共有 VPC の VPC エンドポイントを使用して Amazon Keyspaces へのクロスアカウントアクセスを設定する

AWS Resource Access Manager を使用してサブネットのリソース共有を作成し、プライベートサブネットを Account B:222222222222および と共有しますAccount C:333333333333。

Account B:222222222222 と Account C:333333333333 は、共有されているサブネット内のリソースを表示し、作成できます。

を使用した Amazon Keyspaces プライベート VPC エンドポイントを作成します AWS PrivateLink。これにより、Amazon Keyspaces サービスエンドポイントの共有サブネットと DNS エントリに複数のエンドポイントが作成されます。

Amazon Keyspaces キースペースとテーブルを作成します。

次のポリシー例に示すように、Amazon Keyspaces テーブルへのAccount A:111111111111フルアクセス、Amazon Keyspaces システムテーブルへの読み取りアクセス、Amazon EC2 VPC リソースを記述できる IAM ロールを に作成します。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "CrossAccountAccess",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeVpcEndpoints",
                "cassandra:*"
            ],
            "Resource": "*"
        }
    ]
}

Account B:222222222222 と が信頼されたアカウントとしてロールを引きAccount C:333333333333受けるAccount A:111111111111ことができるように、 で IAM ロールの信頼ポリシーを設定します。以下の例ではこれを示しています。

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::222222222222:role/Cross-Account-Role-B",
          "arn:aws:iam::333333333333:role/Cross-Account-Role-C"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {}
    }
  ]
}

クロスアカウント IAM ポリシーの詳細については、『IAM ユーザーガイド』の「クロスアカウントポリシー」を参照してください。

Account B:222222222222 と Account C:333333333333 で新しいロールを作成し、Account A:111111111111 で作成した共有ロールをプリンシパルが引き受けることを許可する以下のポリシーをアタッチします。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ec2.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

プリンシパルが共有ロールを引き受けることを許可するには、 AWS Security Token Service () の AssumeRole API を使用しますAWS STS。詳細については、「IAM ユーザーガイド」の「自分が所有 AWS アカウント している別の の IAM ユーザーへのアクセスを提供する」を参照してください。

Account B:222222222222 と Account C:333333333333 では、SIGV4 認証プラグインを利用するアプリケーションを作成できます。これにより、アプリケーションは共有ロールを引き受け、共有 VPC の VPC エンドポイントを介して Account A:111111111111 にある Amazon Keyspaces テーブルに接続できます。SIGV4 認証プラグインの詳細については、「Amazon Keyspaces にプログラムによってアクセスするための認証情報を作成する 」を参照してください。別の AWS アカウントでロールを引き受けるようにアプリケーションを設定する方法の詳細については、 SDK およびツールリファレンスガイドの「認証とアクセス」を参照してください。 AWS SDKs