AWSの請求書だけ見れるユーザを作る方法

あなたがもし会社員ITエンジニアで、AWSの請求手続き関係だけ経理部にお願いしたいなーと思ったことはありませんか？

今回は、経理部の担当者にAWSマネジメントコンソールにログインしてもらい、請求情報だけ確認してもらう方法を紹介します。

これができるようになると、毎月の請求情報を経理部に連絡しなくても済むフローが確立できるので、あなたはAWS上での開発作業に専念できるようになります。

請求情報のみ参照できるIAMユーザを作成
権限の設定
1. 請求情報だけ参照可能なポリシーを作成する
2. 複数のユーザにまとめて権限を付与するには？

請求情報のみ参照できるIAMユーザを作成

管理者権限でAWSマネジメントコンソールにログインします。

ログインしたら、IAM画面を開きます。

IAM画面の左側メニューで、「ユーザー」をクリックします。

請求情報のみ参照できるIAMユーザを作成します。

今回はユーザ名は「invoice_reviewer」にしましたが、好きな名前でOKです。

請求書参照用に共通アカウントを1つ作ってもいいですし、経理担当社の個人アカウントを作るのもよいと思います。セキュリティポリシー的にはアカウントの使いまわしは良くないので、後者の方がよいでしょう。

ユーザを作成する際は、「AWSマネジメントコンソールへのアクセスを提供する」にチェックをつけてください。

システム管理者以外が管理画面にアクセスできるのはまずいのでは？
と思った方は安心してください。このあと領収書しか見れないように権限を設定します。

パスワードを生成したら、経理担当者に伝えてください。

権限の設定

請求情報だけ参照可能なポリシーを作成する

次に作成した経由担当者のユーザのアクセス権限を設定します。

左側メニューの「ポリシー」をクリックします。

新しいポリシーを作成します。

今回は、ポリシーの名前を「BillingAccessOnly」とします。名前は分かればなんでもOKです。

ポリシーはJSONで直接書いてしまいます。

次のように設定し、最初に作成した経理担当者ユーザに設定すれば完了です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "account:GetAccountInformation",
                "billing:Get*",
                "consolidatedbilling:Get*",
                "consolidatedbilling:List*",
                "invoicing:List*",
                "payments:List*",
                "invoicing:Get*",
                "cur:Get*",
                "billing:ListBillingViews"
            ],
            "Resource": "*"
        }
    ]
}