくできます。

小学校の理科実験で、全員が同じビーカーを使うより、班ごとにビーカーを分けたほうが安全なのと同じです。

rootユーザーは受講者に渡さない

受講者に絶対に渡してはいけないものがあります。

AWS公式ドキュメントでは、rootユーザー認証情報を保護し、rootユーザーが必要なタスクにだけ使用すること、rootユーザーにはMFAを設定すること、rootユーザーのアクセスキーを作成しないことが強く推奨されています。

rootユーザーは、AWSアカウントの「全権限を持つ鍵」です。

受講者にrootを渡すのは、研修室の合鍵どころか、会社の金庫と電源室の鍵まで渡すようなものです。

研修では、rootユーザーを使わせない設計にしてください。

受講者にはIAM Identity Centerユーザーを発行する

受講者には、IAMユーザーではなく、IAM Identity Centerのユーザーを発行するのが現在のおすすめです。

IAM Identity Centerでは、ユーザーやグループに対してAWSアカウントへのアクセスを割り当て、そのアクセス権限をpermission setで管理できます。permission setは、IAMポリシーのテンプレートのようなもので、複数AWSアカウントへのアクセス権限割り当てを簡素化します。

受講者は、AWSアクセスポータルにログインし、割り当てられたAWSアカウントとロールを選んでAWSマネジメントコンソールを開きます。AWS公式ドキュメントでも、AWSアクセスポータルではユーザーがアカウントとpermission setに対応するロールを選んでコンソールや一時認証情報を利用できると説明されています。

権限設計のおすすめ

権限は、役割ごとに分けます。

受講者に最初からAdministratorAccessを渡すのは、初心者研修ではおすすめしません。

ただし、IAMやCloudFormationまで含めた実践研修では、ある程度広い権限が必要になる場合があります。

その場合でも、AWS OrganizationsのSCPで上限をかけておきます。

SCPは、組織内のIAMユーザーやIAMロールが実行できる最大権限を中央で制御する仕組みです。ただし、SCP自体は権限を付与するものではなく、あくまでガードレールとして上限を定めるものです。

初心者研修のTrainingLearner権限例

初心者向けなら、最初は次のような範囲で十分です。

一方で、初心者研修では次の操作は基本的に制限したほうがよいです。

Billingの変更
Organizationsの操作
Account設定の変更
IAMユーザーやアクセスキーの自由作成
高額サービスの自由利用
不要リージョンでのリソース作成
サポートプラン変更
Marketplace購入
ルートユーザー操作

初心者に自由を与えすぎると、学習よりも事故対応が増えます。

安全なレールを敷いたうえで、その範囲内で自由に触らせましょう。

発行手順の全体像

発行手順は、次の流れがおすすめです。

順番に見ていきましょう。

手順1：研修設計を決める

最初に、技術設定ではなく研修設計を決めます。

先に設計を決めないと、権限が広すぎたり、逆に演習ができなかったりします。

AWS研修のアカウント設計は、会場設営に似ています。

何人来るのか、どんな演習をするのか、どこまで触ってよいのかを先に決めてください。

手順2：AWS Organizations管理アカウントを準備する

既存の社内AWS Organizationsを使う場合は、研修用OUを追加します。

新しく作る場合は、管理アカウントを作成し、rootユーザーを厳重に保護します。

管理アカウントのrootユーザーには、強力なパスワード、MFA、グループメールアドレス、アクセスキーを作らない運用が必要です。AWS公式ドキュメントでも、rootユーザーのMFA設定、rootアクセスキーを作らないこと、rootメールアドレスに業務用のグループメールを使うことが推奨されています。

手順3：Training用OUを作る

AWS Organizationsで、研修用のOUを作ります。

Root
  └── Training
        ├── 2026-newhire
        └── Sandbox

OUとは、AWSアカウントをまとめるフォルダのようなものです。

OUにSCPを付けると、その配下のAWSアカウントにまとめて制限をかけられます。

AWS公式ドキュメントでも、OUを使うとアカウントを階層に整理し、管理コントロールを適用できると説明されています。

手順4：受講者用メンバーアカウントを作る

AWS Organizationsから、受講者用のメンバーアカウントを作成します。

アカウント名は、後で分かるように命名します。

AWS Organizationsで組織内にメンバーアカウントを作成すると、メンバーアカウントにはOrganizationAccountAccessRoleが自動的に作成され、管理アカウント側から管理操作ができるようになります。

作成後は、Training用OUへ移動します。

この段階で、受講者にはまだログイン情報を配りません。

手順5：SCPでガードレールを設定する

Training OUにSCPを設定します。

SCPでは、たとえば次のような制限を検討します。

指定リージョン以外の利用を制限する
Organizations操作を禁止する
Billing変更を禁止する
IAMユーザーやアクセスキー作成を禁止する
高額サービスの利用を禁止する
Marketplace購入を禁止する
サポートプラン変更を禁止する

ただし、SCPは強力です。

AWS公式ドキュメントでも、SCPを組織のルートに付ける前に十分テストし、まずOUに少数のアカウントを移して影響を確認することが強く推奨されています。

研修では、いきなり本番組織全体にSCPを付けないでください。

研修用OUで試せ！

手順6：CloudTrailとBudgetsを設定する

研修環境では、誰が何をしたか、いくら使っているかを見えるようにします。

CloudTrailでは、組織全体のアクティビティを記録する組織証跡を作成できます。AWS公式ドキュメントでは、組織証跡は管理アカウントとすべてのメンバーアカウントのイベントをログに記録すると説明されています。

費用面では、AWS Budgetsを設定します。

AWS Budgetsでは、コストや使用量の予算を設定し、実績または予測がしきい値を超えた場合に通知できます。ただし、請求データには遅延があるため、通知が届く前に追加コストが発生する可能性があります。

より強く制御したい場合は、AWS Budgets Actionsを検討します。AWS Budgets Actionsでは、予算しきい値を超えたときにIAMポリシーやSCPの適用、特定のEC2やRDSインスタンスへのアクションを設定できます。

手順7：IAM Identity Centerを有効化する

次に、IAM Identity Centerを有効化します。

IAM Identity Centerは、受講者がAWSアクセスポータルにログインし、割り当てられたAWSアカウントへ入るための入口です。

受講者は、AWSアクセスポータルのURLにアクセスし、ディレクトリの認証情報でサインインし、割り当てられたAWSアカウントとロールを選んで利用します。

可能であれば、IAM Identity CenterでもMFAを設定します。

AWS公式ドキュメントでは、IAM Identity Centerのアイデンティティストア、AWS Managed Microsoft AD、AD Connectorを使う場合にMFA機能を設定できると説明されています。

手順8：グループを作る

IAM Identity Centerで、研修用のグループを作ります。

AWS公式ドキュメントでは、IAM Identity Centerのディレクトリにグループを作成し、必要に応じてユーザーを追加できると説明されています。

ユーザー単位ではなく、グループ単位で権限を割り当てるのが基本です。

AWS公式ドキュメントでも、アクセス権限の管理を簡素化するため、個別ユーザーではなくグループへアクセスを割り当てることが推奨されています。

手順9：permission setを作る

次に、permission setを作ります。

permission setは、IAM Identity CenterでユーザーやグループにAWSアカウントへのアクセス権限を割り当てるためのテンプレートです。IAM Identity Centerは、permission setに基づいて各AWSアカウント内に管理されたIAMロールを作成し、ユーザーがそのロールを引き受けられるようにします。

初心者向けのTrainingLearnerは、最初から最小権限で作るのが理想です。

ただし、演習中に権限不足で止まりすぎると学習効率が下がります。

そのため、初心者研修では次のように段階を分けると現実的です。

手順10：受講者ユーザーを作る

IAM Identity Centerで受講者ユーザーを作成します。

命名規則は、後で管理しやすい形にします。

AWS公式ドキュメントでは、IAM Identity CenterのUsersからAdd userを選び、ユーザー名、メールアドレスなどを指定してユーザーを追加できます。パスワード設定方法として、ユーザーへ設定手順メールを送る方法や、一時パスワードを生成して共有する方法が説明されています。

メール招待は便利ですが、招待メールには有効期限があります。AWS公式ドキュメントでは、IAM Identity Centerの招待メールは7日で期限切れになると説明されています。

研修前日に慌てないよう、招待メールの送信タイミングに注意してください。

手順11：受講者をグループに追加する

作成した受講者ユーザーを、grp-training-learnerに追加します。

講師はgrp-training-admin、TAはgrp-training-taなどに追加します。

グループで管理すると、受講者が増えても権限割り当てが楽になります。

手順12：AWSアカウントへアクセス権を割り当てる

IAM Identity Centerで、AWSアカウントに対してグループとpermission setを割り当てます。

たとえば、次のように割り当てます。

AWS公式ドキュメントでは、IAM Identity CenterのAWS accounts画面から対象AWSアカウントを選び、ユーザーまたはグループとpermission setを選択してアクセスを割り当てる手順が説明されています。

1人1アカウントの場合、受講者ごとに専用グループを作ると、割り当てミスを減らせます。

少し手間ですが、安全です。

手順13：受講者へ配布する情報

受講者には、次の情報を配布します。

受講者向けには、次のような案内文にすると分かりやすいです。

本研修では、AWSアクセスポータルからログインします。
通常のAWSルートユーザーではログインしません。

ログイン後、割り当てられたAWSアカウントを選択し、
TrainingLearnerロールでAWSマネジメントコンソールを開いてください。

演習では東京リージョンのみ使用します。
研修で指定されたサービス以外は利用しないでください。
演習終了時には、講師の指示に従って作成したリソースを削除してください。

研修当日の運用ポイント

研修当日は、講師側で次を確認します。

初心者研修では、リージョン間違いがよく起きます。

東京リージョンで作ったつもりが、バージニア北部にEC2を作っていた、ということがあります。

講師は、最初にリージョン確認を徹底してください。

研修後の後片付け

研修後は、アクセス停止とリソース削除を必ず行います。

AWS Organizationsでは、不要になったメンバーアカウントをOrganizationsコンソールから閉鎖できます。ただし、組織がすべての機能モードである必要があり、閉鎖前に影響を確認することが推奨されています。

閉鎖しない場合は、停止用OUを作り、Deny中心のSCPを付けておく方法もあります。

AWS Organizationsの推奨OU例でも、閉鎖済みまたは削除待ちのアカウントを置く「停止」OUが紹介されています。

初心者研修で避けたいアカウント発行

次の方法は、簡単そうに見えてトラブルになりやすいです。

IAMユーザーのアクセスキーは長期認証情報です。AWS公式ドキュメントでも、ベストプラクティスとして、アクセスキーのような長期認証情報ではなく、IAMロールなどの一時的なセキュリティ認証情報を使うことが推奨されています。

小規模研修でどうしても簡易運用する場合

5名程度の短時間ハンズオンで、AWS OrganizationsやIAM Identity Centerをすぐ用意できない場合もあるかもしれません。

その場合でも、最低限次を守ってください。

ただし、これはあくまで簡易運用です。

継続的な新人研修、複数回のAWS研修、会社としての育成基盤を作るなら、AWS OrganizationsとIAM Identity Centerを使った構成に移行しましょう。

おすすめの最終構成

最終的には、次の構成を目指すとよいです。

まとめ

AWS初心者向け研修では、受講者にrootユーザーや共有IAMユーザーを配るのではなく、AWS Organizationsで研修用AWSアカウントを分離し、IAM Identity Centerで受講者ユーザーと権限を管理するのが適切です。

一言でまとめるなら、AWS研修のアカウント設計は「受講者には安全な作業場を渡し、管理者は全体を見守る」構成にするべきです。

新人研修では、受講者が安心して失敗できる環境が大切です。

ただし、安心して失敗できる環境とは、何でも自由にできる環境ではありません。

壊してよい範囲、触ってよい範囲、費用が暴走しない範囲をあらかじめ設計した環境です。

今後の学習では、AWS Organizations、IAM Identity Center、permission set、SCP、CloudTrail、AWS Budgets、IAMロール、最小権限、アカウント分離を順番に学ぶとよいです。まずは小さなTraining OUを作り、講師用1アカウント、受講者用2〜3アカウントで試験運用してから、本番の新人研修へ広げていきましょう！

セイ・コンサルティング・グループでは新人エンジニア研修のアシスタント講師を募集しています。

投稿者プロフィール

山崎講師代表取締役

セイ・コンサルティング・グループ株式会社代表取締役。
岐阜県出身。
2000年創業、2004年会社設立。
IT企業向け人材育成研修歴業界歴20年以上。
すべての無駄を省いた費用対効果の高い「筋肉質」な研修を提供します！
この記事に間違い等ありましたらぜひお知らせください。

学生時代は趣味と実益を兼ねてリゾートバイトにいそしむ。長野県白馬村に始まり、志賀高原でのスキーインストラクター、沖縄石垣島、北海道トマム。高じてオーストラリアのゴールドコーストでツアーガイドなど。現在は野菜作りにはまっている。

最新の投稿

• 新人エンジニア研修講師2026年6月25日AWS Builder Labsとは？研修講師向けに特徴・使い方・研修設計のポイントを解説
• 新人エンジニア研修講師2026年6月25日AWS Workshop Studioとは？研修講師向けに使い方・準備・当日の進め方を解説
• 新人エンジニア研修講師2026年6月25日AWS初心者向け研修で発行すべき管理者アカウント・受講者アカウントと発行手順
• 新入社員2026年6月25日ツァイガルニク効果とは？新人エンジニア向けに心理学の基本とビジネス応用をやさしく解説