# CloudFormation レジストリからサードパーティーのパブリック拡張を使用する テンプレートでサードパーティーのパブリック拡張を使用するには、まず、使用するアカウントとリージョンに対して拡張を*有効*にする必要があります。拡張を有効にすると、それが有効になっているアカウントとリージョンのスタックオペレーションで使用できるようになります。 サードパーティーのパブリック拡張を有効にすると、CloudFormation はアカウントの拡張レジストリに、有効化された拡張機能のエントリをプライベート拡張として作成します。　　　 これにより、拡張機能に含まれる設定プロパティを設定できます。設定プロパティは、拡張を特定の AWS アカウント とリージョンに対して設定する方法を定義します。 設定プロパティの設定に加えて、以下の方法で拡張をカスタマイズすることもできます。 + 拡張のログ設定に加えて、CloudFormation が拡張を有効にするために使用する実行ロールを指定します。 + 新しいマイナーバージョンまたはパッチバージョンが利用可能になったときに、拡張を自動的に更新するかどうかを指定します。 + サードパーティーのパブリック拡張名ではなく、使用するエイリアスを指定します。これは、サードパーティーの拡張間の名前の衝突を避けるのに役立ちます。 **Topics** + [IAM アクセス許可とパブリック拡張アクセスの信頼ポリシーを使用して実行ロールを設定する](#registry-public-enable-execution-role) + [拡張の新しいバージョンを自動的に使用する](#registry-public-enable-auto) + [拡張を参照するエイリアスを使用する](#registry-public-enable-alias) + [パブリック拡張を操作するためによく使用される AWS CLI コマンド](#registry-commonly-used-commands-public-extensions) + [アカウントでサードパーティーのパブリック拡張をアクティブ化する](registry-public-activate-extension.md) + [アカウントでパブリックサードパーティー拡張を更新する](registry-public-update-extension-console.md) + [アカウントでサードパーティーのパブリック拡張を無効にする](registry-public-deactivate-extension.md) ## IAM アクセス許可とパブリック拡張アクセスの信頼ポリシーを使用して実行ロールを設定する CloudFormation レジストリからパブリック拡張をアクティブ化すると、AWS アカウント およびリージョンでその拡張を呼び出すために必要なアクセス許可を CloudFormation に付与する実行ロールを提供できます。 実行ロールに必要なアクセス許可は、拡張スキーマのハンドラーセクションで定義されています。拡張に必要な特定のアクセス許可を付与し、実行ロールにアタッチする IAM ポリシーを作成する必要があります。 アクセス許可ポリシーに加えて、実行ロールには、CloudFormation がロールを引き受けることを許可する信頼ポリシーも必要です。「*IAM ユーザーガイド*」の「[カスタム信頼ポリシーを使用してロールを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-custom.html)」のガイダンスに従って、カスタム信頼ポリシーを使用してロールを作成します。 ### 信頼関係 使用する信頼ポリシーの例を下記に示します。 1 つ以上のグローバル条件コンテキストキーと `Condition` フィールドを使用して、必要に応じてサービス間での混乱した代理の防止のためのアクセス許可の範囲を制限します。詳細については、「[サービス間の混乱した代理の防止](cross-service-confused-deputy-prevention.md)」を参照してください。 + `aws:SourceAccount` の値をアカウント ID に設定します。 + `aws:SourceArn` の値を拡張機能の ARN に設定します。 **信頼ポリシーの例 1** リソースタイプ拡張の IAM ロールの信頼ポリシーの例を次に示します。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "resources.cloudformation.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "123456789012" }, "ArnLike": { "aws:SourceArn": "arn:aws:cloudformation:us-west-2:123456789012:type/resource/Organization-Service-Resource" } } } ] } ``` ------ **信頼ポリシーの例 2** フック拡張に関する IAM ロールの信頼ポリシーの例を次に示します。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": [ "resources.cloudformation.amazonaws.com", "hooks.cloudformation.amazonaws.com" ] }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "123456789012" }, "ArnLike": { "aws:SourceArn": "arn:aws:cloudformation:us-west-2:123456789012:type/hook/Organization-Service-Hook" } } } ] } ``` ------ ## 拡張の新しいバージョンを自動的に使用する 拡張を有効にするときに、最新のマイナーバージョンを使用する拡張の種類を指定することもできます。パブリッシャーが有効化された拡張で新しいバージョンをリリースするたびに、拡張の種類によってマイナーバージョンが更新されます。 例えば、次にその拡張を含むテンプレートを使用してスタックの作成、更新などのスタックオペレーションを実行すると、CloudFormation は新しいマイナーバージョンを使用します。 自動または手動で新しい拡張バージョンに更新しても、スタックですでにプロビジョニングされている拡張インスタンスには影響しません。 CloudFormation は、拡張のメジャーバージョン更新を重大な変更を含む可能性があるものとして扱うため、拡張の新しいメジャーバージョンに手動で更新する必要があります。 AWS で公開された拡張は、利用可能なすべてのアカウントとリージョンでデフォルトで有効化され、常に各 AWS リージョン で利用可能な最新バージョンを使用します。 **重要** 拡張を最新バージョンに更新するかどうか、いつ更新するかはアカウントで制御できるため、異なるアカウントやリージョンに同じ拡張の異なるバージョンがデプロイされる可能性があります。 これにより、その拡張を含む同じテンプレートをそれらのアカウントとリージョンをまたいで使用すると、予期しない結果につながる可能性があります。 ## 拡張を参照するエイリアスを使用する 特定の AWS アカウント とリージョンにおいて、特定の名前で複数の拡張を有効にすることはできません。異なるパブリッシャーが同じ拡張名でパブリック拡張を提供している場合があるため、CloudFormation では、有効にするサードパーティーのパブリック拡張のエイリアスを指定できます。 拡張にエイリアスを指定すると、CloudFormation はそのエイリアスをこのアカウントとリージョン内の拡張タイプ名として扱います。テンプレート、API 呼び出し、および CloudFormation コンソールで拡張を参照するには、エイリアスを使用する必要があります。 拡張のエイリアスは、特定のアカウントとリージョン内で一意である必要があります。異なるタイプ名のエイリアスを使用して、同じアカウントとリージョン内で同じパブリックリソースを複数回有効にできます。 **重要** 拡張のエイリアスが一意である必要があるのは、特定のアカウントとリージョン内のみのことではありますが、アカウントとリージョンをまたいで異なるサードパーティーのパブリック拡張に同じエイリアスを割り当てるのは*しない*ことを強くお勧めします。複数のアカウントまたはリージョンにまたがる拡張エイリアスを含むテンプレートを使用すると、予期しない結果が生じる可能性があります。 ## パブリック拡張を操作するためによく使用される AWS CLI コマンド パブリック拡張を操作するために一般的に使用されるコマンドは次のとおりです。 + [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/activate-type.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/activate-type.html) は、アカウント内のパブリックサードパーティのモジュールまたはリソースタイプを有効にします。 + アカウント内の拡張機能の設定データを指定し、フックを無効または有効にする [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/set-type-configuration.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/set-type-configuration.html)。 + [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/list-types.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/list-types.html) は、アカウントの拡張機能を一覧表示します。 + [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/describe-type.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/describe-type.html) は、現在の設定データなど、特定の拡張機能または特定の拡張機能バージョンに関する詳細情報を返します。 + [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/set-type-default-version.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/set-type-default-version.html) は、どのバージョンの拡張機能がデフォルトバージョンであるかを指定します。 + [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/deactivate-type.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/deactivate-type.html) は、アカウントで以前に有効化されたパブリックサードパーティーモジュールまたはリソースタイプを無効にします。 # アカウントでサードパーティーのパブリック拡張をアクティブ化する 次のトピックでは、アカウントでサードパーティーのパブリック拡張機能をアクティブ化する方法を示します。これにより、それがアクティブ化されたアカウントとリージョンで使用できるようになります。 **注記** 続行する前に、この拡張機能で使用する [IAM ロール](registry-public.md#registry-public-enable-execution-role) が作成されていることを確認してください。 **Topics** + [パブリック拡張をアクティブ化する (コンソール)](#registry-public-activate-extension-console) + [パブリック拡張を有効にする (AWS CLI)](#registry-public-activate-extension-cli) ## パブリック拡張をアクティブ化する (コンソール) このセクションの手順に従い、コンソールを使用して次の操作を実行します。 + サードパーティーのパブリック拡張を有効化する + アカウントの追加の拡張機能構成データを指定する **アカウントで使用するパブリック拡張を有効にするには** 1. AWS マネジメントコンソール にサインインし、CloudFormation コンソール ([https://console.aws.amazon.com/cloudformation](https://console.aws.amazon.com/cloudformation/)) を開きます。 1. 画面上部にあるナビゲーションバーで、AWS リージョン を選択します。 1. ナビゲーションペインの **[レジストリ]** の下で、**[パブリック拡張機能]** を選択します。 1. [**フィルタ**] を使用して拡張タイプを選択し、[**サードパーティー**] を選択します。AWS によって発行されている拡張がデフォルトで有効化されています。 1. 拡張を選択してから、**[有効化]** を選択します。 拡張の複数のバージョンが使用可能な場合は、[**バージョン**] メニューを使用し、有効にする拡張のバージョンを選択します。デフォルトは最新バージョンです。 1. **[拡張機能の名前]** は、**[デフォルトを使用]** のままにするか、**[デフォルトを上書き]** を選択し、この拡張機能に使用する拡張機能タイプのエイリアスを入力します。エイリアスは、拡張タイプの推奨形式に従う必要があります。詳細については、「[拡張を参照するエイリアスを使用する](registry-public.md#registry-public-enable-alias)」を参照してください。 1. アクティブ化している拡張機能がフックのタイプまたはリソースタイプである場合、**[実行ロールの ARN]** で、この拡張機能を呼び出すときに CloudFormation が引き受ける IAM ロールを指定します。詳細については、「[IAM アクセス許可とパブリック拡張アクセスの信頼ポリシーを使用して実行ロールを設定する](registry-public.md#registry-public-enable-execution-role)」を参照してください。 1. **[ログ記録設定]** で、拡張機能のログ記録設定の情報を指定します。例えば、次のようになります。 ``` { "logRoleArn": "arn:aws:iam::account:role/rolename", "logGroupName": "log-group-name" } ``` 構成情報のロギングは必須ではありませんが、デバッグの目的で推奨されます。フックでログ記録設定を使用するには、指定された実行ロールと同じ信頼ポリシーを追加して、ログロールがロググループにログを書き込めるようにします。 `logRoleArn` および `logGroupName` キー名では大文字と小文字は区別されません。 1. **[バージョニング]** の **[自動更新]** で、更新の受信方法を選択します。 + **[On]** (オン) - 自動的に最新のマイナーバージョンに更新します。メジャーバージョンは手動で更新されます。 + **[Off]** (オフ) - 自動的に最新バージョンに更新しません。すべてのバージョンは手動で更新されます。 詳細については、「[拡張の新しいバージョンを自動的に使用する](registry-public.md#registry-public-enable-auto)」を参照してください。 拡張機能に追加の構成が必要な場合は、構成データを今すぐ指定するか、拡張が有効化された後に指定するかを選択できます。 **重要** 有効化する拡張機能がフックの場合、このステップが必要です。`HookInvocationStatus` プロパティには `ENABLED` を指定する必要があります。このオペレーションにより、フックのスキーマ `properties` セクションで定義されているフックのプロパティが有効になります。詳細については、「*CloudFormation フックのユーザーガイド*」の「[フック設定スキーマ構文リファレンス](https://docs.aws.amazon.com/cloudformation-cli/latest/hooks-userguide/hook-configuration-schema.html)」を参照してください。 **構成データを指定するには** 1. [**設定**] で、[**今すぐ設定**] を選択し、[**拡張の有効化**] を選択します。 CloudFormation は、**[Configure extension]** (拡張の設定) ページを表示します。拡張の現在の構成スキーマを表示するには、**[View configuration schema]** (構成スキーマの表示) が有効になっていることを確認してください。 1. [**Configuration JSON (構成 JSON)**] テキストボックスに、この拡張に指定する構成データを表す JSON 文字列を入力します。指定する JSON は、拡張の構成スキーマに対して検証する必要があります。 1. [**Configure extension (拡張の設定)**] を選択します。 アクティベーション後に拡張機能を設定する場合は、このステップをスキップし、後で構成データを提供できます。 1. [**設定**] で、[**後で設定**] を選択し、[**拡張の有効化**] を選択します。 1. 拡張機能が有効化されたら、有効化された拡張機能ページから拡張機能に移動し、構成データを提供することで、拡張機能を設定できます。 ## パブリック拡張を有効にする (AWS CLI) このセクションの手順に従い、AWS CLI を使用して次の操作を実行します。 + サードパーティーのパブリック拡張を有効化する + アカウントの追加の拡張機能構成データを指定する ### パブリックフックを有効化する アカウントでフックを有効にすると、AWS アカウント から定義されたアクセス許可を使用するフックを承認します。CloudFormation は、アクセス許可をフックに渡す前に、不要なアクセス許可を削除します。CloudFormation では、アカウントでフックを有効にする前に、お客様またはフックユーザーがフックのアクセス許可を確認し、フックが許可されているアクセス許可を考慮することをお勧めします。 **アカウントで使用するパブリックフックを有効にするには (AWS CLI)** 1. フックの ARN を取得し、保存します。AWS マネジメントコンソール または AWS CLI を使用してフックの ARN を取得できます。詳細については、「[CloudFormation レジストリで使用可能でアクティブ化された拡張を表示する](registry-view.md)」を参照してください。 ``` export HOOK_TYPE_ARN="arn:aws:cloudformation:us-west-2:123456789012:type/hook/Organization-Service-Hook/" ``` 1. [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/set-type-configuration.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/set-type-configuration.html) コマンドを使用して、構成データを指定します。`--configuration` に渡す JSON は、フックの構成スキーマに対して検証する必要があります。すべてのスタックオペレーションでフックを有効にするには、`HookConfiguration` セクションで `HookInvocationStatus` プロパティを `ENABLED` に設定する必要があります。 ``` aws cloudformation set-type-configuration \ --configuration "{"CloudFormationConfiguration":{"HookConfiguration":{"HookInvocationStatus": "ENABLED", "FailureMode": "FAIL", "Properties":{}}}}" \ --type-arn $HOOK_TYPE_ARN --region us-west-2 ``` `HookConfiguration` の設定オプションの詳細については、「*CloudFormation フックのユーザーガイド*」の「[フック設定スキーマ構文リファレンス](https://docs.aws.amazon.com/cloudformation-cli/latest/hooks-userguide/hook-configuration-schema.html#)」を参照してください。 ### パブリックモジュールとリソースタイプを有効にする **アカウントで使用するパブリック拡張を有効にするには (AWS CLI)** + [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/activate-type.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/activate-type.html) コマンドを使用して拡張を有効にし、拡張の新しいマイナーバージョンが公開されるたびに拡張を自動更新するかどうかを指定します。 以下の例では、このアカウントに対して有効にするパブリック拡張のパブリック Amazon リソースネーム (ARN) を指定します。さらに、新しいマイナーバージョンが公開されるたびに CloudFormation が拡張を更新するように指定しています。 ``` aws cloudformation activate-type \ --public-type-arn public_extension_ARN \ --execution-role-arn arn:aws:iam::123456789012:role/my-execution-role \ --auto-update true --region us-west-2 ``` このコマンドは、有効化された拡張の ARN を返します。 ``` { "Arn": "arn:aws:cloudformation:us-west-2:123456789012:type/resource/My-Resource-Example" } ``` ### パブリック拡張のバージョンを更新する (AWS CLI) [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/activate-type.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/activate-type.html) を使用して拡張を再度有効にします。 `--version-bump` オプションを使用して、拡張を最新の `MAJOR` バージョン、または最新の `MINOR` バージョンに更新するかどうかを指定します。 ``` aws cloudformation activate-type --type RESOURCE \ --type-name Example::Test::1234567890abcdef0 \ --type-name-alias Example::Test::Alias \ --version-bump MAJOR --region us-west-2 ``` # アカウントでパブリックサードパーティー拡張を更新する サードパーティーのパブリック拡張を有効にすると、アカウントからほとんどの拡張機能の詳細を更新できます。 **アカウントでパブリック拡張を更新するには (コンソール)** 1. AWS マネジメントコンソール にサインインし、CloudFormation コンソール ([https://console.aws.amazon.com/cloudformation](https://console.aws.amazon.com/cloudformation/)) を開きます。 1. 画面上部にあるナビゲーションバーで、AWS リージョン を選択します。 1. ナビゲーションペインの **[レジストリ]** の下で、**[アクティブ化済みの拡張機能]** を選択します。 1. 更新する拡張機能を見つけ、選択します。詳細については、「[CloudFormation レジストリで使用可能でアクティブ化された拡張を表示する](registry-view.md)」を参照してください。 1. [**アクション**] メニューから [**編集**] を選択し、次に適切な編集オプションを選択します。 + 構成スキーマを更新するには、「[アカウントの拡張機能の構成データを編集する](registry-set-configuration.md)」を参照してください。 + 自動更新を有効または無効にするには: 1. [**自動更新の編集**] を選択します。 1. [**オン**] または [**オフ**] を選択した上で、[**保存**] を選択します。詳細については、「[拡張の新しいバージョンを自動的に使用する](registry-public.md#registry-public-enable-auto)」を参照してください。 + 実行ロールを更新するには、次の手順を実行します。 1. [**実行ロールの編集**] を選択します。 1. この拡張を呼び出すときに CloudFormation が使用する IAM ロールの ARN を指定し、次に [**保存**] を選択します。詳細については、「[IAM アクセス許可とパブリック拡張アクセスの信頼ポリシーを使用して実行ロールを設定する](registry-public.md#registry-public-enable-execution-role)」を参照してください。 + ログ記録設定を更新するには、次の手順を実行します。 1. [**ログ記録設定の編集**] を選択します。 1. ログ記録設定の JSON を編集し、次に [**保存**] を選択します。 # アカウントでサードパーティーのパブリック拡張を無効にする 有効にしたサードパーティーのパブリック拡張が不要になった場合は、次の手順を使用してアカウントで無効にします。 **Topics** + [アカウントでパブリック拡張を無効にする (コンソール)](#registry-public-deactivate-extension-console) + [アカウントでパブリック拡張を無効にする (AWS CLI)](#registry-public-deactivate-extension-cli) + [アカウントのフックを無効にする (AWS CLI)](#registry-public-deactivate-extension-cli-hook) ## アカウントでパブリック拡張を無効にする (コンソール) **アカウントでパブリック拡張を無効にするには** 1. AWS マネジメントコンソール にサインインし、CloudFormation コンソール ([https://console.aws.amazon.com/cloudformation](https://console.aws.amazon.com/cloudformation/)) を開きます。 1. 画面上部にあるナビゲーションバーで、AWS リージョン を選択します。 1. ナビゲーションペインの **[レジストリ]** の下で、**[アクティブ化済みの拡張機能]** を選択します。 1. 無効にする拡張機能を見つけ、選択します。詳細については、「[CloudFormation レジストリで使用可能でアクティブ化された拡張を表示する](registry-view.md)」を参照してください。 1. [**アクション**] メニューから、[**無効化**] を選択します。 1. **[無効化]** を選択します。 ## アカウントでパブリック拡張を無効にする (AWS CLI) 次の [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/deactivate-type.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/deactivate-type.html) コマンドを使用します。 ``` aws cloudformation deactivate-type --type MODULE \ --type-name Example::Test::Type::MODULE \ --region us-west-2 ``` ## アカウントのフックを無効にする (AWS CLI) フックを無効にすると、フックを削除することなく、AWS アカウント でのフックの実行ができなくなります。 [https://docs.aws.amazon.com/cli/latest/reference/cloudformation/set-type-configuration.html](https://docs.aws.amazon.com/cli/latest/reference/cloudformation/set-type-configuration.html) コマンドを使用し、`HookInvocationStatus` を `DISABLED` として指定して、フックを無効にします。 次の例では、無効化されるフックの AWS リージョン と Amazonリソースネーム (ARN) を指定します。 ``` aws cloudformation set-type-configuration \ --configuration "{"CloudFormationConfiguration":{"HookConfiguration":{"HookInvocationStatus": "DISABLED", "FailureMode": "FAIL", "Properties":{}}}}" \ --type-arn "arn:aws:cloudformation:us-west-2:123456789012:type/hook/MyTestHook" --region us-west-2 ``` 詳細については、「*CloudFormation フックユーザーガイド*」の「[Disable and enable CloudFormation Hooks](https://docs.aws.amazon.com/cloudformation-cli/latest/hooks-userguide/hooks-disable-enable.html)」を参照してください。