Declarative Policies

Declarative Policies とは

Declarative Policies は AWS Organizations のポリシータイプの一つで、AWS サービスの基本設定を組織全体に宣言的に強制する機能である。

SCP / RCP との違い

SCP / RCP は「この API コールを許可しない」というアプローチであるのに対し、Declarative Policies は「この設定を常にこの値にする」というアプローチである。そのため、サービスに新しい API が追加されても、Declarative Policies はポリシーの更新なしに設定を維持できる。

Control Tower 予防コントロールとの関係

Control Tower の予防コントロールの一部は、実体として Declarative Policies を使用している。

Control Tower 経由で有効化した場合と Organizations で直接ポリシーを作成した場合の挙動の差分は、今後の検証で確認する。

ポリシータイプ

Declarative Policies は 2 つのポリシータイプに分かれている。

S3 Policy は 2025 年 11 月に追加された比較的新しい機能であり、EC2 系とは独立したポリシータイプとして管理される。

サポートされている属性

EC2 系（DECLARATIVE_POLICY_EC2）

VPC Block Public Access

VPC / サブネットの IGW 経由のインターネットアクセスを制御する。

モード：

• off — VPC BPA 無効
• block_ingress — インバウンドのインターネットトラフィックをブロック（NAT Gateway / Egress-only IGW 経由のアウトバウンドは許可）
• block_bidirectional — IGW / Egress-only IGW 経由の全トラフィックをブロック

Exclusions（除外）：

• VPC 単位またはサブネット単位で除外を設定可能
• ポリシーで exclusions_allowed を enabled / disabled に設定
• 除外の作成はアカウント側で行う（ポリシー内では除外の作成はできない）

EBS Snapshot Block Public Access

EBS スナップショットの公開を制御する。

モード：

• block_all_sharing — 全てのパブリック共有をブロック（既存のパブリック共有もアクセス不可になる）
• block_new_sharing — 新規のパブリック共有をブロック（既存のパブリック共有は維持）
• unblocked — 制限なし

Image Block Public Access

AMI のパブリック共有を制御する。

モード：

• block_new_sharing — 新規のパブリック共有をブロック（既存のパブリック共有は維持）
• unblocked — 制限なし

Instance Metadata Defaults

新規 EC2 インスタンスの IMDS デフォルトを設定する。

主な設定：

• http_tokens — required（IMDSv2 強制）/ optional（IMDSv1 も許可）/ no_preference
• http_put_response_hop_limit — メタデータトークンの最大ホップ数（-1〜64）
• http_endpoint — IMDS エンドポイントの有効 / 無効
• instance_metadata_tags — インスタンスタグへのメタデータアクセスの有効 / 無効
• http_tokens_enforced — enabled にすると IMDSv1 インスタンスの起動自体が失敗する

Serial Console Access

EC2 シリアルコンソールのアクセスを制御する。

• enabled — シリアルコンソールアクセスを許可
• disabled — シリアルコンソールアクセスをブロック

Allowed Images Settings

EC2 で使用可能な AMI を制限する。

• state — enabled / disabled / audit_mode
• image_criteria — 許可する AMI の条件（プロバイダー、名前、Marketplace プロダクトコード、作成日、非推奨日）

S3 系（S3_POLICY）

S3 Block Public Access

S3 の Block Public Access 4 設定を組織レベルで一括制御する。

設定値：

• all — 4 設定すべてを有効化（BlockPublicAcls, BlockPublicPolicy, IgnorePublicAcls, RestrictPublicBuckets）
• none — 組織レベルの制御を無効化（アカウント側で個別管理）

EC2 系の Declarative Policies とは異なり、個別の設定を選択することはできず、全有効化（all）か無効化（none）の二択である。

検証ステータス