**の新しいコンソールエクスペリエンスの紹介 AWS WAF** 更新されたエクスペリエンスを使用して、コンソールの任意の場所で AWS WAF 機能にアクセスできるようになりました。詳細については、[「コンソールの使用](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html)」を参照してください。 翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # AWS WAF Classic と IAM の連携方法 **警告** AWS WAF Classic は計画的なend-of-lifeプロセスを進めています。リージョン固有のマイルストーンと日付については、 AWS Health ダッシュボードを参照してください。 **注記** これは **AWS WAF Classic** ドキュメントです。このバージョンは、2019 年 11 月 AWS WAF より前にルールやウェブ ACLs などのリソースを作成し AWS WAF 、最新バージョンに移行していない場合にのみ使用してください。Web ACL を移行するには、[AWS WAF Classic リソースの への移行 AWS WAF](waf-migrating-from-classic.md) を参照してください。 **の最新バージョンについては、 AWS WAF**「」を参照してください[AWS WAF](waf-chapter.md)。 IAM を使用して AWS WAF Classic へのアクセスを管理する前に、 AWS WAF Classic で使用できる IAM 機能を確認してください。 **AWS WAF Classic で使用できる IAM 機能** | IAM 機能 | AWS WAF クラシックサポート | | --- | --- | | [アイデンティティベースのポリシー](#classic-security_iam_service-with-iam-id-based-policies) | あり | | [リソースベースのポリシー](#classic-security_iam_service-with-iam-resource-based-policies) | なし | | [ポリシーアクション](#classic-security_iam_service-with-iam-id-based-policies-actions) | あり | | [ポリシーリソース](#classic-security_iam_service-with-iam-id-based-policies-resources) | はい | | [ポリシー条件キー (サービス固有)](#classic-security_iam_service-with-iam-id-based-policies-conditionkeys) | はい | | [ACL](#classic-security_iam_service-with-iam-acls) | なし | | [ABAC (ポリシー内のタグ)](#classic-security_iam_service-with-iam-tags) | 部分的 | | [一時認証情報](#classic-security_iam_service-with-iam-roles-tempcreds) | あり | | [転送アクセスセッション (FAS)](#classic-security_iam_service-with-iam-principal-permissions) | あり | | [サービスロール](#classic-security_iam_service-with-iam-roles-service) | あり | | [サービスにリンクされたロール](#classic-security_iam_service-with-iam-roles-service-linked) | はい | AWS WAF Classic およびその他の AWS のサービスがほとんどの IAM 機能と連携する方法の概要については、IAM *ユーザーガイド*の[AWS 「IAM と連携する のサービス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。 ## AWS WAF Classic のアイデンティティベースのポリシー **アイデンティティベースのポリシーのサポート:** あり アイデンティティベースポリシーは、IAM ユーザー、ユーザーグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。アイデンティティベースポリシーの作成方法については、「*IAM ユーザーガイド*」の「[カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)」を参照してください。 IAM アイデンティティベースのポリシーでは、許可または拒否するアクションとリソース、およびアクションを許可または拒否する条件を指定できます。JSON ポリシーで使用できるすべての要素について学ぶには、「*IAM ユーザーガイド*」の「[IAM JSON ポリシーの要素のリファレンス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)」を参照してください。 AWS WAF Classic アイデンティティベースのポリシーの例を表示するには、「」を参照してください[AWS WAF Classic のアイデンティティベースのポリシーの例](classic-security_iam_id-based-policy-examples.md)。 ## AWS WAF Classic 内のリソースベースのポリシー **リソースベースのポリシーのサポート:** なし リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。リソースベースのポリシーには例として、IAM *ロールの信頼ポリシー*や Amazon S3 *バケットポリシー*があげられます。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスをコントロールできます。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーで、[プリンシパルを指定する](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)必要があります。プリンシパルには、アカウント、ユーザー、ロール、フェデレーティッドユーザー、または を含めることができます AWS のサービス。 クロスアカウントアクセスを有効にするには、全体のアカウント、または別のアカウントの IAM エンティティを、リソースベースのポリシーのプリンシパルとして指定します。詳細については、IAM ユーザーガイド**の[IAM でのクロスアカウントリソースアクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)を参照してください。 ## AWS WAF Classic のポリシーアクション **ポリシーアクションのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。 JSON ポリシーの `Action` 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。 AWS WAF Classic アクションのリストを確認するには、*「サービス認可リファレンス*」の[「 で定義されるアクション AWS WAF](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswaf.html#awswaf-actions-as-permissions)」および[AWS WAF 「リージョンで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswafregional.html#awswafregional-actions-as-permissions)」を参照してください。 AWS WAF Classic のポリシーアクションは、アクションの前に次のプレフィックスを使用します。 ``` waf ``` 単一のステートメントで複数のアクションを指定するには、アクションをカンマで区切ります。 ``` "Action": [ "waf:action1", "waf:action2" ] ``` ワイルドカード (\$1) を使用すると、複数のアクションを指定することができます。たとえば、 で始まる AWS WAF Classic のすべてのアクションを指定するには`List`、次のアクションを含めます。 ``` "Action": "waf:List*" ``` AWS WAF Classic アイデンティティベースのポリシーの例を表示するには、「」を参照してください[AWS WAF Classic のアイデンティティベースのポリシーの例](classic-security_iam_id-based-policy-examples.md)。 ## AWS WAF Classic のポリシーリソース **ポリシーリソースのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件**下で**アクション**を実行できるかということです。 `Resource` JSON ポリシー要素はアクションが適用されるオブジェクトを指定します。ベストプラクティスとして、[Amazon リソースネーム (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) を使用してリソースを指定します。リソースレベルのアクセス許可をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (\$1) を使用します。 ``` "Resource": "*" ``` AWS WAF Classic リソースタイプとその ARNs[「 で定義されるリソース AWS WAF](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswaf.html#awswaf-resources-for-iam-policies)」および[AWS WAF 「リージョンで定義されるリソース](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswafregional.html#awswafregional-resources-for-iam-policies)」を参照してください。 **各リソースの ARN を指定できるアクションについては、「 [で定義されるアクション AWS WAF](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswaf.html#awswaf-actions-as-permissions)」および[AWS WAF 「 リージョンで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswafregional.html#awswafregional-actions-as-permissions)」を参照してください。 AWS WAF Classic リソースのサブセットへのアクセスを許可または拒否するには、ポリシーの `resource`要素にリソースの ARN を含めます。 AWS WAF Classic では、リソースは*ウェブ ACLs*と*ルール*です。 AWS WAF Classic は、*バイト一致*、*IP 一致*、*サイズ制約*などの条件もサポートしています。 これらのリソースと条件には、次の表に示すとおり、一意の Amazon リソースネーム (ARN) が関連付けられています。 **** | AWS WAF コンソールの名前 | AWS WAF SDK/CLI の名前 | ARN 形式 | | --- | --- | --- | | ウェブ ACL | WebACL | `arn:aws:waf::account:webacl/ID` | | ルール | Rule | `arn:aws:waf::account:rule/ID ` | | 文字列一致条件 | ByteMatchSet | `arn:aws:waf::account:bytematchset/ID` | | SQL のインジェクション一致の状態 | SqlInjectionMatchSet | arn:aws:waf::account:sqlinjectionset/ID | | サイズ制約条件 | SizeConstraintSet | arn:aws:waf::account:sizeconstraintset/ID | | IP 一致条件 | IPSet | arn:aws:waf::account:ipset/ID | | クロスサイトスクリプティング一致条件 | XssMatchSet | arn:aws:waf::account:xssmatchset/ID | | AWS WAF Classic リソースのサブセットへのアクセスを許可または拒否するには、ポリシーの `resource`要素にリソースの ARN を含めます。 AWS WAF Classic ARNs の形式は次のとおりです。 ``` arn:aws:waf::account:resource/ID ``` *[account]* (アカウント)、*[resource]* (リソース)、および *[ID]* 変数を有効な値に置き換えます。有効な値は次のとおりです。 + *アカウント*: の ID AWS アカウント。値を指定する必要があります。 + *resource*: AWS WAF Classic リソースのタイプ。 + *ID*: AWS WAF Classic リソースの ID、または指定された に関連付けられている指定されたタイプのすべてのリソースを示すワイルドカード (`*`) AWS アカウント。 例えば、次の ARN はアカウント `111122223333` のすべてのウェブ ACL を指定します。 ``` arn:aws:waf::111122223333:webacl/* ``` ## AWS WAF Classic のポリシー条件キー **サービス固有のポリシー条件キーのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。 `Condition` 要素は、定義された基準に基づいてステートメントが実行される時期を指定します。イコールや未満などの[条件演算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)を使用して条件式を作成して、ポリシーの条件とリクエスト内の値を一致させることができます。すべての AWS グローバル条件キーを確認するには、*「IAM ユーザーガイド*」の[AWS 「グローバル条件コンテキストキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)」を参照してください。 AWS WAF Classic 条件キーのリストを確認するには、*「サービス認可リファレンス*」の「[AWS WAF Regional」で定義される ](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswafregional.html#awswafregional-resources-for-iam-policies)[および リソースの条件キー AWS WAF](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswaf.html#awswaf-policy-keys)」を参照してください。条件キーを使用できるアクションとリソースについては、「 [で定義されるアクション AWS WAF](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswaf.html#awswaf-actions-as-permissions)」および[AWS WAF 「リージョンで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswafregional.html#awswafregional-actions-as-permissions)」を参照してください。 AWS WAF Classic アイデンティティベースのポリシーの例を表示するには、「」を参照してください[AWS WAF Classic のアイデンティティベースのポリシーの例](classic-security_iam_id-based-policy-examples.md)。 ## AWS WAF Classic ACLs **ACL のサポート:** なし アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするためのアクセス許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。 ## AWS WAF Classic での ABAC **ABAC (ポリシー内のタグ) のサポート:** 一部 属性ベースのアクセスコントロール (ABAC) は、タグと呼ばれる属性に基づいてアクセス許可を定義する認可戦略です。IAM エンティティと AWS リソースにタグをアタッチし、プリンシパルのタグがリソースのタグと一致するときにオペレーションを許可するように ABAC ポリシーを設計できます。 タグに基づいてアクセスを管理するには、`aws:ResourceTag/key-name`、`aws:RequestTag/key-name`、または `aws:TagKeys` の条件キーを使用して、ポリシーの[条件要素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)でタグ情報を提供します。 サービスがすべてのリソースタイプに対して 3 つの条件キーすべてをサポートする場合、そのサービスの値は**あり**です。サービスが一部のリソースタイプに対してのみ 3 つの条件キーのすべてをサポートする場合、値は「**部分的**」になります。 ABAC の詳細については、「*IAM ユーザーガイド*」の「[ABAC 認可でアクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)」を参照してください。ABAC をセットアップする手順を説明するチュートリアルについては、「*IAM ユーザーガイド*」の「[属性ベースのアクセスコントロール (ABAC) を使用する](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)」を参照してください。 ## AWS WAF Classic での一時的な認証情報の使用 **一時的な認証情報のサポート:** あり 一時的な認証情報は、 AWS リソースへの短期的なアクセスを提供し、フェデレーションまたはスイッチロールの使用時に自動的に作成されます。 AWS では、長期的なアクセスキーを使用する代わりに、一時的な認証情報を動的に生成することをお勧めします。詳細については、「*IAM ユーザーガイド*」の「[IAM の一時的な認証情報](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)」および「[AWS のサービス と IAM との連携](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。 ## AWS WAF Classic の転送アクセスセッション **転送アクセスセッション (FAS) のサポート:** あり 転送アクセスセッション (FAS) は、 を呼び出すプリンシパルのアクセス許可と AWS のサービス、ダウンストリームサービス AWS のサービス へのリクエストをリクエストする を使用します。FAS リクエストを行う際のポリシーの詳細については、「[転送アクセスセッション](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)」を参照してください。 ## AWS WAF Classic のサービスロール **サービスロールのサポート:** あり サービスロールとは、サービスがユーザーに代わってアクションを実行するために引き受ける [IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)です。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、IAM ユーザーガイド**の [AWS のサービスに許可を委任するロールを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)を参照してください。 **警告** サービスロールのアクセス許可を変更すると、 AWS WAF Classic の機能が破損する可能性があります。 AWS WAF Classic が指示する場合にのみ、サービスロールを編集します。 ## AWS WAF Classic のサービスにリンクされたロール **サービスリンクロールのサポート:** あり サービスにリンクされたロールは、 にリンクされたサービスロールの一種です AWS のサービス。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは に表示され AWS アカウント 、サービスによって所有されます。IAM 管理者は、サービスリンクロールのアクセス許可を表示できますが、編集することはできません。 AWS WAF Classic サービスにリンクされたロールの作成または管理の詳細については、「」を参照してください[AWS WAF Classic のサービスにリンクされたロールの使用](classic-using-service-linked-roles.md)。