翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Connect で階層ベースのアクセスコントロールを適用する

ユーザーに割り当てられたエージェント階層に基づいて連絡先へのアクセスを制限できます。これを行うには、セキュリティプロファイルの [連絡先のアクセスを制限] などのアクセス許可を使用します。これらのアクセス許可に加えて、階層を使用してユーザーなどのリソースに対するきめ細かなアクセスコントロールを適用したり、タグを使用したりもできます。

このトピックでは、階層ベースのアクセスコントロールの設定について説明します。

概要:

階層ベースのアクセスコントロールを使用すると、ユーザーに割り当てられたエージェント階層に基づいて、特定のリソースへのきめ細かなアクセスを設定できます。階層ベースのアクセスコントロールは、API/SDK または Amazon Connect 管理者ウェブサイトを使用して設定できます。 

階層ベースのアクセスコントロールをサポートしているリソースはユーザーのみです。この認可モデルはタグベースのアクセスコントロールと連携して機能するため、ユーザーへのアクセスを制限して、同じ階層グループに属する、特定のタグが関連付けられた他のユーザーのみを表示できるようにすることができます。

API/SDK を使用して階層ベースのアクセスコントロールを適用する

階層を使用して AWS アカウント内のリソースへのアクセスを制御するには、IAM ポリシーの条件要素に階層の情報を指定する必要があります。例えば、特定の階層に属するユーザーへのアクセスを制御するには、connect:HierarchyGroupL3Id/hierarchyGroupId 条件キーと StringEquals などの特定の演算子を使用して、ユーザーが所属する階層グループを指定し、アクションを許可します。

サポートされている条件キーは次のとおりです。

各キーは、ユーザーの階層構造の特定のレベルにある特定の階層グループの ID を表します。

Amazon Connect 管理ウェブサイトを使用して階層ベースのアクセスコントロールを適用する

階層を使用して Amazon Connect 管理ウェブサイトのリソースへのアクセスを制御するには、特定のセキュリティプロファイル内でアクセスコントロールセクションを設定します。

例えば、特定のユーザーが属する階層に基づいてきめ細かなアクセスコントロールを有効にするには、そのユーザーをアクセスコントロール対象のリソースとして設定する必要があります。これを行うには、次の 2 つの方法があります。

設定の制限

きめ細かいアクセスコントロールはセキュリティプロファイルで設定します。ユーザーには、きめ細かいアクセスコントロールを適用するためのセキュリティプロファイルを最大 2 つまで割り当てることができます。そうすることで、アクセス許可の制限は緩和され、両方のアクセス許可がセットで機能します。

例えば、一方のセキュリティプロファイルで階層ベースのアクセスコントロールを実施し、もう一方のセキュリティプロファイルでタグベースのアクセスコントロールを実施すると、対象のユーザーは同じ階層に属する、または特定のタグでタグ付けされた任意のユーザーを管理できます。タグベースのアクセスコントロールと階層ベースのアクセスコントロールを同じセキュリティプロファイルの一部として設定する場合は、両方の条件を満たす必要があります。その場合、ユーザーが管理できるのは、同じ階層に属し、かつ特定のタグでタグ付けされたユーザーのみとなります。 

追加のセキュリティプロファイルできめ細かいアクセスコントロールを実施していない限り、ユーザーには 3 つ以上のセキュリティプロファイルを割り当てることができます。複数のセキュリティプロファイルがあり、リソースのアクセス許可が重複している場合は、階層ベースのアクセスコントロールのないセキュリティプロファイルが、階層ベースのアクセスコントロールのあるセキュリティプロファイルよりも優先的に適用されます。

階層ベースのアクセスコントロールを設定するには、サービスにリンクされたロールが必要です。インスタンスが 2018 年 10 月以降に作成された場合は、Amazon Connect インスタンスでデフォルトで使用できます。ただし、これより古いインスタンスを使用している場合は、サービスにリンクされたロールを有効にする方法について、「Amazon Connect サービスにリンクされたロールを使用する」を参照してください。

階層ベースのアクセスコントロールのベストプラクティス