のサービスロールを使用する AWS IoT SiteWise Monitor - AWS IoT SiteWise
SiteWise Monitor (Classic) のサービスロールのアクセス許可SiteWise Monitor のサービスロールのアクセス許可 (AI 対応）サービスロールの管理 (コンソール) サービスロールの管理 (CLI) ロールの更新

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

のサービスロールを使用する AWS IoT SiteWise Monitor

サービスロールとは、サービスがユーザーに代わってアクションを実行するために引き受ける IAM ロールです。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、「IAM ユーザーガイド」の「AWS のサービスに許可を委任するロールを作成する」を参照してください。

SiteWise Monitor ポータルのフェデレーティッドユーザーに AWS IoT SiteWise および AWS IAM Identity Center リソースへのアクセスを許可するには、作成する各ポータルにサービスロールをアタッチする必要があります。サービスロールは、信頼されたエンティティとして SiteWise Monitor を指定し、AWSIoTSiteWiseMonitorPortalAccess 管理ポリシーを含めるか、[equivalent permissions] (同等のアクセス許可) を定義する必要があります。このポリシーは によって維持 AWS され、SiteWise Monitor が AWS IoT SiteWise および IAM Identity Center リソースにアクセスするために使用する一連のアクセス許可を定義します。

SiteWise Monitor ポータルの作成では、そのポータルのユーザーが AWS IoT SiteWise および IAM Identity Center のリソースにアクセスすることを許可するロールを選択する必要があります。 AWS IoT SiteWise コンソールでロールを作成して設定できます。ロールは IAM で後から編集できます。ロールから必要なアクセス許可を削除したり、ロールを削除したりすると、SiteWise Monitor ポータルのユーザーがポータルを使用できなくなります。

注記

2020 年 4 月 29 日より前に作成されたポータルでは、サービスロールは必須ではありませんでした。この日付より前に作成されたポータルを引き続き使用する場合は、サービスロールをアタッチする必要があります。これを行うには、[AWS IoT SiteWise console] (コンソール) で[Portals] (ポータル) ページに移動し、[Migrate all portals to use IAM roles] (すべてのポータルでIAMロールを使用できるように移行する) を選択します。

次のセクションでは、 AWS Management Console または AWS Command Line Interfaceで SiteWise Monitor のサービスロールを作成および管理する方法について説明します。

SiteWise Monitor (Classic) のサービスロールのアクセス許可

ポータルを作成すると、 は名前が AWSIoTSiteWiseMonitorServiceRole で始まるロール AWS IoT SiteWise を作成します。このロールにより、フェデレーティッド SiteWise Monitor ユーザーはポータルの設定、アセット、アセットデータ、IAM Identity Center 設定、にアクセスすることができます。

このロールは、その前提として以下のサービスを信頼します。

  • monitor.iotsitewise.amazonaws.com

このロールは、AWSIoTSiteWiseMonitorServicePortalPolicy で始まる次のアクセス許可ポリシーを使用して、SiteWise Monitor ユーザーがアカウント内のリソースに対してアクションを実行できるようにします。AWSIoTSiteWiseMonitorPortalAccess 管理ポリシーは、同等のアクセス許可を定義しています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:DescribePortal",
                "iotsitewise:CreateProject",
                "iotsitewise:DescribeProject",
                "iotsitewise:UpdateProject",
                "iotsitewise:DeleteProject",
                "iotsitewise:ListProjects",
                "iotsitewise:BatchAssociateProjectAssets",
                "iotsitewise:BatchDisassociateProjectAssets",
                "iotsitewise:ListProjectAssets",
                "iotsitewise:CreateDashboard",
                "iotsitewise:DescribeDashboard",
                "iotsitewise:UpdateDashboard",
                "iotsitewise:DeleteDashboard",
                "iotsitewise:ListDashboards",
                "iotsitewise:CreateAccessPolicy",
                "iotsitewise:DescribeAccessPolicy",
                "iotsitewise:UpdateAccessPolicy",
                "iotsitewise:DeleteAccessPolicy",
                "iotsitewise:ListAccessPolicies",
                "iotsitewise:DescribeAsset",
                "iotsitewise:ListAssets",
                "iotsitewise:ListAssociatedAssets",
                "iotsitewise:DescribeAssetProperty",
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetAssetPropertyValueHistory",
                "iotsitewise:GetAssetPropertyAggregates",
                "iotsitewise:BatchPutAssetPropertyValue",
                "iotsitewise:ListAssetRelationships",
                "iotsitewise:DescribeAssetModel",
                "iotsitewise:ListAssetModels",
                "iotsitewise:UpdateAssetModel",
                "iotsitewise:UpdateAssetModelPropertyRouting",
                "sso-directory:DescribeUsers",
                "sso-directory:DescribeUser",
                "iotevents:DescribeAlarmModel",
                "iotevents:ListTagsForResource"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotevents:BatchAcknowledgeAlarm",
                "iotevents:BatchSnoozeAlarm",
                "iotevents:BatchEnableAlarm",
                "iotevents:BatchDisableAlarm"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "iotevents:keyValue": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotevents:CreateAlarmModel",
                "iotevents:TagResource"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/iotsitewisemonitor": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iotevents:UpdateAlarmModel",
                "iotevents:DeleteAlarmModel"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:ResourceTag/iotsitewisemonitor": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "iotevents.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

アラームに必要なアクセス許可の詳細については、でイベントアラームのアクセス許可を設定する AWS IoT SiteWise を参照してください。

ポータルユーザーがサインインすると、SiteWise Monitor は、サービスロールとそのユーザーのアクセスポリシーの交点に基づいて、[session policy] (セッションポリシー) を作成します。アクセスポリシーによって、ポータルおよびプロジェクトへの アイデンティティのアクセスレベルが定義されます。ポータルのアクセス許可とアクセスポリシーの詳細については、「SiteWise Monitor ポータルを管理する」および「CreateAccessPolicy」を参照してください。

SiteWise Monitor のサービスロールのアクセス許可 (AI 対応）

ポータルを作成すると、 は IoTSiteWisePortalRole で始まる名前のロール AWS IoT SiteWise を作成します。このロールにより、フェデレーティッド SiteWise Monitor ユーザーはポータルの設定、アセット、アセットデータ、IAM Identity Center 設定、にアクセスすることができます。

警告

SiteWise Monitor (AI 対応) では、プロジェクト所有者ロールとプロジェクトビューワーロールはサポートされていません。

このロールは、その前提として以下のサービスを信頼します。

  • monitor.iotsitewise.amazonaws.com

このロールは、 IoTSiteWiseAIPortalAccessPolicy で始まる次のアクセス許可ポリシーを使用して、SiteWise Monitor ユーザーがアカウントのリソースに対してアクションを実行できるようにします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:CreateProject",
                "iotsitewise:DescribePortal",
                "iotsitewise:ListProjects",
                "iotsitewise:DescribeProject",
                "iotsitewise:UpdateProject",
                "iotsitewise:DeleteProject",
                "iotsitewise:CreateDashboard",
                "iotsitewise:DescribeDashboard",
                "iotsitewise:UpdateDashboard",
                "iotsitewise:DeleteDashboard",
                "iotsitewise:ListDashboards",
                "iotsitewise:ListAssets",
                "iotsitewise:DescribeAsset",
                "iotsitewise:ListAssociatedAssets",
                "iotsitewise:ListAssetProperties",
                "iotsitewise:DescribeAssetProperty",
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetAssetPropertyValueHistory",
                "iotsitewise:GetAssetPropertyAggregates",
                "iotsitewise:GetInterpolatedAssetPropertyValues",
                "iotsitewise:BatchGetAssetPropertyAggregates",
                "iotsitewise:BatchGetAssetPropertyValue",
                "iotsitewise:BatchGetAssetPropertyValueHistory",
                "iotsitewise:ListAssetRelationships",
                "iotsitewise:DescribeAssetModel",
                "iotsitewise:ListAssetModels",
                "iotsitewise:DescribeAssetCompositeModel",
                "iotsitewise:DescribeAssetModelCompositeModel",
                "iotsitewise:ListAssetModelProperties",
                "iotsitewise:ExecuteQuery",
                "iotsitewise:ListTimeSeries",
                "iotsitewise:DescribeTimeSeries",
                "iotsitewise:InvokeAssistant",
                "iotsitewise:DescribeDataset",
                "iotsitewise:ListDatasets",
                "iotevents:DescribeAlarmModel",
                "iotevents:ListTagsForResource",
                "iottwinmaker:ListWorkspaces",
                "iottwinmaker:ExecuteQuery",
                "iottwinmaker:GetWorkspace",
                "identitystore:DescribeUser"
            ],
            "Resource": "*"
        }
    ]
}

ポータルユーザーがサインインすると、SiteWise Monitor は、サービスロールとそのユーザーのアクセスポリシーの交点に基づいて、[session policy] (セッションポリシー) を作成します。

SiteWise Monitor サービスロールを管理する (コンソール)

は、ポータルの SiteWise Monitor サービスロールの管理 AWS IoT SiteWise コンソール を容易にします。ポータルを作成すると、コンソールはアタッチメントに適した既存のロールをチェックします。何も使用できない場合、コンソールはサービスロールを自動的に作成および設定できます。詳細については、「SiteWise Monitor でポータルを作成する」を参照してください。

ポータルのサービスロールを見つける (コンソール)

SiteWise Monitor ポータルにアタッチされているサービスロールを確認するには、次のステップに従います。

ポータルのサービスロールを確認するには

  1. AWS IoT SiteWise コンソールに移動します。

  2. 左のナビゲーションペインで、[ポータル] を選択します。

  3. サービスロールを確認するポータルを選択します。

    ポータルにアタッチされているロールが [アクセス許可]、[サービスロール] で表示されます。

SiteWise Monitor サービスロールを作成する (AWS IoT SiteWise コンソール)

SiteWise Monitor ポータルを作成すると、ポータル用のサービスロールを作成することができます。詳細については、「SiteWise Monitor でポータルを作成する」を参照してください。

AWS IoT SiteWise コンソールで既存のポータルのサービスロールを作成することもできます。これは、ポータルの既存のサービスロールを置き換えるものです。

既存のポータルのサービスロールを作成するには

  1. AWS IoT SiteWise コンソールに移動します。

  2. ナビゲーションペインで、[Portals (ポータル) ] を選択します。

  3. 新しいサービスロールを作成するポータルを選択します。

  4. [Portal details (ポータルの詳細) ] で、[編集] を選択します。

  5. [アクセス許可] で、リストから [Create and use a new service role (新しいサービスロールを作成および使用) ] を選択します。

  6. 新しいロールの名前を入力します。

  7. [保存] を選択します。

SiteWise Monitor サービスロールを作成する (IAM コンソール)

IAM コンソールのサービスロールテンプレートから、サービスロールを作成することができます。このロールテンプレートは、AWSIoTSiteWiseMonitorPortalAccess 管理ポリシーを含み、信頼できるエンティティとして SiteWise モニターを指定します。

ポータルサービスロールテンプレートからサービスロールを作成するステップ。

  1. [IAM console] (IAM コンソール) に入ります。

  2. ナビゲーションペインで [Roles (ロール) ] を選択します。

  3. [ロールの作成] を選択してください。

  4. [Choose a use case] (ユースケースを選択する) で、[IoT SiteWise]を選択します。

  5. [Select your use case] (ユースケースの選択) で、IoT SiteWise Monitor - Portal を選択します。

  6. [Next: Permissions (次へ: アクセス許可) ] を選択します。

  7. [次へ: タグ] を選択します。

  8. [次へ: レビュー] を選択します。

  9. 新しいサービスロールの[Role name] (ロール名) を入力します。

  10. [ロールの作成] を選択してください。

ポータルのサービスロールを変更する (コンソール)

ポータルに SiteWise Monitor の別のサービスロールを選択するには、次のステップに従います。

ポータルのサービスロールを変更するには

  1. AWS IoT SiteWise コンソールに移動します。

  2. ナビゲーションペインで、[Portals (ポータル) ] を選択します。

  3. サービスロールを変更するポータルを選択します。

  4. [Portal details (ポータルの詳細) ] で、[編集] を選択します。

  5. [アクセス許可] で、[Use an existing role (既存のロールを使用) ] を選択します。

  6. そのポータルにアタッチする既存のロールを選択します。

  7. [保存] を選択します。

SiteWise Monitor サービスロールを管理する (CLI)

は、次のポータルサービスロール管理タスク AWS CLI に使用できます。

ポータルのサービスロールを見つける (CLI)

SiteWise Monitor ポータルにアタッチされているサービスロールを確認するには、次のコマンドを実行して現在のリージョンのすべてのポータルを一覧表示します。

aws iotsitewise list-portals

このオペレーションは、ポータルの概要を含むレスポンスを次の形式で返します。

{
  "portalSummaries": [
    {
      "id": "a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
      "name": "WindFarmPortal",
      "description": "A portal that contains wind farm projects for Example Corp.",
      "roleArn": "arn:aws:iam::123456789012:role/service-role/role-name",
      "startUrl": "https://a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE.app.iotsitewise.aws",
      "creationDate": "2020-02-04T23:01:52.90248068Z",
      "lastUpdateDate": "2020-02-04T23:01:52.90248078Z"
    }
  ]
}

ポータルの ID が分かっている場合は、DescribePortal オペレーションを使用してポータルのロールを確認することもできます。

SiteWise Monitor サービスロールを作成する (CLI)

SiteWise Monitor のサービスロールを新しく作成するには、次のステップに従います。

SiteWise Monitor のサービス・ロールを作成するには。

  1. SiteWise Monitor にロールの引き受けを許可する信頼ポリシーを設定したロールを作成します。この例では、JSON 文字列に保存された信頼ポリシーから MySiteWiseMonitorPortalRole という名前のロールを作成します。

    Linux, macOS, or Unix
    aws iam create-role --role-name MySiteWiseMonitorPortalRole --assume-role-policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "monitor.iotsitewise.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'
    Windows command prompt
    aws iam create-role --role-name MySiteWiseMonitorPortalRole --assume-role-policy-document "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"monitor.iotsitewise.amazonaws.com\"},\"Action\":\"sts:AssumeRole\"}]}"

  2. 出力のロールメタデータからロールの ARN をコピーします。ポータルの作成時に、この ARN を使用してロールとポータルを関連付けます。ポータルの作成の詳細については、[AWS IoT SiteWise API Reference] (API リファレンス) の[CreatePortal] (ポータルの作成) を参照してください。

    1. SiteWise Monitor (Classic) の場合 – AWSIoTSiteWiseMonitorPortalAccessポリシーをロールにアタッチするか、同等のアクセス許可を定義するポリシーをアタッチします。

      aws iam attach-role-policy --role-name MySiteWiseMonitorPortalRole --policy-arn arn:aws:iam::aws:policy/service-role/AWSIoTSiteWiseMonitorPortalAccess

    2. SiteWise Monitor (AI 対応) の場合 – IoTSiteWiseAIPortalAccessPolicyポリシーをロールにアタッチするか、同等のアクセス許可を定義するポリシーをアタッチします。例えば、ポータルアクセス許可を持つポリシーを作成します。次の例では、 という名前のポリシーを作成しますMySiteWiseMonitorPortalAccess。

      
aws iam create-policy \
    --policy-name MySiteWiseMonitorPortalAccess \
    --policy-document '{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iotsitewise:CreateProject",
                "iotsitewise:DescribePortal",
                "iotsitewise:ListProjects",
                "iotsitewise:DescribeProject",
                "iotsitewise:UpdateProject",
                "iotsitewise:DeleteProject",
                "iotsitewise:CreateDashboard",
                "iotsitewise:DescribeDashboard",
                "iotsitewise:UpdateDashboard",
                "iotsitewise:DeleteDashboard",
                "iotsitewise:ListDashboards",
                "iotsitewise:ListAssets",
                "iotsitewise:DescribeAsset",
                "iotsitewise:ListAssociatedAssets",
                "iotsitewise:ListAssetProperties",
                "iotsitewise:DescribeAssetProperty",
                "iotsitewise:GetAssetPropertyValue",
                "iotsitewise:GetAssetPropertyValueHistory",
                "iotsitewise:GetAssetPropertyAggregates",
                "iotsitewise:GetInterpolatedAssetPropertyValues",
                "iotsitewise:BatchGetAssetPropertyAggregates",
                "iotsitewise:BatchGetAssetPropertyValue",
                "iotsitewise:BatchGetAssetPropertyValueHistory",
                "iotsitewise:ListAssetRelationships",
                "iotsitewise:DescribeAssetModel",
                "iotsitewise:ListAssetModels",
                "iotsitewise:DescribeAssetCompositeModel",
                "iotsitewise:DescribeAssetModelCompositeModel",
                "iotsitewise:ListAssetModelProperties",
                "iotsitewise:ExecuteQuery",
                "iotsitewise:ListTimeSeries",
                "iotsitewise:DescribeTimeSeries",
                "iotsitewise:InvokeAssistant",
                "iotsitewise:DescribeDataset",
                "iotsitewise:ListDatasets",
                "iotevents:DescribeAlarmModel",
                "iotevents:ListTagsForResource",
                "iottwinmaker:ListWorkspaces",
                "iottwinmaker:ExecuteQuery",
                "iottwinmaker:GetWorkspace",
                "identitystore:DescribeUser"
            ],
            "Resource": "*"
        }
    ]
}'
既存のポータルにサービスロールをアタッチするには

  1. ポータルの既存の詳細を取得するには、次のコマンドを実行します。portal-id をポータルの ID で置き換えてください。

    aws iotsitewise describe-portal --portal-id portal-id

    このオペレーションは、ポータルの詳細を含むレスポンスを次の形式で返します。

    {
    "portalId": "a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
    "portalArn": "arn:aws:iotsitewise:region:account-id:portal/a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE",
    "portalName": "WindFarmPortal",
    "portalDescription": "A portal that contains wind farm projects for Example Corp.",
    "portalClientId": "E-1a2b3c4d5e6f_sn6tbqHVzLWVEXAMPLE",
    "portalStartUrl": "https://a1b2c3d4-5678-90ab-cdef-aaaaaEXAMPLE.app.iotsitewise.aws",
    "portalContactEmail": "support@example.com",
    "portalStatus": {
        "state": "ACTIVE"
    },
    "portalCreationDate": "2020-04-29T23:01:52.90248068Z",
    "portalLastUpdateDate": "2020-04-29T00:28:26.103548287Z",
    "roleArn": "arn:aws:iam::123456789012:role/service-role/AWSIoTSiteWiseMonitorServiceRole_1aEXAMPLE"
}

  2. サービスロールをポータルにアタッチするには、次のコマンドを実行します。role-arn をサービスロールの ARN で置き換え、その他のパラメータをポータルの既存の値で置き換えてください。

    aws iotsitewise update-portal \
  --portal-id portal-id \
  --role-arn role-arn \
  --portal-name portal-name \
  --portal-description portal-description \
  --portal-contact-email portal-contact-email

SiteWise Monitor の AWSIoTSiteWiseMonitorServiceRole に対する更新

本サービスが変更の追跡を開始した時点から、SiteWise Monitor の AWSIoTSiteWiseMonitorServiceRole に対する更新に関する詳細を表示することができます。このページの変更に関する自動アラートについては、 AWS IoT SiteWise ドキュメント履歴ページの RSS フィードにサブスクライブしてください。

変更 説明 日付

AWSIoTSiteWiseMonitorPortalAccess – ポリシーの更新

AWS IoT SiteWise は、アラーム機能の AWSIoTSiteWiseMonitorPortalAccess 管理ポリシーを更新しました。

 2021 年 5 月 27 日

AWS IoT SiteWise が変更の追跡を開始しました

AWS IoT SiteWise は、サービスロールの変更の追跡を開始しました。

 2020 年 12 月 15 日