翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# Amazon EVS アイデンティティベースのポリシーの例
デフォルトでは、 IAM ユーザー および ロールには Amazon EVS リソースを作成または変更するアクセス許可はありません。また、 AWS マネジメントコンソール、 AWS CLI、または AWS API を使用してタスクを実行することはできません。 IAM 管理者は、必要な指定されたリソースに対して特定の API オペレーションを実行するアクセス許可をユーザーとロールに付与する IAM ポリシーを作成する必要があります。管理者は、これらのアクセス許可を必要とする IAM ユーザー または グループにこれらのポリシーをアタッチする必要があります。
これらのサンプル JSON ポリシードキュメントを使用して IAM アイデンティティベースのポリシーを作成する方法については、*IAM ユーザーガイド*の[「JSON エディタを使用したポリシーの作成](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html#access_policies_create-json-editor)」を参照してください。
**Topics**
+ [ポリシーに関するベストプラクティス](#security_iam_service-with-iam-policy-best-practices)
+ [Amazon EVS コンソールの使用](#security-iam-id-based-policy-examples-console)
+ [自分の権限の表示をユーザーに許可する](#security-iam-id-based-policy-examples-view-own-permissions)
+ [Amazon EVS 環境の作成と管理](#security-iam-id-based-policy-examples-create-env)
+ [Amazon EVS 環境、ホスト、および VLANs の取得と一覧表示](#security-iam-id-based-policy-examples-list-env)
## ポリシーに関するベストプラクティス
ID ベースのポリシーは、アカウント内で誰かが Amazon EVS リソースを作成、アクセス、または削除できるかどうかを決定します。これらのアクションでは、 AWS アカウントに費用が発生する場合があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:
+ ** AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する** – ユーザーとワークロードにアクセス許可の付与を開始するには、多くの一般的なユースケースにアクセス許可を付与する AWS 管理ポリシーを使用します。これらは で使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義することで、アクセス許可をさらに減らすことをお勧めします。詳細については、*IAM ユーザーガイド* の [AWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) または [ジョブ機能のAWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) を参照してください。
+ **最小特権のアクセス許可を適用する** – IAM ポリシーでアクセス許可を設定する場合は、タスクの実行に必要なアクセス許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。 IAM を使用してアクセス許可を適用する方法の詳細については、*IAM ユーザーガイド*の「 [のポリシーとアクセス許可 IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)」を参照してください。
+ ** IAM ポリシーの条件を使用してアクセスをさらに制限する** – ポリシーに条件を追加して、アクションとリソースへのアクセスを制限できます。たとえば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。条件を使用して、サービスアクションが などの特定の を通じて使用されている場合に AWS のサービス、サービスアクションへのアクセスを許可することもできます CloudFormation。詳細については、*IAM ユーザーガイド*の[IAM 「JSON ポリシー要素: 条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)」を参照してください。
+ ** IAM Access Analyzer を使用して IAM ポリシーを検証し、安全で機能的なアクセス許可を確保する** – ポリシーがポリシー IAM 言語 (JSON) と IAM ベストプラクティスに準拠するように、新規および既存のポリシー IAM Access Analyzer を検証します。 は、安全で機能的なポリシーの作成に役立つ 100 を超えるポリシーチェックと実用的な推奨事項 IAM Access Analyzer を提供します。詳細については、*「IAM ユーザーガイド*」の[IAM Access Analyzer 「ポリシーの検証](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)」を参照してください。
+ **多要素認証 (MFA) を要求する** – アカウントに IAM ユーザー または ルートユーザーを必要とするシナリオがある場合は、セキュリティを強化するために MFA を有効にします。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、*IAM ユーザーガイド*の[MFA 保護 API アクセスの設定](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)を参照してください。
## Amazon EVS コンソールの使用
Amazon EVS コンソールにアクセスするには、IAM プリンシパルに最小限のアクセス許可のセットが必要です。これらのアクセス許可により、プリンシパルは 内の Amazon EVS リソースの詳細を一覧表示および表示できます AWS アカウント。最小限必要な許可よりも制限されたアイデンティティベースのポリシーを作成すると、そのポリシーをアタッチしたプリンシパルに対してはコンソールが意図したとおりに機能しません。
IAM プリンシパルが引き続き Amazon EVS コンソールを使用できるようにするには、 などの独自の一意の名前でポリシーを作成します`AmazonEVSAdminPolicy`。ポリシーをプリンシパルにアタッチします。詳細については、*IAM ユーザーガイド*」の「[ユーザーへの許可の追加](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)」を参照してください。
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"evs:*"
],
"Resource": "*"
},
{
"Sid": "EVSServiceLinkedRole",
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/evs.amazonaws.com/AWSServiceRoleForEVS",
"Condition": {
"StringLike": {
"iam:AWSServiceName": "evs.amazonaws.com"
}
}
}
]
}
```
AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行する API オペレーションと一致するアクションのみへのアクセスを許可します。
## 自分の権限の表示をユーザーに許可する
この例では、 がユーザー ID にアタッチされているインラインポリシーと管理ポリシーを表示 IAM ユーザー できるようにするポリシーを作成する方法を示します。このポリシーには、コンソールで、または AWS CLI または AWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## Amazon EVS 環境の作成と管理
このポリシーの例には、Amazon EVS 環境を作成および削除し、環境の作成後にホストを追加または削除するために必要なアクセス許可が含まれています。
を AWS リージョン 、環境 AWS リージョン を作成する に置き換えることができます。アカウントに `AWSServiceRoleForAmazonEVS` ロールがすでにある場合、ポリシーから `iam:CreateServiceLinkedRole` アクションを削除できます。アカウントで Amazon EVS 環境を作成したことがある場合は、削除しない限り、これらのアクセス許可を持つロールが既に存在します。
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ReadOnlyDescribeActions",
"Effect": "Allow",
"Action": [
"ec2:DescribeVpcs",
"ec2:DescribeInstanceStatus",
"ec2:DescribeHosts",
"ec2:DescribeDhcpOptions",
"ec2:DescribeAddresses",
"ec2:DescribeKeyPairs",
"ec2:DescribeSubnets",
"ec2:DescribeNetworkInterfaces",
"ec2:DescribeInstances",
"ec2:DescribeRouteServers",
"ec2:DescribeRouteServerEndpoints",
"ec2:DescribeRouteServerPeers",
"ec2:DescribePlacementGroups",
"ec2:DescribeVolumes",
"ec2:DescribeSecurityGroups",
"support:DescribeServices",
"support:DescribeSupportLevel",
"servicequotas:GetServiceQuota",
"servicequotas:ListServiceQuotas"
],
"Resource": "*"
},
{
"Sid": "ModifyNetworkInterfaceStatement",
"Effect": "Allow",
"Action": [
"ec2:ModifyNetworkInterfaceAttribute",
"ec2:DeleteNetworkInterface"
],
"Resource": "arn:aws:ec2:*:*:network-interface/*",
"Condition": {
"Null": {
"aws:ResourceTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "ModifyNetworkInterfaceStatementForSubnetAssociation",
"Effect": "Allow",
"Action": [
"ec2:ModifyNetworkInterfaceAttribute"
],
"Resource": "arn:aws:ec2:*:*:subnet/*",
"Condition": {
"Null": {
"aws:ResourceTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "CreateNetworkInterfaceWithTag",
"Effect": "Allow",
"Action": [
"ec2:CreateNetworkInterface"
],
"Resource": [
"arn:aws:ec2:*:*:network-interface/*"
],
"Condition": {
"Null": {
"aws:RequestTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "CreateNetworkInterfaceAdditionalResources",
"Effect": "Allow",
"Action": [
"ec2:CreateNetworkInterface"
],
"Resource": [
"arn:aws:ec2:*:*:subnet/*",
"arn:aws:ec2:*:*:security-group/*"
],
"Condition": {
"Null": {
"aws:ResourceTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "TagOnCreateEC2Resources",
"Effect": "Allow",
"Action": [
"ec2:CreateTags"
],
"Resource": [
"arn:aws:ec2:*:*:network-interface/*",
"arn:aws:ec2:*:*:instance/*",
"arn:aws:ec2:*:*:volume/*",
"arn:aws:ec2:*:*:subnet/*"
],
"Condition": {
"StringEquals": {
"ec2:CreateAction": [
"CreateNetworkInterface",
"RunInstances",
"CreateSubnet",
"CreateVolume"
]
},
"Null": {
"aws:RequestTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "DetachNetworkInterface",
"Effect": "Allow",
"Action": [
"ec2:DetachNetworkInterface"
],
"Resource": [
"arn:aws:ec2:*:*:network-interface/*",
"arn:aws:ec2:*:*:instance/*"
],
"Condition": {
"Null": {
"aws:ResourceTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "RunInstancesWithTag",
"Effect": "Allow",
"Action": [
"ec2:RunInstances"
],
"Resource": [
"arn:aws:ec2:*:*:instance/*",
"arn:aws:ec2:*:*:volume/*"
],
"Condition": {
"Null": {
"aws:RequestTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "RunInstancesWithTagResource",
"Effect": "Allow",
"Action": [
"ec2:RunInstances"
],
"Resource": [
"arn:aws:ec2:*:*:subnet/*",
"arn:aws:ec2:*:*:network-interface/*"
],
"Condition": {
"Null": {
"aws:ResourceTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "RunInstancesWithoutTag",
"Effect": "Allow",
"Action": [
"ec2:RunInstances"
],
"Resource": [
"arn:aws:ec2:*:*:image/*",
"arn:aws:ec2:*:*:security-group/*",
"arn:aws:ec2:*:*:key-pair/*",
"arn:aws:ec2:*:*:placement-group/*"
]
},
{
"Sid": "TerminateInstancesWithTag",
"Effect": "Allow",
"Action": [
"ec2:TerminateInstances",
"ec2:ModifyInstanceAttribute"
],
"Resource": "arn:aws:ec2:*:*:instance/*",
"Condition": {
"Null": {
"aws:ResourceTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "CreateSubnetWithTag",
"Effect": "Allow",
"Action": [
"ec2:CreateSubnet"
],
"Resource": [
"arn:aws:ec2:*:*:subnet/*"
],
"Condition": {
"Null": {
"aws:RequestTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "CreateSubnetWithoutTagForExistingVPC",
"Effect": "Allow",
"Action": [
"ec2:CreateSubnet"
],
"Resource": [
"arn:aws:ec2:*:*:vpc/*"
]
},
{
"Sid": "DeleteSubnetWithTag",
"Effect": "Allow",
"Action": [
"ec2:DeleteSubnet"
],
"Resource": "arn:aws:ec2:*:*:subnet/*",
"Condition": {
"Null": {
"aws:ResourceTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "VolumeDeletion",
"Effect": "Allow",
"Action": [
"ec2:DeleteVolume"
],
"Resource": "arn:aws:ec2:*:*:volume/*",
"Condition": {
"Null": {
"aws:ResourceTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "VolumeDetachment",
"Effect": "Allow",
"Action": [
"ec2:DetachVolume"
],
"Resource": [
"arn:aws:ec2:*:*:instance/*",
"arn:aws:ec2:*:*:volume/*"
],
"Condition": {
"Null": {
"aws:ResourceTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "RouteServerAccess",
"Effect": "Allow",
"Action": [
"ec2:GetRouteServerAssociations"
],
"Resource": "arn:aws:ec2:*:*:route-server/*"
},
{
"Sid": "EVSServiceLinkedRole",
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": "arn:aws:iam::*:role/aws-service-role/evs.amazonaws.com/AWSServiceRoleForEVS",
"Condition": {
"StringLike": {
"iam:AWSServiceName": "evs.amazonaws.com"
}
}
},
{
"Sid": "SecretsManagerCreateWithTag",
"Effect": "Allow",
"Action": [
"secretsmanager:CreateSecret"
],
"Resource": "arn:aws:secretsmanager:*:*:secret:*",
"Condition": {
"StringEquals": {
"aws:RequestTag/AmazonEVSManaged": "true"
},
"ForAllValues:StringEquals": {
"aws:TagKeys": [
"AmazonEVSManaged"
]
}
}
},
{
"Sid": "SecretsManagerTagging",
"Effect": "Allow",
"Action": [
"secretsmanager:TagResource"
],
"Resource": "arn:aws:secretsmanager:*:*:secret:*",
"Condition": {
"StringEquals": {
"aws:RequestTag/AmazonEVSManaged": "true",
"aws:ResourceTag/AmazonEVSManaged": "true"
},
"ForAllValues:StringEquals": {
"aws:TagKeys": [
"AmazonEVSManaged"
]
}
}
},
{
"Sid": "SecretsManagerOps",
"Effect": "Allow",
"Action": [
"secretsmanager:DeleteSecret",
"secretsmanager:GetSecretValue",
"secretsmanager:UpdateSecret"
],
"Resource": "arn:aws:secretsmanager:*:*:secret:*",
"Condition": {
"Null": {
"aws:ResourceTag/AmazonEVSManaged": "false"
}
}
},
{
"Sid": "SecretsManagerRandomPassword",
"Effect": "Allow",
"Action": [
"secretsmanager:GetRandomPassword"
],
"Resource": "*"
},
{
"Sid": "EVSPermissions",
"Effect": "Allow",
"Action": [
"evs:*"
],
"Resource": "*"
},
{
"Sid": "KMSKeyAccessInConsole",
"Effect": "Allow",
"Action": [
"kms:DescribeKey"
],
"Resource": "arn:aws:kms:*:*:key/*"
},
{
"Sid": "KMSKeyAliasAccess",
"Effect": "Allow",
"Action": [
"kms:ListAliases"
],
"Resource": "*"
}
]
}
```
## Amazon EVS 環境、ホスト、および VLANs の取得と一覧表示
このポリシーの例には、管理者が us-east-2 の特定のアカウント内のすべての Amazon EVS 環境、ホスト、および VLANs を取得して一覧表示するために必要な最小限のアクセス許可が含まれています AWS リージョン。
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"evs:Get*",
"evs:List*"
],
"Resource": "*"
}
]
}
```