AWS 次世代 Resilience Hub の マネージドポリシー

AWS 管理ポリシーは、 によって作成および管理されるスタンドアロンポリシーです AWS。 AWS 管理ポリシーは、ユーザー、グループ、ロールにアクセス許可の割り当てを開始できるように、多くの一般的なユースケースにアクセス許可を付与するように設計されています。

AWS 管理ポリシーは、すべての AWS お客様が使用できるため、特定のユースケースに対して最小特権のアクセス許可を付与しない場合があることに注意してください。ユースケースに固有の カスタマー管理ポリシーを定義して、アクセス許可を絞り込むことをお勧めします。

AWS 管理ポリシーで定義されているアクセス許可は変更できません。が AWS マネージドポリシーで定義されたアクセス許可 AWS を更新すると、ポリシーがアタッチされているすべてのプリンシパル ID (ユーザー、グループ、ロール) に影響します。 AWS は、新しい AWS サービスが起動されたとき、または既存のサービスで新しい API オペレーションが利用可能になったときに、 AWS マネージドポリシーを更新する可能性が最も高くなります。

AWSResilienceHubV2AssessmentExecutionPolicy

AWSResilienceHubV2AssessmentExecutionPolicy は IAM ID にアタッチできます。このポリシーは、評価の実行中に、回復力の検出、評価、管理のために、他の AWS サービスへの読み取り専用アクセス許可を付与します。

アクセス許可の詳細

このポリシーは、出力に機密情報が含まれる可能性があるワイルドカード読み取り専用アクセス許可を付与します。

このポリシーには、以下のアクセス許可が含まれています。

AWS 管理ポリシーは、これらのアクセス許可AWSResilienceHubV2AssessmentExecutionPolicyを提供します。ポリシードキュメントをコピーするのではなく、 管理ポリシーをアタッチして、 がポリシードキュメント AWS を更新するときにアクセス許可を最新の状態に保つようにします。ポリシードキュメント全体を表示するには、「 AWS マネージドポリシーリファレンスガイド」のAWSResilienceHubV2AssessmentExecutionPolicy」を参照してください。

AWSResilienceHubResilienceTestingPolicy

AWSResilienceHubResilienceTestingPolicy は IAM ID にアタッチできます。このポリシーは、耐障害性テスト中にユーザーに代わって実験を開始および管理するために必要な AWS Fault Injection Service (AWS FIS) アクセス許可を Resilience Hub に付与します。Resilience Hub によって開始された実験には、 というタグが付けられますmanagedBy: resiliencehub。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSResilienceHubFISActionStatement",
      "Effect": "Allow",
      "Action": "fis:CreateExperimentTemplate",
      "Resource": "arn:aws:fis:*:*:action/*"
    },
    {
      "Sid": "AWSResilienceHubFISCreateExperimentTemplateStatement",
      "Effect": "Allow",
      "Action": "fis:CreateExperimentTemplate",
      "Resource": "arn:aws:fis:*:*:experiment-template/*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/managedBy": "resiliencehub"
        }
      }
    },
    {
      "Sid": "AWSResilienceHubFISStartExperimentFromTemplateStatement",
      "Effect": "Allow",
      "Action": "fis:StartExperiment",
      "Resource": "arn:aws:fis:*:*:experiment-template/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/managedBy": "resiliencehub"
        }
      }
    },
    {
      "Sid": "AWSResilienceHubFISStartExperimentStatement",
      "Effect": "Allow",
      "Action": "fis:StartExperiment",
      "Resource": "arn:aws:fis:*:*:experiment/*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/managedBy": "resiliencehub"
        }
      }
    },
    {
      "Sid": "AWSResilienceHubFISExperimentStatement",
      "Effect": "Allow",
      "Action": [
        "fis:GetExperiment",
        "fis:StopExperiment",
        "fis:ListExperimentResolvedTargets"
      ],
      "Resource": "arn:aws:fis:*:*:experiment/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/managedBy": "resiliencehub"
        }
      }
    },
    {
      "Sid": "AWSResilienceHubFISExperimentTemplateStatement",
      "Effect": "Allow",
      "Action": [
        "fis:CreateTargetAccountConfiguration",
        "fis:DeleteExperimentTemplate"
      ],
      "Resource": "arn:aws:fis:*:*:experiment-template/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/managedBy": "resiliencehub"
        }
      }
    },
    {
      "Sid": "AWSResilienceHubFISPassRoleStatement",
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::*:role/*",
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": "fis.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AWSResilienceHubFISTagResourceStatement",
      "Effect": "Allow",
      "Action": "fis:TagResource",
      "Resource": [
        "arn:aws:fis:*:*:experiment-template/*",
        "arn:aws:fis:*:*:experiment/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/managedBy": "resiliencehub"
        }
      }
    },
    {
      "Sid": "AWSResilienceHubRegionSwitchStatement",
      "Effect": "Allow",
      "Action": [
        "arc-region-switch:ListPlanExecutions",
        "arc-region-switch:GetPlanExecution"
      ],
      "Resource": "arn:aws:arc-region-switch::*:plan/*:*"
    },
    {
      "Sid": "AWSResilienceHubFISCreateSLRStatement",
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "arn:aws:iam::*:role/*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "fis.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AWSResilienceHubCloudWatchAlarmStatement",
      "Effect": "Allow",
      "Action": "cloudwatch:DescribeAlarmHistory",
      "Resource": "*"
    }
  ]
}

AWSResilienceHubServiceRolePolicy

AWSResilienceHubServiceRolePolicy は、サービスにリンクされたロール (SLR) ポリシーです。このポリシーを IAM エンティティにアタッチすることはできません。次世代の Resilience Hub は、 AWS Organizations によるマルチアカウントのレジリエンス管理のサポートを有効にすると、このサービスにリンクされたロールを自動的に作成します。このロールはresiliencehub.amazonaws.comサービスプリンシパルを信頼します。

AWS Resilience Hub のサービスにリンクされたロールの詳細については、AWS 「Resilience Hub のサービスにリンクされたロールの使用」を参照してください。

アクセス許可の詳細

このポリシーを使用すると、次世代 Resilience Hub は、マルチアカウントのレジリエンス管理のために読み取り専用の AWS Organizations 情報にアクセスできます。

このポリシーには、以下のアクセス許可が含まれています。

次の IAM ポリシーは、次世代 Resilience Hub がマルチアカウントのレジリエンス管理のために Organizations リソースにアクセス AWS するために必要なアクセス許可を提供します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSResilienceHubOrganizationsReadStatement",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeAccount",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListAccounts",
                "organizations:ListAccountsForParent",
                "organizations:ListChildren",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListDelegatedServicesForAccount",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListRoots",
                "organizations:ListTagsForResource"
            ],
            "Resource": "*"
        }
    ]
}

マネージド AWS ポリシーの次世代 Resilience Hub の更新

このサービスがこれらの変更の追跡を開始してからの次世代 Resilience Hub の AWS マネージドポリシーの更新に関する詳細を表示します。このページの変更に関する自動アラートについては、次世代レジリエンスハブドキュメント履歴ページの RSS フィードにサブスクライブしてください。