翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # AWS アカウント管理と IAM の連携方法 IAM を使用してアカウント管理へのアクセスを管理する前に、アカウント管理で利用できる IAM の機能について学習します。 **AWS アカウント管理で使用できる IAM 機能** | IAM 機能 | アカウント管理のサポート | | --- | --- | | [ID ベースのポリシー](#security_iam_service-with-iam-id-based-policies) | あり | | [リソースベースのポリシー](#security_iam_service-with-iam-resource-based-policies) | なし | | [ポリシーアクション](#security_iam_service-with-iam-id-based-policies-actions) | あり | | [ポリシーリソース](#security_iam_service-with-iam-id-based-policies-resources) | あり | | [ポリシー条件キー](#security_iam_service-with-iam-id-based-policies-conditionkeys) | あり | | [ACL](#security_iam_service-with-iam-acls) | なし | | [ABAC (ポリシー内のタグ)](#security_iam_service-with-iam-tags) | いいえ | | [一時的な認証情報](#security_iam_service-with-iam-roles-tempcreds) | あり | | [プリンシパルアクセス権限](#security_iam_service-with-iam-principal-permissions) | あり | | [サービスロール](#security_iam_service-with-iam-roles-service) | いいえ | | [サービスリンクロール](#security_iam_service-with-iam-roles-service-linked) | いいえ | アカウント管理およびその他の AWS のサービスがほとんどの IAM 機能と連携する方法の概要については、IAM *ユーザーガイド*の[AWS 「IAM と連携する のサービス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。 ## アカウント管理の ID ベースのポリシー **アイデンティティベースのポリシーのサポート:** あり アイデンティティベースポリシーは、IAM ユーザー、ユーザーグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。アイデンティティベースポリシーの作成方法については、「*IAM ユーザーガイド*」の「[カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)」を参照してください。 IAM アイデンティティベースのポリシーでは、許可または拒否するアクションとリソース、およびアクションを許可または拒否する条件を指定できます。JSON ポリシーで使用できるすべての要素について学ぶには、「*IAM ユーザーガイド*」の「[IAM JSON ポリシーの要素のリファレンス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)」を参照してください。 ### アカウント管理 ID ベースのポリシーの例 アカウント管理 ID ベースのポリシーの例は、「[AWS アカウント管理のアイデンティティベースのポリシーの例](security_iam_id-based-policy-examples.md)」でご確認ください。 ## アカウント管理内のリソースベースのポリシー **リソースベースのポリシーのサポート:** なし リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。リソースベースのポリシーには例として、IAM *ロールの信頼ポリシー*や Amazon S3 *バケットポリシー*があげられます。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスをコントロールできます。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーで、[プリンシパルを指定する](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)必要があります。プリンシパルには、アカウント、ユーザー、ロール、フェデレーティッドユーザー、または を含めることができます AWS のサービス。 クロスアカウントアクセスを有効にするには、全体のアカウント、または別のアカウントの IAM エンティティを、リソースベースのポリシーのプリンシパルとして指定します。詳細については、IAM ユーザーガイド**の[IAM でのクロスアカウントリソースアクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)を参照してください。 ## アカウント管理用のポリシーアクション **ポリシーアクションのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。 JSON ポリシーの `Action` 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。 アカウント管理アクションのリストを確認するには、*「サービス認可リファレンス*」の[AWS 「アカウント管理で定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsaccountmanagement.html#awsaccountmanagement-actions-as-permissions)」を参照してください。 ネットワーク管理 のポリシーアクションは、アクションの前に、プレフィックス を使用します。 ``` account ``` 単一のステートメントで複数のアクションを指定するには、アクションをカンマで区切ります。 ``` "Action": [ "account:action1", "account:action2" ] ``` ワイルドカード (\$1) を使用すると、複数のアクションを指定することができます。たとえば、 AWS アカウントの代替連絡先と連携するすべてのアクションを指定するには、次のアクションを含めます。 ``` "Action": "account:*AlternateContact" ``` アカウント管理 ID ベースのポリシーの例は、「[AWS アカウント管理のアイデンティティベースのポリシーの例](security_iam_id-based-policy-examples.md)」でご確認ください。 ## アカウント管理のポリシーリソース **ポリシーリソースのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件**下で**アクション**を実行できるかということです。 `Resource` JSON ポリシー要素はアクションが適用されるオブジェクトを指定します。ベストプラクティスとして、[Amazon リソースネーム (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) を使用してリソースを指定します。リソースレベルのアクセス許可をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (\$1) を使用します。 ``` "Resource": "*" ``` アカウント管理サービスは、IAM ポリシーの `Resources`要素で次の特定のリソースタイプをサポートし、ポリシーをフィルタリングしてこれらのタイプを区別するのに役立ちます AWS アカウント。 + **account** この `resource` タイプは、 AWS Organizations サービスによって管理される組織内のメンバーアカウントではないスタンドアロン AWS アカウント のみに一致します。 + **accountInOrganization** この`resource`タイプは、 AWS Organizations サービスによって管理 AWS アカウント される組織のメンバーアカウントである のみに一致します。 アカウント管理リソースタイプとその ARNs[AWS 「アカウント管理で定義されるリソース](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsaccountmanagement.html#awsaccountmanagement-resources-for-iam-policies)」を参照してください。 **各リソースの ARN を指定できるアクションについては、[AWS 「アカウント管理で定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsaccountmanagement.html#awsaccountmanagement-actions-as-permissions)」を参照してください。 アカウント管理 ID ベースのポリシーの例は、「[AWS アカウント管理のアイデンティティベースのポリシーの例](security_iam_id-based-policy-examples.md)」でご確認ください。 ## アカウント管理用のポリシー条件キー **サービス固有のポリシー条件キーのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。 `Condition` 要素は、定義された基準に基づいてステートメントが実行される時期を指定します。イコールや未満などの[条件演算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)を使用して条件式を作成して、ポリシーの条件とリクエスト内の値を一致させることができます。すべての AWS グローバル条件キーを確認するには、*「IAM ユーザーガイド*」の[AWS 「グローバル条件コンテキストキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)」を参照してください。 アカウント管理サービスは、IAM ポリシーのきめ細かなフィルタリングを提供するために使用できる以下の条件キーをサポートしています。 + **account:TargetRegion** この条件キーは、次のリストで構成される引数を取ります。[AWS リージョンコード](https://docs.aws.amazon.com/general/latest/gr/rande.html#regional-endpoints)。これにより、指定したリージョンに適用されるアクションのみに影響を与えるように、ポリシーをフィルタリングできます。 + **account:AlternateContactTypes** この条件キーは、代替連絡先タイプのリストを取ります。 + 請求 + 操作 + SECURITY このキーを使用すると、指定された代替連絡先タイプをターゲットとするアクションのみにリクエストをフィルタリングできます。 + **account:AccountResourceOrgPaths** この条件キーは、組織の階層から特定の組織単位 (OU) へのパスのリストで構成される引数を取ります。これにより、一致する OU 内のターゲットアカウントのみに影響を与えるように、ポリシーをフィルタリングできます。 ``` o-aa111bb222/r-a1b2/ou-a1b2-f6g7h111/* ``` + **account:AccountResourceOrgTags** この条件キーは、タグキーと値のリストで構成される引数を取ります。これにより、組織のメンバーであり、指定されたタグのキーと値でタグ付けされたアカウントのみに影響を与えるように、ポリシーをフィルタリングできます。 + **account:EmailTargetDomain** この条件キーは、E メールドメインで構成される引数を取ります。これにより、指定した E メールドメインに一致するアクションのみに影響を与えるように、ポリシーをフィルタリングできます。この条件キーでは、大文字と小文字が区別されます。ターゲット E メールアドレスドメインに基づいてアクションを制御するには、ポリシーの条件ブロックで `StringEquals` の代わりに `StringEqualsIgnoreCase` を使用する必要があります。E メールドメインに `example.com`、`company.org`、または `EXAMPLE.COM` などの大文字と小文字の任意の組み合わせが含まれている場合に `account:StartPrimaryEmailUpdate` アクションを完了できるようにするポリシーの例を次に示します。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowConditionKey", "Effect": "Allow", "Action": [ "account:StartPrimaryEmailUpdate" ], "Resource": "*", "Condition": { "StringEqualsIgnoreCase": { "account:EmailTargetDomain": [ "example.com", "company.org" ] } } } ] } ``` アカウント管理条件キーのリストを確認するには、*「サービス認可リファレンス*[」の AWS 「アカウント管理の条件キー](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsaccountmanagement.html#awsaccountmanagement-policy-keys)」を参照してください。条件キーを使用できるアクションとリソースについては、[AWS 「アカウント管理で定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsaccountmanagement.html#awsaccountmanagement-actions-as-permissions)」を参照してください。 アカウント管理 ID ベースのポリシーの例は、「[AWS アカウント管理のアイデンティティベースのポリシーの例](security_iam_id-based-policy-examples.md)」でご確認ください。 ## Account Management のアクセス制御リスト **ACL のサポート:** なし アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするためのアクセス許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。 ## アカウント管理を使用した属性ベースのアクセスコントロール **ABAC (ポリシー内のタグ) のサポート:** なし 属性ベースのアクセス制御 (ABAC) は、属性に基づいてアクセス許可を定義する認可戦略です。では AWS、これらの属性は*タグ*と呼ばれます。タグは、IAM エンティティ (ユーザーまたはロール) および多くの AWS リソースにアタッチできます。エンティティとリソースのタグ付けは、ABAC の最初の手順です。その後、プリンシパルのタグがアクセスしようとしているリソースのタグと一致した場合にオペレーションを許可するように ABAC ポリシーをします。 ABAC は、急成長する環境やポリシー管理が煩雑になる状況で役立ちます。 AWS アカウント管理では、タグベースのアクセスコントロールは `account:AccountResourceOrgTags/key-name`条件キーを介してのみサポートされます。標準の `aws:ResourceTag/key-name` 条件キーは、アカウント名前空間の API ではサポートされていません。 **サポートされている条件キーを使用した JSON ポリシーの例** 次のポリシー例では、組織内のキー「CostCenter」と「12345」または「67890」の値でタグ付けされたアカウントの連絡先情報を表示するアクセスを許可します。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":[ "account:GetContactInformation", "account:GetAlternateContact" ], "Resource":"*", "Condition":{ "ForAnyValue:StringEquals":{ "account:AccountResourceOrgTags/CostCenter":[ "12345", "67890" ] } } } ] } ``` ------ ABAC の詳細については、IAM *ユーザーガイド*の[「ABAC 認可を使用して属性に基づいてアクセス許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)を定義する」および[「IAM チュートリアル: タグに基づいて AWS リソースにアクセスするアクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)」を参照してください。 ## アカウント管理での一時的な認証情報の使用 **一時的な認証情報のサポート:** あり 一時的な認証情報は、 AWS リソースへの短期的なアクセスを提供し、フェデレーションまたは切り替えロールを使用する場合に自動的に作成されます。 AWS では、長期的なアクセスキーを使用する代わりに、一時的な認証情報を動的に生成することをお勧めします。詳細については、「*IAM ユーザーガイド*」の「[IAM の一時的な認証情報](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)」および「[AWS のサービス と IAM との連携](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。 ## アカウント管理のクロスサービスプリンシパル許可 **転送アクセスセッション (FAS) のサポート:** あり 転送アクセスセッション (FAS) は、 を呼び出すプリンシパルのアクセス許可と AWS のサービス、ダウンストリームサービス AWS のサービス へのリクエストをリクエストする を使用します。FAS リクエストを行う際のポリシーの詳細については、「[転送アクセスセッション](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)」を参照してください。 ## アカウント管理のサービスロール **サービスロールのサポート:** なし サービスロールとは、サービスがユーザーに代わってアクションを実行するために引き受ける [IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)です。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、IAM ユーザーガイド**の [AWS のサービスに許可を委任するロールを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)を参照してください。 ## アカウント管理用のサービスリンクロール **サービスにリンクされたロールのサポート:** なし サービスにリンクされたロールは、 にリンクされたサービスロールの一種です AWS のサービス。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは に表示され AWS アカウント 、サービスによって所有されます。IAM 管理者は、サービスにリンクされたロールのアクセス許可を表示できますが、編集することはできません。 サービスにリンクされたロールの作成または管理の詳細については、「[IAM と提携するAWS のサービス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。表の「**サービスリンクロール**」列に `Yes` と記載されたサービスを見つけます。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、**[はい]** リンクを選択します。