AMS での AMS 自動 IAM プロビジョニングのランタイムチェック

ロールには、信頼ゾーン外の外部アカウントからアクセスできます。

この検出結果は、信頼ゾーン外のロール信頼ポリシーにリストされているプリンシパルを指します。信頼ゾーンは、ロールが作成されるアカウントまたはアカウントが属する AWS 組織として定義されます。アカウントまたは同じ AWS Organization に属していないエンティティは外部エンティティです。検出結果を解決するには、プリンシパル ARNs、それらが自分に属していて、AMS オンボードアカウントであることを確認します。

ロールには、AMS 顧客所有アカウント Account_ID によって所有されていないアカウント External_Account_ID が所有する外部エンティティがアクセスできます。

この検出結果は、ロール信頼ポリシーに、ユーザーと AMS オンボーディングアカウントが所有していないアカウント ID を持つプリンシパル ARN が含まれている場合に生成されます。この結果を解決するには、ロールの信頼ポリシーからそのようなプリンシパルを削除します。

正規ユーザー ID は、IAM 信頼ポリシーでサポートされているプリンシパルではありません。

正規プリンシパル IDsは IAM 信頼ポリシーではサポートされていません。検出結果を解決するには、ロールの信頼ポリシーからそのようなプリンシパルを削除します。

ロールには、信頼ゾーン外の外部ウェブ ID からアクセスできます。

この検出結果は、ロール信頼ポリシーが SAML IdP 以外の外部ウェブ ID プロバイダー (IdP) を許可する場合に生成されます。この結果を解決するには、ロールの信頼ポリシーを確認し、 sts:AssumeRoleWithWebIdentityオペレーションを許可するステートメントを削除します。

ロールには SAML フェデレーションを介してアクセスできますが、提供された SAML ID プロバイダー (IdP) は存在しません。

この検出結果は、ロールの信頼ポリシーに、アカウントに存在しない SAML IdP が含まれている場合に生成されます。解決するには、リストされているすべての SAML IdP がアカウントに存在することを確認します。

ポリシーには、管理者またはパワーユーザーアクセスに相当する特権アクションが含まれています。アクセス許可の範囲を特定のサービス、アクション、またはリソースに減らすことを検討してください。NotAction や NotResource などの高度なポリシー要素を使用する場合は、特に Allow ステートメントで、意図したよりも多くのアクセスを許可していないことを確認してください。

IAM ポリシーでアクセス許可を設定するときに、タスクの実行に必要なアクセス許可のみを付与 AWS Identity and Access Management するのが、 のベストプラクティスです。これを行うには、最小特権のアクセス許可とも呼ばれる特定の条件下で特定のリソースに対して実行できるアクションを定義します。この検出結果は、自動化がポリシーが広範なアクセス許可を付与していることを検出し、最小特権の原則に準拠していない場合に生成されます。検出結果を解決するには、 アクセス許可を確認して減らします。

ステートメントには、Service_Name の特権アクションが含まれています。拒否ステートメントを使用してこれらのアクションを除外することを検討してください。特権アクションのリストについては、AMS ドキュメントの境界ポリシーリファレンスを参照してください。

AMS は、特定のサービスの特定のアクションをリスクありとして特定し、顧客セキュリティチームによるさらなるリスクレビューと承認を必要とします。この検出結果は、オートメーションがそのようなアクセス許可を付与する特定のポリシーを検出したときに生成されます。この結果を解決するには、ポリシーでこれらのアクションを拒否します。アクションのリストについては、AMS 境界ポリシーを参照してください。AMS 境界ポリシーの詳細については、「」を参照してくださいAMS 自動 IAM プロビジョニングアクセス許可の境界チェック。

ステートメントは、service_Name の特権 RFC 変更タイプ ct-1n9gfnog5x7fl、ct-1e0xmuy1diafq、ct-17cj84y7632o6 へのアクセスを許可します。特定の変更タイプへのアクセス許可の範囲を指定するか、拒否ステートメントを使用してこれらの変更タイプを除外することを検討してください。

この検出結果は、ポリシーが自動 IAM プロビジョニング変更タイプ (CTs。CTs はリスク承諾の対象であり、オンボーディングされたロールを通じてのみ使用する必要があります。したがって、これらの CTs にアクセス許可を付与することはできません。この結果を解決するには、これらの CTs。

ステートメントには、service Service_Name のリソースに限定されていない特権アクションが含まれています。アクションを特定のリソースにスコープするか、AMS 名前空間プレフィックスを持つリソースを除外することを検討してください。ワイルドカードを使用する場合は、スコープをリソースに制限してください。

この検出結果は、ポリシーが特定のサービスのリソースにスコープされていない特権アクションを付与した場合に生成されます。ワイルドカードは、多くの場合、アクセス許可の範囲に幅広いリソースやアクションを取り込む過度に寛容なポリシーを作成します。検出結果を解決するには、所有するリソースへのアクセス許可の範囲を減らすか、AMS 名前空間にあるリソースを除外します。AMS 名前空間プレフィックスのリストについては、AMS ドキュメントの境界ポリシーを参照してください。すべてのプレフィックスがすべてのサービスに適用されるわけではありません。AMS 境界ポリシーの詳細については、「」を参照してくださいAMS 自動 IAM プロビジョニングアクセス許可の境界チェック。

アカウント ID または Amazon リソースネーム (ARN) が無効です。

この検出結果は、ポリシーまたはロールの信頼ポリシーで指定された ARN またはアカウント ID が無効である場合に生成されます。サービスの有効なリソース ARN のリソースを確認するには、「サービス認可リファレンス」を参照してください。アカウント ID が 12 桁の数字であり、アカウントがアクティブであることを確認します AWS。

ARN のアカウント ID にワイルドカード (*) を使用することは制限されています。

この検出結果は、ARN のアカウント ID フィールドにワイルドカード (*) が指定されている場合に生成されます。アカウント ID フィールドのワイルドカードは、任意のアカウントと一致し、リソースに意図しないアクセス許可を付与する可能性があります。これを解決するには、ワイルドカードを特定のアカウント ID に置き換えます。

Account_ID を所有する同じ AMS 顧客によって所有されていない指定されたリソースアカウント。

この検出結果は、リソース ARN で指定されたアカウント ID がユーザーに属しておらず、AMS によって管理されていない場合に生成されます。これを解決するには、すべてのリソース (ポリシーの ARN で指定) が AMS によって管理されているアカウントに属していることを確認します。

ロール名は AMS の制限付き名前空間にあります。

この検出結果は、AMS 予約プレフィックスで始まる名前のロールを作成しようとすると生成されます。これを解決するには、ユースケースに固有のロールの名前を使用します。AMS 予約プレフィックスのリストについては、「AMS 予約プレフィックス」を参照してください。

ポリシー名は AMS の制限付き名前空間にあります。

この検出結果は、AMS 予約プレフィックスで始まる名前のポリシーを作成しようとすると生成されます。これを解決するには、ユースケースに固有のポリシーの名前を使用します。AMS 予約プレフィックスのリストについては、「AMS 予約プレフィックス」を参照してください。

ARN のリソース ID は AMS の制限付き名前空間にあります。

この検出結果は、AMS 名前空間にある名前付きリソースにアクセス許可を付与するポリシーを作成しようとすると生成されます。これを解決するには、アクセス許可をリソースにスコープするか、AMS 名前空間にあるリソースへのアクセス許可を拒否してください。AMS 名前空間の詳細については、「AMS の制限付き名前空間」を参照してください。

ポリシー変数の大文字と小文字が無効です。変数を Variable_Names に更新します。

この検出結果は、間違った場合に IAM グローバルポリシー変数を含むポリシーを作成しようとすると生成されます。これを解決するには、ポリシーのグローバル変数に正しい大文字と小文字を使用します。グローバル変数のリストについては、AWS 「 グローバル条件コンテキストキー」を参照してください。ポリシー変数の詳細については、「IAM ポリシー要素: 変数とタグ」を参照してください。

ステートメントには、KMS キーの範囲に含まれていない特権アクションが含まれています。これらのアクセス許可を特定のキーにスコープするか、AMS 所有のキーを除外することを検討してください。

この検出結果は、ポリシーに、所有する特定の KMS キーに限定されていないアクセス許可が含まれている場合に生成されます。これを解決するには、アクセス許可を特定のキーにスコープするか、AMS が所有するキーを除外します。AMS 所有のキーには、特定のエイリアスセットがあります。AMS 所有のキーエイリアスのリストについては、「」を参照してくださいAMS 自動 IAM プロビジョニングアクセス許可の境界チェック。

ステートメントには、KMS キーエイリアスの範囲に含まれていない特権アクションが含まれています。これらのアクセス許可をキーまたはエイリアスにスコープするか、AMS 所有のキーエイリアスを除外することを検討してください。

この検出結果は、ポリシーに、所有する特定の KMS キーエイリアスに限定されていないアクセス許可が含まれている場合に生成されます。これを解決するには、アクセス許可を特定のキーにスコープするか、AMS が所有するキーを除外します。AMS 所有のキーには、特定のエイリアスセットがあります。AMS 所有のキーエイリアスのリストについては、「」を参照してくださいAMS 自動 IAM プロビジョニングアクセス許可の境界チェック。

ステートメントには、 を使用して KMS キーに適切にスコープされていない特権アクションが含まれていますkms:ResourceAliases condition。条件キーに適切なセット演算子とともに、特定のエイリアス名を使用することを検討してください。エイリアス名にワイルドカードを使用する場合は、範囲を KMS キーの限定されたセットに制限します。

この検出結果は、 を使用して KMS キーのエイリアスにスコープダウンせずに、条件を使用して KMS キーへのアクセス許可をスコープする場合kms:ResourceAliasesに生成されます。または、kms:ResourceAliases条件キーに AMS 所有の KMS キーエイリアスも含まれる値がある場合。これを解決するには、 条件を更新して、KMS キーのエイリアスにのみアクセス許可をスコープダウンするか、AMS 所有の KMS キーのエイリアスを除外します。AMS 所有のキーエイリアスのリストについては、「」を参照してくださいAMS 自動 IAM プロビジョニングアクセス許可の境界チェック。

ロールには customer_deny_policy がアタッチされている必要があります。マネージドポリシー ARN のリストにポリシー ARNs。

この検出結果は、作成するロールに がcustomer_deny_policyアタッチされていない場合に生成されます。これを解決するには、マネージドポリシー ARN リストcustomer_deny_policyに を含めます。 ARNs

AWS 管理ポリシーは過度に許可されているか、AMS 境界ポリシーによって制限されたアクセス許可を付与します。

この検出結果は、ロールの ManagedPolicyArns 値に、関連するサービスへのフルレベルまたは管理者レベルのアクセスを提供する AMS 管理ポリシーが含まれている場合に生成されます。これを解決するには、 AWS 管理ポリシーの使用を確認し、スコープダウン許可を提供するポリシーを使用するか、最小特権の原則に従う独自のポリシーを定義します。

カスタマー管理ポリシーは、制限された AMS 名前空間にあります。

この検出結果は、名前 AWS 空間に名前のプレフィックスが付いたカスタマー管理ポリシーがロールにアタッチされている場合に生成されます。これを解決するには、ロールの ManagedPolicyArn リストからポリシーを削除します。

customer_deny_policy をロールからデタッチすることはできません。マネージドポリシー ARN のリストにポリシー ARNs。

この検出結果は、更新中に customer_deny_policyがロールからデタッチされた場合に生成されます。これを解決するには、ロールの customer_deny_policy ManagedPolicyArns フィールドに を追加して、もう一度試してください。

カスタマー管理ポリシーは、AMS 変更管理サービス外または事前検証なしでプロビジョニングされました。

この検出結果は、1 つ以上の既存のカスタマー管理ポリシー ARNs がロールにアタッチされていて、ポリシーが AMS 変更管理サービス (RFC 経由) を介してプロビジョニングされていない場合に生成されます。たとえば、デベロッパーモードまたは直接変更モードを使用すると、お客様は RFC なしで IAM ポリシーをプロビジョニングできます。これを解決するには、ロールの ManagedPolicyArns リストからカスタマー管理ポリシー ARNs を削除します。

提供される管理ポリシー ARNs の数が、ロールごとのアタッチされたポリシーのクォータを超えています。

この検出結果は、ロールにアタッチされた管理ポリシーの総数がロールあたりのポリシーのクォータを超えた場合に生成されます。IAM クォータの詳細については、「IAM および AWS STS クォータ、名前の要件、および文字制限」を参照してください。この情報を使用して、ロールにアタッチするポリシーの数を減らします。

信頼ポリシーサイズ ({trust_policy}) が {size} の引き受けロールポリシーサイズクォータを超えています。

この検出結果は、ロールを引き受けるポリシードキュメントのサイズがポリシーサイズのクォータを超えた場合に生成されます。IAM クォータの詳細については、「IAM および AWS STS クォータ、名前の要件、および文字制限」を参照してください。

ステートメントには、Amazon S3 のすべての変更アクションが含まれます。これらのアクセス許可を必要なアクションのみにスコープすることを検討してください。ワイルドカードを使用する場合は、制限された一連のミュータティブアクションの範囲を指定してください。

この検出結果は、特定のポリシーが 1 つ以上のリソースに関係なく、すべての Amazon Simple Storage Service ミューテーションアクセス許可を付与した場合に生成されます。これを解決するには、バケットに対して必要な Amazon S3 ミュータティブアクションのみを含めます。

ステートメントには、Amazon S3 のバケットに対して許可されていない特権アクションが含まれています。これらのアクションを拒否するステートメントを追加することを検討してください。

この検出結果は、ポリシーが任意のバケットに特権アクションを付与した場合に生成されます。特権アクションのリストについては、「この検出結果を解決AMS 自動 IAM プロビジョニングアクセス許可の境界チェックするには、ポリシーでこれらのアクションを削除または拒否する」を参照してください。

ステートメントには、Amazon S3 のバケットに限定されていない特権アクションが含まれています。バケットを含めるか、AMS 名前空間プレフィックスを持つバケットを除外することを検討してください。ワイルドカードを使用する場合は、名前空間内のバケットと一致することを確認してください。

この検出結果は、ポリシーがバケットに限定されていない Amazon S3 アクションのみを許可する場合に生成されます。これは、バケットリソースを指定するときにワイルドカードを使用する場合によく発生します。これを解決するには、所有しているバケット名または ARNs を指定するか、AMS 名前空間プレフィックスを持つバケットを除外します。

ステートメントには、Amazon S3 のバケットに限定されていない特権アクションが含まれています。アカウント内のすべてのバケットを対象とするワイルドカード (*) の使用は避けることを検討してください。

この検出結果は、ポリシーがバケットにスコープされていない Amazon S3 アクションを付与した場合に生成されます。これは、バケットリソースを指定するときにワイルドカードを使用する場合によく発生します。これを解決するには、所有しているバケット名または ARNs を指定するか、AMS 名前空間プレフィックスを持つバケットを除外します。

ステートメントには、存在しないバケットや を所有していないバケットなど、すべての Amazon S3 バケットを対象とするリソースワイルドカードが含まれています。条件とs3:ResourceAccount条件キーを使用してアクセス許可の範囲を設定することを検討してください。

この検出結果は、ポリシーがワイルドカードを使用して指定されたバケットにアクセス許可を付与した場合に生成されます。ワイルドカードを使用すると、多くの場合、存在しないバケットや所有者以外のバケットがスコープに含まれます。これを解決するには、 条件と aws:ResourceAccount条件キーを使用して、現在のアカウント内のバケットにのみアクセス許可の範囲を設定します。詳細については、「特定の AWS アカウントが所有する Amazon S3 バケットへのアクセスを制限する」を参照してください。

ステートメントにはNotResourceポリシー要素が含まれており、存在しないバケットや所有していないバケットなど、多数のバケットにスコープできます。条件とs3:ResourceAccount条件キーを使用してアクセス許可の範囲を設定することを検討してください。

この検出結果は、ポリシーがNotResourcesポリシー要素を使用してバケットリソースを指定した場合に生成されます。NotResource 要素を使用すると、存在しないバケットや所有者ではないバケットなど、多数のバケットがスコープされる可能性があります。これを解決するには、 条件と aws:ResourceAccount条件キーを使用して、現在のアカウント内のバケットにのみアクセス許可をスコープします。

ステートメントには、存在しないバケット、アカウント Account_ID によって所有されていないバケット Bucket_Name への Amazon S3 アクション、または所有していないバケットや存在しないバケットなど、多数のバケットにスコープされる可能性のあるワイルドカードの名前が含まれています。条件と条件キーを使用してアクセス許可の範囲を設定することを検討してくださいs3:ResourceAccount。

この検出結果は、ポリシーによって、存在しないバケット、ユーザーが所有していないバケット、または多数のバケットをカバーするバケット名にワイルドカードがあり、アクセスが現在のアカウントのみにスコープされていない場合に生成されます。これを解決するには、 条件と aws:ResourceAccount条件キーを使用して、現在のアカウント内のバケットにのみアクセス許可の範囲を設定します。

ステートメントには、存在しないバケット、アカウント Account_ID によって所有されていないバケット Bucket_Name への Amazon S3 アクション、または所有していないバケットや存在しないバケットなど、多数のバケットにスコープされる可能性のあるワイルドカードの名前が含まれます。s3:ResourceAccount または 条件内の指定されたリソースアカウントがユーザーに属していないため、アクセスは制限されません。

この検出結果は、ポリシーによって、存在しないバケット、ユーザーが所有していないバケット、または多数のバケットをカバーするバケット名にワイルドカードがあり、アクセスが特定のアカウントのみにスコープされている場合に生成されます。ただし、aws:ResourceAccount条件キーで指定されたアカウントはユーザーに属さず、AMS によって管理されます。これを解決するには、aws:ResourceAccount条件キーを更新し、所有していて AMS によって管理されている適切なアカウント ID を設定します。

ステートメントには、Amazon EC2 のインスタンスに限定されていない特権アクションが含まれています。アクションを特定のインスタンス ARNs、AMS 名前空間プレフィックスの値を持つ名前タグキーを持つインスタンスを除外することを検討してください。ワイルドカードを使用する場合は、所有している名前空間と一致することを確認してください。

この検出結果は、ポリシーが AMS が所有する Amazon EC2 インスタンスに対して特権アクションを付与した場合に生成されます。AMS インスタンスには、AMS 名前空間の値を持つ名前タグキーがタグ付けされます。これを解決するには、 StringNotLike演算子を使用して AMS 名前空間の値を除外するaws:ResourceTag/Nameキーを持つ条件を使用して、リソースを指定するか、AMS インスタンスを除外します。

ステートメントには、 AWS Systems Manager パラメータストアのリソースに限定されていない特権アクションが含まれています。パラメータの ARNs を指定するか、AMS 名前空間プレフィックスを使用してパラメータを除外することを検討してください。ワイルドカードを使用する場合は、パラメータのみを対象とするようにしてください。

この検出結果は、ポリシーが所有していないパラメータにアクセス許可を付与した場合に生成されます。これは通常、ワイルドカードが使用されている場合、または AMS 名前空間プレフィックスを持つパラメータがポリシーステートメントのリソースにリストされている場合です。これを解決するには、名前空間内にあるパラメータを指定するか、拒否ステートメントを使用して AMS パラメータを除外します。

ステートメントには、 のリソースに対する特権アクションが含まれています AWS Systems Manager。リソースに対するアクションまたはアクションのみを読み取るためのアクセス許可の範囲を設定することを検討してください。

この検出結果は、ポリシーが Systems Manager リソースに対してパラメータストアまたは読み取り専用アクション以外のアクセス許可を付与した場合に生成されます。この結果を解決するには、読み取り専用アクションまたはパラメータストアのみのアクセス許可を減らします。

ステートメントには、所有する Service_Name の {message} に限定されていない特権アクションが含まれています。必要に応じて、これらのアクセス許可を特定のリソースタイプにスコープするか、AMS 所有のリソースを除外することを検討してください。ワイルドカードを使用する場合は、リソースと一致することを確認してください。

この検出結果は、ポリシーがリソース、特に名前付きリソースに対して付与されない特権アクションを許可する場合に生成されます。この結果を解決するには、リソースリストを確認し、それらが名前空間にあるリソースのみをスコープするかどうかを確認します。または、AMS 名前空間にあるリソースを除外します。

ステートメントには、名前タグキーの特定の値にスコープされていない {Service_Name} のタグ付けアクションが含まれています。名前空間の値でaws:RequestTag/Name条件キーを設定してこれらのアクションの範囲を設定するか、AMS 名前空間プレフィックスの値で StringNotLike演算子でaws:RequestTag/Name条件キーを設定してこれらのアクションを制限することを検討してください。

この検出結果は、ポリシーが特定のサービスのタグ付けアクセス許可を付与し、そのアクセス許可が特定のタグキー/値の範囲に含まれていない場合に生成されます。タグアクションで使用できるキーまたは値を絞り込むには、たとえば、アクションを実行するようにリクエストするときは、 aws:RequestTag/tag key条件を使用します。したがって、これを解決するには、この条件キーを使用して名前空間のキーまたは値を制限します。または、AMS 名前空間の値を持つNameタグキー (aws:RequestTag/Name) を拒否します。

IAM ロールの信頼ポリシーの検証中に内部エラーが発生しました。

この検出結果は、CT オートメーションが IAM Access Analyzer サービスを介して IAM ロールの信頼ポリシーの検証を実行する際にエラーが発生した場合に生成されます。これを解決するには、RFC を再送信します。エラーが解決しない場合は、AMS Operations に連絡してエラーのトラブルシューティングを行います。

カスタマー管理ポリシーの検証中に内部エラーが発生しました。

この検出結果は、IAM Access Analyzer サービスを通じてカスタマー管理ポリシーで楕円化を実行する際に、CT オートメーションでエラーが発生した場合に生成されます。これを解決するには、RFC を再送信します。エラーが解決しない場合は、AMS Operations に連絡してエラーのトラブルシューティングを行います。

アクセスアナライザーが に見つかりませんAWS リージョン。ロール信頼ポリシーのアクセスプレビューチェックを実行できません。

この検出結果は、IAM Access Analyzer リソースが に見つからない場合に生成されます AWS リージョン。AMS Operations に連絡して、AWS リージョンで IAM Access Analyzer リソースのトラブルシューティングと作成を行います。

Role_Name ロールの信頼ポリシーが無効です

この検出結果は、指定された IAM ロールに無効な信頼ポリシーが含まれている場合に生成されます。解決するには、信頼ポリシーを確認して、そのポリシーが有効であることを確認します。

IAM Access Analyzer で内部エラーが発生しました。Role_Name ロールのアクセスプレビューを作成できませんでした

この検出結果は、IAM Access Analyzer を使用してロールのアクセスプレビューを作成中にオートメーションでエラーが発生した場合に生成されます。これを解決するには、RFC を再送信します。エラーが解決しない場合は、AMS Operations に連絡してエラーのトラブルシューティングを行います。

Role_Name ロールの信頼ポリシーのアクセスプレビューを作成できませんでした

この検出結果は、IAM Access Analyzer を使用してロールのアクセスプレビューを作成中にオートメーションでエラーが発生した場合に生成されます。これを解決するには、RFC を再送信します。エラーが解決しない場合は、AMS Operations に連絡してエラーのトラブルシューティングを行います。

リストされた SAML IdP の検証中に内部エラーが発生しました。

この検出結果は、ロール信頼ポリシーにリストされている指定された SAML IdPs の検証中にオートメーションでエラーが発生した場合に生成されます。これを解決するには、RFC を再送信します。エラーが解決しない場合は、AMS Operations に連絡してエラーのトラブルシューティングを行います。

アクセス許可の検証に関する内部エラー AWS Key Management Service。

この検出結果は、提供されたポリシーで AWS KMS キーアクセス許可の検証中にオートメーションでエラーが発生した場合に生成されます。これを解決するには、RFC を再送信します。エラーが解決しない場合は、AMS Operations に連絡してエラーのトラブルシューティングを行います。

リストされた管理ポリシー ARNs を検証する内部エラー。

この検出結果は、リストされた管理ポリシー ARNs。これを解決するには、RFC を再送信します。エラーが解決しない場合は、AMS Operations に連絡してエラーのトラブルシューティングを行います。

デフォルトのcustomer_deny_policyアタッチメントの検証中に内部エラーが発生しました。

この検出結果は、 customer_deny_policyがロールにアタッチされていることを検証中にオートメーションでエラーが発生した場合に生成されます。これを解決するには、RFC を再送信します。エラーが解決しない場合は、AMS Operations に連絡してエラーのトラブルシューティングを行います。

Role_Name ロールのマネージドポリシー ARN の検証の内部エラー

この検出結果は、ロールのマネージドポリシー ARNsに生成されます。これを解決するには、RFC を再送信します。エラーが解決しない場合は、AMS Operations に連絡してエラーのトラブルシューティングを行います。

ユーザー定義の境界ポリシーに対する Policy_name の検証の内部エラー AWSManagedServicesIAMProvisionCustomerBoundaryPolicy

この検出結果は、カスタム拒否リストを含むポリシーの検証中にオートメーションでエラーが発生した場合に生成されます。これを解決するには、RFC を再送信します。エラーが解決しない場合は、AMS Operations に連絡してエラーのトラブルシューティングを行います。

カスタマー定義の境界ポリシーAWSManagedServicesIAMProvisionCustomerBoundaryPolicyがアカウントにあります。ただし、ポリシーには、アクセス許可を付与する許可ステートメントが含まれています。ポリシーには拒否ステートメントのみを含める必要があります。

この検出結果は、カスタム拒否リストを含むポリシーに、 アクセス許可を付与するステートメントが含まれている場合に生成されます。カスタム拒否リストは IAM 管理ポリシーとしてアカウント内に存在しますが、アクセス許可管理には使用できません。ポリシーには、AMS 自動 IAM プロビジョニングが作成する IAM ポリシーでそれらのアクションを検証および拒否することを示す拒否ステートメントのみを含める必要があります。

ステートメントには、Service_Name の組織によって定義された特権アクションが含まれています。拒否ステートメントを使用してこれらのアクションを除外することを検討してください。アクションの制限リストを参照するには、アカウントで という名前のポリシーを参照してください。

この検出結果は、カスタム拒否リストで定義したポリシー内のアクションをオートメーションが検出したときに生成されます。検出結果を解決するには、ポリシーステートメントを確認し、カスタム拒否リストで定義されているアクションを削除するか、それらのアクションを拒否する拒否ステートメントを追加します。

ロールには POLICY_ARN がアタッチされている必要があります。マネージドポリシー ARN のリストにポリシー ARNs。

この検出結果は、作成するロールに POLICY_ARN がアタッチされていない場合に生成されます。これを解決するには、ロールの ManagedPolicyArns フィールドに POLICY_ARN を含めて、もう一度試してください。

POLICY_ARN をロールからデタッチすることはできません。マネージドポリシー ARN のリストにポリシー ARNs。

この検出結果は、更新中に POLICY_ARN がロールからデタッチされた場合に生成されます。これを解決するには、ロールの ManagedPolicyArns フィールドに POLICY_ARN を追加して、もう一度試してください。