M&Aの後のクラウドの統合。アカウントと権限をどうまとめるか

M&Aの後のクラウドの統合は、「把握する」「権限を整える」「構成をまとめる」の順に進めます。最初に、買収した会社のクラウドの管理者の権限と請求の契約を把握し、次に権限を買収した側の決まりに合わせて整え、アカウントや構成をまとめる作業は最後に回します。急いで構成をまとめようとすると、業務を止めるおそれがあるためです。この記事では、経営の立場から、順番の考え方と、アカウントをまとめるときに起きることを説明します。

最初に把握しておきたいことは何ですか

譲渡の日（Day1）までに把握しておきたいのは、管理者の権限、請求の契約、止まると困るシステムの3つです。この3つが分からないままでは、何かが起きたときに誰も手を打てません。

• 管理者の権限：クラウドの管理者の権限を、誰が持っているか。売り手の親会社の担当者や、すでに辞めた人の名義のままになっていないか
• 請求の契約：利用料を、どの会社の名義と支払い方法で払っているか。譲渡の後も同じ支払い方法を使い続けられるか
• 止まると困るシステム：どのシステムがどのクラウドで動いていて、止まると業務にどんな影響があるか

クラウドの管理者の権限を売り手の親会社のグループ全体で管理している場合は、譲渡の契約の中で、権限の引き渡しの時期と手順を決めておくことが大切です。Day1 に向けた準備全体は、Day1に向けたITの準備。メール・アカウント・権限で説明しています。

統合は、どんな順番で進めればよいですか

統合は、把握、権限、構成の順に進めます。最初に、Day1 までに管理者の権限、請求の契約、止まると困るシステムを把握します。次に、権限を買収した側の決まりに合わせて整えます。構成の統合は最後に回し、事業の計画が固まってから判断します。業務ごとに「統合」「併存」「移行」のどれを選ぶかは、買収の後のシステム統合（PMI）をどう進めるかで説明しています。

構成の統合を後に回すのは、統合そのものに手間と危うさがあるためです。統合しても業務の価値が増えないシステムは、併存のまま、権限と監視だけをそろえる選び方もあります。

アカウントをまとめると、何が変わるのですか

AWS・Microsoft Azure・Google Cloud のいずれも、アカウントやプロジェクトを、買収した側の組織へ移すことができます。ただし、移すと権限の設定や請求の扱いが変わり、引き継がれないものもあるため、事前に確かめておきます。

AWS

AWS Organizations では、組織の管理用のアカウントから、既存のアカウントを招待します。招待は、招待された側が受け入れて初めて効きます。1つのアカウントが加われる組織は1つだけです。加わると、そのアカウントの利用料は管理用のアカウントが払う形になり、アカウント自身の支払い方法は使われなくなります。組織の決まり（ポリシー）はすぐに適用され、組織全体の操作の記録の設定なども自動で適用されることがあります。

出典：Inviting an AWS account to join your organization（AWS）

買収した会社のアカウントが、売り手の親会社の組織に入ったままの場合は、まずその組織から外れる手続きが要ります。組織の構成の考え方は、アカウントの分け方。本番・検証・開発を分ける設計で説明しています。

Microsoft Azure

Azure では、サブスクリプションを別の Microsoft Entra のディレクトリへ移すことができます。ただし、移すと、ロールの割り当てとカスタムのロールは削除され、マネージド ID は使えなくなり、Key Vault のアクセスの設定も直す必要があります。移せないサービスもあるとされています。

出典：Transfer an Azure subscription to a different Microsoft Entra directory（Microsoft Learn）

Azure の場合、権限の設定を移す前に書き出しておき、移した後に作り直す段取りが要ります。システムが動き続けるかどうかに関わるため、検証の環境で手順を確かめてから行います。

Google Cloud

Google Cloud では、プロジェクトを別の組織へ移すことができます。移してもデータは動かず、サービスは動いたままです。ただし、元の組織やフォルダで付けていた権限は効かなくなり、組織の決まりは移った先のものに置き換わります。利用量にもとづく割引の契約は引き継がれず、結び直しが要るとされています。

出典：Migrate projects between organizations（Google Cloud）

3つに共通するのは、「データや仕組みは動かせても、権限と契約はそのまま引き継がれない」ことです。統合の計画には、権限の作り直しと、割引やサポートの契約の見直しを入れておきます。

権限は、どうまとめればよいですか

権限は、買収した側の決まりに合わせて、作業に要る分だけに絞り直します。考え方は最小権限の原則と同じです。

1. 一覧にする：買収した会社のクラウドで、誰がどの権限を持っているかを洗い出します
2. 扱いを決める：旧経営陣、売り手の親会社の担当者、退職者、外部の会社の権限を、残すか、絞るか、取り消すかを決めます
3. ログインの仕組みをそろえる：可能であれば、買収した側の ID の仕組みでログインする形に寄せ、多要素認証をそろえます
4. 定期の見直しに入れる：買収した側の権限の見直しの決まりに、買収した会社のクラウドも加えます

セキュリティの水準のそろえ方は、買収した会社のセキュリティの水準を、どうそろえるか、権限の見直し方はクラウドの権限管理（IAM）の基本。最小の権限とはで説明しています。

個人データの扱いも確かめます

クラウドに顧客や従業員の個人データが入っている場合は、統合の後の使い方が、取得したときの利用目的の範囲に収まるかを確かめます。個人情報保護委員会事務局は、合併や組織再編などで事業の内容が変わる場合に、取得のときに通知・公表した利用目的に過不足がないかを確かめ、範囲の外で利用する場合はあらかじめ本人の同意を得るよう呼びかけています。

出典：合併や組織再編等を行う事業者の方へ（個人情報保護委員会事務局）

詳しくは、M&Aと個人データの引き継ぎ。個人情報保護法の扱いで説明しています。個別の判断は弁護士などの専門家にご確認ください。

当社のご支援

アメリア・テクノロジーのクラウドの構築と運用管理では、買収した会社のクラウドの管理者の権限と請求の契約の把握、権限の整理、アカウントの統合の手順づくりと実施をご支援しています。M&Aの判断や統合の計画全体は、グループ会社のフロレンティナと役割を分けてお手伝いします（フロレンティナとの連携）。買収の前にITの状態を第三者の立場で確かめたい場合は、システム監査のITデューデリジェンスとして、中立を保つための決まりにもとづいてお受けします。同じ取引で統合の作業をお手伝いする担当と監査の担当は分け、当社が構築・運用に関わった環境は監査の対象にしません。