# ステップ 5: ノートブックサービス用に IAM ロールを作成する
<a name="create-an-iam-role-notebook"></a>

開発エンドポイントでノートブックを使用する予定がある場合は、IAM ロールのアクセス許可を付与する必要があります。AWS Identity and Access Management IAM を使用しながら IAM ロールを介して、これらのアクセス許可を付与できます。

**注記**  
IAM コンソールを使用して IAM ロールを作成すると、コンソールによりインスタンスプロファイルが自動的に作成され、対応するロールと同じ名前が付けられます。

**ノートブック用に IAM ロールを作成するには**

1. AWS マネジメントコンソール にサインインして、IAM コンソール [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) を開きます。

1. 左のナビゲーションペインで、**[Roles (ロール)]** を選択してください。

1. **[Create role (ロールの作成)]** を選択してください。

1. ロールタイプについては、[**AWS Service**] (サービス) を選択した後に [**EC2**] を見つけて選択し、ユースケースで [**EC2**] を選択した後、[**Next: Permissions**] (次へ: アクセス許可) をクリックします。

1. [**アクセス許可ポリシーを添付する**] のページで、必要なアクセス許可を含むポリシーを選択します。例えば、一般的な AWS Glue 許可には **AWSGlueServiceNotebookRole**、Amazon S3 リソースへのアクセスには AWS マネージドポリシー **AmazonS3FullAccess** を選択します。続いて、**[Next: Review (次へ: レビュー)]** を選択します。
**注記**  
Amazon S3 のソースとターゲットに対するアクセス許可を、このロールのポリシーの 1 つにより付与してください。また、ノートブックサーバーの作成時にノートブックを保管する場所へのフルアクセスがポリシーで許可されていることを確認してください。独自のポリシーを、特定の Amazon S3 リソースにアクセスするために指定します。リソースの Amazon S3 ポリシーの作成については、「[Specifying Resources in a Policy](https://docs.aws.amazon.com/AmazonS3/latest/userguide/s3-arn-format.html)」を参照してください。  
SSE-KMS で暗号化された Amazon S3 のソースとターゲットにアクセスする予定がある場合は、ノートブックがデータを復号化できるようにポリシーをアタッチします。詳細については、「[Protecting Data Using Server-Side Encryption with AWS KMS-Managed Keys (SSE-KMS)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingKMSEncryption.html)」を参照してください。  
以下に例を示します。  

****  

   ```
   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:Decrypt"
         ],
         "Resource": [
           "arn:aws:kms:*:111122223333:key/key-id"
         ]
       }
     ]
   }
   ```

1. **ロール名** に、ロールの名前を入力します。コンソールユーザーからノートブックサーバーにロールを渡すには、名前に文字列 `AWSGlueServiceNotebookRole` のプレフィックスが付けられたロールを作成します。AWS Glue が提供するポリシーでは、IAM サービスロールが `AWSGlueServiceNotebookRole` で始まることを想定しています。それ以外の場合は、ユーザーにポリシーを追加して、IAM ロールに対する `iam:PassRole` の許可を命名規則に一致させる必要があります。たとえば、`AWSGlueServiceNotebookRoleDefault` と入力します。次に、**[Create role (ロールの作成)]** を選択します。