翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# IAM サービスロール
<a name="iam-service-roles"></a>

 AWS Identity and Access Management (IAM) ロールは、 AWS アイデンティティができることとできないことを決定するアクセス許可ポリシーを持つアイデンティティであるという点で、ユーザーと似ています AWS。ただし、ユーザーは 1 人の特定の人に一意に関連付けられますが、ロールはそれを必要とする任意の人が引き受けるようになっています。サービスロールは、ユーザーに代わってアクションを実行するために AWS サービスが引き受けるロールです。お客様に代わってバックアップオペレーションを実行するサービスとして、 AWS Backup には、お客様に代わってバックアップオペレーションを実行するときに、ロールを渡す必要があります。IAM ロールの詳細については、「IAM ユーザーガイド」の「[IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)」を参照してください。**

に渡すロールには、バックアップの作成、復元、期限切れなどのバックアップオペレーションに関連するアクションを実行 AWS Backup するためのアクセス許可を持つ IAM ポリシー AWS Backup が必要です。が AWS Backup サポートするサービスごとに AWS 異なるアクセス許可が必要です。ロールは、 がロールを AWS Backup 引き受けることができる信頼されたエンティティとして AWS Backup リストされている必要があります。

バックアッププランにリソースを割り当てる場合、またはオンデマンドのバックアップ、コピー、または復元を実行する場合は、指定されたリソースで基盤となるオペレーションを実行するためのアクセス権を持つサービスロールを渡す必要があります。 は、このロール AWS Backup を使用してアカウント内のリソースを作成、タグ付け、削除します。

## AWS ロールを使用してバックアップへのアクセスを制御する
<a name="using-roles-to-control-access"></a>

ロールを使用してバックアップへのアクセスを制御するには、適用範囲を絞り込んだロールを定義し、そのロールを AWS Backupに渡すことのできるユーザーを指定します。例えば、Amazon Relational Database Service (Amazon RDS) データベースをバックアップするアクセス許可のみを付与し、そのロールを渡すアクセス許可のみを Amazon RDS データベース所有者に付与するロールを作成できます AWS Backup。 は、サポートされているサービスごとにいくつかの事前定義された管理ポリシー AWS Backup を提供します。これらの管理ポリシーは、作成したロールにアタッチできます。これにより、 AWS Backup に必要な適切なアクセス許可を持つサービス固有のロールを簡単に作成できます。

の AWS 管理ポリシーの詳細については AWS Backup、「」を参照してください[の管理ポリシー AWS Backup](security-iam-awsmanpol.md)。

## のデフォルトのサービスロール AWS Backup
<a name="default-service-roles"></a>

 AWS Backup コンソールを初めて使用する場合は、 でデフォルトのサービスロール AWS Backup を作成するように選択できます。このロールには、ユーザーに代わってバックアップを作成および復元 AWS Backup するために必要なアクセス許可があります。

**注記**  
デフォルトロールは、 AWS マネジメントコンソールを使用すると自動的に作成されます。 AWS Command Line Interface (AWS CLI) を使用してデフォルトのロールを作成できますが、手動で行う必要があります。

リソースタイプごとに異なるロールなど、カスタムロールを使用したい場合は、それを実行し、 AWS Backupにカスタムロールを渡すこともできます。個々のリソースタイプのバックアップと復元を有効にするロールの例を表示するには、[カスタマー管理ポリシー](security-iam-awsmanpol.md#customer-managed-policies) 表を参照してください。

デフォルトのサービスロール名は `AWSBackupDefaultServiceRole` です。このサービスロールには、[AWSBackupServiceRolePolicyForBackup](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBackupServiceRolePolicyForBackup.html) と [AWSBackupServiceRolePolicyForRestores](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBackupServiceRolePolicyForRestores.html) の 2 つのマネージドポリシーが含まれています。

`AWSBackupServiceRolePolicyForBackup` には、バックアップされるリソースを記述する AWS Backup アクセス許可、暗号化されている AWS KMS キーに関係なくバックアップにタグを作成、削除、記述、または追加する機能を付与する IAM ポリシーが含まれています。

`AWSBackupServiceRolePolicyForRestores` には、暗号化されている AWS KMS キーに関係なく、バックアップから作成される新しいリソースを作成、削除、または記述する AWS Backup アクセス許可を付与する IAM ポリシーが含まれています。また、新しく作成されたリソースにタグを付けるためのアクセス許可も含まれています。

Amazon EC2 インスタンスをリストアするには、新しいインスタンスを開始する必要があります。

## コンソール内でデフォールトのサービスロールを作成する
<a name="creating-default-service-role-console"></a>

 AWS Backup コンソールで実行する特定のアクションによって、 AWS Backup デフォルトのサービスロールが作成されます。

**AWS アカウントに AWS Backup デフォルトのサービスロールを作成するには**

1. [https://console.aws.amazon.com/backup](https://console.aws.amazon.com/backup) で AWS Backup コンソールを開きます。

1. アカウントのロールを作成するには、バックアッププランにリソースを割り当てるか、オンデマンドバックアップを作成します。

   1. バックアッププランを作成し、バックアップにリソースを割り当てます。「[バックアッププランの作成](https://docs.aws.amazon.com/aws-backup/latest/devguide/creating-a-backup-plan.html)」を参照してください。

   1. または、オンデマンドバックアップを作成します。「[オンデマンドバックアップを作成する](https://docs.aws.amazon.com/aws-backup/latest/devguide/create-on-demand-backup.html)」を参照してください。

1.  次の手順に従って、アカウントに `AWSBackupDefaultServiceRole` を作成したことを確認します。

   1. 数分待ちます。詳細については、「**AWS Identity and Access Management ユーザーガイド」の「[行った変更がすぐに表示されないことがある](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_general.html#troubleshoot_general_eventual-consistency)」を参照してください。

   1. にサインイン AWS マネジメントコンソール し、[https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) で IAM コンソールを開きます。

   1. 左のナビゲーションメニューから **[ロール]** を選択します。

   1. 検索バーに「`AWSBackupDefaultServiceRole`」と入力します この選択が存在する場合は、 AWS Backup デフォルトのロールを作成し、この手順を完了します。

   1. それでも `AWSBackupDefaultServiceRole` が表示されない場合は、コンソールへのアクセスに使用する IAM ユーザーまたは IAM ロールに次のアクセス許可を追加します。

------
#### [ JSON ]

****  

      ```
      {
        "Version":"2012-10-17",		 	 	 
        "Statement":[
          {
            "Effect":"Allow",
            "Action":[
              "iam:CreateRole",
              "iam:AttachRolePolicy",
              "iam:PassRole"
            ],
            "Resource":"arn:{{aws}}:iam::*:role/service-role/AWSBackupDefaultServiceRole"
          },
          {
            "Effect":"Allow",
            "Action":[
              "iam:ListRoles"
            ],
            "Resource":"*"
          }
        ]
      }
      ```

------

      中国リージョンの場合は、{{aws}} を {{aws-cn}} に置き換えてください。 AWS GovCloud (US) リージョンの場合は、{{aws}} を {{aws-us-gov}} に置き換えます。

   1. IAM ユーザーまたは IAM ロールにアクセス許可を追加できない場合は、管理者に依頼して、`AWSBackupDefaultServiceRole` *以外*の名前のロールを手動で作成し、そのロールを以下の管理ポリシーにアタッチするよう依頼します。
      + `AWSBackupServiceRolePolicyForBackup`
      + `AWSBackupServiceRolePolicyForRestores`