トンネルへのアクセスの制御

iot:OpenTunnel ポリシーアクションは、 OpenTunnel を呼び出すためのプリンシパルアクセス許可を付与します。

IAM ポリシーステートメントの Resource 要素で以下を実行します。

たとえば、次のポリシーステートメントでは、TestDevice という IoT モノへのトンネルを開くことができます。

{
    "Effect": "Allow",
    "Action": "iot:OpenTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*",
        "arn:aws:iot:aws-region:aws-account-id:thing/TestDevice"
    ]
}

iot:OpenTunnel ポリシーアクションは、次の条件キーをサポートします。

以下のポリシーステートメントでは、モノが TestGroup で始まる名前のモノのグループに属し、そのトンネルの設定済み送信先サービスが SSH である場合、モノにトンネルを開くことができます。

{
    "Effect": "Allow",
    "Action": "iot:OpenTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "ForAnyValue:StringLike": {
            "iot:ThingGroupArn": [
                "arn:aws:iot:aws-region:aws-account-id:thinggroup/TestGroup*"
            ]
        },
        "ForAllValues:StringEquals": {
            "iot:TunnelDestinationService": [
                "SSH"
            ]
        }
    }
}

また、リソースタグを使用して、トンネルを開くアクセス許可を制御することもできます。たとえば、次のポリシーステートメントでは、タグキー Owner が Admin の値で存在し、他にタグが指定されていない場合に、トンネルを開くことができます。タグの使用に関する一般情報については、「AWS IoT リソースのタグ付け」を参照してください。

{
    "Effect": "Allow",
    "Action": "iot:OpenTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "StringEquals": {
            "aws:RequestTag/Owner": "Admin"
        },
        "ForAllValues:StringEquals": {
            "aws:TagKeys": "Owner"
        }
    }
}

iot:RotateTunnelAccessToken ポリシーアクションは、RotateTunnelAccessToken を呼び出すためのプリンシパルアクセス許可を付与します。

IAM ポリシーステートメントの Resource 要素で以下を実行します。

たとえば、次のポリシーステートメントでは、トンネルの送信元アクセストークンまたはクライアントの宛先アクセストークンを、TestDevice という IoT のモノに対してローテーションできます。

{
    "Effect": "Allow",
    "Action": "iot:RotateTunnelAccessToken",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*",
        "arn:aws:iot:aws-region:aws-account-id:thing/TestDevice"
    ]
}

iot:RotateTunnelAccessToken ポリシーアクションは、次の条件キーをサポートします。

以下のポリシーステートメントでは、モノが TestGroup で始まる名前のモノのグループに属し、そのトンネルの設定済み宛先サービスが SSH で、クライアントが DESTINATION モードである場合、モノに対する宛先アクセストークンをローテーションすることができます。

{
    "Effect": "Allow",
    "Action": "iot:RotateTunnelAccessToken",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "ForAnyValue:StringLike": {
            "iot:ThingGroupArn": [
                "arn:aws:iot:aws-region:aws-account-id:thinggroup/TestGroup*"
            ]
        },
        "ForAllValues:StringEquals": {
            "iot:TunnelDestinationService": [
                "SSH"
            ],
            "iot:ClientMode": "DESTINATION"
        }
    }
}

iot:DescribeTunnel ポリシーアクションは、DescribeTunnel を呼び出すためのプリンシパルアクセス許可を付与します。

IAM ポリシーステートメントの Resource 要素で、完全修飾 ARN を指定します。

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

また、次のワイルドカード ARN を使用することもできます。

arn:aws:iot:aws-region:aws-account-id:tunnel/*

iot:DescribeTunnel ポリシーアクションは、次の条件キーをサポートします。

次のポリシーステートメントでは、要求されたトンネルに DescribeTunnel の値が Owner のキーでタグ付けされている場合に Admin を呼び出すことができます。

{
    "Effect": "Allow",
    "Action": "iot:DescribeTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "StringEquals": {
            "aws:ResourceTag/Owner": "Admin"
        }
    }
}

iot:ListTunnels ポリシーアクションは、ListTunnels を呼び出すプリンシパルアクセス許可を付与します。

IAM ポリシーステートメントの Resource 要素で以下を実行します。

iot:ListTunnels ポリシーアクションは、条件キー aws:SecureTransport をサポートします。

以下のポリシーステートメントでは、TestDevice という名前のモノのトンネルを一覧表示することができます。

{
    "Effect": "Allow",
    "Action": "iot:ListTunnels",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*",
        "arn:aws:iot:aws-region:aws-account-id:thing/TestDevice"
    ]
}

iot:ListTagsForResource ポリシーアクションは、ListTagsForResource を呼び出すためのプリンシパルアクセス許可を付与します。

IAM ポリシーステートメントの Resource 要素で、完全修飾 ARN を指定します。

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

また、次のワイルドカードトンネル ARN を使用することもできます。

arn:aws:iot:aws-region:aws-account-id:tunnel/*

iot:ListTagsForResource ポリシーアクションは、条件キー aws:SecureTransport をサポートします。

iot:CloseTunnel ポリシーアクションは、CloseTunnel を呼び出すプリンシパルアクセス許可を付与します。

IAM ポリシーステートメントの Resource 要素で、完全修飾 ARN を指定します。

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

また、次のワイルドカードトンネル ARN を使用することもできます。

arn:aws:iot:aws-region:aws-account-id:tunnel/*

iot:CloseTunnel ポリシーアクションは、次の条件キーをサポートします。

次のポリシーステートメントでは、リクエストの Delete パラメータが false で、リクエストされたトンネルに値が QATeam のキー Owner でタグ付けされている場合に、CloseTunnel を呼び出すことができます。

{
    "Effect": "Allow",
    "Action": "iot:CloseTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "Bool": {
            "iot:Delete": "false"
        },
        "StringEquals": {
            "aws:ResourceTag/Owner": "QATeam"
        }
    }
}

iot:TagResource ポリシーアクションは、TagResource を呼び出すためのプリンシパルアクセス許可を付与します。

IAM ポリシーステートメントの Resource 要素で、完全修飾 ARN を指定します。

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

また、次のワイルドカードトンネル ARN を使用することもできます。

arn:aws:iot:aws-region:aws-account-id:tunnel/*

iot:TagResource ポリシーアクションは、条件キー aws:SecureTransport をサポートします。

iot:UntagResource ポリシーアクションは、UntagResource を呼び出すためのプリンシパルアクセス許可を付与します。

IAM ポリシーステートメントの Resource 要素で、完全修飾 ARN を指定します。

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

また、次のワイルドカードトンネル ARN を使用することもできます。

arn:aws:iot:aws-region:aws-account-id:tunnel/*

iot:UntagResource ポリシーアクションは、条件キー aws:SecureTransport をサポートします。