オプション 2: 必要最小限のアクセス許可を持つカスタムポリシーを作成する

ワイルドカードを使用する代わりに、特定のアクションを明示的に許可リストに登録できます。以下は、サポートインタラクション、ケース作成、ケース管理に必要なアクセス許可です。

                
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "support:AddAttachmentsToSet",
        "support:AddCommunicationToCase",
        "support:CreateCase",
        "support:DescribeAttachment",
        "support:DescribeCaseAttributes",
        "support:DescribeCases",
        "support:DescribeCommunication",
        "support:DescribeCommunications",
        "support:DescribeCreateCaseOptions",
        "support:DescribeIssueTypes",
        "support:DescribeServices",
        "support:DescribeSeverityLevels",
        "support:DescribeSupportedLanguages",
        "support:DescribeSupportLevel",
        "support:GetInteraction",
        "support:InitiateCallForCase",
        "support:ListInteractionEntries",
        "support:ListInteractions",
        "support:InitiateChatForCase",
        "support:PutCaseAttributes",
        "support:ResolveCase",
        "support:ResolveInteraction",
        "support:SearchForCases",
        "support:StartInteraction",
        "support:UpdateInteraction",
        "support-console:GetAccountState",
        "support-console:GetAccountGovCloudEnabled",
        "support-console:GetCaseDraft",
        "support-console:CreateCaseDraft",
        "support-console:DeleteCaseDraft",
        "support-console:GetBanner",
        "support-console:DescribeDynamicHelp",
        "support-console:CreateContact",
      ],
      "Resource": "*"
    }
  ]
}
            

IAM ID に必要な AWS DevOps Agent アクセス許可については、次の AWS 管理ポリシーをアタッチします。

アクションの完全なリストについては、「 AWS DevOps Agent ユーザーガイド」のDevOps エージェント IAM アクセス許可」を参照してください。

IAM ID は DevOpsAgentRole-AgentSpaceおよび DevOpsAgentRole-WebappAdminロールiam:PassRoleに必要です。これにより、サポートセンターコンソールは、初回セットアップ時にユーザーに代わってこれらのロールを作成するときに、これらのロールを DevOps エージェントに渡すことができます。Amazon Elastic Kubernetes Service クラスターの調査では、サポートセンターコンソールがターゲットクラスターに読み取り専用アクセスエントリを作成eks:AssociateAccessPolicyできるようにeks:DescribeAccessEntry、IAM ID にも eks:CreateAccessEntry、、および が必要です。アクセスエントリの詳細については、「Amazon Elastic Kubernetes Service ユーザーガイド」の「Amazon EKS アクセスエントリを使用して Kubernetes へのアクセス権を IAM ユーザーに付与する」を参照してください。