翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# AMS がアカウントにアクセスする理由とタイミング
<a name="access-justification"></a>

AWS Managed Services (AMS) は AWS インフラストラクチャを管理し、特定の理由で AMS オペレーターと管理者がアカウントにアクセスすることがあります。これらのアクセスイベントは、 AWS CloudTrail (CloudTrail) ログに記録されます。

AMS がアカウントにアクセスする理由、タイミング、および方法については、以下のトピックで説明します。

## AMS カスタマーアカウントアクセストリガー
<a name="access-mgmt-triggers"></a>

AMS カスタマーアカウントアクセスアクティビティは、トリガーによって駆動されます。今日のトリガーは、Amazon CloudWatch (CloudWatch) アラームとイベントに応答して問題管理システムで作成された AWS チケット、および送信したインシデントレポートまたはサービスリクエストです。アクセスごとに複数のサービス呼び出しとホストレベルのアクティビティが実行される場合があります。

アクセスの根拠、トリガー、トリガーのイニシエータを次の表に示します。


**アクセストリガー**  

<table>
<thead>
  <tr><th>アクセス</th><th>イニシエータ</th><th>Trigger トリガー)</th></tr>
</thead>
<tbody>
  <tr><td>パッチ適用</td><td>AMS</td><td>パッチの問題</td></tr>
  <tr><td>インフラストラクチャのデプロイ</td><td>AMS</td><td>デプロイの問題</td></tr>
  <tr><td>内部問題調査</td><td>AMS</td><td>問題 (システムとして特定された問題)</td></tr>
  <tr><td>アラートの調査と修復</td><td>AMS</td><td>AWS Systems Manager 運用作業項目 (SSM OpsItems)</td></tr>
  <tr><td>手動 RFC 実行</td><td>You</td><td>Request for Change (RFC) の問題。(自動化されていない RFCsリソースへの AMS アクセスが必要になる場合があります)</td></tr>
  <tr><td>インシデントの調査と修復</td><td>You</td><td rowspan="2">インバウンドサポートケース (送信したインシデントまたはサービスリクエスト)</td></tr>
  <tr><td>インバウンドサービスリクエストのフルフィルメント</td><td>You</td></tr>
</tbody>
</table>


## AMS カスタマーアカウントアクセス IAM ロール
<a name="access-mgmt-iam-roles"></a>

トリガーされると、AMS は AWS Identity and Access Management (IAM) ロールを使用してカスタマーアカウントにアクセスします。アカウントのすべてのアクティビティと同様に、ロールとその使用状況は CloudTrail に記録されます。

**重要**  
これらのロールを変更または削除しないでください。


**カスタマーアカウントへの AMS アクセスの IAM ロール**  
<a name="iam-access-roles-table"></a>
<table>
<thead>
  <tr><th>ロール名</th><th>アカウントタイプ (SALZ、MALZ 管理、MALZ アプリケーションなど)</th><th>説明</th></tr>
</thead>
<tbody>
  <tr><td>ams-service-admin</td><td>SALZ、MALZ</td><td>AMS サービスの自動化アクセスと、パッチ、バックアップ、自動修復などの自動インフラストラクチャデプロイ。</td></tr>
  <tr><td>ams-application-infra-read-only</td><td rowspan="3">SALZ、MALZ アプリケーション、MALZ Tools-Application</td><td>オペレーターの読み取り専用アクセス</td></tr>
  <tr><td>ams-application-infra-operations</td><td>インシデント/サービスリクエストのオペレーターアクセス</td></tr>
  <tr><td>ams-application-infra-admin</td><td>AD 管理者アクセス</td></tr>
  <tr><td>ams-primary-read-only</td><td rowspan="3">MALZ 管理</td><td>オペレーターの読み取り専用アクセス</td></tr>
  <tr><td>ams-primary-operations</td><td>インシデント/サービスリクエストのオペレーターアクセス</td></tr>
  <tr><td>ams-primary-admin</td><td>AD 管理者アクセス</td></tr>
  <tr><td>ams-logging-read-only</td><td rowspan="3">MALZ ログ記録</td><td>オペレーターの読み取り専用アクセス</td></tr>
  <tr><td>ams-logging-operations</td><td>インシデント/サービスリクエストのオペレーターアクセス</td></tr>
  <tr><td>ams-logging-admin</td><td>AD 管理者アクセス</td></tr>
  <tr><td>ams-networking-read-only</td><td rowspan="3">MALZ ネットワーキング</td><td>オペレーターの読み取り専用アクセス</td></tr>
  <tr><td>ams-networking-operations</td><td>インシデント/サービスリクエストのオペレーターアクセス</td></tr>
  <tr><td>ams-networking-admin</td><td>AD 管理者アクセス</td></tr>
  <tr><td>ams-shared-services-read-only</td><td rowspan="3">MALZ 共有サービス</td><td>オペレーターの読み取り専用アクセス</td></tr>
  <tr><td>ams-shared-services-operations</td><td>インシデント/サービスリクエストのオペレーターアクセス</td></tr>
  <tr><td>ams-shared-services-admin</td><td>AD 管理者アクセス</td></tr>
  <tr><td>ams-security-read-only</td><td rowspan="3">MALZ セキュリティ</td><td>オペレーターの読み取り専用アクセス</td></tr>
  <tr><td>ams-security-operations</td><td>インシデント/サービスリクエストのオペレーターアクセス</td></tr>
  <tr><td>ams-security-admin</td><td>AD 管理者アクセス</td></tr>
  <tr><td>ams-access-security-analyst</td><td rowspan="2">SALZ、MALZ アプリケーション、MALZ Tools-Application、MALZ Core</td><td>AMS セキュリティアクセス</td></tr>
  <tr><td>ams-access-security-analyst-read-only</td><td>AMS セキュリティ、読み取り専用アクセス</td></tr>
  <tr><td>Sentinel\_AdminUser\_Role\_PXHazRQadu0PVcCDcMbHE</td><td>SALZ</td><td>[BreakGlassRole]breakGlassするために使用します</td></tr>
  <tr><td>Sentinel\_PowerUser\_Role\_wZuPuS0ROOl0IazDbRI9</td><td rowspan="5">SALZ、MALZ</td><td>RFC 実行のためのユーザーアカウントへのパワーユーザーアクセス</td></tr>
  <tr><td>Sentinel\_ReadOnlyUser\_Role\_Pd4L6Rw9RD0lnLkD5JOo</td><td>RFC 実行のためのカスタマーアカウントへのReadOnlyアクセス</td></tr>
  <tr><td>ams\_admin\_role</td><td>RFC 実行のためのカスタマーアカウントへの管理者アクセス</td></tr>
  <tr><td>AWSManagedServices\_Provisioning\_CustomerStacksRole</td><td>CloudFormation Ingest を通じて顧客に代わって CFN スタックを起動および更新するために使用されます</td></tr>
  <tr><td>customer\_ssm\_automation\_role</td><td>ランブック実行のために CT 実行によって SSM Automation に渡されるロール</td></tr>
  <tr><td>ams\_ssm\_automation\_role</td><td>SALZ、MALZ アプリケーション、MALZ Core</td><td>ランブック実行のために AMS サービスによって SSM Automation に渡されるロール</td></tr>
  <tr><td>ams\_ssm\_iam\_deployment\_role</td><td>MALZ アプリケーション</td><td>IAM カタログで使用されるロール</td></tr>
  <tr><td>ams\_ssm\_shared\_svcs\_intermediary\_role</td><td>MALZ 共有サービス</td><td>共有サービスアカウントで特定の SSM ドキュメントを実行するためにアプリケーション ams\_ssm\_automation\_role で使用されるロール</td></tr>
  <tr><td>AmsOpsCenterRole</td><td rowspan="3">SALZ、MALZ</td><td>カスタマーアカウントで OpsItems を作成および更新するために使用されます</td></tr>
  <tr><td>AMSOpsItemAutoExecutionRole</td><td>SSM ドキュメントの取得、リソースタグの説明、OpsItems の更新、自動化の開始に使用されます。</td></tr>
  <tr><td>customer-mc-ec2-instance-profile</td><td>デフォルトのカスタマー EC2 インスタンスプロファイル (ロール)</td></tr>
</tbody>
</table>


## インスタンスアクセスのリクエスト
<a name="req-instance-access"></a>

リソースにアクセスするには、まずそのアクセスの変更リクエスト (RFC) を送信する必要があります。リクエストできるアクセスには、admin (読み取り/書き込みアクセス許可) と読み取り専用 (標準ユーザーアクセス) の 2 種類があります。デフォルトでは、アクセスは 8 時間続きます。この情報は必須です。
+ アクセスするインスタンスのスタック ID、またはスタック IDs のセット。
+ AMS 信頼ドメインの完全修飾ドメイン名。
+ アクセスを希望するユーザーの Active Directory ユーザー名。
+ アクセスするスタックがある VPC の ID。

アクセス権限が付与されたら、必要に応じてリクエストを更新できます。

アクセスをリクエストする方法の例については、[「スタック管理者アクセス \| 許可](https://docs.aws.amazon.com/managedservices/latest/ctref/management-access-stack-admin-access-grant.html)」または[「スタック読み取り専用アクセス \| 許可](https://docs.aws.amazon.com/managedservices/latest/ctref/management-access-stack-read-only-access-grant.html)」を参照してください。