翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Security Lake の マネージドポリシー

AWS 管理ポリシーは、 によって作成および管理されるスタンドアロンポリシーです AWS。 AWS 管理ポリシーは、多くの一般的なユースケースにアクセス許可を付与するように設計されているため、ユーザー、グループ、ロールにアクセス許可の割り当てを開始できます。

AWS 管理ポリシーは、すべての AWS お客様が使用できるため、特定のユースケースに対して最小特権のアクセス許可を付与しない場合があることに注意してください。ユースケースに固有のカスタマー管理ポリシーを定義して、アクセス許可を絞り込むことをお勧めします。

AWS 管理ポリシーで定義されているアクセス許可は変更できません。が AWS マネージドポリシーで定義されたアクセス許可 AWS を更新すると、ポリシーがアタッチされているすべてのプリンシパル ID (ユーザー、グループ、ロール) に影響します。 AWS は、新しい が起動されるか、新しい API オペレーション AWS のサービス が既存のサービスで使用できるようになったときに、 AWS マネージドポリシーを更新する可能性が高くなります。

詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」を参照してください。

AWS マネージドポリシー: AmazonSecurityLakeMetastoreManager

Amazon Security Lake は、 AWS Lambda 関数を使用してデータレイク内のメタデータを管理します。この関数を使用すると、Security Lake はデータとデータファイルを含む Amazon Simple Storage Service (Amazon S3) パーティションを AWS Glue Data Catalog テーブルにインデックス化できます。この管理ポリシーには、S3 パーティションとデータファイルを AWS Glue テーブルにインデックス化するための Lambda 関数のすべてのアクセス許可が含まれています。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

このポリシーのアクセス許可を確認するには、「 AWS マネージドポリシーリファレンスガイド」のAmazonSecurityLakeMetastoreManager」を参照してください。

AWS マネージドポリシー: AmazonSecurityLakePermissionsBoundary

Amazon Security Lake は、サードパーティのカスタムソースがデータレイクにデータを書き込むためのものと、サードパーティのカスタムサブスクライバーがデータレイクからデータを消費するための IAM ロールを作成し、その際にこのポリシーを使用して権限の境界を定義します。このポリシーを使用するために、お客様が実行する必要があるアクションはありません。データレイクがカスタマーマネージド AWS KMS キーで暗号化されている場合、 kms:Decrypt アクセスkms:GenerateDataKey許可が追加されます。

このポリシーのアクセス許可を確認するには、「 AWS マネージドポリシーリファレンスガイド」のAmazonSecurityLakePermissionsBoundary」を参照してください。

AWS マネージドポリシー: AmazonSecurityLakeAdministrator

アカウントで Amazon Security Lake を有効にする前に、プリンシパルに AmazonSecurityLakeAdministrator ポリシーをアタッチできます。このポリシーにより、プリンシパルが Security Lake のすべてのアクションに完全にアクセスすることが許可される、管理者許可が付与されます。その後、プリンシパルは Security Lake にオンボーディングし、Security Lake でソースとサブスクライバーを設定できます。

このポリシーには、Security Lake 管理者が Security Lake を通じて他の AWS サービスに対して実行できるアクションが含まれています。

このAmazonSecurityLakeAdministratorポリシーは、Security Lake が Amazon S3 クロスリージョンレプリケーションの管理、 での新しいデータパーティションの登録 AWS Glue、カスタムソースに追加されたデータに対する Glue クローラの実行、または新しいデータの HTTPS エンドポイントサブスクライバーへの通知に必要なユーティリティロールの作成をサポートしていません。これらのロールは、「Amazon Security Lake の開始方法」で説明されているように事前に作成できます。

AmazonSecurityLakeAdministrator 管理ポリシーに加えて、Security Lake にはオンボーディングと設定機能のための lakeformation:PutDataLakeSettings 権限が必要です。PutDataLakeSettings は、アカウント内のすべてのリージョンの Lake Formation リソースの管理者として IAM プリンシパルを設定できます。このロールには iam:CreateRole permission と AmazonSecurityLakeAdministrator のポリシーが添付されている必要があります。

Lake Formation 管理者は Lake Formation コンソールへのフルアクセス権を持ち、初期データ設定とアクセス権限を制御できます。Security Lake は、Security Lake を有効にするプリンシパルと AmazonSecurityLakeMetaStoreManager ロール (またはその他の指定されたロール) を Lake Formation 管理者として割り当てます。これにより、管理者はテーブルの作成、テーブルスキーマの更新、新しいパーティションの登録、テーブルに対する権限の設定を行うことができます。Security Lake 管理者ユーザーまたはロールのポリシーには、次のアクセス許可を含める必要があります。

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPutLakeFormationSettings",
      "Effect": "Allow",
      "Action": "lakeformation:PutDatalakeSettings",
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": "securitylake.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowGlueActions",
      "Effect": "Allow",
      "Action": ["glue:PutResourcePolicy", "glue:DeleteResourcePolicy"],
      "Resource": [
        "arn:aws:glue:*:*:catalog",
        "arn:aws:glue:*:*:database/amazon_security_lake_glue_db*",
        "arn:aws:glue:*:*:table/amazon_security_lake_glue_db*/*"
      ],
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:CalledVia": "securitylake.amazonaws.com"
        }
      }
    }
  ]
}

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

このポリシーのアクセス許可を確認するには、「 AWS マネージドポリシーリファレンスガイド」のAmazonSecurityLakeAdministrator」を参照してください。

AWS マネージドポリシー: SecurityLakeServiceLinkedRole

Security Lake は、 という名前のサービスにリンクされたロールAWSServiceRoleForSecurityLakeを使用して、セキュリティデータレイクを作成および運用します。

SecurityLakeServiceLinkedRole マネージド ポリシーを IAM エンティティにアタッチすることはできません。このポリシーは、ユーザーに代わって Security Lake がアクションを実行することを許可するサービスリンクロールに添付されます。詳細については、「Security Lake のサービスにリンクされたロールのアクセス許可」を参照してください。

AWS マネージドポリシー: SecurityLakeResourceManagementServiceRolePolicy

Security Lake は、 という名前のサービスにリンクされたロールAWSServiceRoleForSecurityLakeResourceManagementを使用して継続的なモニタリングとパフォーマンスの向上を実行し、レイテンシーとコストを削減できます。Security Lake によって作成されたリソースを管理するためのアクセスを提供します。Security Lake に SecurityLake_Glue_Partition_Updater_Lambda を削除する機能を付与します。この Lambda は、iceberg 移行を実行し、v2 ソースに移行したお客様向けに廃止されました。この Lambda は、12 月に廃止される Python 3.9 ランタイムを使用していました。これらのお客様のためにこの Lambda のランタイムを更新するのではなく、削除することをお勧めします。Lambda をまだ必要としているかどうかを判断し、必要としていない場合は削除する復旧プロセスがあります。この SLR 更新は、その Lambda を削除できるようにするために必要です。

SecurityLakeResourceManagementServiceRolePolicy マネージド ポリシーを IAM エンティティにアタッチすることはできません。このポリシーは、ユーザーに代わって Security Lake がアクションを実行することを許可するサービスリンクロールに添付されます。詳細については、「リソース管理のためのサービスにリンクされたロールのアクセス許可」を参照してください。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

JSON ポリシードキュメントの最新バージョンなど、ポリシーの詳細については、「 AWS マネージドポリシーリファレンスガイド」のSecurityLakeResourceManagementServiceRolePolicy」を参照してください。

AWS マネージドポリシー: AWS GlueServiceRole

AWS GlueServiceRole 管理ポリシーは AWS Glue クローラを呼び出し、カスタムソースデータのクロールとパーティションメタデータの識別 AWS Glue を に許可します。このメタデータはデータカタログでテーブルを作成および更新するために必要です。

詳細については、「Security Lake のカスタムソースからデータを収集する」を参照してください。

AWS マネージドポリシーに対する Security Lake の更新

このサービスがこれらの変更の追跡を開始してからの Security Lake の AWS マネージドポリシーの更新に関する詳細を表示します。このページの変更に関する自動通知については、Security Lake の [Document history] (ドキュメントの履歴) ページの RSS フィードをサブスクライブしてください。