View a markdown version of this page

デベロッパーツールコンソールの機能と IAM との連携方法 - デベロッパーツールコンソール
デベロッパーツールコンソールにおける通知のアイデンティティベースのポリシーAWSCodeStar Notifications および AWSCodeConnections リソースベースのポリシータグに基づく認可IAM ロール

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

デベロッパーツールコンソールの機能と IAM との連携方法

IAM を使用してデベロッパーツールコンソールの機能へのアクセスを管理する前に、どの IAM 機能を使用できるかを理解する必要があります。通知やその他のAWSサービスが IAM と連携する方法の概要を把握するには、「IAM ユーザーガイド」のAWS「IAM と連携する のサービス」を参照してください。

デベロッパーツールコンソールにおける通知のアイデンティティベースのポリシー

IAM アイデンティティベースのポリシーでは許可または拒否するアクションとリソース、またアクションを許可または拒否する条件を指定できます。AWSCodeStar Notifications と AWSCodeConnections は、特定のアクション、リソース、および条件キーをサポートします。JSON ポリシーで使用するすべての要素については「IAM ユーザーガイド」の「IAM JSON ポリシーエレメントのリファレンス」を参照してください。

アクション

管理者は JSON AWSポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

JSON ポリシーの Action 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。

デベロッパーツールコンソールでの通知のポリシーアクションは、アクション の前にプレフィックス codestar-notifications and codeconnections を使用します。例えば、アカウント内のすべての通知ルールを表示するアクセス許可をユーザーに付与するには、そのユーザーのポリシーに codestar-notifications:ListNotificationRules アクションを含めます。ポリシーステートメントには、 Actionまたは NotAction要素を含める必要があります。AWSCodeStar Notifications と AWSCodeConnections は、このサービスで実行できるタスクを記述する独自のアクションのセットを定義します。

単一のステートメントで複数のAWSCodeStar Notifications アクションを指定するには、次のようにカンマで区切ります。

"Action": [
      "codestar-notifications:action1",
      "codestar-notifications:action2"

1 つのステートメントで複数のAWS CodeConnectionsアクションを指定するには、次のようにカンマで区切ります。

"Action": [
      "codeconnections:action1",
      "codeconnections:action2"

ワイルドカード *を使用して複数のアクションを指定することができます。例えば、List という単語で始まるすべてのアクションを指定するには、次のアクションを含めます。

"Action": "codestar-notifications:List*"

AWSCodeStar Notifications API アクションには以下が含まれます。

  • CreateNotificationRule

  • DeleteNotificationRule

  • DeleteTarget

  • DescribeNotificationRule

  • ListEventTypes

  • ListNotificationRules

  • ListTagsForResource

  • ListTargets

  • Subscribe

  • TagResource

  • Unsubscribe

  • UntagResource

  • UpdateNotificationRule

AWS CodeConnectionsAPI アクションには以下が含まれます。

  • CreateConnection

  • DeleteConnection

  • GetConnection

  • ListConnections

  • ListTagsForResource

  • TagResource

  • UntagResource

認証ハンドシェイクを完了するAWS CodeConnectionsには、 で次のアクセス許可のみのアクションが必要です。

  • GetIndividualAccessToken

  • GetInstallationUrl

  • ListInstallationTargets

  • StartOAuthHandshake

  • UpdateConnectionInstallation

接続を使用するにはAWS CodeConnections、 で次のアクセス許可のみのアクションが必要です。

  • UseConnection

サービスへの接続を渡すAWS CodeConnectionsには、 で次のアクセス許可のみのアクションが必要です。

  • PassConnection

AWSCodeStar Notifications および AWSCodeConnections アクションのリストを確認するには、IAM ユーザーガイドのAWSCodeStar Notifications で定義されるアクション」およびAWSCodeConnections で定義されるアクション」を参照してください。

リソース

AWSCodeStar Notifications と AWSCodeConnections は、ポリシーでのリソース ARNs の指定をサポートしていません。

条件キー

AWSCodeStar Notifications と AWSCodeConnections は、独自の条件キーのセットを定義し、いくつかのグローバル条件キーの使用もサポートします。すべてのAWSグローバル条件キーを確認するには、「IAM ユーザーガイド」のAWS「グローバル条件コンテキストキー」を参照してください。

AllAWSCodeStar Notifications アクションは、 codestar-notifications:NotificationsForResource 条件キーをサポートします。詳細については、「アイデンティティベースのポリシーの例」を参照してください。

AWS CodeConnectionsは、IAM ポリシーの Condition要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。詳細については、「AWSCodeConnections アクセス許可リファレンス」を参照してください。

条件キー 説明

codeconnections:BranchName

 サードパーティーリポジトリのブランチ名でアクセスをフィルタリングします

codeconnections:FullRepositoryId

 リクエストで渡されたリポジトリによるアクセスをフィルタリングします。特定のリポジトリにアクセスするための UseConnection リクエストにのみ適用します
codeconnections:InstallationId 接続の更新に使用されるサードパーティー ID (Bitbucket アプリのインストール ID など) でアクセスをフィルタリングします。接続を作成するために使用できるサードパーティー製アプリのインストールを制限できます。
codeconnections:OwnerId サードパーティープロバイダーの所有者またはアカウント ID でアクセスをフィルタリングします

codeconnections:PassedToService

 プリンシパルが接続を渡すことができるサービスでアクセスをフィルタリングします

codeconnections:ProviderAction

 ListRepositories など、UseConnection リクエストのプロバイダーアクションでアクセスをフィルタリングします。
codeconnections:ProviderPermissionsRequired サードパーティープロバイダーのアクセス許可のタイプでアクセスをフィルタリングします

codeconnections:ProviderType

 リクエストで渡されたサードパーティープロバイダーのタイプによってアクセスをフィルタリングします。
codeconnections:ProviderTypeFilter 結果をフィルタリングするために使用されるサードパーティープロバイダーのタイプによってアクセスをフィルタリングします。
codeconnections:RepositoryName サードパーティーのリポジトリ名でアクセスをフィルタリングします

例

AWSCodeStar Notifications と AWSCodeConnections のアイデンティティベースのポリシーの例を表示するには、「」を参照してくださいアイデンティティベースのポリシーの例。

AWSCodeStar Notifications および AWSCodeConnections リソースベースのポリシー

AWSCodeStar Notifications と AWSCodeConnections は、リソースベースのポリシーをサポートしていません。

タグに基づく認可

AWSCodeStar Notifications および AWSCodeConnections リソースにタグをアタッチするか、リクエストでタグを渡すことができます。タグに基づいてアクセスを管理するには、codestar-notifications and codeconnections:ResourceTag/key-name、aws:RequestTag/key-name、または aws:TagKeys の条件キーを使用して、ポリシーの条件要素でタグ情報を提供します。タグ付け戦略の詳細については、「 AWSリソースのタグ付け」を参照してください。AWSCodeStar Notifications および AWSCodeConnections リソースのタグ付けの詳細については、「」を参照してくださいタグ接続リソース。

リソースのタグに基づいてリソースへのアクセスを制限するためのアイデンティティベースのポリシーの例を表示するには、「タグを使用して AWSCodeConnections リソースへのアクセスを制御する」を参照してください。

IAM ロール

IAM ロールは、特定のアクセス許可を持つAWSアカウント内のエンティティです。

一時的な認証情報を使用する

一時的な認証情報を使用して、フェデレーションでのサインイン、 IAM ロールの引き受け、またはクロスアカウントロールの引き受けを行うことができます。一時的なセキュリティ認証情報を取得するには、AssumeRole や GetFederationToken などの AWS STSAPI オペレーションを呼び出します。

AWSCodeStar Notifications と AWSCodeConnections は、一時的な認証情報の使用をサポートしています。

サービスリンクロール

サービスにリンクされたロールを使用すると、 AWSサービスは他の サービスのリソースにアクセスして、ユーザーに代わってアクションを実行できます。サービスリンクロールは IAM アカウント内に表示され、サービスによって所有されます。IAM 管理者は、サービスリンクロールの許可を表示できますが、編集することはできません。

AWSCodeStar Notifications は、サービスにリンクされたロールをサポートしています。AWSCodeStar Notifications および AWSCodeConnections サービスにリンクされたロールの作成または管理の詳細については、「」を参照してくださいAWS CodeStar Notifications のサービスにリンクされたロールの使用。

CodeConnections は、サービスにリンクされたロールをサポートしていません。