翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# ARC での準備状況チェックのための Identity and Access Management
**注記**
Amazon Application Recovery Controller (ARC) の準備状況チェック機能は、2026 年 4 月 30 日以降、新規のお客様に公開されなくなります。既存のお客様は、通常どおりサービスを引き続き使用できます。詳細については、[「Amazon Application Recovery Controller (ARC) の準備状況チェックの可用性の変更](https://docs.aws.amazon.com/r53recovery/latest/dg/arc-readiness-availability-change.html)」を参照してください。
AWS Identity and Access Management (IAM) は、管理者が AWS リソースへのアクセスを安全に制御 AWS のサービス するのに役立つ です。IAM 管理者は、誰が*認証* (サインイン) でき、誰が ARC リソースの使用を*許可される* (権限を持つ) かを制御します。IAM は、追加料金なしで使用できる AWS のサービス です。
**Topics**
+ [準備状況チェックが IAM と連携する仕組み](security_iam_service-with-iam-readiness.md)
+ [アイデンティティベースのポリシーの例](security_iam_id-based-policy-examples-readiness.md)
+ [サービスにリンクされた役割](using-service-linked-roles-readiness.md)
+ [AWS マネージドポリシー](security-iam-awsmanpol-readiness.md)
# Amazon Application Recovery Controller (ARC) で準備状況チェックが IAM と連携する仕組み
IAM を使用して ARC へのアクセスを管理する前に、ARC で利用できる IAM の機能について学びます。
IAM を使用して Amazon Application Recovery Controller (ARC) の準備状況チェックへのアクセスを管理する前に、準備状況チェックで使用できる IAM 機能を確認してください。
**Amazon Application Recovery Controller (ARC) で準備状況チェックにより使用できる IAM の機能**
| IAM 機能 | 準備状況チェックのサポート |
| --- | --- |
| [アイデンティティベースのポリシー](#security_iam_service-with-iam-readiness-id-based-policies) | あり |
| [リソースベースのポリシー](#security_iam_service-with-iam-readiness-resource-based-policies) | なし |
| [ポリシーアクション](#security_iam_service-with-iam-readiness-id-based-policies-actions) | あり |
| [ポリシーリソース](#security_iam_service-with-iam-readiness-id-based-policies-resources) | あり |
| [ポリシー条件キー](#security_iam_service-with-iam-readiness-id-based-policies-conditionkeys) | あり |
| [ACL](#security_iam_service-with-iam-readiness-acls) | なし |
| [ABAC (ポリシー内のタグ)](#security_iam_service-with-iam-readiness-tags) | あり |
| [一時的な認証情報](#security_iam_service-with-iam-readiness-roles-tempcreds) | あり |
| [プリンシパルアクセス権限](#security_iam_service-with-iam-readiness-principal-permissions) | あり |
| [サービスロール](#security_iam_service-with-iam-readiness-roles-service) | いいえ |
| [サービスリンクロール](#security_iam_service-with-iam-readiness-roles-service-linked) | はい |
AWS サービスがほとんどの IAM 機能と連携する方法の概要を把握するには、「IAM *ユーザーガイド*」の[AWS 「IAM と連携する のサービス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。
## 準備状況チェックのためのアイデンティティベースのポリシー
**アイデンティティベースのポリシーのサポート:** あり
アイデンティティベースポリシーは、IAM ユーザー、ユーザーグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。アイデンティティベースポリシーの作成方法については、「*IAM ユーザーガイド*」の「[カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)」を参照してください。
IAM アイデンティティベースのポリシーでは、許可または拒否するアクションとリソース、およびアクションを許可または拒否する条件を指定できます。JSON ポリシーで使用できるすべての要素について学ぶには、「*IAM ユーザーガイド*」の「[IAM JSON ポリシーの要素のリファレンス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)」を参照してください。
ARC のアイデンティティベースのポリシーの例を表示するには、「[Amazon Application Recovery Controller (ARC) のアイデンティティベースのポリシーの例](security_iam_id-based-policy-examples.md)」を参照してください。
## 準備状況チェック内のリソースベースのポリシー
**リソースベースのポリシーのサポート:** なし
リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。リソースベースのポリシーには例として、IAM ロールの信頼ポリシー や Amazon S3 バケットポリシー があげられます。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスをコントロールできます。
## 準備状況チェックのポリシーアクション
**ポリシーアクションのサポート:** あり
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。
JSON ポリシーの `Action` 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。
準備状況チェックの ARC アクションのリストを表示するには、「*サービス認証リファレンス*」の「[Amazon Route 53 Recovery Readiness で定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoveryreadiness-actions-as-permissions)」を参照してください。
準備状況チェックの ARC におけるポリシーのアクションでは、アクションの前に次のプレフィックスを使用します。
```
route53-recovery-readiness
```
単一のステートメントで複数のアクションを指定するには、アクションをカンマで区切ります。例えば、次のようになります。
```
"Action": [
"route53-recovery-readiness:action1",
"route53-recovery-readiness:action2"
]
```
ワイルドカード (\$1) を使用して複数アクションを指定できます。例えば、`Describe` という単語で始まるすべてのアクションを指定するには次のアクションを含めます。
```
"Action": "route53-recovery-readiness:Describe*"
```
準備状況チェックの ARC アイデンティティベースのポリシーの例を表示するには、「[ARC における準備状況チェックのアイデンティティベースのポリシーの例](security_iam_id-based-policy-examples-readiness.md)」を参照してください。
## 準備状況チェックのためのポリシーリソース
**ポリシーリソースのサポート:** あり
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件**下で**アクション**を実行できるかということです。
`Resource` JSON ポリシー要素はアクションが適用されるオブジェクトを指定します。ベストプラクティスとして、[Amazon リソースネーム (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) を使用してリソースを指定します。リソースレベルのアクセス許可をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (\$1) を使用します。
```
"Resource": "*"
```
ゾーンシフトの ARC アクションのリストを確認するには、「[Amazon Route 53 Recovery Readiness で定義されるアクション](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html#amazonroute53recoveryreadiness-actions-as-permissions)」を参照してください。
準備状況チェックの ARC アイデンティティベースのポリシーの例を表示するには、「[ARC における準備状況チェックのアイデンティティベースのポリシーの例](security_iam_id-based-policy-examples-readiness.md)」を参照してください。
## 準備状況チェックのポリシー条件キー
**サービス固有のポリシー条件キーのサポート:** あり
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。
`Condition` 要素は、定義された基準に基づいてステートメントが実行される時期を指定します。イコールや未満などの[条件演算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)を使用して条件式を作成して、ポリシーの条件とリクエスト内の値を一致させることができます。すべての AWS グローバル条件キーを確認するには、*「IAM ユーザーガイド*」の[AWS 「グローバル条件コンテキストキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)」を参照してください。
準備状況チェックの ARC アクションのリストを確認するには、「[Amazon Route 53 Recovery Readiness の条件キー](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html#amazonroute53recoveryreadiness-policy-keys)」を参照してください
準備状況チェックにより条件キーで使用できるアクションとリソースを確認するには、「[Amazon Route 53 Recovery Readiness で定義されるアクション](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html#amazonroute53recoveryreadiness-actions-as-permissions)」を参照してください。
準備状況チェックの ARC アイデンティティベースのポリシーの例を表示するには、「[ARC における準備状況チェックのアイデンティティベースのポリシーの例](security_iam_id-based-policy-examples-readiness.md)」を参照してください。
## 準備状況チェックのアクセスコントロールリスト (ACL)
**ACL のサポート:** なし
アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするためのアクセス許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。
## 準備状況チェックによる属性ベースのアクセス制御 (ABAC)
**ABAC (ポリシー内のタグ) のサポート:** 一部
属性ベースのアクセスコントロール (ABAC) は、タグと呼ばれる属性に基づいてアクセス許可を定義する認可戦略です。IAM エンティティと AWS リソースにタグをアタッチし、プリンシパルのタグがリソースのタグと一致するときにオペレーションを許可するように ABAC ポリシーを設計できます。
タグに基づいてアクセスを管理するには、`aws:ResourceTag/key-name`、`aws:RequestTag/key-name`、または `aws:TagKeys` の条件キーを使用して、ポリシーの[条件要素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)でタグ情報を提供します。
サービスがすべてのリソースタイプに対して 3 つの条件キーすべてをサポートする場合、そのサービスの値は**あり**です。サービスが一部のリソースタイプに対してのみ 3 つの条件キーのすべてをサポートする場合、値は「**部分的**」になります。
ABAC の詳細については、「*IAM ユーザーガイド*」の「[ABAC 認可でアクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)」を参照してください。ABAC をセットアップする手順を説明するチュートリアルについては、「*IAM ユーザーガイド*」の「[属性ベースのアクセスコントロール (ABAC) を使用する](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)」を参照してください。
リカバリの準備状況 (準備状況チェック) は ABAC をサポートしています。
## 準備状況チェックでの一時的な認証情報の使用
**一時的な認証情報のサポート:** あり
一時的な認証情報は、 AWS リソースへの短期的なアクセスを提供し、フェデレーションまたは切り替えロールを使用する場合に自動的に作成されます。 AWS では、長期的なアクセスキーを使用する代わりに、一時的な認証情報を動的に生成することをお勧めします。詳細については、「*IAM ユーザーガイド*」の「[IAM の一時的な認証情報](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)」および「[AWS のサービス と IAM との連携](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。
## 準備状況チェックのクロスサービスプリンシパル許可
**転送アクセスセッション (FAS) のサポート:** あり
IAM エンティティ (ユーザーまたはロール) を使用して でアクションを実行すると AWS、プリンシパルと見なされます。ポリシーによって、プリンシパルに許可が付与されます。一部のサービスを使用する際に、アクションを実行することで、別サービスの別アクションがトリガーされることがあります。この場合、両方のアクションを実行するためのアクセス許可が必要です。
準備状況チェックのアクションでポリシー内の追加の依存アクションが必要かどうかを確認するには、「[Amazon Route 53 Recovery Readiness](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html)」を参照してください。
## 準備状況チェックのサービスロール
**サービスロールのサポート:** なし
サービスロールとは、サービスがユーザーに代わってアクションを実行するために引き受ける [IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)です。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、IAM ユーザーガイド**の [AWS のサービスに許可を委任するロールを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)を参照してください。
## 準備状況チェックのサービスにリンクされたロール
**サービスリンクロールのサポート:** あり
サービスにリンクされたロールは、 にリンクされたサービスロールの一種です AWS のサービス。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは に表示され AWS アカウント 、サービスによって所有されます。IAM 管理者は、サービスリンクロールのアクセス許可を表示できますが、編集することはできません。
ARC サービスにリンクされたロールの作成または管理の詳細については、「[ARC の準備状況チェックにサービスにリンクされたロールを使用する](using-service-linked-roles-readiness.md)」を参照してください。
サービスにリンクされたロールの作成または管理の詳細については、「[IAM と提携するAWS のサービス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。表の「**サービスリンクロール**」列に `Yes` と記載されたサービスを見つけます。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、**[はい]** リンクを選択します。
# ARC における準備状況チェックのアイデンティティベースのポリシーの例
デフォルトでは、ユーザーおよびロールには、ARC リソースを作成または変更する権限はありません。IAM 管理者は、リソースで必要なアクションを実行するための権限をユーザーに付与する IAM ポリシーを作成できます。
これらのサンプルの JSON ポリシードキュメントを使用して IAM アイデンティティベースのポリシーを作成する方法については、「*IAM ユーザーガイド*」の「[IAM ポリシーを作成する (コンソール)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)」を参照してください。
ARC が定義するアクションとリソースタイプの詳細 (各リソースタイプの ARN の形式を含む) については、「*サービス認証リファレンス*」の「[Amazon Application Recovery Controller (ARC) のアクション、リソース、および条件キー](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html)」を参照してください。
**Topics**
+ [ポリシーに関するベストプラクティス](#security_iam_service-with-iam-policy-best-practices-zonal)
+ [例: 準備状況チェックコンソールへのアクセス](#security_iam_id-based-policy-examples-console-readiness)
+ [例: 準備状況チェックのための準備状況チェック API アクション](#security_iam_id-based-policy-examples-api-readiness)
## ポリシーに関するベストプラクティス
ID ベースのポリシーは、ユーザーのアカウントで誰かが ARC リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションでは、 AWS アカウントに費用が発生する場合があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:
+ ** AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する** – ユーザーとワークロードにアクセス許可の付与を開始するには、多くの一般的なユースケースにアクセス許可を付与する*AWS 管理ポリシー*を使用します。これらは で使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義することで、アクセス許可をさらに減らすことをお勧めします。詳細については、*IAM ユーザーガイド* の [AWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) または [ジョブ機能のAWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) を参照してください。
+ **最小特権を適用する** – IAM ポリシーでアクセス許可を設定する場合は、タスクの実行に必要な許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、*最小特権*アクセス許可とも呼ばれています。IAM を使用して許可を適用する方法の詳細については、*IAM ユーザーガイド* の [IAM でのポリシーとアクセス許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) を参照してください。
+ **IAM ポリシーで条件を使用してアクセスをさらに制限する** - ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。たとえば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。条件を使用して、サービスアクションが などの特定の を通じて使用されている場合に AWS のサービス、サービスアクションへのアクセスを許可することもできます CloudFormation。詳細については、*IAM ユーザーガイド* の [IAM JSON ポリシー要素:条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) を参照してください。
+ **IAM アクセスアナライザー を使用して IAM ポリシーを検証し、安全で機能的な権限を確保する** - IAM アクセスアナライザー は、新規および既存のポリシーを検証して、ポリシーが IAM ポリシー言語 (JSON) および IAM のベストプラクティスに準拠するようにします。IAM アクセスアナライザーは 100 を超えるポリシーチェックと実用的な推奨事項を提供し、安全で機能的なポリシーの作成をサポートします。詳細については、*IAM ユーザーガイド* の [IAM Access Analyzer でポリシーを検証する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) を参照してください。
+ **多要素認証 (MFA) を要求する** – で IAM ユーザーまたはルートユーザーを必要とするシナリオがある場合は AWS アカウント、MFA をオンにしてセキュリティを強化します。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、*IAM ユーザーガイド* の [MFA を使用した安全な API アクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) を参照してください。
IAM でのベストプラクティスの詳細については、*IAM ユーザーガイド* の [IAM でのセキュリティのベストプラクティス](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) を参照してください。
## 例: 準備状況チェックコンソールへのアクセス
Amazon Application Recovery Controller (ARC) コンソールにアクセスするには、最小限のアクセス許可セットが必要です。これらのアクセス許可により、 の ARC リソースの詳細を一覧表示および表示できます AWS アカウント。最小限必要な許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。
AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。
特定の API オペレーションのみへのアクセスを許可するときに、ユーザーとロールが引き続き準備状況チェックコンソールを使用できるようにするには、エンティティに準備状況チェック用の`ReadOnly` AWS 管理ポリシーもアタッチします。詳細については、「*IAM ユーザーガイド*」の「[準備状況チェックのマネージドポリシーのページ](security-iam-awsmanpol-readiness.md)」または「[ユーザーへのアクセス許可の追加](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)」を参照してください。
一部のタスクを実行するには、ユーザーは ARC の準備状況チェックに関連付けられているサービスにリンクされたロールを作成するアクセス許可を持っている必要があります。詳細については[ARC の準備状況チェックにサービスにリンクされたロールを使用する](using-service-linked-roles-readiness.md)を参照してください。
コンソールから準備状況チェック機能を使用するためのフルアクセスをユーザーに付与するには、次のようなポリシーをユーザーにアタッチします。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"route53-recovery-readiness:CreateCell",
"route53-recovery-readiness:CreateCrossAccountAuthorization",
"route53-recovery-readiness:CreateReadinessCheck",
"route53-recovery-readiness:CreateRecoveryGroup",
"route53-recovery-readiness:CreateResourceSet",
"route53-recovery-readiness:DeleteCell",
"route53-recovery-readiness:DeleteCrossAccountAuthorization",
"route53-recovery-readiness:DeleteReadinessCheck",
"route53-recovery-readiness:DeleteRecoveryGroup",
"route53-recovery-readiness:DeleteResourceSet",
"route53-recovery-readiness:GetArchitectureRecommendations",
"route53-recovery-readiness:GetCell",
"route53-recovery-readiness:GetCellReadinessSummary",
"route53-recovery-readiness:GetReadinessCheck",
"route53-recovery-readiness:GetReadinessCheckResourceStatus",
"route53-recovery-readiness:GetReadinessCheckStatus",
"route53-recovery-readiness:GetRecoveryGroup",
"route53-recovery-readiness:GetRecoveryGroupReadinessSummary",
"route53-recovery-readiness:GetResourceSet",
"route53-recovery-readiness:ListCells",
"route53-recovery-readiness:ListCrossAccountAuthorizations",
"route53-recovery-readiness:ListReadinessChecks",
"route53-recovery-readiness:ListRecoveryGroups",
"route53-recovery-readiness:ListResourceSets",
"route53-recovery-readiness:ListRules",
"route53-recovery-readiness:UpdateCell",
"route53-recovery-readiness:UpdateReadinessCheck",
"route53-recovery-readiness:UpdateRecoveryGroup",
"route53-recovery-readiness:UpdateResourceSet"
],
"Resource": "*"
}
]
}
```
------
## 例: 準備状況チェックのための準備状況チェック API アクション
ユーザーが ARC API アクションを使用して ARC 準備状況チェックコントロールプレーンと連携できるようにするには、例えば、リカバリグループ、リソースセット、準備状況チェックを作成するために、以下で説明するように、ユーザーが操作する必要がある API オペレーションに対応するポリシーをアタッチします。
一部のタスクを実行するには、ユーザーは ARC の準備状況チェックに関連付けられているサービスにリンクされたロールを作成するアクセス許可を持っている必要があります。詳細については[ARC の準備状況チェックにサービスにリンクされたロールを使用する](using-service-linked-roles-readiness.md)を参照してください。
準備状況チェックに関する API オペレーションを使用するには、次のようなポリシーをユーザーにアタッチします。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"route53-recovery-readiness:CreateCell",
"route53-recovery-readiness:CreateCrossAccountAuthorization",
"route53-recovery-readiness:CreateReadinessCheck",
"route53-recovery-readiness:CreateRecoveryGroup",
"route53-recovery-readiness:CreateResourceSet",
"route53-recovery-readiness:DeleteCell",
"route53-recovery-readiness:DeleteCrossAccountAuthorization",
"route53-recovery-readiness:DeleteReadinessCheck",
"route53-recovery-readiness:DeleteRecoveryGroup",
"route53-recovery-readiness:DeleteResourceSet",
"route53-recovery-readiness:GetArchitectureRecommendations",
"route53-recovery-readiness:GetCell",
"route53-recovery-readiness:GetCellReadinessSummary",
"route53-recovery-readiness:GetReadinessCheck",
"route53-recovery-readiness:GetReadinessCheckResourceStatus",
"route53-recovery-readiness:GetReadinessCheckStatus",
"route53-recovery-readiness:GetRecoveryGroup",
"route53-recovery-readiness:GetRecoveryGroupReadinessSummary",
"route53-recovery-readiness:GetResourceSet",
"route53-recovery-readiness:ListCells",
"route53-recovery-readiness:ListCrossAccountAuthorizations",
"route53-recovery-readiness:ListReadinessChecks",
"route53-recovery-readiness:ListRecoveryGroups",
"route53-recovery-readiness:ListResourceSets",
"route53-recovery-readiness:ListRules",
"route53-recovery-readiness:ListTagsForResources",
"route53-recovery-readiness:UpdateCell",
"route53-recovery-readiness:UpdateReadinessCheck",
"route53-recovery-readiness:UpdateRecoveryGroup",
"route53-recovery-readiness:UpdateResourceSet",
"route53-recovery-readiness:TagResource",
"route53-recovery-readiness:UntagResource"
],
"Resource": "*"
}
]
}
```
------
# ARC の準備状況チェックにサービスにリンクされたロールを使用する
Amazon Application Recovery Controller は AWS Identity and Access Management 、(IAM)[ サービスにリンクされたロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)を使用します。サービスにリンクされたロールは、サービスに直接リンクされた一意のタイプの IAM ロールです。この場合は ARC です。サービスにリンクされたロールは ARC によって事前定義されており、特定の目的でサービスがユーザーに代わって他の AWS サービスを呼び出すために必要なすべてのアクセス許可が含まれています。
サービスにリンクされたロールを使用すると、必要なアクセス許可を手動で追加する必要がなくなるため、ARC の設定が簡単になります。ARC は、サービスにリンクされたロールのアクセス許可を定義します。特に定義されている場合を除き、ARC のみがそのロールを引き受けることができます。定義されるアクセス許可には、信頼ポリシーと許可ポリシーが含まれており、その許可ポリシーを他の IAM エンティティにアタッチすることはできません。
サービスリンクロールを削除するには、まずその関連リソースを削除します。これにより、リソースにアクセスするためのアクセス許可を誤って削除できないため、ARC リソースが保護されます。
サービスにリンクされたロールをサポートする他のサービスの詳細については、[AWS 「IAM と連携するサービス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照し、「サービス**にリンクされたロール**」列で**「はい**」があるサービスを探します。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、**はい**リンクを選択します。
ARC には、この章で説明されている以下のサービスにリンクされたロールがあります。
+ ARC は Route**Route53RecoveryReadinessServiceRolePolicy**という名前のサービスにリンクされたロールを使用して、準備状況をチェックするためのリソースと設定にアクセスします。
+ ARC は、オートシフト練習実行****に という名前のサービスにリンクされたロールを使用して、お客様が提供する Amazon CloudWatch アラームとお客様 Health Dashboard イベントをモニタリングし、練習実行を開始します。
## Route53RecoveryReadinessServiceRolePolicy のサービスリンクロールアクセス許可
ARC は Route**Route53RecoveryReadinessServiceRolePolicy**という名前のサービスリンクロールを使用して、準備状況をチェックするためのリソースと設定にアクセスします。このセクションでは、サービスリンクロールのアクセス許可と、ロールの作成、編集、および削除に関して説明します。
### Route53RecoveryReadinessServiceRolePolicy のサービスリンクロールアクセス許可
このサービスリンクロールは、マネージドポリシーである `Route53RecoveryReadinessServiceRolePolicy` を使用します。
**Route53RecoveryReadinessServiceRolePolicy** サービスリンクロールは、以下のサービスを信頼してロールを引き受けます。
+ `route53-recovery-readiness.amazonaws.com`
このポリシーのアクセス許可を確認するには、「 *AWS マネージドポリシーリファレンス*」の[Route53RecoveryReadinessServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/Route53RecoveryReadinessServiceRolePolicy.html)」を参照してください。
サービスリンク役割の作成、編集、削除を IAM エンティティ (ユーザー、グループ、役割など) に許可するにはアクセス許可を設定する必要があります。詳細については、*「IAM User Guide」*(IAM ユーザーガイド) の[「Service-linked role permissions」](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)(サービスにリンクされたロールのアクセス権限) を参照してください。
### ARC の **Route53RecoveryReadinessServiceRolePolicy** サービスにリンクされたロールの作成
**Route53RecoveryReadinessServiceRolePolicy** サービスリンクロールを手動で作成する必要はありません。、、または AWS API で最初の準備状況チェック AWS マネジメントコンソール AWS CLIまたはクロスアカウント認可を作成すると、ARC によってサービスにリンクされたロールが作成されます。
このサービスリンクロールを削除した後で再度作成する必要が生じた場合は同じ方法でアカウントにロールを再作成できます。最初の準備状況チェックまたはクロスアカウント認可を作成すると、ARC はサービスにリンクされたロールを再度作成します。
### ARC の **Route53RecoveryReadinessServiceRolePolicy** サービスにリンクされたロールの編集
ARC では、**Route53RecoveryReadinessServiceRolePolicy** サービスにリンクされたロールを編集することはできません。サービスリンクロールの作成後は、他のエンティティがロールを参照する可能性があるため、ロールの名前を変更することはできません。ただし、IAM を使用してロールの説明を編集することはできます。詳細については、「IAM ユーザーガイド」の「サービスリンクロールの編集」を参照してください。
### ARC の **Route53RecoveryReadinessServiceRolePolicy** サービスにリンクされたロールの削除
サービスリンクロールを必要とする機能やサービスが不要になった場合は、ロールを削除することをお勧めします。そうすることで、積極的にモニタリングまたは保守されていない未使用のエンティティを排除できます。ただし、手動で削除する前に、サービスリンクロールのリソースをクリーンアップする必要があります。
準備状況チェックとクロスアカウント承認を削除した後、**Route53RecoveryReadinessServiceRolePolicy** サービスリンクロールを削除できます。準備状況チェックの詳細については、「[ARC の準備状況チェック](recovery-readiness.md)」を参照してください。クロスアカウント認証の詳細については、「[ARC でのクロスアカウント認証の作成](recovery-readiness.cross-account.md)」を参照してください。
**注記**
リソースを削除しようとしたときに ARC サービスがロールを使用している場合、サービスロールの削除が失敗する可能性があります。失敗した場合は、数分待ってからロールの削除をもう一度試してください。
**サービスリンクロールを IAM で手動削除するには**
IAM コンソール、 AWS CLI、または AWS API を使用して、Route53RecoveryReadinessServiceRolePolicy サービスにリンクされたロールを削除します。詳細については、 IAM ユーザーガイド の「[サービスにリンクされたロールの削除](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)」を参照してください。
## 準備状況チェックのための ARC サービスにリンクされたロールの更新
ARC サービスにリンクされたロールの AWS マネージドポリシーの更新については、ARC の [AWS マネージドポリシーの更新表](security-iam-awsmanpol.md#security-iam-awsmanpol-arc-updates)を参照してください。ARC [ドキュメント履歴ページで](doc-history.md)自動 RSS アラートをサブスクライブすることもできます。
# AWS ARC での準備状況チェックのための マネージドポリシー
AWS 管理ポリシーは、 によって作成および管理されるスタンドアロンポリシーです AWS。 AWS 管理ポリシーは、ユーザー、グループ、ロールにアクセス許可の割り当てを開始できるように、多くの一般的なユースケースにアクセス許可を付与するように設計されています。
AWS 管理ポリシーは、すべての AWS お客様が使用できるため、特定のユースケースに対して最小特権のアクセス許可を付与しない場合があることに注意してください。ユースケースに固有の[カスタマー管理ポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)を定義して、アクセス許可を絞り込むことをお勧めします。
AWS 管理ポリシーで定義されているアクセス許可は変更できません。が AWS マネージドポリシーで定義されたアクセス許可 AWS を更新すると、ポリシーがアタッチされているすべてのプリンシパル ID (ユーザー、グループ、ロール) に影響します。 AWS は、新しい が起動されるか、新しい API オペレーション AWS のサービス が既存のサービスで使用できるようになったときに、 AWS マネージドポリシーを更新する可能性が最も高くなります。
詳細については、「**IAM ユーザーガイド」の「[AWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)」を参照してください。
## AWS マネージドポリシー: Route53RecoveryReadinessServiceRolePolicy
IAM エンティティに `Route53RecoveryReadinessServiceRolePolicy` をアタッチすることはできません。このポリシーは、Amazon Application Recovery Controller (ARC) に、ARC が使用または管理している AWS サービスやリソースへのアクセスを許可する、サービスにリンクされたロールにアタッチされます。詳細については、「[ARC の準備状況チェックにサービスにリンクされたロールを使用する](using-service-linked-roles-readiness.md)」を参照してください。
## AWS マネージドポリシー: AmazonRoute53RecoveryReadinessFullAccess
IAM エンティティに `AmazonRoute53RecoveryReadinessFullAccess` をアタッチできます。このポリシーは、ARC のリカバリの準備状況 (準備状況チェック) を操作するアクションへの、フルアクセスを許可します。これを、リカバリの準備状況へのフルアクセスを必要とする IAM ユーザーとその他のプリンシパルにアタッチします。
このポリシーの許可を確認するには、「*AWS マネージドポリシーリファレンス*」の「[AmazonRoute53RecoveryReadinessFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryReadinessFullAccess.html)」を参照してください。
## AWS マネージドポリシー: AmazonRoute53RecoveryReadinessReadOnlyAccess
IAM エンティティに `AmazonRoute53RecoveryReadinessReadOnlyAccess` をアタッチできます。このポリシーは、ARC のリカバリの準備状況を操作するアクションへの読み取り専用アクセスを許可します。これは、準備状況のステータスとリカバリグループの設定を確認する必要があるユーザーに役立つポリシーです。これらのユーザーは、リソースを作成、更新、削除できません。
このポリシーのアクセス許可を確認するには、「*AWS マネージドポリシーリファレンス*」の「[AmazonRoute53RecoveryReadinessReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryReadinessReadOnlyAccess.html)」を参照してください。
## 準備のための AWS マネージドポリシーの更新
このサービスがこれらの変更の追跡を開始してからの ARC での準備状況チェックのための AWS マネージドポリシーの更新の詳細については、「」を参照してください[Amazon Application Recovery Controller (ARC) の AWS マネージドポリシーの更新](security-iam-awsmanpol.md#security-iam-awsmanpol-arc-updates)。このページの変更に関する自動通知については、ARC の「[ドキュメント履歴ページ](doc-history.md)」で RSS フィードをサブスクライブしてください。