でのアイデンティティベースのポリシー (IAM ポリシー) の使用 AWS Snowball Edge - AWS Snowball Edge デベロッパーガイド
AWS Snowball Edge コンソールを使用するために必要なアクセス許可

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

でのアイデンティティベースのポリシー (IAM ポリシー) の使用 AWS Snowball Edge

このトピックでは、アカウント管理者が IAM アイデンティティ (ユーザー、グループ、ロール) にアクセス許可ポリシーをアタッチする方法を示す、アイデンティティベースのポリシーの例について説明します。これにより、これらのポリシーは の AWS Snowball Edge リソースに対してオペレーションを実行するアクセス許可を付与します AWS クラウド。

重要

初めに、 AWS Snowball Edge リソースへのアクセスを管理するための基本概念と使用可能なオプションについて説明する概要トピックをお読みになることをお勧めします。詳細については、「のリソースへのアクセス許可の管理の概要 AWS クラウド」を参照してください。

このセクションでは、次のトピックを対象としています。

以下に示しているのは、アクセス許可ポリシーの例です。

JSON
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketLocation",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": "arn:aws:s3:::*"
    },
    {
       "Effect": "Allow",
       "Action": [
          "snowball:*",
          "importexport:*"
       ],
       "Resource": "*"
    }
  ]
}

このポリシーには以下の 2 つのステートメントがあります。

  • 最初のステートメントは、arn:aws:s3:::* のAmazon リソースネーム (ARN) を使用して、すべての Amazon S3 バケットで 3 つの Amazon S3 のアクション (s3:GetBucketLocation、s3:GetObject、および s3:ListBucket) を実行するためのアクセス許可を付与します。ARN でワイルドカード (*) が指定されているため、ユーザーは任意の、またはすべての Amazon S3 バケットを選択してデータをエクスポートできます。

  • 2 番目のステートメントは、すべての AWS Snowball Edge アクションに対するアクセス許可を付与します。これらのアクションではリソースレベルのアクセス権限はサポートされていないため、ポリシーでワイルドカード文字 (*) が指定され、Resource の値にもワイルドカード文字が指定されます。

ID ベースのポリシーでアクセス許可を得るプリンシパルを指定していないため、ポリシーでは Principal 要素を指定していません。ユーザーにポリシーをアタッチすると、そのユーザーが暗黙のプリンシパルになります。IAM ロールにアクセス権限ポリシーをアタッチすると、ロールの信頼ポリシーで識別されたプリンシパルがアクセス権限を得ることになります。

すべての AWS Snowball Edge ジョブ管理 API アクションとそれらが適用されるリソースを示す表については、「」を参照してくださいAWS Snowball Edge API アクセス許可: アクション、リソース、および条件リファレンス。

AWS Snowball Edge コンソールを使用するために必要なアクセス許可

アクセス許可リファレンステーブルには、 AWS Snowball Edge ジョブ管理 API オペレーションが一覧表示され、各オペレーションに必要なアクセス許可が表示されます。ジョブ管理 API オペレーションの詳細については、「AWS Snowball Edge API アクセス許可: アクション、リソース、および条件リファレンス」を参照してください。

を使用するには AWS Snow ファミリーマネジメントコンソール、次のアクセス許可ポリシーに示すように、追加のアクションのアクセス許可を付与する必要があります。

JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetBucketPolicy",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:GetFunction",
                "lambda:GetFunctionConfiguration"
            ],
            "Resource": "arn:aws:lambda:*::function:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:ListFunctions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:GenerateDataKey",
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:RetireGrant",
                "kms:ListKeys",
                "kms:DescribeKey",
                "kms:ListAliases"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:AttachRolePolicy",
                "iam:CreatePolicy",
                "iam:CreateRole",
                "iam:ListRoles",
                "iam:ListRolePolicies",
                "iam:PutRolePolicy"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/snowball*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "importexport.amazonaws.com"
                }
            }
        },
        {
           "Effect": "Allow",
           "Action": [
                "ec2:DescribeImages",
                "ec2:ModifyImageAttribute"
           ],
           "Resource": [
                "*"
           ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:ListTopics",
                "sns:GetTopicAttributes",
                "sns:SetTopicAttributes",
                "sns:ListSubscriptionsByTopic",
                "sns:Subscribe"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:getServiceRoleForAccount"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "snowball:*"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}
JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetBucketPolicy",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:GetFunction",
                "lambda:GetFunctionConfiguration"
            ],
            "Resource": "arn:aws:lambda:::function:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:ListFunctions"
            ],
            "Resource": "arn:aws:lambda:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:AttachRolePolicy",
                "iam:CreatePolicy",
                "iam:CreateRole",
                "iam:ListRoles",
                "iam:ListRolePolicies",
                "iam:PutRolePolicy"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/snowball*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "importexport.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages",
                "ec2:ModifyImageAttribute"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:CreateTopic",
                "sns:ListTopics",
                "sns:GetTopicAttributes",
                "sns:SetTopicAttributes",
                "sns:ListSubscriptionsByTopic",
                "sns:Subscribe"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "greengrass:getServiceRoleForAccount"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "snowball:*"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

AWS Snowball Edge コンソールには、次の理由でこれらの追加のアクセス許可が必要です。

  • ec2: – ユーザーは、Amazon EC2 互換インスタンスを記述し、ローカルコンピューティングの目的でそれらの属性を変更できます。詳細については、「Snowball Edge での Amazon EC2-compatibleコンピューティングインスタンスの使用」を参照してください。

  • kms: - ユーザーは、データを暗号化する KMS キーを作成または選択できます。詳細については、「AWS Key Management Service in AWS Snowball Edge」を参照してください。

  • iam: – これにより、ジョブの作成と処理に関連する AWS リソースにアクセスするために AWS Snowball Edge が引き受ける IAM ロール ARN を作成または選択できます。

  • sns: - ユーザーは、作成したジョブの Amazon SNS 通知を作成または選択できます。詳細については、「Snowball Edge の通知」を参照してください。