翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# AWS Billing Conductor のセキュリティ
のクラウドセキュリティが最優先事項 AWS です。お客様は AWS 、セキュリティを最も重視する組織の要件を満たすように構築されたデータセンターとネットワークアーキテクチャを活用できます。
セキュリティは、 AWS とお客様の間の責任共有です。[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)ではこれをクラウド*の*セキュリティおよびクラウド*内*のセキュリティと説明しています。
+ **クラウドのセキュリティ** – AWS クラウドで AWS サービスを実行するインフラストラクチャを保護する AWS 責任があります。 AWS また、 では、安全に使用できるサービスも提供しています。サードパーティーの監査者は、[AWS コンプライアンスプログラム](https://aws.amazon.com/compliance/programs/)コンプライアンスプログラムの一環として、当社のセキュリティの有効性を定期的にテストおよび検証。 AWS Billing Conductor に適用されるコンプライアンスプログラムの詳細については、「コンプライアンスプログラム[AWS による対象範囲内のサービスコンプライアンスプログラム](https://aws.amazon.com/compliance/services-in-scope/)」を参照してください。
+ **クラウドのセキュリティ** – お客様の責任は、使用する AWS サービスによって決まります。また、ユーザーは、データの機密性、会社の要件、適用される法律や規制など、その他の要因についても責任を負います。
このドキュメントは、 AWS Billing Conductor を使用する際に責任共有モデルを適用する方法を理解するのに役立ちます。以下のトピックでは、セキュリティとコンプライアンスの目的を達成するように AWS Billing Conductor を設定する方法について説明します。また、 AWS Billing Conductor リソースのモニタリングや保護に役立つ他の AWS サービスの使用方法についても説明します。
**Topics**
+ [AWS Billing Conductor でのデータ保護](data-protection.md)
+ [の ID とアクセスの管理 AWS Billing Conductor](security-iam.md)
+ [AWS Billing Conductor でのログ記録とモニタリング](billing-security-logging.md)
+ [AWS Billing Conductor のコンプライアンス検証](Billing-compliance.md)
+ [AWS Billing Conductor の耐障害性](disaster-recovery-resiliency.md)
+ [AWS Billing Conductor のインフラストラクチャセキュリティ](infrastructure-security.md)
# AWS Billing Conductor でのデータ保護
AWS Billing Conductor でのデータ保護には、 AWS [責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)が適用されます。このモデルで説明されているように、 AWS はすべての を実行するグローバルインフラストラクチャを保護する責任があります AWS クラウド。ユーザーは、このインフラストラクチャでホストされるコンテンツに対する管理を維持する責任があります。また、使用する「 AWS のサービス 」のセキュリティ設定と管理タスクもユーザーの責任となります。データプライバシーの詳細については、[データプライバシーに関するよくある質問](https://aws.amazon.com/compliance/data-privacy-faq/)を参照してください。欧州でのデータ保護の詳細については、*AWS セキュリティブログ*に投稿された「[AWS 責任共有モデルおよび GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/)」のブログ記事を参照してください。
データ保護の目的で、認証情報を保護し AWS アカウント 、 AWS IAM アイデンティティセンター または AWS Identity and Access Management (IAM) を使用して個々のユーザーを設定することをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:
+ 各アカウントで多要素認証 (MFA) を使用します。
+ SSL/TLS を使用して AWS リソースと通信します。TLS 1.2 は必須ですが、TLS 1.3 を推奨します。
+ で API とユーザーアクティビティのログ記録を設定します AWS CloudTrail。CloudTrail 証跡を使用して AWS アクティビティをキャプチャする方法については、「 *AWS CloudTrail ユーザーガイド*」の[CloudTrail 証跡の使用](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)」を参照してください。
+ AWS 暗号化ソリューションと、その中のすべてのデフォルトのセキュリティコントロールを使用します AWS のサービス。
+ Amazon Macie などの高度な管理されたセキュリティサービスを使用します。これらは、Amazon S3 に保存されている機密データの検出と保護を支援します。
+ コマンドラインインターフェイスまたは API AWS を介して にアクセスするときに FIPS 140-3 検証済みの暗号化モジュールが必要な場合は、FIPS エンドポイントを使用します。利用可能な FIPS エンドポイントの詳細については、「[連邦情報処理規格 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)」を参照してください。
お客様の E メールアドレスなどの極秘または機密情報を、タグ、または **[名前]** フィールドなどの自由形式のテキストフィールドに含めないことを強くお勧めします。これは、コンソール、API、または SDK を使用して AWS Billing Conductor AWS CLIまたは他の AWS のサービス を使用する場合も同様です。 AWS SDKs タグ、または名前に使用される自由記述のテキストフィールドに入力したデータは、請求または診断ログに使用される場合があります。外部サーバーに URL を提供する場合、そのサーバーへのリクエストを検証できるように、認証情報を URL に含めないことを強くお勧めします。
# の ID とアクセスの管理 AWS Billing Conductor
AWS Identity and Access Management (IAM) は、管理者が AWS リソースへのアクセスを安全に制御 AWS のサービス するのに役立つ です。IAM 管理者は、Billing Conductor リソースの使用について、誰を認証し (サインインを許可し)、誰を認可するか (許可を付与するか) を管理します。IAM は、追加料金なしで使用できる AWS のサービス です。
**Topics**
+ [オーディエンス](#security_iam_audience)
+ [アイデンティティを使用した認証](#security_iam_authentication)
+ [ポリシーを使用したアクセスの管理](#security_iam_access-manage)
+ [が IAM と AWS Billing Conductor 連携する方法](security_iam_service-with-iam.md)
+ [AWS Billing Conductor アイデンティティベースのポリシーの例](security_iam_id-based-policy-examples.md)
## オーディエンス
AWS Identity and Access Management (IAM) の使用方法は、ロールによって異なります。
+ **サービスユーザー** - 機能にアクセスできない場合は、管理者にアクセス許可をリクエストします (「[AWS Billing Conductor ID とアクセスのトラブルシューティング](security_iam_troubleshoot.md)」を参照)。
+ **サービス管理者** - ユーザーアクセスを決定し、アクセス許可リクエストを送信します (「[が IAM と AWS Billing Conductor 連携する方法](security_iam_service-with-iam.md)」を参照)
+ **IAM 管理者** - アクセスを管理するためのポリシーを作成します (「[AWS Billing Conductor アイデンティティベースのポリシーの例](security_iam_id-based-policy-examples.md)」を参照)
## アイデンティティを使用した認証
認証は、ID 認証情報 AWS を使用して にサインインする方法です。、IAM ユーザー AWS アカウントのルートユーザー、または IAM ロールを引き受けることで認証される必要があります。
AWS IAM アイデンティティセンター (IAM Identity Center)、シングルサインオン認証、Google/Facebook 認証情報などの ID ソースからの認証情報を使用して、フェデレーティッド ID としてサインインできます。サインインの詳細については、「*AWS サインイン ユーザーガイド*」の「[AWS アカウントにサインインする方法](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)」を参照してください。
プログラムによるアクセスの場合、 は SDK と CLI AWS を提供してリクエストを暗号化して署名します。詳細については、「*IAM ユーザーガイド*」の「[API リクエストに対するAWS 署名バージョン 4](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)」を参照してください。
### AWS アカウントのルートユーザー
を作成するときは AWS アカウント、まず、すべての AWS のサービス および リソースへの完全なアクセス権を持つ AWS アカウント *ルートユーザー*と呼ばれる 1 つのサインインアイデンティティから始めます。日常的なタスクには、ルートユーザーを使用しないことを強くお勧めします。ルートユーザー認証情報を必要とするタスクについては、「*IAM ユーザーガイド*」の「[ルートユーザー認証情報が必要なタスク](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)」を参照してください。
### IAM ユーザーとグループ
*[IAM ユーザー](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)*は、特定の個人やアプリケーションに対する特定のアクセス許可を持つアイデンティティです。長期認証情報を持つ IAM ユーザーの代わりに一時的な認証情報を使用することをお勧めします。詳細については、*IAM ユーザーガイド*の[「ID プロバイダーとのフェデレーションを使用して にアクセスすることを人間のユーザーに要求する AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp)」を参照してください。
[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)は、IAM ユーザーの集合を指定し、大量のユーザーに対するアクセス許可の管理を容易にします。詳細については、「*IAM ユーザーガイド*」の「[IAM ユーザーに関するユースケース](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)」を参照してください。
### IAM ロール
*[IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)*は、特定のアクセス許可を持つアイデンティであり、一時的な認証情報を提供します。ユーザー[から IAM ロール (コンソール) に切り替えるか、 または API オペレーションを呼び出すことで、ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)を引き受けることができます。 AWS CLI AWS 詳細については、「*IAM ユーザーガイド*」の「[ロールを引き受けるための各種方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)」を参照してください。
IAM ロールは、フェデレーションユーザーアクセス、一時的な IAM ユーザーのアクセス許可、クロスアカウントアクセス、クロスサービスアクセス、および Amazon EC2 で実行するアプリケーションに役立ちます。詳細については、*IAM ユーザーガイド* の [IAM でのクロスアカウントリソースアクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) を参照してください。
## ポリシーを使用したアクセスの管理
でアクセスを制御する AWS には、ポリシーを作成し、ID AWS またはリソースにアタッチします。ポリシーは、ID またはリソースに関連付けられたときにアクセス許可を定義します。 は、プリンシパルがリクエストを行うときにこれらのポリシー AWS を評価します。ほとんどのポリシーは JSON ドキュメント AWS として に保存されます。JSON ポリシードキュメントの詳細については、「*IAM ユーザーガイド*」の「[JSON ポリシー概要](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)」を参照してください。
管理者は、ポリシーを使用して、どの**プリンシパル**がどの**リソース**に対して、どのような**条件**で**アクション**を実行できるかを定義することで、誰が何にアクセスできるかを指定します。
デフォルトでは、ユーザーやロールにアクセス許可はありません。IAM 管理者は IAM ポリシーを作成してロールに追加し、このロールをユーザーが引き受けられるようにします。IAM ポリシーは、オペレーションの実行方法を問わず、アクセス許可を定義します。
### アイデンティティベースのポリシー
アイデンティティベースのポリシーは、アイデンティティ (ユーザー、グループ、またはロール) にアタッチできる JSON アクセス許可ポリシードキュメントです。これらのポリシーは、アイデンティティがどのリソースに対してどのような条件下でどのようなアクションを実行できるかを制御します。アイデンティティベースポリシーの作成方法については、*IAM ユーザーガイド* の [カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) を参照してください。
アイデンティティベースのポリシーは、*インラインポリシー* (単一の ID に直接埋め込む) または*管理ポリシー* (複数の ID にアタッチされたスタンドアロンポリシー) にすることができます。管理ポリシーとインラインポリシーのいずれかを選択する方法については、「*IAM ユーザーガイド*」の「[管理ポリシーとインラインポリシーのいずれかを選択する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)」を参照してください。
### リソースベースのポリシー
リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。例としては、IAM *ロール信頼ポリシー*や Amazon S3 *バケットポリシー*などがあります。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスを制御できます。リソースベースのポリシーでは、[プリンシパルを指定する](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)必要があります。
リソースベースのポリシーは、そのサービス内にあるインラインポリシーです。リソースベースのポリシーでは、IAM の AWS マネージドポリシーを使用できません。
### アクセスコントロールリスト (ACL)
アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするためのアクセス許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。
Amazon S3、および Amazon VPC は AWS WAF、ACLs。ACL の詳細については、*Amazon Simple Storage Service デベロッパーガイド* の [アクセスコントロールリスト (ACL) の概要](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html) を参照してください。
### その他のポリシータイプ
AWS は、より一般的なポリシータイプによって付与されるアクセス許可の上限を設定できる追加のポリシータイプをサポートしています。
+ **アクセス許可の境界** – アイデンティティベースのポリシーで IAM エンティティに付与することのできるアクセス許可の数の上限を設定します。詳細については、「*IAM ユーザーガイド*」の「[IAM エンティティのアクセス許可境界](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)」を参照してください。
+ **サービスコントロールポリシー (SCP)** - AWS Organizations内の組織または組織単位の最大のアクセス許可を指定します。詳細については、「*AWS Organizations ユーザーガイド*」の「[サービスコントロールポリシー](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)」を参照してください。
+ **リソースコントロールポリシー (RCP)** – は、アカウント内のリソースで利用できる最大数のアクセス許可を定義します。詳細については、「*AWS Organizations ユーザーガイド*」の「[リソースコントロールポリシー (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)」を参照してください。
+ **セッションポリシー** – ロールまたはフェデレーションユーザーの一時セッションを作成する際にパラメータとして渡される高度なポリシーです。詳細については、「*IAM ユーザーガイド*」の「[セッションポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)」を参照してください。
### 複数のポリシータイプ
1 つのリクエストに複数のタイプのポリシーが適用されると、結果として作成されるアクセス許可を理解するのがさらに難しくなります。が複数のポリシータイプが関与する場合にリクエストを許可するかどうか AWS を決定する方法については、*「IAM ユーザーガイド*」の[「ポリシー評価ロジック](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)」を参照してください。
# が IAM と AWS Billing Conductor 連携する方法
Billing Conductor へのアクセスを管理するために IAM を使用する前に、 Billing Conductor で使用できる IAM 機能を理解しておく必要があります。Billing Conductor およびその他の AWS のサービスが IAM と連携する方法の概要については、IAM *ユーザーガイド*の[AWS 「IAM と連携する のサービス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。
**Topics**
+ [Billing Conductor のアイデンティティベースのポリシー](#security_iam_service-with-iam-id-based-policies)
+ [Billing Conductor のリソースベースのポリシー](#security_iam_service-with-iam-resource-based-policies)
+ [アクセスコントロールリスト (ACL)](#security_iam_service-with-iam-acls)
+ [Billing Conductor タグに基づく承認](#security_iam_service-with-iam-tags)
+ [Billing Conductor の IAM ロール](#security_iam_service-with-iam-roles)
## Billing Conductor のアイデンティティベースのポリシー
IAM アイデンティティベースのポリシーでは許可または拒否するアクションとリソース、またアクションを許可または拒否する条件を指定できます。Billing Conductor は、特定のアクション、リソース、条件キーをサポートしています。JSON ポリシーで使用するすべての要素については、「IAM ユーザーガイド」の「[IAM JSON ポリシー要素のリファレンス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)」を参照してください。
### アクション
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。
JSON ポリシーの `Action` 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。
Billing Conductor のポリシーアクションは、アクション `Billing Conductor:` の前に次のプレフィックスを使用します。たとえば、 Amazon EC2 `RunInstances` API オペレーションで Amazon EC2 インスタンスを実行するためのアクセス許可をユーザーに付与するには、ポリシーに `ec2:RunInstances` アクションを含めます。ポリシーステートメントには、`Action` または `NotAction` エレメントを含める必要があります。Billing Conductor は、このサービスで実行できるタスクを記述する独自のアクションのセットを定義します。
単一のステートメントに複数のアクションを指定するには次のようにコンマで区切ります。
```
"Action": [
"ec2:action1",
"ec2:action2"
```
ワイルドカード (\$1) を使用して複数アクションを指定できます。例えば、`Describe` という単語で始まるすべてのアクションを指定するには次のアクションを含めます。
```
"Action": "ec2:Describe*"
```
Billing Conductor アクションのリストを確認するには、*IAM ユーザーガイド*の [AWS Billing Conductor で定義されるアクション](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-actions-as-permissions)を参照してください。
### リソース
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件**下で**アクション**を実行できるかということです。
`Resource` JSON ポリシー要素はアクションが適用されるオブジェクトを指定します。ベストプラクティスとして、[Amazon リソースネーム (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) を使用してリソースを指定します。リソースレベルのアクセス許可をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (\$1) を使用します。
```
"Resource": "*"
```
Amazon EC2 インスタンスのリソースには次のような ARN があります:
```
arn:${Partition}:ec2:${Region}:${Account}:instance/${InstanceId}
```
ARN の形式の詳細については、[「Amazon リソースネーム (ARNs AWS 「サービス名前空間](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)」を参照してください。
例えば、ステートメントで `i-1234567890abcdef0` インスタンスを指定するには、次の ARN を使用します。
```
"Resource": "arn:aws:ec2:us-east-1:123456789012:instance/i-1234567890abcdef0"
```
特定のアカウントに属するすべてのインスタンスを指定するには、ワイルドカード (\$1) を使用します。
```
"Resource": "arn:aws:ec2:us-east-1:123456789012:instance/*"
```
リソースを作成するためのアクションなど、一部の Billing Conductor は特定のリソースでは実行できません。このような場合はワイルドカード \$1を使用する必要があります。
```
"Resource": "*"
```
Amazon EC2 API アクションの多くが複数のリソースと関連します。例えば、`AttachVolume` では Amazon EBS ボリュームをインスタンスにアタッチするため、IAM ユーザーはボリュームおよびインスタンスを使用する権限が必要です。複数リソースを単一ステートメントで指定するには、ARN をカンマで区切ります。
```
"Resource": [
"resource1",
"resource2"
```
Billing Conductor リソースタイプとその ARNs、*IAM ユーザーガイド*の [AWS Billing Conductor で定義されるリソース](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-resources-for-iam-policies)を参照してください。各リソースの ARN を指定できるアクションについては、[AWS 「Billing Conductor で定義されるアクション](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-actions-as-permissions)」を参照してください。
### 条件キー
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。
`Condition` 要素は、定義された基準に基づいてステートメントが実行される時期を指定します。イコールや未満などの[条件演算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)を使用して条件式を作成して、ポリシーの条件とリクエスト内の値を一致させることができます。すべての AWS グローバル条件キーを確認するには、*「IAM ユーザーガイド*」の[AWS 「グローバル条件コンテキストキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)」を参照してください。
Billing Conductor は独自の条件キーのセットを定義し、一部のグローバル条件キーの使用をサポートしています。すべての AWS グローバル条件キーを確認するには、*IAM ユーザーガイド*の[AWS 「グローバル条件コンテキストキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)」を参照してください。
すべての Amazon EC2 アクションは `aws:RequestedRegion` および `ec2:Region` 条件キーをサポートします。詳細については、「[例: 特定のリージョンへのアクセスの制限](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ExamplePolicies_EC2.html#iam-example-region)」を参照してください。
Billing Conductor の条件キーのリストを確認するには、*IAM ユーザーガイド*[の AWS Billing Conductor の条件キー](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-policy-keys)を参照してください。条件キーを使用できるアクションとリソースについては、[AWS 「Billing Conductor で定義されるアクション](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsbillingconductor.html#awsbillingconductor-actions-as-permissions)」を参照してください。
### 例
Billing Conductor のアイデンティティベースのポリシー例を確認するには、「[AWS Billing Conductor アイデンティティベースのポリシーの例](security_iam_id-based-policy-examples.md)」を参照してください。
## Billing Conductor のリソースベースのポリシー
リソースベースのポリシーとは、指定されたプリンシパルが Billing Conductor リソースに対して、実行できるアクションとその条件を指定する JSON ポリシードキュメントです。Amazon S3 は、Amazon S3 *バケット*に関するリソースベースのアクセス許可ポリシーをサポートします。リソースベースのポリシーでは、リソースごとに他の アカウントに使用許可を付与することができます。リソースベースのポリシーを使用して、 AWS サービスが Amazon S3 *バケット*にアクセスすることを許可することもできます。
クロスアカウントアクセスを有効にするには、アカウント全体、または別のアカウントの IAM エンティティを[リソースベースのポリシーのプリンシパル](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)として指定します。リソースベースのポリシーにクロスアカウントのプリンシパルを追加しても、信頼関係は半分しか確立されない点に注意してください。プリンシパルとリソースが異なる AWS アカウントにある場合は、プリンシパルエンティティにリソースへのアクセス許可も付与する必要があります。アクセス許可は、アイデンティティベースのポリシーをエンティティにアタッチすることで付与します。ただし、リソースベースのポリシーで、同じアカウントのプリンシパルへのアクセス権が付与されている場合は、ID ベースのポリシーをさらに付与する必要はありません。詳細については、IAM ユーザーガイドの「[IAM ロールとリソースベースのポリシーとの相違点](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html)」を参照してください。
Amazon S3 サービスは、**バケット*ポリシー*と呼ばれるリソースベースのポリシーの 1 つのタイプのみサポートし、それが*バケット*にアタッチされます。このポリシーは、* Billing Conductor* に対してアクションを実行できるプリンシパルエンティティ (アカウント、ユーザー、ロール、フェデレーションユーザー) を定義します。
### 例
Billing Conductor のリソースベースのポリシー例を確認するには、「[AWS Billing Conductor リソースベースのポリシーの例](security_iam_resource-based-policy-examples.md)」を参照してください。
## アクセスコントロールリスト (ACL)
アクセスコントロールリスト (ACL) は、リソースにアタッチできる被付与者のリストです。これらは、アタッチされているリソースにアクセスするための権限をアカウントに付与します。Amazon S3 *バケット*リソースに ACL をアタッチできます。
Amazon S3 アクセスコントロールリスト (ACL) を使用すると、*バケット*リソースへのアクセスを管理できます。各*バケット*には、サブリソースとして ACL がアタッチされています。アクセス権が付与される AWS アカウント、IAM ユーザーまたはユーザーのグループ、または IAM ロールと、アクセス権のタイプを定義します。リソースのリクエストを受信すると、 は対応する ACL AWS をチェックして、リクエスタに必要なアクセス許可があることを確認します。
*バケット*リソースを作成すると、Amazon S3 は、リソースに対する完全なコントロールをリソース所有者に付与するデフォルト ACL を作成します。次の*バケット*の ACL 例では、John Doe が*バケット*の所有者として表示され、その*バケット*に対する完全な制御が許可されています。1 つの ACL には最大 100 個の許可を指定することができます。
```
c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6
john-doe
c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6
john-doe
FULL_CONTROL
```
ACL の ID フィールドは、 AWS アカウントの正規ユーザー ID です。所有しているアカウントでこの ID を表示する方法については、[AWS 「アカウント正規ユーザー ID の検索](https://docs.aws.amazon.com/general/latest/gr/acct-identifiers.html#FindingCanonicalId)」を参照してください。
## Billing Conductor タグに基づく承認
Billing Conductor リソースにタグをアタッチしたり、 Billing Conductor へのリクエストでタグを渡したりすることができます。タグに基づいてアクセスを管理するには、`Billing Conductor:ResourceTag/key-name`、`aws:RequestTag/key-name`、または `aws:TagKeys` の条件キーを使用して、ポリシーの[条件要素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)でタグ情報を提供します。
## Billing Conductor の IAM ロール
[IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)は、特定のアクセス許可を持つ AWS アカウント内のエンティティです。
### Billing Conductor での一時的な認証情報の使用
一時的な認証情報を使用して、フェデレーションでサインインする、IAM 役割を引き受ける、またはクロスアカウント役割を引き受けることができます。一時的なセキュリティ認証情報を取得するには、[AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) や [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) などの AWS STS API オペレーションを呼び出します。
Billing Conductor では、一時的な認証情報の使用がサポートされています。
### サービスリンクロール
[サービスにリンクされたロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)を使用すると、 AWS サービスは他の サービスのリソースにアクセスして、ユーザーに代わってアクションを実行できます。サービスリンクロールは IAM アカウント内に表示され、サービスによって所有されます。IAM 管理者は、サービスリンクロールの許可を表示できますが、編集することはできません。
### サービス役割
この機能により、ユーザーに代わってサービスが[サービスロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role)を引き受けることが許可されます。この役割により、サービスがお客様に代わって他のサービスのリソースにアクセスし、アクションを完了することが許可されます。サービスロールはIAM アカウントに表示され、アカウントによって所有されます。つまり、IAM 管理者はこの役割の権限を変更できます。ただし、それにより、サービスの機能が損なわれる場合があります。
Billing Conductor では、サービスロールがサポートされています。
### Billing Conductor での IAM ロールの選択
Billing Conductor でリソースを作成する場合、 Billing Conductor ユーザーに代わって Amazon EC2 にアクセスすることを許可するロールを選択します。サービスロールまたはサービスにリンクされたロールを以前に作成している場合、 Billing Conductor は選択できるロールのリストを表示します。Amazon EC2 インスタンスの起動と停止のためのアクセスを、許可するロールを選択することが重要です。
# AWS Billing Conductor アイデンティティベースのポリシーの例
デフォルトでは、IAM ユーザーおよびロールには、 Billing Conductor リソースを作成または変更するアクセス許可はありません。また、 AWS マネジメントコンソール、 AWS CLI、または AWS API を使用してタスクを実行することはできません。IAM 管理者は、ユーザーとロールに必要な、指定されたリソースで特定の API オペレーションを実行する権限をユーザーとロールに付与する IAM ポリシーを作成する必要があります。続いて、管理者はそれらの権限が必要な IAM ユーザーまたはグループにそのポリシーをアタッチする必要があります。
JSON ポリシードキュメントのこれらの例を使用して、IAM アイデンティティベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「[JSON タブでのポリシーの作成](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)」を参照してください。
**Topics**
+ [ポリシーに関するベストプラクティス](#security_iam_service-with-iam-policy-best-practices)
+ [Billing Conductor アイデンティティベースのポリシーの例](#security_policy-examples)
+ [AWS AWS Billing Conductor の マネージドポリシー](security-iam-awsmanpol.md)
+ [AWS Billing Conductor リソースベースのポリシーの例](security_iam_resource-based-policy-examples.md)
+ [AWS Billing Conductor ID とアクセスのトラブルシューティング](security_iam_troubleshoot.md)
## ポリシーに関するベストプラクティス
アイデンティティベースのポリシーは、アカウントで Billing Conductor アカウントの作成、アクセス、削除を行えるユーザーを決定します。これらのアクションでは、 AWS アカウントに費用が発生する場合があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:
+ ** AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する** – ユーザーとワークロードにアクセス許可の付与を開始するには、多くの一般的なユースケースにアクセス許可を付与する*AWS 管理ポリシー*を使用します。これらは で使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義することで、アクセス許可をさらに減らすことをお勧めします。詳細については、*IAM ユーザーガイド* の [AWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) または [ジョブ機能のAWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) を参照してください。
+ **最小特権を適用する** – IAM ポリシーでアクセス許可を設定する場合は、タスクの実行に必要な許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用して許可を適用する方法の詳細については、*IAM ユーザーガイド* の [IAM でのポリシーとアクセス許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) を参照してください。
+ **IAM ポリシーで条件を使用してアクセスをさらに制限する** - ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。たとえば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。条件を使用して、サービスアクションが などの特定の を通じて使用されている場合に AWS のサービス、サービスアクションへのアクセスを許可することもできます CloudFormation。詳細については、*IAM ユーザーガイド* の [IAM JSON ポリシー要素:条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) を参照してください。
+ **IAM アクセスアナライザー を使用して IAM ポリシーを検証し、安全で機能的な権限を確保する** - IAM アクセスアナライザー は、新規および既存のポリシーを検証して、ポリシーが IAM ポリシー言語 (JSON) および IAM のベストプラクティスに準拠するようにします。IAM アクセスアナライザーは 100 を超えるポリシーチェックと実用的な推奨事項を提供し、安全で機能的なポリシーの作成をサポートします。詳細については、*IAM ユーザーガイド* の [IAM Access Analyzer でポリシーを検証する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) を参照してください。
+ **多要素認証 (MFA) を要求する** – で IAM ユーザーまたはルートユーザーを必要とするシナリオがある場合は AWS アカウント、MFA をオンにしてセキュリティを強化します。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、*IAM ユーザーガイド* の [MFA を使用した安全な API アクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) を参照してください。
IAM でのベストプラクティスの詳細については、*IAM ユーザーガイド* の [IAM でのセキュリティのベストプラクティス](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) を参照してください。
## Billing Conductor アイデンティティベースのポリシーの例
このトピックには、アカウント情報とツールへのアクセスを管理するために IAM ユーザーまたはグループにアタッチできるポリシー例が含まれています。
**Topics**
+ [Billing Conductor コンソールに対するフルアクセスの許可](#security_iam_id-based-policy-examples-console)
+ [Billing Conductor API へのフルアクセスの許可](#security_iam_id-based-policy-examples-fullAPI)
+ [Billing Conductor コンソールへの読み取り専用アクセス許可の付与](#security_iam_id-based-policy-examples-readonly)
+ [請求コンソールにより Billing Conductor にアクセス許可を付与する](#security_iam_id-based-policy-examples-ABCthroughbilling)
+ [AWS コストと使用状況レポートによる Billing Conductor アクセスの許可](#security_iam_id-based-policy-examples-ABCthroughCUR)
+ [Billing Conductor への組織単位のインポート機能に対するアクセスの付与](#security_iam_id-based-policy-examples-ABCaccessOU)
+ [見積りコストをサポートしていないサービスや機能への Billing and Cost Explorer アクセスを拒否する](#deny-access-proforma-costs)
+ [請求グループによる見積り CUR の作成](#allow-legacy-cur)
### Billing Conductor コンソールに対するフルアクセスの許可
Billing Conductor コンソールにアクセスするには、最小限のアクセス許可のセットが必要です。これらの許可により、 AWS アカウント の Billing Conductor コンソールリソースの一覧と詳細を表示できます。最小限必要な許可よりも厳しく制限されたアイデンティティベースポリシーを作成すると、そのポリシーを添付したエンティティ (IAM ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。
これらのエンティティが Billing Conductor コンソールを引き続き使用できるようにするには、エンティティに次の AWS 管理ポリシーもアタッチします。詳細については、「IAM ユーザーガイド」の「[ユーザーへの許可の追加](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)」を参照してください。
料金設定ルールの作成には、`billingconductor:*` のアクセス許可に加えて `pricing:DescribeServices` が必要で、支払いアカウントにリンクされている連結アカウントを一覧表示するには、`organizations:ListAccounts` が必要です。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "billingconductor:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"organizations:ListAccounts",
"organizations:DescribeAccount"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "pricing:DescribeServices",
"Resource": "*"
}
]
}
```
------
AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。
### Billing Conductor API へのフルアクセスの許可
この例では、IAM エンティティに Billing Conductor API へのフルアクセスを付与します。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "billingconductor:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "organizations:ListAccounts",
"Resource": "*"
}
]
}
```
------
### Billing Conductor コンソールへの読み取り専用アクセス許可の付与
この例では、IAM エンティティに Billing Conductor コンソールへの読み取り専用アクセスを付与します。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "billingconductor:List*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "organizations:ListAccounts",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "pricing:DescribeServices",
"Resource": "*"
}
]
}
```
------
### 請求コンソールにより Billing Conductor にアクセス許可を付与する
この例では、IAM エンティティは、請求コンソールの請求ページから見積り請求データを切り替えて表示できます。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"billing:ListBillingViews",
"aws-portal:ViewBilling"
],
"Resource": "*"
}
]
}
```
------
### AWS コストと使用状況レポートによる Billing Conductor アクセスの許可
この例では、IAM エンティティは、請求コンソールのコストと使用状況レポートページから見積り請求データを切り替えて表示できます。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"billing:ListBillingViews",
"aws-portal:ViewBilling",
"cur:DescribeReportDefinitions"
],
"Resource": "*"
}
]
}
```
------
### Billing Conductor への組織単位のインポート機能に対するアクセスの付与
この例では、IAM エンティティは、請求グループの作成時に組織単位 (OU) アカウントをインポートするために必要な特定の AWS Organizations API オペレーションへの読み取り専用アクセス権を持ちます。OU のインポート機能は AWS Billing Conductor コンソールにあります。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"organizations:ListRoots",
"organizations:ListOrganizationalUnitsForParent",
"organizations:ListChildren"
],
"Resource": "*"
}
]
}
```
------
### 見積りコストをサポートしていないサービスや機能への Billing and Cost Explorer アクセスを拒否する
この例では、IAM エンティティは、見積りコストをサポートしていないサービスや機能へのアクセスを拒否されます。このポリシーには、管理アカウントおよび個々のメンバーアカウント内で実行できるアクションのリストが含まれています。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Deny",
"Action": [
"aws-portal:ModifyAccount",
"aws-portal:ModifyBilling",
"aws-portal:ModifyPaymentMethods",
"aws-portal:ViewPaymentMethods",
"aws-portal:ViewAccount",
"cur:GetClassic*",
"cur:Validate*",
"tax:List*",
"tax:Get*",
"tax:Put*",
"tax:ListTaxRegistrations",
"tax:BatchPut*",
"tax:UpdateExemptions",
"freetier:Get*",
"payments:Get*",
"payments:List*",
"payments:Update*",
"payments:GetPaymentInstrument",
"payments:GetPaymentStatus",
"purchase-orders:ListPurchaseOrders",
"purchase-orders:ListPurchaseOrderInvoices",
"consolidatedbilling:GetAccountBillingRole",
"consolidatedbilling:Get*",
"consolidatedbilling:List*",
"invoicing:List*",
"invoicing:Get*",
"account:Get*",
"account:List*",
"account:CloseAccount",
"account:DisableRegion",
"account:EnableRegion",
"account:GetContactInformation",
"account:GetAccountInformation",
"account:PutContactInformation",
"billing:GetBillingPreferences",
"billing:GetContractInformation",
"billing:GetCredits",
"billing:RedeemCredits",
"billing:Update*",
"ce:GetPreferences",
"ce:UpdatePreferences",
"ce:GetReservationCoverage",
"ce:GetReservationPurchaseRecommendation",
"ce:GetReservationUtilization",
"ce:GetSavingsPlansCoverage",
"ce:GetSavingsPlansPurchaseRecommendation",
"ce:GetSavingsPlansUtilization",
"ce:GetSavingsPlansUtilizationDetails",
"ce:ListSavingsPlansPurchaseRecommendationGeneration",
"ce:StartSavingsPlansPurchaseRecommendationGeneration",
"ce:UpdateNotificationSubscription"
],
"Resource": "*"
}]
}
```
------
詳細については、「[AWS のサービス 見積りベースの請求ビューコストをサポートする](service-integrations-support-proforma.md)」を参照してください。
### 請求グループによる見積り CUR の作成
ステップ 1: IAM ユーザーにレガシー CUR および請求グループの請求ビューへのフルアクセスを許可します。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "CurDataAccess",
"Effect": "Allow",
"Action": "cur:PutReportDefinition",
"Resource": [
"arn:*:cur:*:*:definition/*",
"arn:aws:billing::*:billingview/*"
]
}
]
}
```
ステップ 2: 特定の請求グループにアクセスできるように IAM ロールを割り当てるには、ユーザーがアクセスできる請求ビュー ARN を追加します。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "CurDataAccess",
"Effect": "Allow",
"Action": "cur:PutReportDefinition",
"Resource":[
"arn:aws:cur:us-east-1:123456789012:definition/*",
"arn:aws:billing::AWS-account-ID:billingview/billing-group-$billinggroup-primary-account-ID"
]
}
]
}
```
詳細については、「[請求グループ別のコストと使用状況レポートの設定](configuring-abc.md)」を参照してください。
# AWS AWS Billing Conductor の マネージドポリシー
ユーザー、グループ、ロールにアクセス許可を追加するには、自分でポリシーを記述するよりも AWS 管理ポリシーを使用する方が簡単です。チームに必要な権限のみを提供する [IAM カスタマーマネージドポリシーを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)には時間と専門知識が必要です。すぐに開始するには、 AWS マネージドポリシーを使用できます。これらのポリシーは、一般的なユースケースをターゲット範囲に含めており、 AWS アカウントで利用できます。 AWS 管理ポリシーの詳細については、*IAM ユーザーガイド*の「 [AWS 管理ポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)」を参照してください。
AWS サービスは、 AWS 管理ポリシーを維持および更新します。 AWS 管理ポリシーのアクセス許可は変更できません。サービスでは新しい機能を利用できるようにするために、 AWS マネージドポリシーに権限が追加されることがあります。この種類の更新はポリシーがアタッチされている、すべてのアイデンティティ (ユーザー、グループおよびロール) に影響を与えます。新しい機能が立ち上げられた場合や、新しいオペレーションが使用可能になった場合に、各サービスが AWS マネージドポリシーを更新する可能性が最も高くなります。サービスは AWS マネージドポリシーからアクセス許可を削除しないため、ポリシーの更新によって既存のアクセス許可が損なわれることはありません。
さらに、 は、複数のサービスにまたがるジョブ関数の マネージドポリシー AWS をサポートしています。例えば、**ReadOnlyAccess** AWS 管理ポリシーは、すべての AWS サービスとリソースへの読み取り専用アクセスを提供します。サービスが新機能を起動すると、 は新しいオペレーションとリソースの読み取り専用アクセス許可 AWS を追加します。ジョブ機能のポリシーの一覧および詳細については、「*IAM ユーザーガイド*」の「[AWS のジョブ機能のマネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)」を参照してください。
## AWS マネージドポリシー: AWSBillingConductorFullAccess
AWSBillingConductorFullAccess 管理ポリシーは、 AWS Billing Conductor コンソールと APIs。ユーザーは Billing Conductor AWS リソースを一覧表示、作成、削除できます。
このポリシーのアクセス許可を確認するには、「 *AWS マネージドポリシーリファレンス*」の[AWSBillingConductorFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBillingConductorFullAccess.html)」を参照してください。
## AWS マネージドポリシー: AWSBillingConductorReadOnlyAccess
AWSBillingConductorReadOnlyAccess 管理ポリシーは、 AWS Billing Conductor コンソールと APIs への読み取り専用アクセスを許可します。ユーザーは、すべての AWS Billing Conductor リソースを表示および一覧表示できます。ユーザーがリソースを作成または削除することはできません。
このポリシーのアクセス許可を確認するには、「 *AWS マネージドポリシーリファレンス*」の[AWSBillingConductorReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBillingConductorReadOnlyAccess.html)」を参照してください。
## AWS Billing Conductor の AWS マネージドポリシーの更新
このサービスがこれらの変更の追跡を開始してからの AWS Billing Conductor の AWS マネージドポリシーの更新に関する詳細を表示します。このページの変更に関する自動アラートについては、 AWS Billing Conductor ドキュメント履歴ページの RSS フィードにサブスクライブしてください。
| 変更 | 説明 | 日付 |
| --- | --- | --- |
| [AWSBillingConductorFullAccess](#security-iam-awsmanpol-fullaccess) - 既存のポリシーの更新 | `organizations:DescribeResponsibilityTransfer` および `organizations:ListInboundResponsibilityTransfers`アクションを`AWSBillingConductorFullAccess`ポリシーに追加しました。 | 2025 年 11 月 19 日 |
| [AWSBillingConductorFullAccess](#security-iam-awsmanpol-fullaccess) - 既存のポリシーの更新 | `AWSBillingConductorFullAccess` ポリシーに次のアクションを追加しました。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/billingconductor/latest/userguide/security-iam-awsmanpol.html) | 2025 年 9 月 9 日 |
| [AWSBillingConductorReadOnlyAccess](#security-iam-awsmanpol-readonly) - 既存のポリシーの更新 | `AWSBillingConductorReadOnlyAccess` ポリシーに次のアクションを追加しました。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/billingconductor/latest/userguide/security-iam-awsmanpol.html) | 2025 年 9 月 9 日 |
| AWSBillingConductorReadOnlyAccess | `AWSBillingConductorReadOnlyAccess` をポリシー`GetBillingGroupCostReport`に追加しました。 | 2024 年 2 月 8 日 |
| AWSBillingConductorFullAccess | 作成されるポリシー | 2022 年 3 月 29 日 |
| AWSBillingConductorReadOnlyAccess | 作成されるポリシー | 2022 年 3 月 29 日 |
| AWS Billing Conductor 変更ログの発行 | AWS Billing Conductor は、 AWS 管理ポリシーの変更の追跡を開始しました。 | 2022 年 3 月 29 日 |
# AWS Billing Conductor リソースベースのポリシーの例
**Topics**
+ [特定の IP アドレスへの Amazon S3 バケットアクセスの制限](#security_iam_resource-based-policy-examples-restrict-bucket-by-ip)
## 特定の IP アドレスへの Amazon S3 バケットアクセスの制限
次の例は、指定したバケット内のオブジェクトに対して任意の Amazon S3 オペレーションを実行するためのアクセス許可をユーザーに付与します。ただし、リクエストは条件で指定された IP アドレス範囲からのリクエストである必要があります。
このステートメントの条件では、54.240.143.\$1 の範囲のインターネットプロトコルバージョン 4 (IPv4) IP アドレスが許可されています。ただし、54.240.143.188 を除きます。
`Condition` ブロックは、 `IpAddress` および `NotIpAddress`条件と、 AWS ワイド`aws:SourceIp`条件キーである 条件キーを使用します。これらの条件キーの詳細については、「[ポリシーでの条件の指定](https://docs.aws.amazon.com/AmazonS3/latest/userguide/amazon-s3-policy-keys.html)」を参照してください。`aws:sourceIp`IPv4 値は標準の CIDR 表記を使用します。詳細については、[IAM ユーザーガイド](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html#Conditions_IPAddress)の *IP アドレス条件演算子* を参照してください。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Id": "S3PolicyId1",
"Statement": [
{
"Sid": "IPAllow",
"Effect": "Allow",
"Principal": "*",
"Action": "s3:*",
"Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
"Condition": {
"IpAddress": {"aws:SourceIp": "54.240.143.0/24"},
"NotIpAddress": {"aws:SourceIp": "54.240.143.188/32"}
}
}
]
}
```
------
# AWS Billing Conductor ID とアクセスのトラブルシューティング
次の情報は、 Billing Conductor と IAM の使用に伴って発生する可能性がある一般的な問題の診断や修復に役立ちます。
**Topics**
+ [Billing Conductor でアクションを実行する権限がない](#security_iam_troubleshoot-no-permissions)
+ [iam:PassRole を実行する権限がない](#security_iam_troubleshoot-passrole)
+ [AWS 自分のアカウント以外のユーザーに Billing Conductor リソースへのアクセスを許可したい](#security_iam_troubleshoot-cross-account-access)
## Billing Conductor でアクションを実行する権限がない
でアクションを実行する権限がないと AWS マネジメントコンソール 通知された場合は、管理者に連絡してサポートを依頼する必要があります。担当の管理者はお客様のユーザー名とパスワードを発行した人です。
次の例のエラーは、`mateojackson` IAM ユーザーがコンソールを使用して * Billing Conductor* の詳細を表示しようとしているとき、`Billing Conductor:GetWidget` のアクセス許可がない場合に発生します。
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: Billing Conductor:GetWidget on resource: my-example-Billing Conductor
```
この場合、Mateo は、`Billing Conductor:GetWidget` アクションを使用して `my-example-Billing Conductor` リソースにアクセスできるように、管理者にポリシーの更新を依頼します。
## iam:PassRole を実行する権限がない
`iam:PassRole` アクションを実行することを認可されていないというエラーが表示された場合は、ポリシーを更新して Billing Conductor にロールを渡せるようにする必要があります。
一部の AWS のサービス では、新しいサービスロールまたはサービスにリンクされたロールを作成する代わりに、既存のロールをそのサービスに渡すことができます。そのためには、サービスにロールを渡すアクセス許可が必要です。
次のエラー例は、`marymajor` という名前の IAM ユーザーがコンソールを使用して、Billing Conductor でアクションを実行しようする場合に発生します。ただし、このアクションをサービスが実行するには、サービスロールから付与されたアクセス許可が必要です。Mary には、ロールをサービスに渡すアクセス許可がありません。
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
この場合、Mary のポリシーを更新してメアリーに `iam:PassRole` アクションの実行を許可する必要があります。
サポートが必要な場合は、 AWS 管理者にお問い合わせください。サインイン資格情報を提供した担当者が管理者です。
## AWS 自分のアカウント以外のユーザーに Billing Conductor リソースへのアクセスを許可したい
他のアカウントのユーザーや組織外の人が、リソースにアクセスするために使用できるロールを作成できます。ロールの引き受けを委託するユーザーを指定できます。リソースベースのポリシーまたはアクセスコントロールリスト (ACL) をサポートするサービスの場合、それらのポリシーを使用して、リソースへのアクセスを付与できます。
詳細については、以下を参照してください:
+ Billing Conductor がこれらの機能をサポートするかどうかについては、「[が IAM と AWS Billing Conductor 連携する方法](security_iam_service-with-iam.md)」を参照してください。
+ 所有 AWS アカウント する のリソースへのアクセスを提供する方法については、IAM *ユーザーガイド*の[「所有 AWS アカウント する別の の IAM ユーザーへのアクセスを提供する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)」を参照してください。
+ リソースへのアクセスをサードパーティーに提供する方法については AWS アカウント、*IAM ユーザーガイド*の[「サードパーティー AWS アカウント が所有する へのアクセスを提供する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)」を参照してください。
+ ID フェデレーションを介してアクセスを提供する方法については、*IAM ユーザーガイド* の [外部で認証されたユーザー (ID フェデレーション) へのアクセスの許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) を参照してください。
+ クロスアカウントアクセスにおけるロールとリソースベースのポリシーの使用方法の違いについては、*IAM ユーザーガイド* の [IAM でのクロスアカウントのリソースへのアクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) を参照してください。
# AWS Billing Conductor でのログ記録とモニタリング
モニタリングは、 AWS アカウントの信頼性、可用性、パフォーマンスを維持する上で重要な部分です。 AWS Billing Conductor の使用状況をモニタリングするためのツールがいくつかあります。
## AWS コストと使用状況レポート
AWS コストと使用状況レポートは AWS 、使用状況を追跡し、アカウントに関連する推定請求額を提供します。各レポートには、 AWS アカウントで使用する AWS 製品、使用タイプ、オペレーションの一意の組み合わせごとに明細項目が含まれます。 AWS コストと使用状況レポートをカスタマイズして、時間単位または日単位で情報を集計できます。
AWS コストと使用状況レポートの詳細については、[https://docs.aws.amazon.com/cur/latest/userguide/what-is-cur.html](https://docs.aws.amazon.com/cur/latest/userguide/what-is-cur.html)」を参照してください。
# を使用した AWS Billing Conductor API コールのログ記録 AWS CloudTrail
AWS Billing Conductor は AWS CloudTrail、 AWS Billing Conductor のユーザー、ロール、または のサービスによって実行されたアクションを記録する AWS サービスである と統合されています。CloudTrail は AWS Billing Conductor のすべての API コールをイベントとしてキャプチャします。キャプチャされた呼び出しには、 AWS Billing Conductor コンソールからの呼び出しと、 AWS Billing Conductor API オペレーションへのコード呼び出しが含まれます。証跡を作成する場合は、 AWS Billing Conductor のイベントなど、Amazon S3 バケットへの CloudTrail イベントの継続的な配信を有効にすることができます。証跡を設定しない場合でも、CloudTrail コンソールの **[イベント履歴]** で最新のイベントを表示できます。CloudTrail で収集された情報を使用して、 AWS Billing Conductor に対するリクエスト、リクエスト元の IP アドレス、リクエスト者、リクエスト日時などの詳細を確認できます。
CloudTrail の詳細については、「[AWS CloudTrail ユーザーガイド](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html)」を参照してください。
## AWS Billing Conductor CloudTrail イベント
このセクションでは、請求情報とコスト管理に関連する CloudTrail イベントの完全なリストを示しています。
****
| イベント名 | 定義 |
| --- | --- |
| `AssociateAccounts` | アカウントの請求グループへの関連付けをログに記録します。 |
| `AssociatePricingRules` | 料金ルールと料金プランの関連付けを記録します。 |
| `AutoAssociateAccount` | アカウントの請求グループへの自動関連付けをログに記録します。 |
| `AutoDisassociateAccount` | 次の請求期間中の請求グループからのアカウントの自動関連付け解除をログに記録します。 |
| `BatchAssociateResourcesToCustomLineItem` | リソースのバッチ関連付けをパーセンテージのカスタム明細項目にログに記録します。 |
| `BatchDisassociateResourcesFromCustomLineItem` | パーセンテージカスタム明細項目からのリソースのバッチ関連付け解除をログに記録します。 |
| `CreateBillingGroup` | 請求グループの作成をログに記録します。 |
| `CreateCustomLineItem` | カスタム明細項目の作成をログに記録します。 |
| `CreatePricingPlan` | 料金プランの作成をログに記録します。 |
| `CreatePricingRule` | 料金ルールの作成をログに記録します。 |
| `DeleteBillingGroup` | 請求グループの削除をログに記録します。 |
| `DeleteCustomLineItem` | カスタム明細項目の削除をログに記録します。 |
| `DeletePricingPlan` | 料金プランの削除をログに記録します。 |
| `DeletePricingRule` | 料金ルールの削除をログに記録します。 |
| `DisassociateAccounts` | 請求グループからのアカウントの関連付け解除をログに記録します。 |
| `DisassociatePricingRules` | 料金プランからの料金ルールの関連付け解除をログに記録します。 |
| `ListAccountAssociations` | 請求グループのアカウント ID へのアクセスを記録します。 |
| `ListBillingGroupCostReports` | 請求グループの実際の AWS 料金へのアクセスを記録します。 |
| `ListBillingGroups` | 請求期間中の請求グループへのアクセスを記録します。 |
| `ListCustomLineItems` | 請求期間中のカスタム明細項目へのアクセスをログに記録します。 |
| `ListCustomLineItemVersions` | カスタム明細項目のバージョンへのアクセスをログに記録します。 |
| `ListPricingPlans` | 請求期間中の料金プランへのアクセスを記録します。 |
| `ListPricingPlansAssociatedWithPricingRule` | 料金ルールに関連付けられた料金プランへのアクセスをログに記録します。 |
| `ListPricingRules` | 請求期間中の料金ルールへのアクセスをログに記録します。 |
| `ListPricingRulesAssociatedToPricingPlan` | 料金プランに関連付けられた料金ルールへのアクセスをログに記録します。 |
| `ListResourcesAssociatedToCustomLineItem` | カスタム明細項目に関連付けられたリソースへのアクセスをログに記録します。 |
| `ListTagsForResource` | リソースのタグへのアクセスを記録します。 |
| `TagResource` | リソース上のタグの関連付けをログに記録します。 |
| `UpdateBillingGroup` | 請求グループの更新をログに記録します。 |
| `UpdateCustomLineItem` | カスタム明細項目の更新をログに記録します。 |
| `UpdatePricingPlan` | 料金プランの更新をログに記録します。 |
| `UpdatePricingRule` | 料金ルールの更新をログに記録します。 |
## AWS CloudTrail の Billing Conductor 情報
CloudTrail は、アカウントの作成 AWS アカウント 時に で有効になります。 AWS Billing Conductor でアクティビティが発生すると、そのアクティビティはイベント**履歴**の他の AWS サービスイベントとともに CloudTrail イベントに記録されます。で最近のイベントを表示、検索、ダウンロードできます AWS アカウント。詳細については、「[CloudTrail イベント履歴でのイベントの表示](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)」を参照してください。
AWS Billing Conductor のイベントなど AWS アカウント、 のイベントの継続的な記録については、証跡を作成します。*証跡*により、CloudTrail はログファイルを Amazon S3 バケットに配信できます。デフォルトでは、コンソールで証跡を作成するときに、証跡がすべての AWS リージョンに適用されます。証跡は、 AWS パーティション内のすべてのリージョンからのイベントをログに記録し、指定した Amazon S3 バケットにログファイルを配信します。さらに、CloudTrail ログで収集されたイベントデータをさらに分析して処理するように他の AWS サービスを設定できます。詳細については、次を参照してください:
+ [追跡を作成するための概要](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [CloudTrail がサポートされているサービスと統合](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html)
+ 「[CloudTrail の Amazon SNS 通知の設定](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/configure-sns-notifications-for-cloudtrail.html)」
+ [複数のリージョンから CloudTrail ログファイルを受け取る](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html)および[複数のアカウントから CloudTrail ログファイルを受け取る](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
すべての AWS Billing Conductor アクションは CloudTrail によってログに記録され、[AWS Billing Conductor API リファレンス](https://docs.aws.amazon.com/billingconductor/latest/APIReference)に記載されています。
各イベントまたはログエントリには、誰がリクエストを生成したかという情報が含まれます。アイデンティティ情報は、以下を判別するのに役立ちます。
+ リクエストがルートまたは AWS Identity and Access Management (IAM) ユーザー認証情報を使用して行われたかどうか。
+ リクエストがロールまたはフェデレーションユーザーのテンポラリなセキュリティ認証情報を使用して行われたかどうか。
+ リクエストが別の AWS サービスによって行われたかどうか。
詳細については、「[CloudTrail userIdentity エレメント](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html)」を参照してください。
## AWS Billing Conductor ログファイルエントリについて
「トレイル」は、指定した Amazon S3 バケットにイベントをログファイルとして配信するように設定できます。CloudTrail のログファイルは、単一か複数のログエントリを含みます。イベントは、任意の出典からの単一のリクエストを表し、リクエストされたアクション、アクションの日時、リクエストパラメータなどに関する情報が含まれます。CloudTrail ログファイルは、パブリック API 呼び出しの順序付けられたスタックトレースではないため、特定の順序では表示されません。
**Topics**
+ [AutoAssociateAccount](#CT-example-auto)
+ [CreateBillingGroup](#CT-example-create)
### AutoAssociateAccount
以下の例は、`AutoAssociateAccount` アクションを示す CloudTrail ログエントリです。
```
{
"eventVersion": "1.09",
"userIdentity": {
"accountId": "111122223333",
"invokedBy": "billingconductor.amazonaws.com"
},
"eventTime": "2024-02-23T00:22:08Z",
"eventSource": "billingconductor.amazonaws.com",
"eventName": "AutoAssociateAccount",
"awsRegion": "us-east-1",
"sourceIPAddress": "billingconductor.amazonaws.com",
"userAgent": "billingconductor.amazonaws.com",
"requestParameters": null,
"responseElements": null,
"requestID": "1v14d239-fe63-4d2b-b3cd-450905b6c33",
"eventID": "14536982-geff-4fe8-bh18-f18jde35218d0",
"readOnly": false,
"eventType": "AwsServiceEvent",
"managementEvent": true,
"recipientAccountId": "111122223333",
"serviceEventDetails": {
"requestParameters": {
"Arn": "arn:aws:billingconductor::111122223333:billinggroup/444455556666",
"AccountIds": [
"333333333333"
]
},
"responseElements": {
"Arn": "arn:aws:billingconductor::111122223333:billinggroup/444455556666"
}
},
"eventCategory": "Management"
}
```
### CreateBillingGroup
以下の例は、`CreateBillingGroup` アクションを示す CloudTrail ログエントリです。
```
{
"eventVersion": "1.08",
"userIdentity": {
"accountId":"111122223333",
"accessKeyId":"ASIAIOSFODNN7EXAMPLE"
},
"eventTime": "2024-01-24T20:30:03Z",
"eventSource": "billingconductor.amazonaws.com",
"eventName": "CreateBillingGroup",
"awsRegion": "us-east-1",
"sourceIPAddress": "100.100.10.10",
"userAgent": "aws-internal/3 aws-sdk-java/1.11.465 Linux/4.9.124-0.1.ac.198.73.329.metal1.x86_64 OpenJDK_64-Bit_Server_VM/25.192-b12 java/1.8.0_192",
"requestParameters": {
"PrimaryAccountId": "444455556666",
"ComputationPreference": {
"PricingPlanArn": "arn:aws:billingconductor::111122223333:pricingplan/TqeITi5Bgh"
},
"X-Amzn-Client-Token": "32aafb5s-e5b6-47f5-9795-3a69935e9da4",
"AccountGrouping": {
"LinkedAccountIds": [
"444455556666",
"111122223333"
]
},
"Name": "***"
},
"responseElements": {
"Access-Control-Expose-Headers": "x-amzn-RequestId,x-amzn-ErrorType,x-amzn-ErrorMessage,Date",
"Arn": "arn:aws:billingconductor::111122223333:billinggroup/444455556666"
},
"requestID": "fb26ae47-3510-a833-98fe-3dc0f602gb49",
"eventID": "3ab70d86-c63e-46fd8d-a33s-ce2970441a8",
"readOnly": false,
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "111122223333",
"eventCategory": "Management"
}
```
# AWS Billing Conductor のコンプライアンス検証
サードパーティーの監査者は、複数のコンプライアンスプログラムの一環として AWS サービスのセキュリティと AWS コンプライアンスを評価します。 AWS Billing Conductor は AWS コンプライアンスプログラムの対象ではありません。
特定のコンプライアンスプログラムの対象となる AWS サービスのリストについては、「コンプライアンス[AWS プログラムによる対象範囲内のサービスコンプライアンス](https://aws.amazon.com/compliance/services-in-scope/)」を参照してください。一般的な情報については、[AWS 「 Compliance ProgramsAssurance](https://aws.amazon.com/compliance/programs/)」を参照してください。
を使用して、サードパーティーの監査レポートをダウンロードできます AWS Artifact。詳細については、[「AWS Artifact でのレポートのダウンロード](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)」を参照してください。
AWS Billing Conductor を使用する際のお客様のコンプライアンス責任は、お客様のデータの機密性、貴社のコンプライアンス目的、適用される法律および規制によって決まります。 は、コンプライアンスに役立つ以下のリソース AWS を提供します。
+ 「[セキュリティ＆コンプライアンスクイックリファレンスガイド](https://aws.amazon.com/quickstart/?awsf.quickstart-homepage-filter=categories%23security-identity-compliance)」 – これらのデプロイガイドには、アーキテクチャ上の考慮事項の説明と、 AWSでセキュリティとコンプライアンスに重点を置いたベースライン環境をデプロイするための手順が記載されています。
+ [AWS コンプライアンスリソース](https://aws.amazon.com/compliance/resources/) – このワークブックとガイドのコレクションは、お客様の業界や地域に適用される場合があります。
+ [「 デベロッパーガイド」の「ルールによるリソースの評価](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html)」 – この AWS Config サービスは、リソース設定が内部プラクティス、業界ガイドライン、および規制にどの程度準拠しているかを評価します。 *AWS Config *
+ [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html) – この AWS サービスは、 内のセキュリティ状態を包括的に把握 AWS し、セキュリティ業界標準とベストプラクティスへの準拠を確認するのに役立ちます。
# AWS Billing Conductor の耐障害性
AWS グローバルインフラストラクチャは、 AWS リージョンとアベイラビリティーゾーンを中心に構築されています。 AWS リージョンは、低レイテンシー、高スループット、高度に冗長なネットワークで接続された、物理的に分離された複数のアベイラビリティーゾーンを提供します。アベイラビリティーゾーンでは、ゾーン間で中断することなく自動的にフェールオーバーするアプリケーションとデータベースを設計および運用することができます。アベイラビリティーゾーンは、従来の単一または複数のデータセンターインフラストラクチャよりも可用性、フォールトトレランス、および拡張性が優れています。
AWS リージョンとアベイラビリティーゾーンの詳細については、[AWS 「グローバルインフラストラクチャ](https://aws.amazon.com/about-aws/global-infrastructure/)」を参照してください。
# AWS Billing Conductor のインフラストラクチャセキュリティ
マネージドサービスである AWS Billing Conductor は、 AWS グローバルネットワークセキュリティで保護されています。 AWS セキュリティサービスと がインフラストラクチャ AWS を保護する方法については、[AWS 「 クラウドセキュリティ](https://aws.amazon.com/security/)」を参照してください。インフラストラクチャセキュリティのベストプラクティスを使用して環境を AWS 設計するには、*「Security Pillar AWS Well‐Architected Framework*」の[「Infrastructure Protection](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)」を参照してください。
AWS 公開された API コールを使用して、ネットワーク経由で Billing Conductor にアクセスします。クライアントは次をサポートする必要があります。
+ Transport Layer Security (TLS)。TLS 1.2 が必須で、TLS 1.3 をお勧めします。
+ DHE (楕円ディフィー・ヘルマン鍵共有) や ECDHE (楕円曲線ディフィー・ヘルマン鍵共有) などの完全前方秘匿性 (PFS) による暗号スイート。これらのモードは Java 7 以降など、ほとんどの最新システムでサポートされています。
# インターフェイスエンドポイント (AWS PrivateLink) AWS Billing Conductor を使用した へのアクセス
を使用して AWS PrivateLink 、VPC と の間にプライベート接続を作成できます AWS Billing Conductor。インターネットゲートウェイ、NAT デバイス、VPN 接続、または Direct Connect 接続を使用せずに、VPC 内にあるかのように Billing Conductor にアクセスできます。VPC 内のインスタンスは、Billing Conductor にアクセスするためにパブリック IP アドレスを必要としません。
このプライベート接続を確立するには、 AWS PrivateLinkを利用した*インターフェイスエンドポイント*を作成します。インターフェイスエンドポイントに対して有効にする各サブネットにエンドポイントネットワークインターフェイスを作成します。これらは、Billing Conductor 宛てのトラフィックのエントリポイントとして機能するリクエスタ管理のネットワークインターフェイスです。
詳細については、「 *AWS PrivateLink ガイド*」の[「Access AWS のサービス through AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html)」を参照してください。
## Billing Conductor に関する考慮事項
Billing Conductor のインターフェイスエンドポイントを設定する前に、「 *AWS PrivateLink ガイド*」の[「考慮事項](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints)」を参照してください。
Billing Conductor は、インターフェイスエンドポイントを介したすべての API アクションの呼び出しをサポートしています。
VPC エンドポイントポリシーは Billing Conductor ではサポートされていません。デフォルトでは、インターフェイスエンドポイントを介して Billing Conductor へのフルアクセスが許可されます。または、セキュリティグループをエンドポイントネットワークインターフェイスに関連付けて、インターフェイスエンドポイントを介して Billing Conductor へのトラフィックを制御することもできます。
## Billing Conductor のインターフェイスエンドポイントを作成する
Billing Conductor のインターフェイスエンドポイントは、Amazon VPC コンソールまたは AWS Command Line Interface () を使用して作成できますAWS CLI。詳細については、「*AWS PrivateLink ガイド*」の「[インターフェイスエンドポイントを作成](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws)」を参照してください。
次のサービス名を使用して、Billing Conductor のインターフェイスエンドポイントを作成します。
```
com.amazonaws.region.service-name
```
インターフェイスエンドポイントのプライベート DNS を有効にすると、デフォルトのリージョン DNS 名を使用して Billing Conductor に API リクエストを行うことができます。例えば、`service-name.us-east-1.amazonaws.com`。
## インターフェイスエンドポイントのエンドポイントポリシーを作成する
エンドポイントポリシーは、インターフェイスエンドポイントにアタッチできる IAM リソースです。デフォルトのエンドポイントポリシーでは、インターフェイスエンドポイントを介して Billing Conductor へのフルアクセスを許可します。VPC から Billing Conductor に許可されるアクセスを制御するには、カスタムエンドポイントポリシーをインターフェイスエンドポイントにアタッチします。
エンドポイントポリシーは以下の情報を指定します。
+ アクションを実行できるプリンシパル (AWS アカウント、IAM ユーザー、IAM ロール)。
+ 実行可能なアクション。
+ このアクションを実行できるリソース。
詳細については、*AWS PrivateLink ガイド*の[Control access to services using endpoint policies (エンドポイントポリシーを使用してサービスへのアクセスをコントロールする)](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html)を参照してください。
**例: Billing Conductor アクションの VPC エンドポイントポリシー**
以下は、カスタムエンドポイントポリシーの例です。このポリシーをインターフェイスエンドポイントにアタッチすると、すべてのリソースのすべてのプリンシパルに対して、リストされている Billing Conductor アクションへのアクセスが許可されます。
```
{
"Statement": [
{
"Principal": "*",
"Effect": "Allow",
"Action": "billingconductor:*",
"Resource":"*"
}
]
}
```