翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Transcribeアイデンティティベースのポリシーの例

デフォルトでは、 ユーザーおよびロールには、Amazon Transcribe リソースを作成または変更する権限はありません。IAM 管理者は、リソースで必要なアクションを実行するための権限をユーザーに付与する IAM ポリシーを作成できます。

これらのサンプルの JSON ポリシードキュメントを使用して IAM アイデンティティベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「IAM ポリシーを作成する (コンソール)」を参照してください。

Amazon Transcribe が定義するアクションとリソースタイプ (リソースタイプごとの ARN の形式を含む) の詳細については、「サービス認可リファレンス」の「Amazon Transcribe のアクション、リソース、条件キー」を参照してください。

ポリシーに関するベストプラクティス

ID ベースのポリシーは、アカウント内のAmazon Transcribeリソースを作成、アクセス、または削除できるかどうかを決定します。これらのアクションでは、AWS アカウント に費用が発生する場合があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

IAM でのベストプラクティスの詳細については、IAM ユーザーガイド の IAM でのセキュリティのベストプラクティス を参照してください。

の使用AWS マネジメントコンソール

Amazon Transcribe コンソールにアクセスするには、許可の最小限のセットが必要です。これらのアクセス許可により、 のAmazon Transcribeリソースの詳細を一覧表示および表示できますAWS アカウント。最小限必要な許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。

AWS CLIまたは AWSAPI のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。

エンティティ (ユーザーとロール) が を使用できるようにするにはAWS マネジメントコンソール、次のいずれかAWSの管理ポリシーをアタッチします。

独自のカスタムIAMポリシーを作成して、Amazon TranscribeAPI アクションのアクセス許可を許可することもできます。これらのカスタムポリシーは、それらのアクセス許可が必要なエンティティにアタッチできます。

IAMロールに必要なアクセス許可

呼び出す IAMロールを作成する場合はAmazon Transcribe、Amazon S3バケットへのアクセス許可が必要です。該当する場合は、KMS key を使用してバケットの内容を暗号化する必要もあります。ポリシーの例については、以下のセクションを参照してください。

信頼ポリシー

文字起こしリクエストを行うために使用するIAMエンティティには、 がそのロールAmazon Transcribeを引き受けることができる信頼ポリシーが必要です。次のAmazon Transcribe信頼ポリシーを使用します。通話後分析を有効にした状態でリアルタイムコール分析リクエストを行う場合は、「リアルタイムコール分析の信頼ポリシー」を使用する必要があることに注意してください。

の信頼ポリシーAmazon Transcribe

リアルタイムコール分析の信頼ポリシー

Amazon S3入力バケットポリシー

次のポリシーは、指定された入力バケットからファイルにアクセスするアクセス許可を IAMロールに付与します。

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket"
        ],
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-INPUT-BUCKET",
            "arn:aws:s3:::DOC-EXAMPLE-INPUT-BUCKET/*"
        ]
    }
}

Amazon S3出力バケットポリシー

次のポリシーは、指定された出力バケットにファイルを書き込むアクセス許可を IAMロールに付与します。

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "s3:PutObject"
        ],
        "Resource": [
            "arn:aws:s3:::DOC-EXAMPLE-OUTPUT-BUCKET/*"
        ]
    }
}

Amazon S3暗号化キーに必要なアクセス許可

を使用して Amazon S3バケットをKMS key暗号化する場合は、KMS keyポリシーに以下を含めます。これにより、 はバケットの内容Amazon Transcribeにアクセスできます。へのアクセスを許可する方法の詳細についてはKMS keys、「 AWS KMSデベロッパーガイド」の「 AWS アカウントへのアクセスを外部に許可KMS keyする」を参照してください。

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
      },
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/KMS-Example-KeyId"
    }
  ]
}

自分の権限の表示をユーザーに許可する

この例では、ユーザーアイデンティティにアタッチされたインラインおよびマネージドポリシーの表示を IAM ユーザーに許可するポリシーの作成方法を示します。このポリシーには、コンソールで、または AWS CLIまたは AWSAPI を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

AWS KMS暗号化コンテキストポリシー

次のポリシーは、この特定の AWS KMSの Decrypt および Encrypt オペレーションを使用するアクセスExampleRole許可をIAMロールに付与しますKMS key。このポリシーは、少なくとも 1 つの暗号化コンテキストペア (この場合は「color:indigoBlue」) を持つリクエストに対してのみ機能します。AWS KMS暗号化コンテキストの詳細については、「」を参照してくださいAWS KMS暗号化コンテキスト。

混乱した代理の防止ポリシー

以下は、混乱した代理問題aws:SourceAccountAmazon Transcribeを防ぐために aws:SourceArnと を使用する方法を示すロール継承ポリシーの例です。混乱した代理の防止に関する詳細については、「サービス間の混乱した代理の防止」を参照してください。

タグに基づく文字起こしジョブの表示

アイデンティティベースのポリシーの条件を使用して、タグに基づいて Amazon Transcribe リソースへのアクセスをコントロールできます。この例では、文字起こしジョブを表示できるポリシーを作成する方法を示します。ただし、アクセス許可は、文字起こしジョブタグ Owner にそのユーザーのユーザー名の値がある場合のみ、付与されます。このポリシーでは、AWS マネジメントコンソール を使用してこのアクションを実行するために必要なアクセス許可も付与します。

このポリシーは、アカウントのIAMエンティティにアタッチできます。test-role という名前のロールが文字起こしジョブを表示しようとする場合、その文字起こしジョブには Owner=test-role または owner=test-role というタグを付ける必要があります(条件キー名では大文字と小文字は区別されません)。そうしないと、アクセスが拒否されます。詳細については、IAM ユーザーガイドの「IAM JSON ポリシー要素: 条件」を参照してください。

でのタグ付けの詳細についてはAmazon Transcribe、「」を参照してください リソースのタグ付け。