翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# Macie と の連携方法 AWS Identity and Access Management
AWS Identity and Access Management (IAM) を使用して Amazon Macie へのアクセスを管理する前に、Macie で使用できる IAM 機能を確認してください。
**Macie で使用できる IAM の機能**
| IAM 機能 | Macie サポート |
| --- | --- |
| [アイデンティティベースのポリシー](#security_iam_service-with-iam-id-based-policies) | あり |
| [リソースベースのポリシー](#security_iam_service-with-iam-resource-based-policies) | なし |
| [ポリシーアクション](#security_iam_service-with-iam-id-based-policies-actions) | あり |
| [ポリシーリソース](#security_iam_service-with-iam-id-based-policies-resources) | あり |
| [ポリシー条件キー](#security_iam_service-with-iam-id-based-policies-conditionkeys) | はい |
| [アクセスコントロールリスト (ACL) ](#security_iam_service-with-iam-acls) | いいえ |
| [属性ベースのアクセス制御 (ABAC) – ポリシー内のタグ](#security_iam_service-with-iam-tags) | はい |
| [一時的な認証情報](#security_iam_service-with-iam-roles-tempcreds) | あり |
| [転送アクセスセッション (FAS)](#security_iam_service-with-iam-principal-permissions) | あり |
| [サービスロール](#security_iam_service-with-iam-roles-service) | いいえ |
| [サービスリンクロール](#security_iam_service-with-iam-roles-service-linked) | はい |
Macie およびその他の がほとんどの IAM 機能と AWS のサービス 連携する方法の概要については、「IAM *ユーザーガイド*」の[AWS のサービス 「IAM と連携する](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) 」を参照してください。
## Macie のアイデンティティベースの ポリシー
**アイデンティティベースのポリシーのサポート:** あり
アイデンティティベースポリシーは、IAM ユーザー、ユーザーグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。アイデンティティベースポリシーの作成方法については、「*IAM ユーザーガイド*」の「[カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)」を参照してください。
IAM アイデンティティベースのポリシーでは、許可または拒否するアクションとリソース、およびアクションを許可または拒否する条件を指定できます。JSON ポリシーで使用できるすべての要素について学ぶには、「*IAM ユーザーガイド*」の「[IAM JSON ポリシーの要素のリファレンス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)」を参照してください。
Amazon Macie はアイデンティティベースのポリシーをサポートします。例については「[Macie のアイデンティティベースのポリシー例](security_iam_id-based-policy-examples.md)」を参照してください。
## Macie 内のリソースベースのポリシー
**リソースベースのポリシーのサポート:** なし
リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。リソースベースのポリシーには例として、IAM *ロールの信頼ポリシー*や Amazon S3 *バケットポリシー*があげられます。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスをコントロールできます。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーで、[プリンシパルを指定する](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)必要があります。プリンシパルには、アカウント、ユーザー、ロール、フェデレーティッドユーザー、または を含めることができます AWS のサービス。
クロスアカウントアクセスを有効にするには、全体のアカウント、または別のアカウントの IAM エンティティを、リソースベースのポリシーのプリンシパルとして指定します。詳細については、IAM ユーザーガイド**の[IAM でのクロスアカウントリソースアクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)を参照してください。
Amazon Macie では、resource-based policies はサポートされていません。つまり、ポリシーを Macie リソースに直接アタッチすることはできません。
## Macie のポリシーアクション
**ポリシーアクションのサポート:** あり
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。
JSON ポリシーの `Action` 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。
Amazon Macie のポリシーアクションでは、アクションの前に、次のプレフィックスを使用します。
```
macie2
```
例えば、プロジェクトのすべてのセグメントに関する情報を表示するためのアクセス許可をユーザーに付与するには、ポリシーに `macie2:ListManagedDataIdentifiers` アクションを含めます (これは、Amazon Macie API の `ListManagedDataIdentifiers` オペレーションに対応するアクションです)。
```
"Action": "macie2:ListManagedDataIdentifiers"
```
単一のステートメントで複数のアクションを指定するには、アクションをカンマで区切ります。例えば、次のようになります。
```
"Action": [
"macie2:ListManagedDataIdentifiers",
"macie2:ListCustomDataIdentifiers"
]
```
ワイルドカード (\$1) を使用して複数のアクションを指定することもできます。例えば、`List` という単語で始まるすべてのアクションを指定するには次のアクションを含めます。
```
"Action": "macie2:List*"
```
ただしベストプラクティスとして、最小特権 の原則に準拠したポリシーを作成してください。別の言い方をすると、特定タスクの実行にのみ必要とされる権限のみが含まれたポリシーを作成してください。
Macie アクションのリストを確認するには、*サービス認可リファレンス*の「[Amazon Macie で定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmacie.html#amazonmacie-actions-as-permissions)」を参照してください。Macie アクションを指定するポリシーの例については、[Macie のアイデンティティベースのポリシー例](security_iam_id-based-policy-examples.md)を参照してください。
## Macie のポリシーリソース
**ポリシーリソースのサポート:** あり
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件**下で**アクション**を実行できるかということです。
`Resource` JSON ポリシー要素はアクションが適用されるオブジェクトを指定します。ベストプラクティスとして、[Amazon リソースネーム (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) を使用してリソースを指定します。リソースレベルのアクセス許可をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (\$1) を使用します。
```
"Resource": "*"
```
Amazon Macie は以下のリソースタイプを定義します。
+ 許可リスト
+ カスタムデータ識別子
+ フィルターまたは抑制ルール、検出結果フィルターとも呼ばれる
+ メンバーアカウント
+ 機密データ検出ジョブ分類ジョブとも呼ばれる
ポリシーでは、次のタイプの リソースに対して ARN を指定できます。
例えば、ジョブ ID が 3ce05dbb7ec5505def334104bexample の機密データ検出ジョブのポリシーを作成するには、次の ARN を使用できます。
```
"Resource": "arn:aws:macie2:*:*:classification-job/3ce05dbb7ec5505def334104bexample"
```
または、特定のアカウントのすべての機密データ検出ジョブを指定するには、ワイルドカード (\$1) を使用します。
```
"Resource": "arn:aws:macie2:*:123456789012:classification-job/*"
```
ここで、*123456789012* はジョブを作成した AWS アカウント のアカウント ID です。ただしベストプラクティスとして、最小特権 の原則に準拠したポリシーを作成してください。別の言い方をすると、特定のリソースで特定タスクの実行にのみ必要とされる権限のみが含まれたポリシーを作成してください。
Macie アクションの中には、複数のリソースに適用できるものもあります。例えば、`macie2:BatchGetCustomDataIdentifiers` アクションは複数のカスタムデータ識別子の詳細を取得できます。このような場合、プリンシパルにはアクションが適用されるすべてのリソースにアクセスする権限が必要です。単一のステートメントで複数のリソースを指定するには、ARN 間をカンマで区切ります。
```
"Resource": [
"arn:aws:macie2:*:*:custom-data-identifier/12g4aff9-8e22-4f2b-b3fd-3063eexample",
"arn:aws:macie2:*:*:custom-data-identifier/2d12c96a-8e78-4ca6-b1dc-8fd65example",
"arn:aws:macie2:*:*:custom-data-identifier/4383a69d-4a1e-4a07-8715-208ddexample"
]
```
Macie リソースタイプのリストとそれぞれの ARN 構文については、**サービス認可リファレンスの「[Amazon Macie で定義されるリソースタイプ](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmacie.html#amazonmacie-resources-for-iam-policies)」を参照してください。各リソースタイプで指定できるアクションについては、**サービス認可リファレンスの「[Amazon Macie によって定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmacie.html#amazonmacie-actions-as-permissions)」を参照してください。リソースを指定するポリシーの例については、[Macie のアイデンティティベースのポリシー例](security_iam_id-based-policy-examples.md)を参照してください。
## Macie 向けのポリシー条件キー
**サービス固有のポリシー条件キーのサポート:** あり
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。
`Condition` 要素は、定義された基準に基づいてステートメントが実行される時期を指定します。イコールや未満などの[条件演算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)を使用して条件式を作成して、ポリシーの条件とリクエスト内の値を一致させることができます。すべての AWS グローバル条件キーを確認するには、*「IAM ユーザーガイド*」の[AWS 「グローバル条件コンテキストキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)」を参照してください。
Amazon Macie での条件キーの一覧については、サービス認可リファレンス**の「[Amazon Macie の条件キー](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmacie.html#amazonmacie-policy-keys)」を参照してください。どのアクションおよびリソースと条件キーを使用できるかについては、[Amazon Macie で定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonmacie.html#amazonmacie-actions-as-permissions)を参照してください。条件キーを使用するポリシーの例については、[Macie のアイデンティティベースのポリシー例](security_iam_id-based-policy-examples.md)を参照してください。
## Macie のアクセスコントロールリスト (ACL)
**ACL のサポート:** なし
アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするためのアクセス許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。
Amazon Simple Storage Service (Amazon S3) は、ACL AWS のサービス をサポートする の例です。 ACLs ACL の詳細については、Amazon Simple Storage Service デベロッパーガイドの[アクセスコントロールリスト (ACL) の概要](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html)を参照してください。
Amazon Macie は ACL に対応していません。つまり、Macie リソースに ACL をアタッチすることはできません。
## Macie での属性ベースのアクセス制御 (ABAC)
**ABAC (ポリシー内のタグ) のサポート:** あり
属性ベースのアクセス制御 (ABAC) は、タグと呼ばれる属性に基づいてアクセス許可を定義する認可戦略です。IAM エンティティと AWS リソースにタグをアタッチし、プリンシパルのタグがリソースのタグと一致するときにオペレーションを許可するように ABAC ポリシーを設計できます。
タグに基づいてアクセスを管理するには、`aws:ResourceTag/key-name`、`aws:RequestTag/key-name`、または `aws:TagKeys` の条件キーを使用して、ポリシーの[条件要素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)でタグ情報を提供します。
サービスがすべてのリソースタイプに対して 3 つの条件キーすべてをサポートする場合、そのサービスの値は**あり**です。サービスが一部のリソースタイプに対してのみ 3 つの条件キーのすべてをサポートする場合、値は「**部分的**」になります。
ABAC の詳細については、「*IAM ユーザーガイド*」の「[ABAC 認可でアクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)」を参照してください。ABAC をセットアップする手順を説明するチュートリアルについては、「*IAM ユーザーガイド*」の「[属性ベースのアクセスコントロール (ABAC) を使用する](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)」を参照してください。
Amazon Macie リソース (許可リスト、カスタムデータ識別子、フィルタールールと抑制ルール、メンバーアカウント、機密データ検出ジョブ) にはタグを添付できます。ポリシーの `Condition` 要素にタグ情報を指定することで、これらの種類のリソースへのアクセスを制御することもできます。タグの添付については、「[Macie リソースにタグ付けする](tagging-resources.md)」を参照してください。タグに基づいてリソースへのアクセスを制御するアイデンティティベースのポリシーの例については、[Macie のアイデンティティベースのポリシー例](security_iam_id-based-policy-examples.md)をご参照ください。
## Macie での一時的な認証情報の使用
**一時的な認証情報のサポート:** あり
一時的な認証情報は、 AWS リソースへの短期的なアクセスを提供し、フェデレーションまたはスイッチロールの使用時に自動的に作成されます。長期的なアクセスキーを使用する代わりに、一時的な認証情報を動的に生成 AWS することをお勧めします。詳細については、「*IAM ユーザーガイド*」の「[IAM の一時的な認証情報](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)」および「[AWS のサービス と IAM との連携](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。
Amazon Macie は、一時的な認証情報の使用をサポートしています。
## Macie の転送アクセスセッション
**転送アクセスセッション (FAS) のサポート:** あり
転送アクセスセッション (FAS) は、 を呼び出すプリンシパルのアクセス許可と AWS のサービス、ダウンストリームサービス AWS のサービス へのリクエストをリクエストする を使用します。FAS リクエストを行う際のポリシーの詳細については、「[転送アクセスセッション](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)」を参照してください。
次のタスクを実行する AWS のサービス と、Amazon Macie はダウンストリームに FAS リクエストを行います。
+ S3 バケットに保存されている許可リストの Macie の設定を作成または更新します。
+ S3 バケットに保存されている許可リストのステータスをチェックします。
+ IAM ユーザー認証情報を使用して、対象の S3 オブジェクトから機密データのサンプルを取得します。
+ IAM ユーザー認証情報または IAM ロールを使用して取得した機密データのサンプルを暗号化します。
+ Macie が と統合できるようにします AWS Organizations。
+ AWS Organizationsで組織のために委任された Macie 管理者アカウントを指定します。
他のタスクでは、Macie は、サービスリンクロールを使用して、ユーザーに代わってアクションを実行します。このロールの詳細については、[Macie のサービスリンクロールの使用](service-linked-roles.md)を参照してください。
## Macie のサービスロール
**サービスロールのサポート:** なし
サービスロールとは、サービスがユーザーに代わってアクションを実行するために引き受ける [IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)です。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、IAM ユーザーガイド**の [AWS のサービスに許可を委任するロールを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)を参照してください。
Amazon Macie はサービスロールを引き受けたり、使用したりしません。ユーザーに代わってアクションを実行するには、Macie は主にサービスリンクロールを使用します。このロールの詳細については、[Macie のサービスリンクロールの使用](service-linked-roles.md)を参照してください。
## Macie のサービスにリンクされたロール
**サービスリンクロールのサポート:** あり
サービスにリンクされたロールは、 にリンクされたサービスロールの一種です AWS のサービス。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは に表示され AWS アカウント 、サービスによって所有されます。IAM 管理者は、サービスリンクロールのアクセス許可を表示できますが、編集することはできません。
Amazon Macie は、サービスにリンクされたロールを使用して、ユーザーに代わってアクションを実行します。このロールの詳細については、[Macie のサービスリンクロールの使用](service-linked-roles.md)を参照してください。