でのパラメータ化された管理アクセス許可の使用 AWS RAM

パラメータ化された管理アクセス許可は、独自の値で入力するポリシー条件にプレースホルダーを含む管理アクセス許可です。これらのプレースホルダーはテンプレートパラメータです。新しい種類の管理アクセス許可は作成されません。既存のポリシーテンプレートに変動性を追加します。

一意の条件値ごとに個別のカスタマー管理アクセス許可を作成する代わりに、パラメータを使用して 1 つのカスタマー管理アクセス許可を作成します。リソース共有に関連付けるときは、各パラメータの値を指定します。 AWS RAM は値をポリシーテンプレートに置き換え、結果のリソースベースのポリシーを共有リソースにアタッチします。

たとえば、中央プラットフォームチームは、Parameter Store パラメータ (リソースタイプ ) に対して 1 AWS Systems Manager つのカスタマー管理アクセス許可を作成しますssm:Parameter。承認されたteamタグを持つプリンシパルにのみ読み取りアクセスを許可します。プラットフォームチームは、そのカスタマー管理アクセス許可を組織内のアカウントと共有します。その後、各アカウントは独自のリソース共有でそれを使用します。これには、1 つ以上の Parameter Store パラメータを含めることができます。各リソース共有で、アカウントは共有 Parameter Store パラメータを読み取ることができるプリンシパルのteamタグ値を提供します。

テンプレートパラメータタイプ

AWS RAM は 2 つのパラメータタイプをサポートしています。タイプは、 AWS RAM が値をレンダリングされたポリシーに置き換える方法を決定します。 AWS RAM API と では AWS CLI、タイプは STRINGと ですSTRING_LIST。 AWS RAM コンソールには、String および StringList として表示されます。

ポリシーテンプレート構文ルール

マネージドアクセス許可のポリシーテンプレートにパラメータを追加すると、次のルールが適用されます。リクエストがこれらのルールのいずれかを破ると、 は InvalidParameterExceptionまたは InvalidPolicyException エラーで AWS RAM 拒否します。

パラメータ化された管理アクセス許可を作成する

パラメータ化された管理アクセス許可は、他のカスタマー管理アクセス許可を作成するのと同じ方法で作成します。違いは、ポリシーテンプレートの条件にパラメータを宣言し@{parameterName}、プレースホルダーを使用することです。

パラメータ化された管理アクセス許可のバージョニング

パラメータ化された管理アクセス許可は、他のカスタマー管理アクセス許可と同じ方法でバージョン管理されます。各バージョンはパラメータを個別に宣言するため、新しいバージョンは以前のバージョンとは異なるパラメータのセットを宣言できます。

新しいバージョンを作成するには、 --policy-template および --permission-template-parametersパラメータを使用して create-permission-version コマンドを実行します。次の例では、 という名前のSTRINGパラメータを持つ 2 番目の条件を追加しますenvironment。

$ aws ram create-permission-version \
    --permission-arn arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam \
    --permission-template-parameters '[{"name":"teams","type":"STRING_LIST","description":"Values of the team principal tag that can read the shared parameters"},{"name":"environment","type":"STRING","description":"Value of the environment principal tag that can read the shared parameters"}]' \
    --policy-template '{"Effect":"Allow","Action":["ssm:GetParameter","ssm:GetParameters"],"Condition":{"StringEquals":{"aws:PrincipalTag/team":"@{teams}","aws:PrincipalTag/environment":"@{environment}"}}}'

新しいバージョンは、作成後すぐにデフォルトバージョンになります。既存のリソース共有は、使用するバージョンを保持します。リソース共有の所有者が新しいバージョンに更新する場合、所有者は新しいバージョンが宣言するパラメータの値を指定する必要があります。詳細については、「AWS マネージドアクセス許可を新しいバージョンに更新する」を参照してください。

カスタマー管理のアクセス許可バージョンとデフォルトバージョンの仕組みの詳細については、「」を参照してくださいでのカスタマー管理アクセス許可の作成と使用 AWS RAM。

レンダリングされたポリシーテンプレートをプレビューする

パラメータ化された管理アクセス許可をリソース共有に関連付ける前に、特定のパラメータ値からレンダリングする AWS RAM ポリシーをプレビューできます。

AWS RAM コンソールで、リソース共有を作成または更新するときに、テンプレートパラメータ値の下に値を入力し、レンダリングされたポリシーのプレビューを選択します。

で AWS CLI、 --permission-template-parametersパラメータを使用して get-permission コマンドを実行します。レスポンスの permissionフィールドには、プレースホルダーの代わりに値を含むポリシーが含まれています。

$ aws ram get-permission \
    --permission-arn arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam \
    --permission-template-parameters '[{"name":"teams","values":["payments","analytics"]},{"name":"environment","values":["prod"]}]'
{
    "permission": {
        "arn": "arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam",
        "version": "2",
        "defaultVersion": true,
        "name": "ParameterReadByTeam",
        "resourceType": "ssm:Parameter",
        "permission": "{\"Effect\":\"Allow\",\"Action\":[\"ssm:GetParameter\",\"ssm:GetParameters\"],\"Condition\":{\"StringEquals\":{\"aws:PrincipalTag/team\":[\"payments\",\"analytics\"],\"aws:PrincipalTag/environment\":\"prod\"}}}",
        "creationTime": 1763400000.000,
        "lastUpdatedTime": 1763400000.000,
        "isResourceTypeDefault": false,
        "permissionType": "CUSTOMER_MANAGED",
        "featureSet": "STANDARD",
        "status": "ATTACHABLE",
        "permissionTemplateParameters": [
            {
                "name": "teams",
                "type": "STRING_LIST",
                "description": "Values of the team principal tag that can read the shared parameters"
            },
            {
                "name": "environment",
                "type": "STRING",
                "description": "Value of the environment principal tag that can read the shared parameters"
            }
        ]
    }
}

--permission-template-parameters パラメータがない場合、get-permissionコマンドは@{parameterName}プレースホルダーを含むポリシーテンプレートを返します。permissionTemplateParameters フィールドには、宣言された各パラメータの名前、タイプ、説明が一覧表示されます。

パラメータ化された管理アクセス許可をリソース共有に関連付ける

パラメータ化された管理アクセス許可をリソース共有に関連付ける場合は、バージョンが宣言するすべてのパラメータの値を指定する必要があります。 はポリシーテンプレートを値に AWS RAM レンダリングし、結果として得られるリソースベースのポリシーをそのタイプの共有リソースにアタッチします。

多くのリソース共有をあるバージョンまたはアクセス許可から別のバージョンまたはアクセス許可に移動するには、 replace-permission-associations を実行します。ターゲットバージョンがパラメータを宣言する場合は、 を含めます--permission-template-parameters。 は、コマンドが更新するすべてのリソース共有に同じ値 AWS RAM を適用します。

テンプレートのパラメータと値を表示する

マネージドアクセス許可が宣言するパラメータと、リソース共有が提供する値を表示できます。

アカウント間でパラメータ化された管理アクセス許可を共有する

パラメータ化された管理アクセス許可は、他のカスタマー管理アクセス許可 AWS アカウント と同様に、他の と共有できます。受信アカウントには各パラメータの名前、タイプ、説明が表示されるため、指定する値を示す説明を記述します。各受信アカウントは、共有マネージドアクセス許可を独自のリソース共有に関連付けるときに、独自の値を提供します。

カスタマー管理のアクセス許可を共有する手順については、「」を参照してくださいのアカウント間でのカスタマー管理アクセス許可の共有と使用 AWS RAM。

IAM ポリシーでテンプレートパラメータ値を制御する

IAM ポリシーで ram:PermissionTemplateParameter/parameter-name条件キーを使用して、プリンシパルがパラメータに指定できる値を制御することができます。キーは複数値で、名前付きパラメータのリクエストの値が含まれます。これは、、ram:CreateResourceShare、ram:AssociateResourceSharePermissionおよび ram:ReplacePermissionAssociationsアクションの アクセス許可リソースで使用できます。

次のポリシー例では、最初のステートメントはParameterReadByTeamカスタマー管理のアクセス許可に対するアクションを付与します。2 番目のステートメントteamsは、 に指定された値が paymentsまたは 以外の場合、それらを拒否しますanalytics。キーは複数値であるため、ポリシーは ForAnyValue set 演算子を使用します。 AWS RAM は宣言されたパラメータごとに値を必要とするため、このカスタマー管理アクセス許可を使用するリクエストには常にキーが含まれます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ram:CreateResourceShare",
                "ram:AssociateResourceSharePermission",
                "ram:ReplacePermissionAssociations"
            ],
            "Resource": "arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ram:CreateResourceShare",
                "ram:AssociateResourceSharePermission",
                "ram:ReplacePermissionAssociations"
            ],
            "Resource": "arn:aws:ram:us-east-1:123456789012:permission/ParameterReadByTeam",
            "Condition": {
                "ForAnyValue:StringNotEquals": {
                    "ram:PermissionTemplateParameter/teams": [
                        "payments",
                        "analytics"
                    ]
                }
            }
        }
    ]
}

これらのステートメントは、 アクセス許可リソースのみを制御します。プリンシパルには、リソース共有や共有するリソースなど、リクエスト内の他のリソースに対するアクセス許可も必要です。その他の例については、「の IAM ポリシーの例 AWS RAM」を参照してください。

STRING_LIST パラメータの例

次の例は、 がSTRING_LISTパラメータを AWS RAM レンダリングする方法を示しています。

"Condition": {
    "StringEquals": {
        "aws:PrincipalTag/team": "@{teams}"
    }
}

"Condition": {
    "StringEquals": {
        "aws:PrincipalTag/team": ["payments", "analytics"]
    }
}

"Condition": {
    "ArnLike": {
        "aws:PrincipalArn": "arn:aws:iam::@{accountIds}:role/ParameterReader"
    }
}

"Condition": {
    "ArnLike": {
        "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:role/ParameterReader",
            "arn:aws:iam::444455556666:role/ParameterReader"
        ]
    }
}

"Condition": {
    "ArnLike": {
        "aws:PrincipalArn": [
            "arn:aws:iam::@{accountIds}:role/Auditor",
            "arn:aws:iam::@{accountIds}:role/Reader"
        ]
    }
}

"Condition": {
    "ArnLike": {
        "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:role/Auditor",
            "arn:aws:iam::444455556666:role/Auditor",
            "arn:aws:iam::111122223333:role/Reader",
            "arn:aws:iam::444455556666:role/Reader"
        ]
    }
}