翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# EC2 IAM インスタンスプロファイル
<a name="defaults-instance-profile"></a>

インスタンスプロファイルは IAM ロールのコンテナであり、インスタンスの起動時に EC2 インスタンスにロール情報を渡すために使用できます。

------
#### [ MALZ ]

と の 2 つの AMS `customer-mc-ec2-instance-profile` デフォルトインスタンスプロファイルがあります`customer-mc-ec2-instance-profile-s3`。これらのインスタンスプロファイルは、次の表で説明するアクセス許可を提供します。


**ポリシーの説明**  
<a name="default-iam-profile-malz-table"></a>

- **`customer-mc-ec2-instance-profile`**
  - `AmazonSSMManagedInstanceCore`: Ec2 インスタンスに SSM エージェントの使用を許可します。
  - `AMSInstanceProfileLoggingPolicy`: Ec2 インスタンスが S3 と CloudWatch にログをプッシュできるようにします。
  - `AMSInstanceProfileManagementPolicy`: Ec2 インスタンスが Active Directory の結合などの起動アクションを実行できるようにします。
  - `AMSInstanceProfileMonitoringPolicy`: Ec2 インスタンスが AMS モニタリングサービスに結果をレポートできるようにします。
  - `AMSInstanceProfilePatchPolicy`: Ec2 インスタンスがパッチを受信できるようにします。

- **`customer-mc-ec2-instance-profile-s3`**
  - `AMSInstanceProfileBYOEPSPolicy`: Ec2 インスタンスが [AMS Bring Your Own EPS ](https://docs.aws.amazon.com/managedservices/latest/userguide/ams-byoeps.html)を使用できるようにします。
  - `AMSInstanceProfileLoggingPolicy`: Ec2 インスタンスが S3 と CloudWatch にログをプッシュできるようにします。
  - `AMSInstanceProfileManagementPolicy`: Ec2 インスタンスが Active Directory の結合などの起動アクションを実行できるようにします。
  - `AMSInstanceProfileMonitoringPolicy`: Ec2 インスタンスが AMS モニタリングサービスに結果をレポートできるようにします。
  - `AMSInstanceProfilePatchPolicy`: Ec2 インスタンスがパッチを受信できるようにします。
  - `AMSInstanceProfileS3WritePolicy`: Ec2 インスタンスがお客様の S3 バケットを読み書きできるようにします。



------
#### [ SALZ ]

IAM インスタンスポリシー からのアクセス許可を付与`customer-mc-ec2-instance-profile`する AMS デフォルトインスタンスプロファイル が 1 つあります`customer_ec2_instance_profile_policy`。このインスタンスプロファイルは、次の表で説明するアクセス許可を提供します。プロファイルは、インスタンスにログインするユーザーではなく、インスタンスで実行されているアプリケーションにアクセス許可を付与します。

ポリシーには、多くの場合、複数のステートメントが含まれます。各ステートメントは、異なるリソースセットにアクセス許可を付与するか、特定の条件下でアクセス許可を付与します。

CW = CloudWatch。ARN = Amazon リソースネーム。\* = ワイルドカード (任意）。


**EC2 のデフォルトの IAM インスタンスプロファイルのアクセス許可**  

<table>
<thead>
  <tr><th colspan="4">CW = CloudWatch。ARN = Amazon リソースネーム。\* = ワイルドカード (任意）。</th></tr>
  <tr><th>ポリシーステートメント</th><th>効果</th><th>アクション</th><th>説明とリソース (ARN)</th></tr>
</thead>
<tbody>
  <tr><td colspan="4">**Amazon Elastic Compute Cloud (Amazon EC2)**</td></tr>
  <tr><td>EC2 メッセージアクション</td><td>許可</td><td>AcknowledgeMessage、<br />DeleteMessage、<br />FailMessage、<br />GetEndpoint、<br />GetMessages、<br />SendReply</td><td>アカウントで EC2 Systems Manager メッセージングアクションを許可します。</td></tr>
  <tr><td>Ec2 の説明</td><td>許可</td><td>\* (すべて）</td><td>コンソールがアカウント内の EC2 の設定の詳細を表示できるようにします。</td></tr>
  <tr><td>Iam ロール ID を取得する</td><td>許可</td><td>GetRole</td><td>EC2 が `aws:iam::*:role/customer-*`および から IAM ID を取得できるようにします`aws:iam::*:role/customer_*`。</td></tr>
  <tr><td rowspan="2">ログイベントをアップロードするインスタンス</td><td rowspan="2">許可</td><td>ロググループの作成</td><td>ログの作成を に許可します。 `aws:logs:*:*:log-group:i-*`</td></tr>
  <tr><td>ログストリームの作成</td><td>ログのストリーミング先を許可します。 `aws:logs:*:*:log-group:i-*`</td></tr>
  <tr><td>MMS の CW</td><td>許可</td><td>DescribeAlarms、<br />PutMetricAlarm、<br />PutMetricData</td><td>CloudWatch がアカウントのアラームを取得できるようにします。<br />CW がアラームを作成または更新し、指定されたメトリクスに関連付けることを許可します。<br />CW がメトリクスデータポイントをアカウントに発行できるようにします。</td></tr>
  <tr><td>Ec2 タグ</td><td>許可</td><td>CreateTags、<br />DescribeTags、</td><td>アカウントの指定されたインスタンスでタグを追加、上書き、および記述できるようにします。</td></tr>
  <tr><td>CW ログを明示的に拒否する</td><td>拒否</td><td>DescribeLogStreams、<br />FilterLogEvents、<br />GetLogEvents</td><td>次のログストリームの一覧表示、フィルタリング、取得を禁止します。 `aws:logs:*:*:log-group:/mc/*`</td></tr>
  <tr><td colspan="4">**Amazon EC2 Simple Systems Manager (SSM)**</td></tr>
  <tr><td>SSM アクション</td><td>許可</td><td>DescribeAssociation、<br />GetDocument、<br />ListAssociations、<br />UpdateAssociationStatus、<br />UpdateInstanceInformation</td><td>アカウントでさまざまな SSM 関数を許可します。</td></tr>
  <tr><td>S3 での SSM アクセス</td><td>許可</td><td>GetObject、<br />PutObject、<br />AbortMultipartUpload、<br />ListMultipartUploadPorts、<br />ListBucketMultipartUploads</td><td>EC2 の SSM が、 でオブジェクトを取得および更新し、マルチパートオブジェクトのアップロードを中止して、 でマルチパートアップロードに使用できるポートとバケットを一覧表示できるようにします`aws:s3:::mc-*-internal-*/aws/ssm*`。</td></tr>
  <tr><td colspan="4">**Amazon EC2 Simple Storage Service (S3)**</td></tr>
  <tr><td>S3 でオブジェクトを取得する</td><td>許可</td><td>Get<br />リスト</td><td>EC2 アプリケーションがアカウントの S3 バケット内のオブジェクトを取得して一覧表示できるようにします。</td></tr>
  <tr><td>お客様が暗号化したログ S3 アクセス</td><td>許可</td><td>PutObject</td><td>EC2 アプリケーションが でオブジェクトを更新することを許可する `aws:s3:::mc-*-logs-*/encrypted/app/*`</td></tr>
  <tr><td>パッチデータプットオブジェクト S3</td><td>許可</td><td>PutObject</td><td>EC2 アプリケーションが の S3 バケットにパッチデータをアップロードすることを許可する `aws:s3:::awsms-a*-patch-data-*`</td></tr>
  <tr><td>S3 への独自のログのアップロード</td><td>許可</td><td>PutObject</td><td>EC2 アプリケーションがカスタムログを以下にアップロードできるようにします。 `aws:s3:::mc-a*-logs-*/aws/instances/*/${aws:userid}/*`</td></tr>
  <tr><td>MC 名前空間 S3 ログを明示的に拒否する</td><td>拒否</td><td>GetObject\*<br />Put\*</td><td>EC2 アプリケーションが以下との間でオブジェクトを取得または配置することを禁止します。<br />`aws:s3:::mc-*-logs-*/encrypted/mc*`,<br />`aws:s3:::mc-*-logs-*/mc/*`,<br />`aws:s3:::mc-a*-logs-*-audit/*`</td></tr>
  <tr><td>S3 削除を明示的に拒否する</td><td>拒否</td><td>\* (すべて）</td><td>以下のオブジェクトに対して EC2 アプリケーションがアクションを実行することを禁止します。<br />`aws:s3:::mc-a*-logs-*/*`,<br />`aws:s3:::mc-a*-internal-*/*`,</td></tr>
  <tr><td>S3 CFN バケットを明示的に拒否する</td><td>拒否</td><td>削除\*</td><td>以下からのオブジェクトの削除を EC2 アプリケーションに禁止します。 `aws:s3:::cf-templates-*`</td></tr>
  <tr><td>明示的に拒否リストバケット S3</td><td>拒否</td><td>ListBucket</td><td>暗号化、監査ログ、またはリザーブド (mc) オブジェクトの一覧表示を禁止します。 `aws:s3:::mc-*-logs-*`</td></tr>
  <tr><td colspan="4">**AWS Secrets Manager Amazon EC2 の**</td></tr>
  <tr><td>Trend Cloud One Secrets アクセス</td><td>許可</td><td>GetSecretValue</td><td>Amazon EC2 が Trend Cloud One 移行のシークレットにアクセスできるようにします。<br />`aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-tenant-id*`,<br />`arn:aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-activation-token*`,<br />`aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-tenant-id*`,<br />`aws:secretsmanager:*:*:secret:/ams/eps/cloud-one-agent-tenant-guid*`</td></tr>
  <tr><td colspan="4">**AWS Key Management Service Amazon EC2 の**</td></tr>
  <tr><td>Trend Cloud One 復号キー</td><td>許可</td><td>Decrypt</td><td>Amazon EC2 がエイリアス名 /ams/eps/cloudone-migration で AWS KMS キーを復号できるようにする<br />`arn:aws:kms:*:*:alias/ams/eps/cloudone-migration`</td></tr>
</tbody>
</table>


------

Amazon IAM ポリシーに慣れていない場合は、[「IAM ポリシーの概要](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)」で重要な情報を参照してください。

**注記**  
ポリシーには、多くの場合、複数のステートメントが含まれます。各ステートメントは、異なるリソースセットにアクセス許可を付与するか、特定の条件下でアクセス許可を付与します。