# AWS Migration Hub に対する認証とアクセスコントロール
<a name="auth-and-access-control"></a>



AWS Migration Hub へのアクセスには、AWS によってリクエストの認証に使用される認証情報が必要です。これらの認証情報には、AWS Migration Hub ProgressUpdateStream や Amazon EC2 インスタンスなどの AWS リソースへのアクセス許可が必要です。以下のセクションでは、[AWS Identity and Access Management (IAM)](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) と Migration Hub を使用して、リソースにアクセスできるユーザーを制御することで、リソースをセキュリティで保護する方法について詳しく説明します。
+ [認証](#authentication)
+ [アクセスコントロール](#access-control)

## 認証
<a name="authentication"></a>

AWS には、次のタイプのアイデンティティでアクセスできます。
+ **AWS account root user** – AWS accountを作成する場合は、このアカウントのすべての AWS servicesとリソースに完全にアクセスできる 1 つのサインインアイデンティティで始めます。このアイデンティティは AWS accountの*root user*と呼ばれ、アカウントの作成に使用した E メールアドレスとパスワードでのサインインによりアクセスします。root userは、日常的なタスクには使用しないことを強くお勧めします。root user認証情報を保護し、root userにしか実行できないタスクを実行する場合にのみ使用してください。root userとしてログインする必要があるタスクの詳細なリストについては、*AWS Account Management リファレンスガイド*の「[root user認証情報が必要なタスク](https://docs.aws.amazon.com/accounts/latest/reference/root-user-tasks.html)」を参照してください。
+ **IAM ユーザー** – [IAM ユーザー](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)は、特定のカスタム許可 (例えば、AWS Migration Hub で a function を作成する許可) を持つ AWS アカウント内のアイデンティティです。IAM のユーザー名とパスワードを使用して、[AWS Management Console](https://console.aws.amazon.com/)、[AWS ディスカッションフォーラム](https://forums.aws.amazon.com/)、[AWS Support Center](https://console.aws.amazon.com/support/home#/) などのセキュリティ保護された AWS ウェブページにサインインできます。

   

  ユーザー名とパスワードに加えて、各ユーザーの[アクセスキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_access-keys.html)を生成することもできます。[いくつかの SDK の 1 つ](https://aws.amazon.com/tools/#sdk)または [AWS Command Line Interface (CLI)](https://aws.amazon.com/cli/) を使ってプログラムで AWS サービスにアクセスするときに、これらのキーを使用できます。SDK と CLI ツールでは、アクセスキーを使用してリクエストが暗号で署名されます。AWS ツールを使用しない場合は、リクエストに自分で署名する必要があります。AWS Migration Hub supports *では、署名バージョン 4* がサポートされています。これは、インバウンド API リクエストを認証するためのプロトコルです。リクエストの認証の詳細については、*AWS General Reference*の「[署名バージョン 4 の署名プロセス](https://docs.aws.amazon.com/general/latest/gr/signature-version-4.html)」を参照してください。

   
+ **IAM ロール** – [IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)は、特定のアクセス権限を持ち、アカウントで作成できる IAM アイデンティティです。IAM ロールは、AWS で許可/禁止する操作を決めるアクセス権限ポリシーが関連付けられている AWS アイデンティティであるという点で、IAM ユーザーと似ています。ただし、ユーザーは 1 人の特定の人に一意に関連付けられますが、ロールはそれを必要とする任意の人が引き受けるようになっています。また、ロールには標準の長期認証情報 (パスワードやアクセスキーなど) も関連付けられません。代わりに、ロールを引き受けると、ロールセッション用の一時的なセキュリティ認証情報が提供されます。 IAM ロールと一時的な認証情報は、次の状況で役立ちます。

   
  + **フェデレーティッドユーザーアクセス** – ID フェデレーションにアクセス許可を割り当てるには、ロールを作成し、そのロールのアクセス許可を定義します。ID フェデレーションが認証されると、そのアイデンティティはロールに関連付けられ、ロールによって定義されたアクセス許可が付与されます。フェデレーション用のロールについては、*IAM ユーザーガイド*の「[サードパーティー ID プロバイダー用のロールの作成](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp.html)」を参照してください。IAM Identity Center を使用する場合は、アクセス許可セットを設定します。認証後にアイデンティティがアクセスできるものを制御するために、IAM Identity Center はアクセス許可セットを IAM のロールと関連付けます。アクセス許可セットの詳細については、*AWS IAM Identity Center ユーザーガイド*の「[アクセス許可セット](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)」を参照してください。

     
  + **AWS のサービスのアクセス** – サービスロールは、サービスがお客様に代わってアクションを実行するために引き受ける [IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)です。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、*IAM ユーザーガイド*の「[AWS serviceのユーザーにアクセス許可を委任するロールの作成](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)」を参照してください。 

      
  + **Amazon EC2 で実行中のアプリケーション** – IAM ロールを使用して、EC2 インスタンスで実行され、AWS CLI または AWS API リクエストを作成しているアプリケーションの一時的な認証情報を管理できます。これは、EC2 インスタンス内でのアクセスキーの保存に推奨されます。AWS ロールを EC2 インスタンスに割り当て、そのすべてのアプリケーションで使用できるようにするには、インスタンスにアタッチされたインスタンスプロファイルを作成します。インスタンスプロファイルにはロールが含まれ、EC2 インスタンスで実行されるプログラムは一時認証情報を取得することができます。詳細については、*IAM ユーザーガイド* の「[Amazon EC2 インスタンスで実行されるアプリケーションに IAM ロールを使用してアクセス許可を付与する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html)」を参照してください。

    

## アクセスコントロール
<a name="access-control"></a>

有効な認証情報があればリクエストを認証できますが、アクセス許可がなければ AWS Migration Hub リソースの作成やアクセスはできません。たとえば、Migration Hub API タイプ、`ProgressUpdateStream` を作成し、AWS Application Discovery Service を使用して、AWS 移行ツールを使用するにはアクセス許可が必要です。

以下のセクションでは、AWS Migration Hub のアクセス許可を管理する方法について説明します。
+  [AWS Migration Hub ロールとポリシー](policy-templates.md) 
+  [AWS Migration Hub API のアクセス許可: アクションとリソースのリファレンス](migrationhub-api-permissions-ref.md) 
+  [説明される AWS Migration Hub 認証とアクセスコントロール](auth-and-access-explained.md)