前提条件ステップ 1: エンドユーザーのアクセス許可を設定するステップ 2: サービスアクションを作成するステップ 3: サービスアクションを製品バージョンに関連付けるステップ 4: エンドユーザーのエクスペリエンスをテストするステップ 5: でサービスアクションを管理する AWS CloudFormation ステップ 6: トラブルシューティング

AWS Service Catalog サービスアクション

注記

AWS Service Catalog は、Terraform Open Source または Terraform Cloud 製品のサービスアクションをサポートしていません。

AWS Service Catalog を使用すると、コンプライアンスとセキュリティ対策に従いながら、管理メンテナンスとエンドユーザートレーニングを減らすことができます。サービスアクションを使用すると、管理者は、 AWS Service Catalogでの運用タスクの実行、問題のトラブルシューティング、承認されたコマンドの実行、アクセス許可のリクエストをエンドユーザーに許可できます。AWS Systems Manager ドキュメントを使用して、サービスアクションを定義します。このAWS Systems Manager ドキュメントでは、Amazon EC2 の停止や再起動などの AWS ベストプラクティスを実装する事前定義されたアクションへのアクセスを提供し、カスタムアクションを定義することもできます。

このチュートリアルでは、Amazon EC2 インスタンスの再起動をエンドユーザーに許可します。必要なアクセス許可を追加し、サービスアクションを定義して製品に関連付けたら、プロビジョニングされた製品でそのアクションを使用して、エンドユーザーのエクスペリエンスをテストします。

前提条件

このチュートリアルでは、完全な AWS 管理者権限があり、すでにに精通していること、および製品 AWS Service Catalog、ポートフォリオ、ユーザーのベースセットが既にあることを前提としています。に慣れていない場合は AWS Service Catalog、このチュートリアルを使用する前に「のセットアップ」および「開始方法タスク」を完了してください。

トピック

ステップ 1: エンドユーザーのアクセス許可を設定する
ステップ 2: サービスアクションを作成する
ステップ 3: サービスアクションを製品バージョンに関連付ける
ステップ 4: エンドユーザーのエクスペリエンスをテストする
ステップ 5: でサービスアクションを管理する AWS CloudFormation
ステップ 6: トラブルシューティング

ステップ 1: エンドユーザーのアクセス許可を設定する

エンドユーザーは、特定のサービスアクションを表示および実行するアクセス許可が必要です。この例では、エンドユーザーには AWS Service Catalog サービスアクション機能にアクセスし、Amazon EC2 の再起動を実行するアクセス許可が必要です。

アクセス許可を更新するには

https://console.aws.amazon.com/iam/ で AWS Identity and Access Management (IAM) コンソールを開きます。
メニューからユーザーグループを見つけます。
エンドユーザーが AWS Service Catalog リソースへのアクセスに使用するグループを選択します。この例では、エンドユーザーグループを選択します。独自の実装では、該当するエンドユーザーによって使用されるグループを選択します。
グループの詳細ページの [アクセス許可] タブで、新しいポリシーを作成するか、既存のポリシーを編集します。この例では、グループの AWS Service Catalog プロビジョニングと終了のアクセス許可用に作成されたカスタムポリシーを選択して、既存のポリシーにアクセス許可を追加します。

[ポリシー] ページで、[ポリシーの編集] を選択して必要なアクセス許可を追加します。ビジュアルエディタまたは JSON エディタを使用してポリシーを編集できます。この例では、JSON エディタを使用してアクセス許可を追加します。このチュートリアルでは、以下のアクセス許可をポリシーに追加します。



{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "Stmt1536341175150",
			"Action": [
				"servicecatalog:ListServiceActionsForProvisioningArtifact",
				"servicecatalog:ExecuteprovisionedProductServiceAction",
				"ssm:DescribeDocument",
				"ssm:GetAutomationExecution",
				"ssm:StartAutomationExecution",
				"ssm:StopAutomationExecution",
				"cloudformation:ListStackResources",
				"ec2:DescribeInstanceStatus",
				"ec2:StartInstances",
				"ec2:StopInstances"
			],
			"Effect": "Allow",
			"Resource": "*"
		}
	]
}

ポリシーを編集した後、ポリシーの変更を確認して承認します。これで、エンドユーザーグループのユーザーに、 AWS Service Catalogで Amazon EC2 の再起動アクションを実行するアクセス許可が付与されました。

ステップ 2: サービスアクションを作成する

次は、Amazon EC2 インスタンスを再起動するサービスアクションを作成します。

https://console.aws.amazon.com/sc/ で AWS Service Catalog コンソールを開きます。
メニューの [サービスアクション] を選択します。
[サービスアクション] ページで、[アクションの作成] を選択します。
アクションの作成ページで、 AWS Systems Manager ドキュメントを選択してサービスアクションを定義します。Amazon EC2 インスタンスの再起動アクションは AWS Systems Manager ドキュメントによって定義されているため、ドロップダウンメニューのデフォルトのオプションである [Amazon ドキュメント] をそのまま使用します。
AWS-RestartEC2Instance アクションを検索して選択します。
お客様の環境とチームに合ったアクションの名前と説明を指定します。この説明はエンドユーザーに表示されるため、アクションの内容を理解するのに役立つものを選択してください。
[Parameter and target configuration] で、アクションのターゲットとなる SSM ドキュメントパラメータ ([インスタンス ID] など) を選択し、パラメータのターゲットを選択します。パラメータを追加するには、[パラメータの追加] を選択します。
[許可] で、ロールを選択します。この例では、デフォルトのアクセス許可を使用します。他のアクセス許可の設定も可能で、このページで定義します。
設定を確認したら、[アクションの作成] を選択します。
次のページでは、アクションが作成されて使用可能になると確認メッセージが表示されます。

ステップ 3: サービスアクションを製品バージョンに関連付ける

アクションを定義したら、そのアクションを製品に関連付ける必要があります。

[サービスアクション] ページで、[AWS-RestartEC2instance] を選択して、[アソシエイトアクション] の順に選択します。
[アクションの関連付け] ページで、エンドユーザーによってサービスアクションが実行されるようにする製品を選択します。この例では、[Linux Desktop] を選択します。
製品バージョンを選択します。1 番上のチェックボックスを使用して、すべてのバージョンを選択できます。
[アクションの関連付け] を選択します。
次のページで、確認メッセージが表示されます。

これで、 AWS Service Catalogでサービスアクションが作成されました。このチュートリアルの次のステップは、エンドユーザーとしてサービスアクションを使用することです。

ステップ 4: エンドユーザーのエクスペリエンスをテストする

エンドユーザーはプロビジョニングされた製品に対してサービスアクションを実行できます。このチュートリアルの目的上、エンドユーザーには少なくとも 1 つのプロビジョニングされた製品が必要です。プロビジョニングされた製品は、前のステップでサービスアクションに関連付けた製品バージョンから起動する必要があります。

エンドユーザーとしてサービスアクションにアクセスするには

エンドユーザーとして AWS Service Catalog コンソールにログインします。
AWS Service Catalog ダッシュボードのナビゲーションペインで、プロビジョニング済み製品リストを選択します。このリストには、エンドユーザーのアカウント用にプロビジョンされた製品が表示されます。
[プロビジョニングされた製品のリスト] ページで、プロビジョニングされたインスタンスを選択します。
[プロビジョニングされた製品の詳細] ページで、右上の [アクション] を選択してから、[AWS-RestartEC2instance] アクションを選択します。
カスタムアクションを実行することを確認します。アクションが送信されたという確認メッセージが表示されます。

ステップ 5: でサービスアクションを管理する AWS CloudFormation

サービスアクションとその AWS CloudFormation リソースとの関連付けを作成できます。詳細については、AWS CloudFormation ユーザーガイドで次を参照してください。

注記

AWS CloudFormation リソースとサービスアクションの関連付けを管理する場合は、 AWS Command Line Interface またはを使用してサービスアクションを追加または削除しないでください AWS Management Console。スタックの更新を実行すると、 AWS CloudFormation の外部で行われたサービスアクションへの変更はすべて置き換えられます。

ステップ 6: トラブルシューティング

サービスアクションの実行が失敗した場合、[プロビジョニング済み製品] ページのサービスアクション実行イベントの [出力] セクションにエラーメッセージが表示されます。以下に、よくあるエラーメッセージの説明を示します。

注記

エラーメッセージの正確なテキストは変更される可能性があるため、いずれの種類の自動化プロセスでも使用しないでください。

内部エラー

AWS Service Catalog で内部エラーが発生しました。後でもう一度お試しください。問題が解決しない場合は、カスタマーサポートまでお問い合わせください。

StartAutomationExecution オペレーションの呼び出し時にエラーが発生しました (ThrottlingException)

サービスアクションの実行が SSM などのバックエンドサービスによって制限されました。

ロールの引き受け中にアクセスが拒否されました

AWS Service Catalog は、サービスアクション定義で指定されたロールを引き受けることができませんでした。servicecatalog.amazonaws.com プリンシパル、または servicecatalog.us-east-1.amazonaws.com などのリージョン別プリンシパルがロールの信頼ポリシーで許可リストに登録されていることを確認してください。

[StartAutomationExecution オペレーションの呼び出し時にエラーが発生しました (AccessDeniedException): ユーザーはリソースに対する ssm:StartAutomationExecution の実行を承認されていません]

サービスアクション定義で指定されたロールに、ssm:StartAutomationExecution を呼び出すアクセス許可がありません。ロールに適切な SSM アクセス許可があることを確認してください。

プロビジョニング済み製品で TargetType タイプのリソースが見つかりません

プロビジョニング済み製品には、SSM ドキュメントで指定されたターゲットタイプに一致するリソースが含まれていません AWS。例::EC2::Instance。プロビジョニングされた製品でこれらのリソースを確認するか、ドキュメントが正しいことを確認してください。

その名前のドキュメントは存在しません

サービスアクション定義で指定されたドキュメントが存在しません。

SSM オートメーションドキュメントの定義の取得に失敗しました

AWS Service Catalog は、指定されたドキュメントを記述しようとしたときに SSM から不明な例外を検出しました。

ロールの認証情報の取得に失敗しました

AWS Service Catalog は、指定されたロールを引き受けるときに不明なエラーが発生しました。

パラメータには {validValue1}, {validValue2} に無い「InvalidValue」の値があります

SSM に渡されたパラメータ値がドキュメントの許容値のリストにありません。渡されたパラメータが有効であることを確認し、再試行してください。

パラメータのタイプに誤りがあります。ParameterName に提供された値は有効な文字列ではありません。

SSM に渡されたパラメータの値がドキュメントのこのタイプでは無効です。

パラメータがサービスアクション定義で定義されていません

サービスアクション定義で定義されていないパラメータ AWS Service Catalog がに渡されました。使用できるのは、サービスアクション定義で定義されたパラメータのみです。

アクションの実行中またはキャンセル中にステップが失敗します。Error message. 診断の詳細については、「オートメーションサービストラブルシューティングガイド」を参照してください。

SSM オートメーションドキュメントのステップが失敗しました。さらにトラブルシューティングするには、メッセージ内のエラーを参照してください。

パラメーターの InvalidResourceId の値は、プロビジョニング済み製品にはないため、許可されません。

プロビジョニングされた製品にないリソースに対するアクションをユーザーがリクエストしました。

SSM ドキュメントドキュメントに TargetType が定義されていません

サービスアクションでは、SSM オートメーションドキュメントに TargetType を定義する必要があります。SSM オートメーションドキュメントを確認してください。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

テンプレート制約のルール

ポートフォリオへの AWS Marketplace 製品の追加