Trusted Advisor のサービスにリンクされたロールの使用

AWS Trusted Advisor は AWS Identity and Access Management (IAM) サービスにリンクされたロールを使用します。サービスにリンクされたロールは、AWS Trusted Advisor に直接リンクされた一意の IAM ロールです。サービスにリンクされたロールは Trusted Advisor によって事前に定義され、ユーザーの代理で他の AWS のサービスを呼び出すすべてのアクセス許可を含みます。Trusted Advisor は、このロールを使用して AWS 全体にわたる使用状況をチェックし、AWS 環境を向上させるためのレコメンデーションを提供します。例えば、Trusted Advisor はコストの削減、パフォーマンスの向上、障害耐性の向上、およびセキュリティの向上を推進するために Amazon Elastic Compute Cloud (Amazon EC2)インスタンスの使用状況を分析します。

サービスにリンクされたロールをサポートするその他のサービスの詳細については、「IAM と連携する AWS のサービス」を参照してください。サービスにリンクされたロール列が「はい」になっているサービスを見つけます。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、リンク付きの [Yes] (はい) を選択します。

Trusted Advisor のサービスリンクロールのアクセス許可

Trusted Advisor は 2 つのサービスにリンクされたロールを使用します。

サービスにリンクされたロールのアクセス許可の管理

サービスリンク役割の作成、編集、削除を IAM エンティティ (ユーザー、グループ、役割など) に許可するにはアクセス許可を設定する必要があります。次の例では、AWSServiceRoleForTrustedAdvisor サービスリンクロールを使用します。

このステップは、Trusted Advisor アカウントが無効化されサービスにリンクされたロールが削除されており、ユーザーが Trusted Advisor を再度有効にするためにロールを再作成する必要がある場合にのみ必要です。

サービスにリンクされたロールを作成する IAM エンティティのアクセス権限ポリシーに、次のステートメントを追加できます。

{
    "Effect": "Allow",
    "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/trustedadvisor.amazonaws.com/AWSServiceRoleForTrustedAdvisor*",
    "Condition": {"StringLike": {"iam:AWSServiceName": "trustedadvisor.amazonaws.com"}}
}

説明できるのは、AWSServiceRoleForTrustedAdvisor ロールの説明のみです。サービスにリンクされたロールの説明を編集する IAM エンティティのアクセス許可ポリシーに、次のステートメントを追加できます。

{
    "Effect": "Allow",
    "Action": [
        "iam:UpdateRoleDescription"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/trustedadvisor.amazonaws.com/AWSServiceRoleForTrustedAdvisor*",
    "Condition": {"StringLike": {"iam:AWSServiceName": "trustedadvisor.amazonaws.com"}}
}

サービスにリンクされたロールを削除する IAM エンティティのアクセス権限ポリシーに、次のステートメントを追加できます。

{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/trustedadvisor.amazonaws.com/AWSServiceRoleForTrustedAdvisor*",
    "Condition": {"StringLike": {"iam:AWSServiceName": "trustedadvisor.amazonaws.com"}}
}

または、AdministratorAccess などの AWS マネージドポリシーを使用して、Trusted Advisor へのフルアクセスを付与することもできます。

Trusted Advisor のサービスリンクロールの作成

AWSServiceRoleForTrustedAdvisor サービスリンクロールを手動で作成する必要はありません。AWS を作成すると、サービスにリンクされたロールが Trusted Advisor によって作成されます。

お客様のアカウントに AWSServiceRoleForTrustedAdvisor サービスリンクロールが設定されていない場合、Trusted Advisor が想定どおりに動作しません。これは、アカウント内のユーザーが Trusted Advisor を無効にした後、サービスにリンクされたロールを削除した場合に発生することがあります。その場合は、IAM を使用して AWSServiceRoleForTrustedAdvisor サービスリンクロールを作成してから、Trusted Advisor を有効にします。

Trusted Advisor のサービスにリンクされたロールの編集

さまざまなエンティティから参照される可能性があるため、サービスにリンクされたロールの名前を変更することはできません。ただし、IAM コンソール、AWS CLI、または IAM API を使用してロールの説明を編集することができます。詳細については、『IAM ユーザーガイド』の「サービスにリンクされたロールの編集」を参照してください。

Trusted Advisor のサービスリンクロールの削除

Trusted Advisor の機能またはサービスが必要ない場合は、AWSServiceRoleForTrustedAdvisor ロールを削除できます。このサービスにリンクされたロールを削除する前に、Trusted Advisor を無効にする必要があります。これにより、Trusted Advisor オペレーションに必要なアクセス権限の削除を防止します。Trusted Advisor を無効にすると、オフライン処理や通知などを含むサービスの機能がすべて無効になります。また、メンバーアカウントに対して Trusted Advisor を無効にすると、別の支払いアカウントも影響を受けます。つまり、コストを削減する方法を特定する Trusted Advisor チェックは実行されません。Trusted Advisor コンソールにはアクセスできません。Trusted Advisor への API コールは、アクセス拒否エラーを返します。

Trusted Advisor を再度有効化するには、AWSServiceRoleForTrustedAdvisor サービスリンクロールを再作成する必要があります。

AWSServiceRoleForTrustedAdvisor サービスリンクロールを削除するには、コンソールで Trusted Advisor を無効にする必要があります。

Trusted Advisor を無効化すると、すべての Trusted Advisor 機能が無効になり、Trusted Advisor コンソールには無効ステータスバナーのみが表示されます。

その後、IAM コンソール、AWS CLI、または IAM API を使用して、AWSServiceRoleForTrustedAdvisor という名前の Trusted Advisor サービスにリンクされたロールを削除します。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの削除」を参照してください。