こんにちは！クラウド事業部の中根です。

最近マルチアカウント環境を始めて、いろいろ試しています。
今回は、CloudFormationのStackSetsをご紹介します！
AWS認定でも出題されますし、とても簡単なので、初めてやるのにぴったりだと思います！

StackSetsとは

分かりやすい解説記事が他にたくさんありますので、ここでは超簡単に説明します。
Organizations内の設定したアカウントやOUに対し、同じスタックを自動で適用してくれる機能です。

前提条件

組織構成は以下です。
作り方はこちらの記事で紹介しているので、実際に動かす方は参考にしてください！

1. StackSetsのテンプレート作成

まずは、テンプレートファイルを準備します。
今回はお手軽さ重視で、S3バケットを作成します。

AWSTemplateFormatVersion: '2010-09-09'
Description: 'CloudFormation StackSets Sample Template: S3 Bucket Creation'

Resources:
  SampleS3Bucket:
    Type: 'AWS::S3::Bucket'
    Properties:
      BucketName: !Sub '${AWS::AccountId}-sample-bucket'

2. StackSetsの作成

管理アカウントで作業していきます。
管理アカウントに切り替えたら、CloudFormationにアクセスします。
左メニューから、「StackSets」を使用し、「StackSetを作成」を押下します。

必要項目を入力していきます。

アクセス許可：「サービスマネージドアクセス許可」
テンプレートの準備：「テンプレートの準備完了」

テンプレートをアップロードし、「次へ」を押下します。
（S3バケットに格納して参照してもOK）

StackSet名と説明を入力して、「次へ」を押下します。

任意でタグと実行設定をして、「次へ」を押下します。
マネージド型の実行をアクティブにしたほうが若干早いと思いますが、今回はそんなに変わらないので、どっちでもいいです。

今回は、OU単位のデプロイを試してみます。
OU IDを、Organizationsの画面から確認し、コピーします。（画像赤丸部）

デプロイターゲットを「組織単位（OU）へのデプロイ」にし、OU IDをペーストします。

そのほかは任意で設定し、「次へ」を押下します。
最後に設定を確認して、「作成」します。

「スタックインスタンス」タブから、作成状況が確認できます。

Deployment OUのメンバーアカウントから、AWSアカウントIDをプレフィックスとしたバケットが作成されていることを確認してみましょう。
そして、Security OUのメンバーアカウントには作成されていないはずです。

3.メンバーアカウントをOUに追加

メンバーアカウントを後からOUに追加しても、ちゃんと作成してくれるのか確かめましょう。
※実施前に、管理アカウントから、スタックセットの自動デプロイがアクティブになっていることを確認してください。

注意：デフォルトのアカウント上限が10なので、余裕がない人は注意しましょう。
　　　既にあるアカウントのOUを移動させても同じことが確認できます。