予想されるアカウントと組織にのみ AWS Management Console 使用を許可する (信頼できる ID) - AWS Management Console

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

予想されるアカウントと組織にのみ AWS Management Console 使用を許可する (信頼できる ID)

AWS Management Console と は、サインインアカウントの ID を具体的に制御する VPC エンドポイントポリシー AWS サインイン をサポートします。

他の VPC エンドポイントポリシーとは異なり、このポリシーは認証前に評価されます。その結果、セッションが実行する AWS サービス固有のアクションではなく、認証されたセッションのサインインと使用のみを具体的に制御します。例えば、セッションが Amazon EC2 コンソールなどの AWS サービスコンソールにアクセスする場合、これらの VPC エンドポイントポリシーは、そのページを表示するために実行される Amazon EC2 アクションに対して評価されません。代わりに、サインインした IAM プリンシパルに関連付けられた IAM ポリシーを使用して、 AWS サービスアクションへのアクセス許可を制御できます。

注記

AWS Management Console および SignIn VPC エンドポイントの VPC エンドポイントポリシーは、ポリシー策定の限定されたサブセットのみをサポートします。各 Principal と Resource は * に設定する必要があります。また、Action は * または signin:* のいずれかにする必要があります。VPC エンドポイントへのアクセスを制御するには、aws:PrincipalOrgId および aws:PrincipalAccount 条件キーを使用します。

以下のポリシーは、コンソールエンドポイントと SignIn VPC エンドポイントの両方に推奨されています。

この VPC エンドポイントポリシーは、指定された AWS 組織の AWS アカウント へのサインインを許可し、他のアカウントへのサインインをブロックします。

JSON
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgId": "o-xxxxxxxxxxx"
        }
      }
    }
  ]
}

この VPC エンドポイントポリシーは、特定の のリストへのサインインを制限 AWS アカウント し、他のアカウントへのサインインをブロックします。

JSON
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalAccount": [ "111122223333", "222233334444" ]
        }
      }
    }
  ]
}

AWS Management Console およびサインイン VPC エンドポイントで AWS アカウント または 組織を制限するポリシーは、サインイン時に評価され、既存のセッションについて定期的に再評価されます。