IAM 許可を設定する

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで、ポリシー を選択してください。

[Create policy] (ポリシーの作成) を選択します。

JSON タブを選択し、INPUT_BUCKET_NAME と OUTPUT_BUCKET_NAME をバケット名に置き換えて、次のポリシードキュメントを入力します。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket",
        "s3:GetObjectVersion",
        "s3:GetBucketVersioning"
      ],
      "Resource": [
        "arn:aws:s3:::INPUT_BUCKET_NAME",
        "arn:aws:s3:::INPUT_BUCKET_NAME/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:AbortMultipartUpload"
      ],
      "Resource": [
        "arn:aws:s3:::OUTPUT_BUCKET_NAME/*"
      ]
    }
  ]
}
        

[次へ] を選択します。

[ポリシー名] にわかりやすい名前 (LocationJobsS3AccessPolicy など) を入力します。

[Create policy] (ポリシーの作成) を選択します。

INPUT_BUCKET_NAME と OUTPUT_BUCKET_NAME をバケット名に置き換えて、 という名前location-jobs-policy.jsonのファイルを次の内容で作成します。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket",
        "s3:GetObjectVersion",
        "s3:GetBucketVersioning"
      ],
      "Resource": [
        "arn:aws:s3:::INPUT_BUCKET_NAME",
        "arn:aws:s3:::INPUT_BUCKET_NAME/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:AbortMultipartUpload"
      ],
      "Resource": [
        "arn:aws:s3:::OUTPUT_BUCKET_NAME/*"
      ]
    }
  ]
}
        

ポリシーを作成します。

aws iam create-policy \
    --policy-name LocationJobsS3AccessPolicy \
    --policy-document file://location-jobs-policy.json

出力のポリシー ARN を書き留めます。この ARN は次のステップで必要になります。

IAM コンソールのナビゲーションペインで、[Roles] (ロール) を選択します。

[ロールの作成] を選択してください。

[Trusted entity type] (信頼されたエンティティのタイプ) で、[Custom trust policy] (カスタム信頼ポリシー) を選択します。

ACCOUNT_ID を AWS アカウント ID に置き換えて、次の信頼ポリシーを入力します。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "geo.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        }
      }
    }
  ]
}

[次へ] を選択します。

ステップ 1 で作成したポリシー ( などLocationJobsS3AccessPolicy) を検索して選択します。

[次へ] を選択します。

ロール名には、 などのわかりやすい名前を入力しますLocationServiceJobExecutionRole。

[ロールの作成] を選択してください。

ACCOUNT_ID を AWS アカウント ID に置き換えて、次の内容trust-policy.jsonで という名前のファイルを作成します。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "geo.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        }
      }
    }
  ]
}

ロールを作成します。

aws iam create-role \
    --role-name LocationServiceJobExecutionRole \
    --assume-role-policy-document file://trust-policy.json

ステップ 1 で作成したポリシーをアタッチします (異なる場合は ACCOUNT_ID を AWS アカウント ID に置き換え、LocationJobsS3AccessPolicy をポリシー名に置き換えます）。

aws iam attach-role-policy \
    --role-name LocationServiceJobExecutionRole \
    --policy-arn arn:aws:iam::ACCOUNT_ID:policy/LocationJobsS3AccessPolicy

ロール ARN を取得します。

aws iam get-role \
    --role-name LocationServiceJobExecutionRole \
    --query 'Role.Arn' \
    --output text

出力のロール ARN を書き留めます。この ARN は、 ExecutionRoleArnパラメータを使用してジョブを開始するときに必要です。