翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
Security Lake と IAM の連携方法
IAM を使用して Security Lake へのアクセスを管理する前に、Security Lake で使用できる IAM 機能を確認してください。
| IAM の機能 | Security Lake サポート |
|---|---|
|
あり |
|
|
はい |
|
|
あり |
|
|
あり |
|
|
あり |
|
|
なし |
|
|
あり |
|
|
あり |
|
|
あり |
|
|
いいえ |
|
|
はい |
Security Lake およびその他の AWS のサービスがほとんどの IAM 機能と連携する方法の概要については、IAM ユーザーガイドのAWS 「IAM と連携する のサービス」を参照してください。
Security Lake のアイデンティティベースのポリシー
アイデンティティベースのポリシーのサポート: あり
アイデンティティベースポリシーは、IAM ユーザー、ユーザーグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。アイデンティティベースポリシーの作成方法については、「IAM ユーザーガイド」の「カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する」を参照してください。
IAM アイデンティティベースのポリシーでは、許可または拒否するアクションとリソース、およびアクションを許可または拒否する条件を指定できます。JSON ポリシーで使用できるすべての要素について学ぶには、「IAM ユーザーガイド」の「IAM JSON ポリシーの要素のリファレンス」を参照してください。
Security Lakeは、アイデンティティベースのポリシーをサポートします。詳細については、「Security Lake のアイデンティティベースのポリシーの例」を参照してください。
Security Lake 内のリソースベースのポリシー
リソースベースのポリシーのサポート: あり
リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。リソースベースのポリシーには例として、IAM ロールの信頼ポリシーや Amazon S3 バケットポリシーがあげられます。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスを制御できます。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーで、プリンシパルを指定する必要があります。プリンシパルには、アカウント、ユーザー、ロール、フェデレーティッドユーザー、または を含めることができます AWS のサービス。
クロスアカウントアクセスを有効にするには、全体のアカウント、または別のアカウントの IAM エンティティを、リソースベースのポリシーのプリンシパルとして指定します。詳細については、IAM ユーザーガイド の IAM でのクロスアカウントリソースアクセス を参照してください。
Security Lake サービスは、データを保存する Amazon S3 バケットのリソースベースのポリシーを作成します。S3 バケットには、これらのリソースベースのポリシーをアタッチしないでください。Security Lake はユーザーに代わってこれらのポリシーを自動的に作成します。
リソースの例としては、arn:aws:s3:::aws-security-data-lake-{region}-{bucket-identifier} の Amazon リソースネーム (ARN) の S3 バケットがあります。この例では、 regionは Security Lake を有効にした特定の AWS リージョン であり、 bucket-identifierは Security Lake がバケットに割り当てるリージョン固有の英数字文字列です。Security Lake は S3 バケットを作成して、そのリージョンのデータを保存します。リソースポリシーは、バケットに対してアクションを実行できるプリンシパルを定義します。Security Lake がバケットにアタッチするリソースベースのポリシー (バケットポリシー) の例を次に示します。
リソースベースのポリシーの詳細については、IAM ユーザーガイドの「アイデンティティベースおよびリソースベースのポリシー」を参照してください。
Security Lake のポリシーアクション
ポリシーアクションのサポート:あり
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。
JSON ポリシーの Action 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。
Security Lake アクションのリストについては、「サービス認可リファレンス」の「Amazon Security Lake によって定義されたアクション」を参照してください。
Security Lake のポリシーアクションは、アクションの前に以下のプレフィックスを使用します。
securitylake
例えば、ユーザーに特定のサブスクライバーに関する情報へのアクセス許可を付与するには、ユーザーに割り当てるポリシーに securitylake:GetSubscriber アクションを含めます。ポリシーステートメントにはAction または NotAction 要素を含める必要があります。Security Lake では、このサービスで実行できるタスクを記述する独自のアクションのセットを定義します。
単一のステートメントで複数のアクションを指定するには、アクションをカンマで区切ります。
"Action": [ "securitylake:action1", "securitylake:action2" ]
Security Lake のアイデンティティベースポリシーの例を確認するには、Security Lake のアイデンティティベースのポリシーの例 を参照してください。
Security Lake のポリシーリソース
ポリシーリソースのサポート: あり
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。
Resource JSON ポリシー要素はアクションが適用されるオブジェクトを指定します。ベストプラクティスとして、Amazon リソースネーム (ARN) を使用してリソースを指定します。リソースレベルの権限をサポートしないアクションの場合は、ワイルドカード (*) を使用してステートメントがすべてのリソースに適用されることを示します。
"Resource": "*"
Security Lake は、サブスクライバー、および AWS アカウント 特定の のデータレイク設定のリソースタイプを定義します AWS リージョン。ARN を使用して、ポリシーでこれらのタイプのリソースを指定できます。
Security Lake リソースタイプのリストとそれぞれの ARN 構文については、「サービス認可リファレンス」の「Amazon Security Lake によって定義されたリソースタイプ」を参照してください。リソースタイプごとに指定できるアクションについては、「サービス認可リファレンス」の「Amazon Security Lake で定義されるアクション」を参照してください。
Security Lake のアイデンティティベースポリシーの例を確認するには、Security Lake のアイデンティティベースのポリシーの例 を参照してください。
Security Lake のポリシー条件キー
サービス固有のポリシー条件キーのサポート: あり
管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。
Condition 要素は、定義された基準に基づいてステートメントが実行されるタイミングを指定します。イコールや未満などの 条件演算子 を使用して条件式を作成して、ポリシーの条件とリクエスト内の値を一致させることができます。すべての AWS グローバル条件キーを確認するには、「IAM ユーザーガイド」のAWS 「グローバル条件コンテキストキー」を参照してください。
Security Lake 条件キーのリストについては、「サービス認可リファレンス」の「Amazon Security Lake の条件キー」を参照してください。条件キーを使用できるアクションとリソースについては、「サービス認可リファレンス」の「Amazon Security Lake で定義されるアクション」を参照してください。条件キーを使用するポリシーの例については、「Security Lake のアイデンティティベースのポリシーの例」を参照してください。
Security Lake のアクセスコントロールリスト (ACL)
ACL のサポート: なし
アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするためのアクセス許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。
Security Lake は ACL をサポートしていないため、Security Lake リソースに ACL をアタッチすることはできません。
Security Lake での属性ベースのアクセスコントロール (ABAC)
ABAC (ポリシー内のタグ) のサポート: あり
属性ベースのアクセス制御 (ABAC) は、タグと呼ばれる属性に基づいてアクセス許可を定義する認可戦略です。IAM エンティティと AWS リソースにタグをアタッチし、プリンシパルのタグがリソースのタグと一致するときにオペレーションを許可するように ABAC ポリシーを設計できます。
タグに基づいてアクセスを管理するには、aws:ResourceTag/、key-nameaws:RequestTag/、または key-nameaws:TagKeys の条件キーを使用して、ポリシーの 条件要素 でタグ情報を提供します。
サービスがすべてのリソースタイプに対して 3 つの条件キーすべてをサポートする場合、そのサービスの値はありです。サービスが一部のリソースタイプに対してのみ 3 つの条件キーのすべてをサポートする場合、値は「部分的」になります。
ABAC の詳細については、「IAM ユーザーガイド」の「ABAC 認可でアクセス許可を定義する」を参照してください。ABAC をセットアップする手順を説明するチュートリアルについては、「IAM ユーザーガイド」の「属性ベースのアクセス制御 (ABAC) を使用する」を参照してください。
Security Lake リソース、サブスクライバー、および個々の のデータレイク設定 AWS アカウント にタグをアタッチできます AWS リージョン。ポリシーの Condition 要素にタグ情報を指定することで、これらの種類のリソースへのアクセスを制御することもできます。Security Lake リソースのタグ付けの詳細については、Security Lake リソースのタグ付け を参照してください。リソースのタグに基づいてリソースへのアクセスを制御する ID ベースのポリシーの例については、「Security Lake のアイデンティティベースのポリシーの例」を参照してください。
Security Lake で一時的なセキュリティ認証情報を使用する
一時的な認証情報のサポート: あり
一時的な認証情報は、 AWS リソースへの短期的なアクセスを提供し、フェデレーションまたはスイッチロールの使用時に自動的に作成されます。長期的なアクセスキーを使用する代わりに、一時的な認証情報を動的に生成 AWS することをお勧めします。詳細については、「IAM ユーザーガイド」の「IAM の一時的な認証情報」および「IAM と連携するAWS のサービス」を参照してください。
Security Lake は、一時的な認証情報の使用をサポートしています。
Security Lake の転送アクセスセッション
転送アクセスセッション (FAS) のサポート: あり
転送アクセスセッション (FAS) は、 を呼び出すプリンシパルのアクセス許可と AWS のサービス、ダウンストリームサービス AWS のサービス へのリクエストをリクエストする を使用します。FAS リクエストを行う際のポリシーの詳細については、「転送アクセスセッション」を参照してください。
Security Lake のアクションの中には、他の AWS のサービスにおけるアクションに依存する追加のアクションに対する権限が必要なものもあります。これらのアクションのリストについては、「サービス認可リファレンス」の「Amazon Security Lake によって定義されたアクション」を参照してください。
Security Lake のサービスロール
サービスロールのサポート: なし
サービスロールとは、サービスがユーザーに代わってアクションを実行するために引き受ける IAM ロールです。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、「IAM ユーザーガイド」の「AWS のサービスに許可を委任するロールを作成する」を参照してください。
Security Lake はサービスロールを引き受けたり使用したりしません。ただし、Security Lake を使用するときは AWS Lambda、Amazon EventBridge や Amazon S3 などの関連サービスがサービスロールを引き受けます。ユーザーに代わってアクションを実行するために、Security Lake はサービスリンクロールを使用します。
警告
サービスロールの権限を変更すると、Security Lake を使用する際に運用上の問題が発生する可能性があります。Security Lake がそのためのガイダンスを提供している場合にのみ、サービス ロールを編集してください。
Security Lake のサービスリンクロール
サービスリンクロールのサポート: あり
サービスにリンクされたロールは、 にリンクされたサービスロールの一種です AWS のサービス。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは に表示され AWS アカウント 、サービスによって所有されます。IAM 管理者は、サービスリンクロールの許可を表示できますが、編集することはできません。
Security Lake は、AWSServiceRoleForAmazonSecurityLake という名前の IAM サービスリンクロールを使用します。Security Lake のサービスリンクロールは、顧客に代わってセキュリティデータレイクサービスを運用する権限を付与します。このサービスリンクロールは、Security Lake に直接リンクされている IAM ロールです。これは Security Lake によって事前定義されており、 AWS のサービス Security Lake がユーザーに代わって他の を呼び出すために必要なすべてのアクセス許可が含まれています。Security Lake は、Security Lake AWS リージョン が利用可能なすべての でこのサービスにリンクされたロールを使用します。
Security Lake サービスリンクロールの作成または管理の詳細については、「Security Lake のサービスにリンクされたロールの使用」を参照してください。
