AWS サポート アプリへのアクセスの管理 - AWS サポート
AWS 管理ポリシーを使用するか、カスタマー管理ポリシーを作成するIAM ロールを作成するトラブルシューティング

AWS サポート アプリへのアクセスの管理

AWS サポート アプリウィジェットへのアクセス許可を取得したら、AWS Identity and Access Management (IAM) ロール も作成する必要があります。このロールは、AWS のサービス API や Service Quotas など、他の AWS サポート のアクションをユーザーに代わって実行します。

続いて、このロールに IAM ポリシーをアタッチし、これらのアクションを実行するために必要なアクセス許可を、このロールに付与します。このロールは、サポートセンターコンソールで Slack チャンネル設定を作成する際に選択します。

Slack チャンネルのユーザーは、IAM ロールに付与したのと同じアクセス許可を有しています。例えば、サポートケースへの読み取り専用アクセスが指定されている場合、Slack チャンネルのユーザーは、サポートケースの表示はできますが更新はできません。

重要

サポートエージェントとのライブチャットをリクエストし、ライブチャットのチャンネル設定として新しいプライベートチャンネルを選択すると、AWS サポート アプリケーションは別途 Slack チャンネルを作成します。この Slack チャンネルは、ケースを作成したりチャットを開始したりしたチャンネルと同じアクセス許可を有しています。

IAM ロールまたは IAM ポリシーを変更すると、この変更は、ユーザーが設定した Slack チャンネルと、AWS サポート アプリがユーザーに代わって作成した新しいライブチャット Slack チャンネルに適用されます。

IAM ロールとポリシーを作成するときは、以下の手順に従います。

AWS 管理ポリシーを使用するか、カスタマー管理ポリシーを作成する

ロールのアクセス許可を付与するには、AWS 管理ポリシーまたはカスタマー管理ポリシーのいずれかを使用できます。

ヒント

ポリシーを手動で作成しない場合は、代わりに AWS 管理ポリシーを使用して、この手順をスキップすることをお勧めします。マネージドポリシーは、AWS サポート アプリに必要なアクセス許可を自動的に取得します。ユーザーがポリシーを手動で更新する必要はありません。詳細については、「Slack での AWS サポート アプリの AWS マネージドポリシー」を参照してください。

ロール用のカスタマー管理ポリシーを作成するには、次の手順に従います。この手順では、IAM コンソールの JSON ポリシーエディタを使用します。

AWS サポート アプリケーションのカスタマー管理ポリシーを作成するには

  1. AWS マネジメントコンソール にサインインして、IAM コンソール https://console.aws.amazon.com/iam/ を開きます。

  2. ナビゲーションペインで、[ポリシー] を選択します。

  3. [Create policy] (ポリシーを作成) を選択します。

  4. [JSON] タブを選択します。

  5. JSON を入力し、エディタでデフォルトの JSON を置き換えます。ポリシーの例を利用できます。

  6. [Next: Tags] (次へ: タグ) を選択します。

  7. (オプション) キーと値のペアとしてタグを使用し、メタデータをポリシーに追加できます。

  8. [次へ: レビュー] を選択します。

  9. [Review policy] (ポリシーの確認) ページで、名前 (AWSSupportAppRolePolicy など) と説明 (任意) を入力します。

  10. [Summary] (概要) ページで、そのポリシーで付与されているアクセス許可を確認し、[Create policy] (ポリシーの作成) を選択します。

このポリシーによって、このロールが実行できるアクションが定義されます。詳細については、「IAM ユーザーガイド」の「IAM ポリシーを作成する (コンソール)」を参照してください。

IAM ポリシーの例

IAM ロールには、以下のポリシーの例をアタッチできます。このポリシーは、AWS サポート アプリに必要なすべてのアクションへの完全なアクセス許可を、ロールに付与します。このロールを使って Slack チャンネルを設定すると、チャンネル内のすべてのユーザーに同じアクセス許可が付与されます。

注記

AWS マネージドポリシーのリストは、「Slack での AWS サポート アプリの AWS マネージドポリシー」で確認してください。

ポリシーを更新して、アクセス許可を AWS サポート アプリから削除することができます。

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "supportapp:GetSlackOauthParameters",
                "supportapp:RedeemSlackOauthCode",
                "supportapp:DescribeSlackChannels",
                "supportapp:ListSlackWorkspaceConfigurations",
                "supportapp:ListSlackChannelConfigurations",
                "supportapp:CreateSlackChannelConfiguration",
                "supportapp:DeleteSlackChannelConfiguration",
                "supportapp:DeleteSlackWorkspaceConfiguration",
                "supportapp:GetAccountAlias",
                "supportapp:PutAccountAlias",
                "supportapp:DeleteAccountAlias",
                "supportapp:UpdateSlackChannelConfiguration",
                "iam:ListRoles"
            ],
            "Resource": "*"
        }
    ]
}

各アクションの説明については、「Service Authorization リファレンス」の以下のトピックを参照してください。

IAM ロールを作成する

このポリシーを作成したら、IAM ロールを作成し、そのロールにポリシーをアタッチする必要があります。このロールは、サポートセンターコンソールで Slack チャンネル設定を作成するときに選択します。

AWS サポート アプリのロールを作成するには

  1. AWS マネジメントコンソール にサインインして、IAM コンソール https://console.aws.amazon.com/iam/ を開きます。

  2. ナビゲーションペインで [Roles] を選択し、続いて [Create role] を選択します。

  3. [Select trusted entity] (信頼されたエンティティを選択) で、[AWS のサービス] を選択します。

  4. [AWS サポート アプリケーション] を選択します。

  5. [Next: Permissions] (次のステップ: 許可) を選択します。

  6. ポリシー名を入力します。AWS マネージドポリシー、または AWSSupportAppRolePolicy などの作成済みのカスタマー管理ポリシーを選択できます。ポリシーの横にあるチェックボックスをオンにします。

  7. [Next: Tags] (次へ: タグ) を選択します。

  8. (オプション) キーと値のペアとしてタグを使用し、メタデータをロールに追加できます。

  9. [次へ: レビュー] を選択します。

  10. [Role name] (ロール名) に、AWSSupportAppRole など、名前を入力します。

  11. (オプション) [Role description] (ロールの説明) に、ロールの説明を入力します。

  12. ロール情報を確認し、ロールの作成 を選択します。これで、サポートセンターコンソールで Slack チャンネルを設定する際に、このロールを選択できるようになりました。「Slack チャンネルの設定」を参照してください。

詳細については、IAM ユーザーガイドの「AWS のサービス用ロールの作成 (コンソール)」を参照してください。

トラブルシューティング

AWS サポート アプリへのアクセスを管理する方法については、以下のトピックを参照してください。

Slack チャンネルで特定のユーザーが特定のアクションを行うことを制限したい

デフォルトでは、Slack チャンネルのユーザーには、作成する IAM ロールにアタッチする IAM ポリシーで指定したものと同じアクセス許可が付与されます。つまり、AWS アカウント または IAM ユーザーを有しているかどうかにかかわらず、チャンネル内のどのユーザーも、サポートケースへの読み取りまたは書き込みアクセスが可能であるということです。

推奨されるベストプラクティスを以下に示します：

  • AWS サポート アプリでプライベート Slack チャンネルを設定する

  • チャンネルには、サポートケースにアクセスする必要のあるユーザーのみを招待します。

  • AWS サポート アプリへの必要最小限のアクセス許可を有した IAM ポリシーを使用します。「Slack での AWS サポート アプリの AWS マネージドポリシー」を参照してください。

Slack チャンネルを設定しても、作成した IAM ロールが表示されない

IAM ロールが [AWS サポート アプリケーションの IAM ロール] リストに表示されていない場合は、AWS サポート アプリケーションがこのロールの信頼されるエンティティとして設定されていない、またはこのロールが削除されたことを意味します。既存のロールを更新するか、新しいロールを作成します。「IAM ロールを作成する」を参照してください。

IAM ロールにアクセス許可が付与されていない

Slack チャンネル用に作成する IAM ロールには、求められているアクションを実行するためのアクセス許可が必要です。例えば、Slack のユーザーがサポートケースを作成できるようにしたいときは、ロールに support:CreateCase のアクセス許可が必要です。AWS サポート アプリは、このロールを引き受けて、ユーザーに代わってアクションを実行します。

AWS サポート アプリにアクセス許可がないとのエラーが表示されたときは、ロールにアタッチされたポリシーが必要なアクセス許可を有していることを確認します。

前述の「IAM ポリシーの例」を参照してください。

Slack のエラーで、IAM ロールが有効でないと表示される

チャンネルの設定に適したロールを選択していることを確認してください。

ロールを確認するには

  1. https://console.aws.amazon.com/support/app#/config から AWS Support Center Console にサインインします。

  2. AWS サポート アプリで設定したチャンネルを選択します。

  3. [Permissions] (アクセス許可) セクションで、選択した IAM ロールの名前を見つけます。

    • ロールを変更するには、[Edit] (編集) をクリックし、別のロールを選択して [Save] (保存) を選択します。

    • ロールまたはロールにアタッチしたポリシーを更新するときは、IAM コンソールにサインインします。

AWS サポート アプリに、Service Quotas の IAM ロールがない、と表示される

Service Quotas でクォータの引き上げをリクエストするときは、アカウントに AWSServiceRoleForServiceQuotas ロールが必要です。リソースの欠落に関するエラーが発生したときは、以下のいずれかの手順を実行します。

  • クォータの引き上げをリクエストするときは、Service Quotas のコンソールを使用します。リクエストが成功すると、Service Quotas が自動的にロールを作成します。次に、AWS サポート アプリを使って、Slack でクォータの引き上げをリクエストします。詳細については、「Requesting a quota increase」(クォータ引き上げのリクエスト) を参照してください。

  • ロールにアタッチされた IAM ポリシーを更新します。これにより、Service Quotas へのアクセス許可がロールに付与されます。IAM ポリシーの例 の以下のセクションでは、AWS サポート アプリがユーザーに代わって Service Quotas ロールを作成することを許可します。

    {
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "*",
    "Condition": {
        "StringEquals": {"iam:AWSServiceName": "servicequotas.amazonaws.com"}
     }
}

チャンネルに設定した IAM ロールを削除するときは、そのロールを手動で作成するか、AWS サポート アプリがユーザーに代わってロールを作成することを許可するように IAM ポリシーを更新する必要があります。