Amazon VPC Lattice で IAM が機能する仕組み - Amazon VPC Lattice
アイデンティティベースのポリシーリソースベースのポリシーポリシーアクションポリシーリソースポリシー条件キーACLABAC一時的な認証情報サービスロールサービスリンクロール

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon VPC Lattice で IAM が機能する仕組み

IAM を使用して VPC Lattice へのアクセスを管理する前に、VPC Lattice で利用できる IAM の機能について説明します。

IAM の特徴量 VPC Lattice のサポート

アイデンティティベースのポリシー

あり

リソースベースのポリシー

はい

ポリシーアクション

あり

ポリシーリソース

あり

ポリシー条件キー

あり

ACL

なし

ABAC (ポリシー内のタグ)

あり

一時的な認証情報

はい

サービスロール

いいえ

サービスリンクロール

はい

VPC Lattice およびその他の AWS のサービスがほとんどの IAM 機能と連携する方法の概要については、IAM ユーザーガイドのAWS 「IAM と連携する のサービス」を参照してください。

VPC Lattice のアイデンティティベースのポリシー

アイデンティティベースのポリシーのサポート: あり

アイデンティティベースポリシーは、IAM ユーザー、ユーザーグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。アイデンティティベースポリシーの作成方法については、「IAM ユーザーガイド」の「カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する」を参照してください。

IAM アイデンティティベースのポリシーでは、許可または拒否するアクションとリソース、およびアクションを許可または拒否する条件を指定できます。JSON ポリシーで使用できるすべての要素について学ぶには、「IAM ユーザーガイド」の「IAM JSON ポリシーの要素のリファレンス」を参照してください。

VPC Lattice 内のリソースベースのポリシー

リソースベースのポリシーのサポート: あり

リソースベースのポリシーは、 のリソースにアタッチする JSON ポリシードキュメントです AWS。リソースベースのポリシーをサポートする AWS サービスでは、サービス管理者はそれらを使用して、その AWS サービスの特定のリソースへのアクセスを制御できます。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーで、プリンシパルを指定する必要があります。

VPC Lattice は認証ポリシーをサポートしています。これはサービスネットワーク内のサービスへのアクセスを制御できるリソースベースのポリシーです。詳細については、「認証ポリシーを使用して VPC Lattice サービスへのアクセスを制御する」を参照してください。

また、VPC Lattice は AWS Resource Access Managerとの統合で使用するリソースベースのアクセス許可ポリシーもサポートしています。これらのリソースベースのポリシーを使用して、サービス、リソース設定、サービスネットワークの他の AWS アカウントまたは組織への接続を管理するアクセス許可を付与できます。詳細については、「VPC Lattice のエンティティを共有する」を参照してください。

VPC Lattice のポリシーアクション

ポリシーアクションのサポート: あり

IAM ポリシーステートメントで、IAM をサポートするすべてのサービスからの任意の API アクションを指定できます。VPC Lattice の場合、API アクションの名前に vpc-lattice: のプレフィックスを使用します。例えば、vpc-lattice:CreateService、vpc-lattice:CreateTargetGroup、および vpc-lattice:PutAuthPolicy のようになります。

単一のステートメントで複数のアクションを指定するには、次のようにカンマで区切ります。

"Action": [ "vpc-lattice:action1", "vpc-lattice:action2" ]

ワイルドカードを使用して複数のアクションを指定することもできます。例えば、Get という単語で始まるアクション名すべてを次のように指定できます。

"Action": "vpc-lattice:Get*"

VPC Lattice API アクションの全リストを確認するには、「サービス認可リファレンス」の「Amazon VPC Lattice で定義されたアクション」を参照してください。

VPC Lattice のポリシーリソース

ポリシーリソースのサポート: あり

IAM ポリシーステートメントで、Resource 要素は、ステートメントがカバーするオブジェクトを指定します。VPC Lattice では、各 IAM ポリシーステートメントは ARN を使用して指定したリソースに適用されます。

それぞれの Amazon リソースネーム (ARN) 形式はリソースによって異なります。ARN を指定するには、イタリック体のテキストを、リソース固有の情報に置き換えます。

  • アクセスログサブスクリプション:

    "Resource": "arn:aws:vpc-lattice:region:account-id:accesslogsubscription/access-log-subscription-id"

  • リスナー:

    "Resource": "arn:aws:vpc-lattice:region:account-id:service/service-id/listener/listener-id"

  • リソースゲートウェイ

    "Resource": "arn:aws:vpc-lattice:region:account-id:resourcegateway/resource-gateway-id"

  • リソース設定

    "Resource": "arn:aws:vpc-lattice:region:account-id:resourceconfiguration/resource-configuration-id"

  • ルール:

    "Resource": "arn:aws:vpc-lattice:region:account-id:service/service-id/listener/listener-id/rule/rule-id"

  • サービス:

    "Resource": "arn:aws:vpc-lattice:region:account-id:service/service-id"

  • サービスネットワーク:

    "Resource": "arn:aws:vpc-lattice:region:account-id:servicenetwork/service-network-id"

  • サービスネットワークのサービスの関連付け:

    "Resource": "arn:aws:vpc-lattice:region:account-id:servicenetworkserviceassociation/service-network-service-association-id"

  • サービスネットワークリソース設定の関連付け

    "Resource": "arn:aws:vpc-lattice:region:account-id:servicenetworkresourceassociation/service-network-resource-association-id"

  • サービスネットワークの VPC の関連付け:

    "Resource": "arn:aws:vpc-lattice:region:account-id:servicenetworkvpcassociation/service-network-vpc-association-id"

  • ターゲットグループ:

    "Resource": "arn:aws:vpc-lattice:region:account-id:targetgroup/target-group-id"

VPC Lattice のポリシー条件キー

サービス固有のポリシー条件キーのサポート: あり

管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

Condition 要素は、定義された基準に基づいてステートメントが実行される時期を指定します。イコールや未満などの条件演算子を使用して条件式を作成して、ポリシーの条件とリクエスト内の値を一致させることができます。すべての AWS グローバル条件キーを確認するには、「IAM ユーザーガイド」のAWS 「グローバル条件コンテキストキー」を参照してください。

VPC Lattice 条件キーのリストを確認するには、「サービス認可リファレンス」の「Amazon VPC Lattice の条件キー」を参照してください。

AWS は、グローバル条件キーとサービス固有の条件キーをサポートしています。 AWS グローバル条件キーの詳細については、IAM ユーザーガイドのAWS 「グローバル条件コンテキストキー」を参照してください。

VPC Lattice のアクセスコントロールリスト (ACL)

ACL のサポート: なし

アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするためのアクセス許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。

VPC Lattice での属性ベースのアクセス制御 (ABAC)

ABAC (ポリシー内のタグ) のサポート: あり

属性ベースのアクセス制御 (ABAC) は、タグと呼ばれる属性に基づいてアクセス許可を定義する認可戦略です。IAM エンティティと AWS リソースにタグをアタッチし、プリンシパルのタグがリソースのタグと一致するときにオペレーションを許可するように ABAC ポリシーを設計できます。

タグに基づいてアクセスを管理するには、aws:ResourceTag/key-name、aws:RequestTag/key-name、または aws:TagKeys の条件キーを使用して、ポリシーの条件要素でタグ情報を提供します。

サービスがすべてのリソースタイプに対して 3 つの条件キーすべてをサポートする場合、そのサービスの値はありです。サービスが一部のリソースタイプに対してのみ 3 つの条件キーのすべてをサポートする場合、値は「部分的」になります。

ABAC の詳細については、「IAM ユーザーガイド」の「ABAC 認可でアクセス許可を定義する」を参照してください。ABAC をセットアップする手順を説明するチュートリアルについては、「IAM ユーザーガイド」の「属性ベースのアクセスコントロール (ABAC) を使用する」を参照してください。

VPC Lattice で一時的な認証情報を使用する

一時的な認証情報のサポート: あり

一時的な認証情報は、 AWS リソースへの短期的なアクセスを提供し、フェデレーションまたはスイッチロールの使用時に自動的に作成されます。 AWS では、長期的なアクセスキーを使用する代わりに、一時的な認証情報を動的に生成することをお勧めします。詳細については、「IAM ユーザーガイド」の「IAM の一時的な認証情報」および「AWS のサービス と IAM との連携」を参照してください。

VPC Lattice のサービスロール

サービスロールのサポート: なし

サービスロールとは、サービスがユーザーに代わってアクションを実行するために引き受ける IAM ロールです。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、IAM ユーザーガイドの AWS のサービスに許可を委任するロールを作成するを参照してください。

警告

サービスロールの許可を変更すると、VPC Lattice の機能が破損する可能性があります。VPC Lattice が指示する場合以外は、サービスロールを編集しないでください。

VPC Lattice のサービスにリンクされたロール

サービスリンクロールのサポート: あり

サービスにリンクされたロールは、 にリンクされたサービスロールの一種です AWS のサービス。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは に表示され AWS アカウント 、サービスによって所有されます。IAM 管理者は、サービスリンクロールのアクセス許可を表示できますが、編集することはできません。

VPC Lattice のサービスにリンクされたロールの作成または管理の詳細については、「Amazon VPC Lattice のサービスにリンクされたロールの使用」を参照してください。