Amazon MWAA で IAM が機能する仕組み - Amazon Managed Workflows for Apache Airflow
Amazon MWAA アイデンティティベースのポリシー

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon MWAA で IAM が機能する仕組み

Amazon MWAA は IAM アイデンティティベースのポリシーを使用して、Amazon MWAA アクションおよびリソースにアクセス許可を付与します。Amazon MWAA リソースへのアクセスを制御するために使用できるカスタム IAM ポリシーの推奨例については、Amazon MWAA 環境へのアクセス を参照してください。

Amazon MWAA およびその他の AWS のサービスが IAM と連携する方法の概要を把握するには、IAM ユーザーガイドのAWS 「IAM と連携する のサービス」を参照してください。

Amazon MWAA アイデンティティベースのポリシー

IAM アイデンティティベースポリシーでは、許可または拒否するアクションとリソース、またアクションを許可または拒否する条件を指定できます。Amazon MWAA は、特定のアクション、リソース、および条件キーをサポートしています。

次の手順では、IAM コンソールを使用して新しい JSON ポリシーを作成する方法を示します。このポリシーは、Amazon MWAA リソースへの読み取り専用アクセスを提供します。

JSON ポリシーエディタでポリシーを作成するには

  1. にサインイン AWS マネジメントコンソール し、https://console.aws.amazon.com/iam/ で IAM コンソールを開きます。

  2. 左側のナビゲーションペインで、[ポリシー] を選択します。

    初めて [ポリシー] を選択する場合には、[管理ポリシーにようこそ] ページが表示されます。今すぐ始める を選択します。

  3. ページの上部で、[ポリシーを作成] を選択します。

  4. ポリシーエディタ セクションで、JSON オプションを選択します。

  5. 次の JSON ポリシードキュメントを入力します。

    {
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "airflow:ListEnvironments",
        "airflow:GetEnvironment",
        "airflow:ListTagsForResource"
      ],
      "Resource": "*"
    }
  ]
}

  6. 次へ を選択します。

    注記

    いつでも Visual と JSON エディタオプションを切り替えることができます。ただし、[ビジュアル] エディタで [次へ] に変更または選択した場合、IAM はポリシーを再構成してビジュアルエディタに合わせて最適化することがあります。詳細については、IAM ユーザーガイド の ポリシーの再構成 を参照してください。

  7. 確認と作成 ページで、作成するポリシーの ポリシー名 と 説明 (オプション) を入力します。このポリシーで定義されているアクセス許可 を確認して、ポリシーによって付与されたアクセス許可を確認します。

  8. ポリシーを作成 をクリックして、新しいポリシーを保存します。

JSON ポリシーで使用するすべての要素については、IAM ユーザーガイド のIAM JSON ポリシー要素のリファレンス を参照してください。

アクション

管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

JSON ポリシーの Action 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。

ポリシーステートメントには、Action 要素または NotAction 要素を含める必要があります。Action 要素は、ポリシーによって許可されるアクションをリストします。NotAction 要素は、許可されていないアクションをリストします。

Amazon MWAA のために定義されたアクションには、Amazon MWAA を使用して実行できるタスクが反映されます。Detective のポリシーアクションには、プレフィックス airflow: が付いています。

複数のアクションを指定するために、ワイルドカード (*) を使用することもできます。これらのアクションを個別にリストする代わりに、例えば environment という単語で終わるすべてのアクションへのアクセス権を付与できます。

Amazon MWAA アクションのリストを確認するには、IAM ユーザーガイド の Amazon Managed Workflows for Apache Airflow で定義されるアクションを参照してください。