翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # ルーティングコントロール用 Identity and Access Management AWS Identity and Access Management (IAM) は、管理者が AWS リソースへのアクセスを安全に制御 AWS のサービス するのに役立つ です。IAM 管理者は、誰が*認証* (サインイン) でき、誰が ARC リソースの使用を*許可される* (権限を持つ) かを制御します。IAM は、追加料金なしで使用できる AWS のサービス です。 **Topics** + [ルーティングコントロールが IAM と連携する仕組み](security_iam_service-with-iam-routing.md) + [アイデンティティベースのポリシーの例](security_iam_id-based-policy-examples-routing.md) + [AWS マネージドポリシー](security-iam-awsmanpol-routing.md) # Amazon Application Recovery Controller (ARC) のルーティングコントロールが IAM と連携する仕組み IAM を使用して Amazon Application Recovery Controller (ARC) のルーティングコントロールへのアクセスを管理する前に、ルーティングコントロールで使用できる IAM 機能について説明します。 **Amazon Application Recovery Controller (ARC) のルーティングコントロールで使用できる IAM の機能** | IAM の機能 | ルーティングコントロールのサポート | | --- | --- | | [アイデンティティベースのポリシー](#security_iam_service-with-iam-routing-id-based-policies) | あり | | [リソースベースのポリシー](#security_iam_service-with-iam-routing-resource-based-policies) | なし | | [ポリシーアクション](#security_iam_service-with-iam-routing-id-based-policies-actions) | あり | | [ポリシーリソース](#security_iam_service-with-iam-routing-id-based-policies-resources) | あり | | [ポリシー条件キー](#security_iam_service-with-iam-routing-id-based-policies-conditionkeys) | あり | | [ACL](#security_iam_service-with-iam-routing-acls) | なし | | [ABAC (ポリシー内のタグ)](#security_iam_service-with-iam-routing-tags) | 部分的 | | [一時認証情報](#security_iam_service-with-iam-routing-roles-tempcreds) | あり | | [プリンシパルアクセス権限](#security_iam_service-with-iam-routing-principal-permissions) | あり | | [サービスロール](#security_iam_service-with-iam-routing-roles-service) | いいえ | | [サービスリンクロール](#security_iam_service-with-iam-routing-roles-service-linked) | いいえ | AWS サービスがほとんどの IAM 機能と連携する方法の概要を把握するには、「IAM *ユーザーガイド*」の[AWS 「IAM と連携する のサービス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。 ## ARC のアイデンティティベースのポリシー **アイデンティティベースのポリシーのサポート:** あり アイデンティティベースポリシーは、IAM ユーザー、ユーザーグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。アイデンティティベースポリシーの作成方法については、「*IAM ユーザーガイド*」の「[カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)」を参照してください。 IAM アイデンティティベースのポリシーでは、許可または拒否するアクションとリソース、およびアクションを許可または拒否する条件を指定できます。JSON ポリシーで使用できるすべての要素について学ぶには、「*IAM ユーザーガイド*」の「[IAM JSON ポリシーの要素のリファレンス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)」を参照してください。 ルーティングコントロール用の ARC アイデンティティベースのポリシー例は、「[ARC のルーティングコントロールに関するアイデンティティベースのポリシー例](security_iam_id-based-policy-examples-routing.md)」を参照してください。 ## ルーティングコントロール内のリソースベースのポリシー **リソースベースのポリシーのサポート:** なし リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。リソースベースのポリシーには例として、IAM ロールの信頼ポリシーや Amazon S3 バケットポリシーがあげられます。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスをコントロールできます。 ## ルーティングコントロールのポリシーアクション **ポリシーアクションのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。 JSON ポリシーの `Action` 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。 ルーティングコントロールの ARC アクションのリストは、「*サービス認証リファレンス*」の「[Amazon Route 53 リカバリコントロールで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoverycontrols-actions-as-permissions)」および「[Amazon Route 53 リカバリクラスターで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoverycluster-actions-as-permissions)」を参照してください。 ルーティングコントロール用の ARC ポリシーアクションは、使用中の API に応じて、アクションの前に以下のプレフィックスを使用します。 ``` route53-recovery-control-config route53-recovery-cluster ``` 単一のステートメントで複数のアクションを指定するには、アクションをカンマで区切ります。例えば、次の操作を実行できます。 ``` "Action": [ "route53-recovery-control-config:action1", "route53-recovery-control-config:action2" ] ``` ワイルドカード (\$1) を使用して複数アクションを指定できます。例えば、`Describe` という単語で始まるすべてのアクションを指定するには次のアクションを含めます。 ``` "Action": "route53-recovery-control-config:Describe*" ``` ルーティングコントロール用の ARC アイデンティティベースのポリシー例は、「[ARC のルーティングコントロールに関するアイデンティティベースのポリシー例](security_iam_id-based-policy-examples-routing.md)」を参照してください。 ## ARC のポリシーリソース **ポリシーリソースのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件**下で**アクション**を実行できるかということです。 `Resource` JSON ポリシー要素はアクションが適用されるオブジェクトを指定します。ベストプラクティスとして、[Amazon リソースネーム (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) を使用してリソースを指定します。リソースレベルのアクセス許可をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (\$1) を使用します。 ``` "Resource": "*" ``` *サービス認証リファレンス*では、ARC に関連する次の情報を確認できます。 リソースタイプとその ARN のリスト、および各リソースの ARN で指定できるアクションについては、「サービス認証リファレンス」の以下のトピックを参照してください。** + [Amazon Route 53 Recovery コントロールで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoverycontrols-actions-as-permissions) + [Amazon Route 53 リカバリクラスターで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoverycluster-actions-as-permissions) ルーティングコントロール用の ARC アイデンティティベースのポリシー例は、「[ARC のルーティングコントロールに関するアイデンティティベースのポリシー例](security_iam_id-based-policy-examples-routing.md)」を参照してください。 ## ARC のポリシー条件キー **サービス固有のポリシー条件キーのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。 `Condition` 要素は、定義された基準に基づいてステートメントが実行される時期を指定します。イコールや未満などの[条件演算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)を使用して条件式を作成して、ポリシーの条件とリクエスト内の値を一致させることができます。すべての AWS グローバル条件キーを確認するには、*「IAM ユーザーガイド*」の[AWS 「グローバル条件コンテキストキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)」を参照してください。 ルーティングコントロール用の ARC の条件キーのリストについては、「*サービス認証リファレンス*」の以下のトピックを参照してください。 + [Amazon Route 53 Recovery コントロールの条件キー](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoverycontrols-policy-keys) + [Amazon Route 53 リカバリクラスターの条件キー](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoverycluster-policy-keys) 条件キーで使用できるアクションとリソースについては、「サービス認証リファレンス」の以下のトピックを参照してください。** + リソースタイプとその ARN のリストは、「[Amazon Route 53 リカバリコントロールで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoverycontrols-actions-as-permissions)」および「[Amazon Route 53 リカバリクラスターで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoverycluster-actions-as-permissions)」を参照してください。 + 各リソースの ARN で指定できるアクションのリストは、「[Amazon Route 53 リカバリコントロールで定義されるリソース](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoverycontrols-resources-for-iam-policies)」および「[Amazon Route 53 リカバリクラスターで定義されるリソース](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoverycluster-resources-for-iam-policies)」を参照してください。 ルーティングコントロール用の ARC アイデンティティベースのポリシー例は、「[ARC のルーティングコントロールに関するアイデンティティベースのポリシー例](security_iam_id-based-policy-examples-routing.md)」を参照してください。 ## ARC のアクセスコントロールリスト (ACL) **ACL のサポート:** なし アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするためのアクセス許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。 ## ARC での属性ベースのアクセス制御 (ABAC) **ABAC (ポリシー内のタグ) のサポート:** 一部 属性ベースのアクセスコントロール (ABAC) は、タグと呼ばれる属性に基づいてアクセス許可を定義する認可戦略です。IAM エンティティと AWS リソースにタグをアタッチし、プリンシパルのタグがリソースのタグと一致するときにオペレーションを許可するように ABAC ポリシーを設計できます。 タグに基づいてアクセスを管理するには、`aws:ResourceTag/key-name`、`aws:RequestTag/key-name`、または `aws:TagKeys` の条件キーを使用して、ポリシーの[条件要素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)でタグ情報を提供します。 サービスがすべてのリソースタイプに対して 3 つの条件キーすべてをサポートする場合、そのサービスの値は**あり**です。サービスが一部のリソースタイプに対してのみ 3 つの条件キーのすべてをサポートする場合、値は「**部分的**」になります。 ABAC の詳細については、「*IAM ユーザーガイド*」の「[ABAC 認可でアクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)」を参照してください。ABAC をセットアップする手順を説明するチュートリアルについては、「*IAM ユーザーガイド*」の「[属性ベースのアクセスコントロール (ABAC) を使用する](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)」を参照してください。 ARC のルーティングコントロールには、ABAC の以下のサポートが含まれています。 + Recovery Control Config は ABAC をサポートしています。 + リカバリクラスターは ABAC をサポートしていません。 ## ARC での一時的な認証情報の使用 **一時的な認証情報のサポート:** あり 一時的な認証情報は、 AWS リソースへの短期的なアクセスを提供し、フェデレーションまたはスイッチロールの使用時に自動的に作成されます。長期的なアクセスキーを使用する代わりに、一時的な認証情報を動的に生成 AWS することをお勧めします。詳細については、「*IAM ユーザーガイド*」の「[IAM の一時的な認証情報](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)」および「[AWS のサービス と IAM との連携](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。 ## ARC のクロスサービスプリンシパル権限 **転送アクセスセッション (FAS) のサポート:** あり IAM エンティティ (ユーザーまたはロール) を使用して でアクションを実行すると AWS、プリンシパルと見なされます。ポリシーによって、プリンシパルに許可が付与されます。一部のサービスを使用する際に、アクションを実行することで、別サービスの別アクションがトリガーされることがあります。この場合、両方のアクションを実行するためのアクセス許可が必要です。 アクションにポリシーで追加の依存アクションが必要かどうかを確認するには、「サービス認証リファレンス」の以下のトピックを参照してください。** + [ Amazon Route 53 リカバリクラスター](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoverycluster.html) + [ Amazon Route 53 リカバリコントロール](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoverycontrols.html) ## ARC のサービスロール **サービスロールのサポート:** なし サービスロールとは、サービスがユーザーに代わってアクションを実行するために引き受ける [IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)です。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、IAM ユーザーガイド**の [AWS のサービスに許可を委任するロールを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)を参照してください。 ## ARC のサービスにリンクされたロール **サービスリンクロールのサポート** サービスにリンクされたロールは、 サービスにリンクされた AWS サービスロールの一種です。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは AWS アカウントに表示され、サービスによって所有されます。IAM 管理者は、サービスリンクロールのアクセス許可を表示できますが、編集することはできません。 ルーティングコントロールは、サービスにリンクされたロールを使用しません。 # ARC のルーティングコントロールに関するアイデンティティベースのポリシー例 デフォルトでは、ユーザーおよびロールには、ARC リソースを作成または変更する権限はありません。IAM 管理者は、リソースで必要なアクションを実行するための権限をユーザーに付与する IAM ポリシーを作成できます。 これらのサンプルの JSON ポリシードキュメントを使用して IAM アイデンティティベースのポリシーを作成する方法については、「*IAM ユーザーガイド*」の「[IAM ポリシーを作成する (コンソール)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)」を参照してください。 ARC が定義するアクションとリソースタイプの詳細 (各リソースタイプの ARN の形式を含む) については、「*サービス認証リファレンス*」の「[Amazon Application Recovery Controller (ARC) のアクション、リソース、および条件キー](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html)」を参照してください。 **Topics** + [ポリシーに関するベストプラクティス](#security_iam_service-with-iam-policy-best-practices-zonal) + [例: ルーティングコントロール用の ARC コンソールアクセス](#security_iam_id-based-policy-examples-console-routing) + [例: ルーティングコントロール設定の ARC API アクション](#security_iam_id-based-policy-examples-api-routing) ## ポリシーに関するベストプラクティス ID ベースのポリシーは、ユーザーのアカウントで誰かが ARC リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションでは、 AWS アカウントに費用が発生する場合があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください: + ** AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する** – ユーザーとワークロードにアクセス許可の付与を開始するには、多くの一般的なユースケースにアクセス許可を付与する*AWS 管理ポリシー*を使用します。これらは で使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義することで、アクセス許可をさらに減らすことをお勧めします。詳細については、*IAM ユーザーガイド* の [AWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) または [ジョブ機能のAWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) を参照してください。 + **最小特権を適用する** – IAM ポリシーでアクセス許可を設定する場合は、タスクの実行に必要な許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用して許可を適用する方法の詳細については、*IAM ユーザーガイド* の [IAM でのポリシーとアクセス許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) を参照してください。 + **IAM ポリシーで条件を使用してアクセスをさらに制限する** - ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。たとえば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。条件を使用して、サービスアクションが などの特定の を通じて使用されている場合に AWS のサービス、サービスアクションへのアクセスを許可することもできます CloudFormation。詳細については、*IAM ユーザーガイド* の [IAM JSON ポリシー要素:条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) を参照してください。 + **IAM アクセスアナライザー を使用して IAM ポリシーを検証し、安全で機能的な権限を確保する** - IAM アクセスアナライザー は、新規および既存のポリシーを検証して、ポリシーが IAM ポリシー言語 (JSON) および IAM のベストプラクティスに準拠するようにします。IAM アクセスアナライザーは 100 を超えるポリシーチェックと実用的な推奨事項を提供し、安全で機能的なポリシーの作成をサポートします。詳細については、*IAM ユーザーガイド* の [IAM Access Analyzer でポリシーを検証する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) を参照してください。 + **多要素認証 (MFA) を要求する** – で IAM ユーザーまたはルートユーザーを必要とするシナリオがある場合は AWS アカウント、MFA をオンにしてセキュリティを強化します。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、*IAM ユーザーガイド* の [MFA を使用した安全な API アクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) を参照してください。 IAM でのベストプラクティスの詳細については、*IAM ユーザーガイド* の [IAM でのセキュリティのベストプラクティス](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) を参照してください。 ## 例: ルーティングコントロール用の ARC コンソールアクセス Amazon Application Recovery Controller (ARC) コンソールにアクセスするには、最小限のアクセス許可セットが必要です。これらのアクセス許可により、 の ARC リソースの詳細を一覧表示および表示できます AWS アカウント。最小限必要な許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。 AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。 特定の API オペレーションのみへのアクセスを許可するときに、ユーザーとロールが引き続き ARC コンソールを使用できるようにするには、ARC の `ReadOnly` AWS 管理ポリシーもエンティティにアタッチします。詳細については、「*IAM ユーザーガイド*」の「[ARC マネージドポリシー](security-iam-awsmanpol.md)」ページまたは「[ユーザーへのアクセス許可の追加 (コンソール)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)」を参照してください。 ユーザーに、コンソールから ARC ルーティングコントロール機能を使用するためのフルアクセスを許可するには、次のようなポリシーをユーザーにアタッチして、ARC ルーティングコントロールのリソースとオペレーションを設定するフルアクセス許可を付与します。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "route53-recovery-cluster:GetRoutingControlState", "route53-recovery-cluster:UpdateRoutingControlState", "route53-recovery-cluster:UpdateRoutingControlStates", "route53-recovery-control-config:CreateCluster", "route53-recovery-control-config:CreateControlPanel", "route53-recovery-control-config:CreateRoutingControl", "route53-recovery-control-config:CreateSafetyRule", "route53-recovery-control-config:DeleteCluster", "route53-recovery-control-config:DeleteControlPanel", "route53-recovery-control-config:DeleteRoutingControl", "route53-recovery-control-config:DeleteSafetyRule", "route53-recovery-control-config:DescribeCluster", "route53-recovery-control-config:DescribeControlPanel", "route53-recovery-control-config:DescribeSafetyRule", "route53-recovery-control-config:DescribeRoutingControl", "route53-recovery-control-config:ListAssociatedRoute53HealthChecks", "route53-recovery-control-config:ListClusters", "route53-recovery-control-config:ListControlPanels", "route53-recovery-control-config:ListRoutingControls", "route53-recovery-control-config:ListSafetyRules", "route53-recovery-control-config:UpdateControlPanel", "route53-recovery-control-config:UpdateRoutingControl", "route53-recovery-control-config:UpdateSafetyRule" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "route53:GetHealthCheck", "route53:CreateHealthCheck", "route53:DeleteHealthCheck", "route53:ChangeTagsForResource" ], "Resource": "*" } ] } ``` ------ ## 例: ルーティングコントロール設定の ARC API アクション ユーザーが ARC API アクションを使用して ARC ルーティングコントロール設定を操作できるようにするには、以下で説明するように、ユーザーが操作すべき API オペレーションに対応したポリシーをアタッチします。 リカバリコントロール設定に API オペレーションを使用するには、次のようなポリシーをユーザーにアタッチします。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "route53-recovery-control-config:CreateCluster", "route53-recovery-control-config:CreateControlPanel", "route53-recovery-control-config:CreateRoutingControl", "route53-recovery-control-config:CreateSafetyRule", "route53-recovery-control-config:DeleteCluster", "route53-recovery-control-config:DeleteControlPanel", "route53-recovery-control-config:DeleteRoutingControl", "route53-recovery-control-config:DeleteSafetyRule", "route53-recovery-control-config:DescribeCluster", "route53-recovery-control-config:DescribeControlPanel", "route53-recovery-control-config:DescribeSafetyRule", "route53-recovery-control-config:DescribeRoutingControl", "route53-recovery-control-config:GetResourcePolicy", "route53-recovery-control-config:ListAssociatedRoute53HealthChecks", "route53-recovery-control-config:ListClusters", "route53-recovery-control-config:ListControlPanels", "route53-recovery-control-config:ListRoutingControls", "route53-recovery-control-config:ListSafetyRules", "route53-recovery-control-config:ListTagsForResource", "route53-recovery-control-config:UpdateControlPanel", "route53-recovery-control-config:UpdateRoutingControl", "route53-recovery-control-config:UpdateSafetyRule", "route53-recovery-control-config:TagResource", "route53-recovery-control-config:UntagResource" ], "Resource": "*" } ] } ``` ------ 障害発生時にフェイルオーバーするようにルーティングコントロールの状態を更新するなど、リカバリクラスターデータプレーン API を使用して ARC ルーティングコントロールのタスクを実行するには、次のような ARC IAM ポリシーを IAM ユーザーにアタッチします。 `AllowSafetyRuleOverride` ブール値は、ルーティングコントロールのセーフガードとして設定した安全ルールを、上書きするアクセス許可を付与します。このアクセス許可は、「Break Glass」のシナリオで、災害などの緊急のフェイルオーバーシナリオで安全対策を回避するために必要になる場合があります。例えば、オペレーターがディザスタリカバリのためにすばやいフェイルオーバーを必要とする場合や、1 つ以上の安全規則により、トラフィックの経路変更に必要なルーティングコントロール状態の更新が、予期せず妨げられる場合などです。このアクセス許可により、オペレーターは、API コールを行ってルーティングコントロールの状態を更新するときに、オーバーライドする安全ルールを指定できるようになります。詳細については、「[安全ルールを上書きしてトラフィックを再ルーティングする](routing-control.override-safety-rule.md)」を参照してください。 オペレーターにリカバリクラスターデータプレーン API の使用を許可し、かつ安全ルールのオーバーライドを*防ぐ*ときは、`AllowSafetyRuleOverrides` ブール値を `false` に設定して、次のようなポリシーをアタッチできます。オペレーターが安全ルールを上書きできるようにするには、`AllowSafetyRuleOverrides` ブール値を `true` に設定します。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "route53-recovery-cluster:GetRoutingControlState", "route53-recovery-cluster:ListRoutingControls" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "route53-recovery-cluster:UpdateRoutingControlStates", "route53-recovery-cluster:UpdateRoutingControlState" ], "Resource": "*", "Condition": { "Bool": { "route53-recovery-cluster:AllowSafetyRulesOverrides": "false" } } } ] } ``` ------ # AWS Amazon Application Recovery Controller (ARC) でのルーティングコントロールの マネージドポリシー AWS 管理ポリシーは、 によって作成および管理されるスタンドアロンポリシーです AWS。 AWS 管理ポリシーは、ユーザー、グループ、ロールにアクセス許可の割り当てを開始できるように、多くの一般的なユースケースにアクセス許可を付与するように設計されています。 AWS 管理ポリシーは、すべての AWS お客様が使用できるため、特定のユースケースに対して最小特権のアクセス許可を付与しない場合があることに注意してください。ユースケースに固有の[カスタマー管理ポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)を定義して、アクセス許可を絞り込むことをお勧めします。 AWS 管理ポリシーで定義されているアクセス許可は変更できません。が AWS マネージドポリシーで定義されたアクセス許可 AWS を更新すると、ポリシーがアタッチされているすべてのプリンシパル ID (ユーザー、グループ、ロール) に影響します。 AWS は、新しい が起動されるか、新しい API オペレーション AWS のサービス が既存のサービスで使用できるようになったときに、 AWS マネージドポリシーを更新する可能性が高くなります。 詳細については、「**IAM ユーザーガイド」の「[AWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)」を参照してください。 ## AWS マネージドポリシー: AmazonRoute53RecoveryControlConfigFullAccess IAM エンティティに `AmazonRoute53RecoveryControlConfigFullAccess` をアタッチできます。このポリシーは、ARC のリカバリコントロール設定を操作するアクションへの、フルアクセスを許可します。これを、リカバリコントロールの設定アクションへのフルアクセスを必要とする IAM ユーザーとその他のプリンシパルにアタッチします。 任意で、Amazon Route 53 アクションへのアクセスを追加して、ユーザーがルーティングコントロールのヘルスチェックを作成できるようにすることもできます。例えば、`route53:GetHealthCheck`、`route53:CreateHealthCheck`、`route53:DeleteHealthCheck`、`route53:ChangeTagsForResource` のうち 1 つ以上のアクションにアクセス許可を付与できます。 このポリシーのアクセス許可を確認するには、「*AWS マネージドポリシーリファレンス*」の「[AmazonRoute53RecoveryControlConfigFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryControlConfigFullAccess.html)」を参照してください。 ## AWS マネージドポリシー: AmazonRoute53RecoveryControlConfigReadOnlyAccess IAM エンティティに `AmazonRoute53RecoveryControlConfigReadOnlyAccess` をアタッチできます。これは、ルーティングコントロールとセーフティルールの設定を確認する必要があるユーザーに役立つポリシーです。このポリシーは、ARC のリカバリコントロール設定を操作するアクションへの、読み取り専用アクセスを許可します。これらのユーザーは、リカバリコントロールリソースを作成、更新、削除できません。 このポリシーのアクセス許可を確認するには、「*AWS マネージドポリシーリファレンス*」の「[AmazonRoute53RecoveryControlConfigReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryControlConfigReadOnlyAccess.html)」を参照してください。 ## AWS マネージドポリシー: AmazonRoute53RecoveryClusterFullAccess IAM エンティティに `AmazonRoute53RecoveryClusterFullAccess` をアタッチできます。このポリシーは、ARC のクラスターデータプレーンを操作するアクションへの、フルアクセスを許可します。これは、ルーティングコントロールの状態を更新および取得するために、フルアクセスを必要とする IAM ユーザーとその他のプリンシパルにアタッチします。 このポリシーのアクセス許可を確認するには、「*AWS マネージドポリシーリファレンス*」の「[AmazonRoute53RecoveryClusterFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryClusterFullAccess.html)」を参照してください。 ## AWS マネージドポリシー: AmazonRoute53RecoveryClusterReadOnlyAccess IAM エンティティに `AmazonRoute53RecoveryClusterReadOnlyAccess` をアタッチできます。このポリシーは、ARC のクラスターデータプレーンへの読み取り専用アクセスを許可します。これらのユーザーは、ルーティングコントロールの状態を取得することはできますが更新はできません。 このポリシーのアクセス許可を確認するには、「*AWS マネージドポリシーリファレンス*」の「[AmazonRoute53RecoveryClusterReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryClusterReadOnlyAccess.html)」を参照してください。 ## AWS マネージドポリシー: AmazonApplicationRecoveryControllerRegionSwitchPlanExecutionPolicy IAM エンティティに `AmazonApplicationRecoveryControllerRegionSwitchPlanExecutionPolicy` をアタッチできます。このポリシーは、ARC リージョンの切り替えプランの実行と評価のアクセス許可を付与します。ポリシーをリージョン切り替えプランの実行に使用される IAM ロールにアタッチします。 **アクセス許可の詳細** このポリシーには、以下のアクセス許可が含まれています。 + `arc-region-switch:GetPlan` – プリンシパルがリージョン切り替えプランの設定の詳細を取得できるようにします。 + `arc-region-switch:GetPlanExecution` – プリンシパルが特定のリージョン切り替えプランの実行に関する情報を取得することを許可します。 + `arc-region-switch:ListPlanExecutions` – プリンシパルがリージョン切り替えプランのすべての実行を一覧表示することを許可します。 + `iam:SimulatePrincipalPolicy` – プリンシパルが IAM ロールが実行できるアクションをシミュレートして評価することを許可します。このアクセス許可は IAM ロールのみを対象としており、リージョン切り替えプランを実行する前に必要なアクセス許可が設定されていることを確認するためにプラン評価中に使用されます。 + `cloudwatch:DescribeAlarms` – プリンシパルが Amazon CloudWatch アラームに関する情報を取得することを許可します。 + `cloudwatch:DescribeAlarmHistory` – プリンシパルが Amazon CloudWatch アラームの状態変更履歴を取得できるようにします。 + `cloudwatch:GetMetricStatistics` – プリンシパルが Amazon CloudWatch メトリクスの統計データを取得することを許可します。 JSON ポリシードキュメントの最新バージョンなど、ポリシーについてさらに詳しく確認するには、「*AWS マネージドポリシーリファレンスガイド*」の「[AmazonApplicationRecoveryControllerRegionSwitchPlanExecutionPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonApplicationRecoveryControllerRegionSwitchPlanExecutionPolicy.html)」を参照してください。 ## ルーティングコントロールの AWS マネージドポリシーの更新 このサービスがこれらの変更の追跡を開始してからの ARC でのルーティングコントロールの AWS マネージドポリシーの更新の詳細については、「」を参照してください[Amazon Application Recovery Controller (ARC) の AWS マネージドポリシーの更新](security-iam-awsmanpol.md#security-iam-awsmanpol-arc-updates)。このページの変更に関する自動通知については、ARC の「[ドキュメント履歴ページ](doc-history.md)」で RSS フィードをサブスクライブしてください。