**の新しいコンソールエクスペリエンスの紹介 AWS WAF**
更新されたエクスペリエンスを使用して、コンソールの任意の場所で AWS WAF 機能にアクセスできるようになりました。詳細については、[「コンソールの使用](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html)」を参照してください。
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# AWS Shield ネットワークセキュリティディレクターのアイデンティティベースのポリシーの例
**注記**
AWS Shield ネットワークセキュリティディレクターの使用を開始すると、すべての最小アクセス許可要件を満たすサービスにリンクされたロールが自動的に作成されます。独自のアイデンティティベースのポリシーの作成と管理はオプションです。
ネットワークセキュリティディレクターに適切なアクセスを提供するために、管理アクセスと読み取り専用アクセスに必要なアクセス許可を付与するアイデンティティベースのポリシーを作成できます。
IAM ポリシーの作成と管理の詳細については、「*IAM ユーザーガイド*」の「[マネージドポリシーとインラインポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html)」を参照してください。
これらのアクセス許可により、 AWS Shield ネットワークセキュリティディレクターは包括的なセキュリティ分析を実行し、正確なネットワークセキュリティの推奨事項を提供できます。このガイドで提供されるポリシーの例は、一般的なユースケース向けに設計されています。これらのポリシーを出発点として使用し、特定の要件を満たすように必要に応じて変更することができます。
**このガイドのポリシーの例**
+ [管理アクセスアイデンティティベースのポリシー](#nsd-security-admin-id-based-policy)
+ [読み取り専用アクセスアイデンティティベースのポリシー](#nsd-security-readonly-id-based-policy)
## ポリシーに関するベストプラクティス
ID ベースのポリシーは、あるユーザーがアカウント内でネットワークセキュリティディレクターリソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションでは、 AWS アカウントに費用が発生する場合があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:
+ ** AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する** – ユーザーとワークロードにアクセス許可の付与を開始するには、多くの一般的なユースケースにアクセス許可を付与する*AWS 管理ポリシー*を使用します。これらは で使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義することで、アクセス許可をさらに減らすことをお勧めします。詳細については、*IAM ユーザーガイド* の [AWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) または [ジョブ機能のAWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) を参照してください。
+ **最小特権を適用する** – IAM ポリシーでアクセス許可を設定する場合は、タスクの実行に必要な許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用して許可を適用する方法の詳細については、*IAM ユーザーガイド* の [IAM でのポリシーとアクセス許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) を参照してください。
+ **IAM ポリシーで条件を使用してアクセスをさらに制限する** - ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。たとえば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。条件を使用して、サービスアクションが などの特定の を通じて使用されている場合に AWS のサービス、サービスアクションへのアクセスを許可することもできます CloudFormation。詳細については、*IAM ユーザーガイド* の [IAM JSON ポリシー要素:条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) を参照してください。
+ **IAM アクセスアナライザー を使用して IAM ポリシーを検証し、安全で機能的な権限を確保する** - IAM アクセスアナライザー は、新規および既存のポリシーを検証して、ポリシーが IAM ポリシー言語 (JSON) および IAM のベストプラクティスに準拠するようにします。IAM アクセスアナライザーは 100 を超えるポリシーチェックと実用的な推奨事項を提供し、安全で機能的なポリシーの作成をサポートします。詳細については、*IAM ユーザーガイド* の [IAM Access Analyzer でポリシーを検証する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) を参照してください。
+ **多要素認証 (MFA) を要求する** – で IAM ユーザーまたはルートユーザーを必要とするシナリオがある場合は AWS アカウント、セキュリティを強化するために MFA を有効にします。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、*IAM ユーザーガイド* の [MFA を使用した安全な API アクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) を参照してください。
IAM でのベストプラクティスの詳細については、*IAM ユーザーガイド* の [IAM でのセキュリティのベストプラクティス](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) を参照してください。
## アイデンティティベースのポリシーの更新
ネットワークセキュリティディレクターに更新と機能が追加されると、追加のアクセス許可を含めるようにアイデンティティベースのポリシーを更新する必要がある場合があります。このガイドでは、必要となる可能性がある新しいアクセス許可について説明します。
AWS 管理ポリシーとは異なり、カスタマー管理ポリシーは自動的に更新されません。必要に応じて、お客様はこれらのポリシーを維持および更新する責任があります。
詳細については、「*IAM ユーザーガイド*」の「[ユーザーへのアクセス許可の追加](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)」を参照してください。
## 管理アクセスアイデンティティベースのポリシー
次の例を使用してアイデンティティベースのポリシーを作成し、ネットワークセキュリティディレクターオペレーションへのフル管理アクセスと、必要なサービスにリンクされたロールを作成する機能を提供します。
**ポリシー名**: NetworkSecurityDirectorAdminPolicy
**ポリシーの説明**: Network AWS Shield Security Director オペレーションへの完全な管理アクセスを許可し、Network Security Director のサービスにリンクされたロールを作成または削除するためのアクセスを提供します。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"network-security-director:*"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/network-security-director.amazonaws.com/AWSServiceRoleForNetworkSecurityDirector"
}
]
}
```
------
## 読み取り専用アクセスアイデンティティベースのポリシー
次のポリシー例を使用してアイデンティティベースのポリシーを作成して、ネットワークセキュリティディレクターオペレーションへの読み取り専用アクセスを提供します。
**ポリシー名**: NetworkSecurityDirectorReadOnlyPolicy
**ポリシーの説明**: AWS Shield ネットワークセキュリティディレクターへの読み取り専用アクセスを許可します。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"network-security-director:Get*",
"network-security-director:List*"
],
"Resource": "*"
}
]
}
```
------