翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Quick Suite でのカスタムアクセス許可プロファイルの作成

Enterprise Edition では、Amazon Quick Suite でユーザーがアクセスできる機能を制限できます。Quick Suite のすべての ID タイプについて、アカウント、ロール (管理者、作成者、リーダー）、およびユーザーレベルでカスタムアクセス許可を設定できます。ユーザーレベルのカスタム許可は、指定されたユーザーについてのロールの既存のデフォルト、またはカスタムロールレベルの許可をオーバーライドします。ユーザーレベルのカスタムアクセス許可とロールレベルのカスタムアクセス許可は、アカウントレベルのカスタムアクセス許可を上書きします。

カスタム許可には次の制限が適用されます。

カスタムアクセス許可プロファイルを作成して、以下の機能の任意の組み合わせへのアクセスを制限できます。親機能を使用して、アセットの機能セット全体へのアクセスを制限できます。親機能を無効にすると、関連するすべての子機能も無効になります。

親機能のない機能は、このメカニズムではオフにできません。代わりに、個々の機能として制限する必要があります。

Quick Suite の親機能

Quick Suite の機能

カスタムアクセス許可プロファイルは、IAM アイデンティティセンター、Active Directory と統合された Amazon Quick Suite アカウント、または Amazon Quick Suite マネージドユーザーを持つ Amazon Quick Suite アカウントに対して作成できます。Amazon Quick Suite アカウントが使用する ID タイプによって、Amazon Quick Suite 管理者がカスタムアクセス許可プロファイルを設定する方法が決まります。

次の手順は、Amazon Quick Suite の機能およびそれぞれの機能へのアクセスを制御する方法を示しています。

IAM Identity Center または Active Directory と統合された Amazon Quick Suite アカウントのカスタムアクセス許可プロファイルの作成

Amazon Quick Suite アカウント管理者は、次の手順を使用して、IAM Identity Center または Active Directory と統合された Amazon Quick Suite アカウントのカスタムアクセス許可プロファイルを作成できます。

Amazon Quick Suite マネージドユーザーを使用する Amazon Quick Suite アカウントのカスタムアクセス許可プロファイルの作成

Amazon Quick Suite アカウント管理者は、次の手順を使用して、Amazon Quick Suite マネージドユーザーを使用する Amazon Quick Suite アカウントのカスタムアクセス許可プロファイルを作成できます。

カスタムアクセス許可プロファイルを作成したら、Amazon Quick Suite APIs を使用して、ユーザー、ロール、またはアカウントに割り当てられたカスタムアクセス許可プロファイルを追加または変更します。十分なアクセス許可を持つユーザーは、 AWS::QuickSight::CustomPermissions CloudFormation リソースを使用して Amazon Quick Suite のカスタムアクセス許可プロファイルを管理することもできます。Amazon Quick Suite APIs を使用したカスタムアクセス許可プロファイルの管理の詳細については、以下のトピックを参照してください。

Amazon Quick Suite API を使用して Amazon Quick Suite ロールにカスタムアクセス許可プロファイルを適用する

カスタムアクセス許可プロファイルを作成したら、Amazon Quick Suite APIs を使用して、ロールに割り当てられたカスタムアクセス許可プロファイルを追加または変更します。

開始する前に、 CLI AWS をセットアップして設定する必要があります。CLI のインストールの詳細については、 AWS AWS Command Line Interface 「 ユーザーガイド」の「 CLI AWS の最新バージョンのインストールまたは更新」および「 CLI AWS の設定」を参照してください。Amazon Quick Suite API を使用するためのアクセス許可も必要です。

次の例では、UpdateRoleCustomPermission API を呼び出して、ロールに割り当てられているカスタム許可を更新します。

aws quicksight update-role-custom-permission \
--role ROLE \
--aws-account-id AWSACCOUNTID \
--namespace default \
--custom-permissions-name PERMISSIONNAME \
--region REGION

次の例では、ロールに割り当てられているカスタム許可プロファイルを返します。

aws quicksight describe-role-custom-permission \
--role ROLE \
--aws-account-id AWSACCOUNTID \
--namespace default \
--region REGION

次の例では、ロールからカスタム許可プロファイルを削除します。

aws quicksight delete-role-custom-permission \
--role ROLE \
--aws-account-id AWSACCOUNTID \
--namespace default \
--region REGION

Amazon Quick Suite API を使用してカスタムアクセス許可プロファイルをユーザーに適用する

次の例では、ユーザーからカスタム許可プロファイルを適用します。

aws quicksight update-user-custom-permission \
    --aws-account-id AWSACCOUNTID \
    --namespace default \
    --user-name USER_NAME \
    --custom-permissions-name myCustomPermission

次の例では、ユーザーからカスタム許可プロファイルを削除します。

aws quicksight delete-user-custom-permission \
    --aws-account-id AWSACCOUNTID \
    --namespace default

次の の例では、新しい Amazon Quick Suite IAM ユーザーにカスタムアクセス許可を追加します。

aws quicksight register-user \
    --iam-arn arn:aws:iam::AWSACCOUNTID:user/USER \
    --identity-type IAM \
    --user-role AUTHOR \
    --custom-permissions-name custom-permissions-profile-name \
    --email EMAIL \
    --aws-account-id AWSACCOUNTID \
    --namespace default \

既存の IAM ユーザーを新しい許可プロファイルに関連付けることもできます。次の例では、既存の IAM ユーザーのカスタム許可プロファイルを更新しました。

aws quicksight update-user \
    --user-name USERNAME \
    --role AUTHOR \
    --custom-permissions-name custom-permissions-profile-name \
    --email EMAIL \
    --aws-account-id AWSACCOUNTID \
    --namespace default \

以下の例では、許可プロファイルから既存のユーザーを削除します。

aws quicksight update-user \
    --user-name USERNAME \
    --role AUTHOR \
    --unapply-custom-permissions \
    --email EMAIL \
    --aws-account-id AWSACCOUNTID \
    --namespace default

ロールまたはユーザーに適用されるカスタム許可をテストするには、ユーザーのアカウントにログインします。ユーザーが Amazon Quick Suite にログインすると、アクセスできる最高の特権ロールが付与されます。ユーザーに付与できる最高の特権ロールは管理者です。ユーザーに付与できる最小特権ロールは Reader です。Amazon Quick Suite のロールの詳細については、「Amazon Quick Suite 内でのユーザーアクセスの管理」を参照してください。

データソースの共有を作成者のロールに制限するカスタム許可プロファイルを割り当てると、その作成者はデータソースの共有を許可するコントロールにアクセスできなくなります。代わりに、影響を受ける作成者は、データソースに対する閲覧専用の許可を持ちます。

カスタム許可プロファイルをアカウントに適用する

Quick Suite APIs を使用してカスタムアクセス許可プロファイルをアカウントに適用する

カスタムアクセス許可プロファイルを作成したら、Quick Suite API を使用して、アカウントに割り当てられたカスタムアクセス許可プロファイルを追加または変更します。

開始する前に、 CLI AWS をセットアップして設定する必要があります。 AWS CLI のインストールの詳細については、 AWS 「 コマンドラインインターフェイスユーザーガイド」の「CLI AWS の最新バージョンのインストールまたは更新」および「CLI の設定 AWS」を参照してください。また、quicksight:UpdateAccountPermission、quicksight:DescribeAccountPermission および quicksight:DeleteAccountCustomPermission の IAM アクセス許可も必要です。

次の例では、UpdateAccountPermission API を呼び出して、アカウントに割り当てられているカスタム許可を更新します。

aws quicksight update-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--custom-permissions-name PERMISSIONNAME \
--region REGION

次の例では、アカウントに割り当てられているカスタム許可プロファイルを返します。

aws quicksight describe-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--region REGION

次の例では、アカウントからカスタム許可プロファイルを適用外にします。

aws quicksight delete-account-custom-permission \
--aws-account-id AWSACCOUNTID \
--region REGION