AWS WAF Classic のサービスにリンクされたロールの使用 - AWS WAF、AWS Firewall Manager、AWS Shield Advanced、および AWS Shield ネットワークセキュリティディレクター
AWS WAF Classic 向けのサービスにリンクされたロール許可AWS WAF Classic 向けのサービスにリンクされたロールの作成AWS WAF Classic 向けのサービスにリンクされたロールの編集AWS WAF Classic 向けのサービスにリンクされたロールの削除AWS WAF Classic サービスにリンクされたロールをサポートするリージョン

AWS WAF の新しいコンソールエクスペリエンスのご紹介

更新されたエクスペリエンスを使用して、コンソールの任意の場所で AWS WAF 機能にアクセスできるようになりました。詳細については、「更新されたコンソールエクスペリエンスを使用する」を参照してください。

AWS WAF Classic のサービスにリンクされたロールの使用

警告

AWS WAF Classic は計画されたサービス終了プロセスを進めています。リージョン固有のマイルストーンと日付については、AWS Health ダッシュボードを参照してください。

注記

これは AWS WAF Classic ドキュメントです。2019 年 11 月より前に AWS WAF でルールやウェブ ACL などの AWS WAF リソースを作成し、それらをまだ最新バージョンに移行していない場合にのみ、このバージョンを使用する必要があります。Web ACL を移行するには、AWS WAF Classic リソースを AWS WAF に移行する を参照してください。

最新バージョンの AWS WAF については、「AWS WAF」を参照してください。

AWS WAF Classic は AWS Identity and Access Management (IAM) サービスにリンクされたロールを使用します。サービスにリンクされたロールは、AWS WAF Classic に直接リンクされた一意のタイプの IAM ロールです。サービスにリンクされたロールは、AWS WAF Classic によって事前定義されており、お客様の代わりにサービスから他の AWS のサービスを呼び出す必要のある許可がすべて含まれています。

サービスにリンクされたロールを使用することで、必要な許可を手動で追加する必要がなくなるため、AWS WAF Classic の設定が簡単になります。AWS WAFClassic は、サービスにリンクされたロールの許可を定義します。特に定義されている場合を除き、AWS WAF Classic のみがそのロールを引き受けることができます。定義された許可には、信頼ポリシーと許可ポリシーが含まれます。この許可ポリシーを他の IAM エンティティにアタッチすることはできません。

サービスにリンクされたロールを削除するには、まずそのロールの関連リソースを削除します。これにより、リソースへの意図しないアクセスによる許可の削除が防止され、AWS WAF Classic リソースは保護されます。

サービスにリンクされたロールをサポートする他のサービスについては、「IAM と連携する AWS サービス」を参照して、[サービスにリンクされたロール] 列が [はい] になっているサービスを見つけてください。そのサービスに関するサービスにリンクされたロールのドキュメントを表示するには、リンクが設定されている [Yes] (はい) を選択します。

AWS WAF Classic 向けのサービスにリンクされたロール許可

AWS WAF Classic では、次のサービスにリンクされたロールを使用します。

  • AWSServiceRoleForWAFLogging

  • AWSServiceRoleForWAFRegionalLogging

AWS WAF Classic では、これらのサービスにリンクされたロールを使用して、Amazon Data Firehose にログを書き込みます。これらのロールは、AWS WAF でログインを有効にしている場合にのみ使用されます。詳細については、「ウェブ ACL トラフィック情報のログ記録」を参照してください。

AWSServiceRoleForWAFLogging および AWSServiceRoleForWAFRegionalLogging のサービスにリンクされたロールは、ロールを引き受ける上でそれぞれに対応する次のサービスを信頼します。

  • waf.amazonaws.com

    waf-regional.amazonaws.com

ロールの許可ポリシーは、指定したリソースに対して次のアクションを実行することを AWS WAF Classic に許可します。

  • アクション: 名前が「aws-waf-logs-」で始まる Amazon Data Firehose データストリームリソースで firehose:PutRecord および firehose:PutRecordBatch。例えば、aws-waf-logs-us-east-2-analytics。

サービスにリンクされたロールの作成、編集、削除をIAM エンティティ (ユーザー、グループ、ロールなど) に許可するには、許可を設定する必要があります。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの許可」を参照してください。

AWS WAF Classic 向けのサービスにリンクされたロールの作成

サービスにリンクされたロールを手動で作成する必要はありません。AWS マネジメントコンソール で AWS WAF Classic ログ作成を有効にする、または AWS WAF Classic CLI または AWS WAF Classic API で PutLoggingConfiguration リクエストを作成する場合、AWS WAF Classic は自動的にサービスにリンクされたロールを作成します。

ログ記録を有効化するためには、iam:CreateServiceLinkedRole 許可が必要です。

このサービスにリンクされたロールを削除した後で再度作成する必要が生じた場合は、同じ方法でアカウントにロールを再作成できます。AWS WAF Classic ログ作成を有効にすると、AWS WAF Classic により、サービスにリンクされたロールが再度作成されます。

AWS WAF Classic 向けのサービスにリンクされたロールの編集

AWS WAF Classic では、AWSServiceRoleForWAFLogging および AWSServiceRoleForWAFRegionalLogging のサービスにリンクされたロールの編集をユーザーに許可しません。サービスにリンクされたロールを作成すると、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用したロール記述の編集はできます。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの編集」を参照してください。

AWS WAF Classic 向けのサービスにリンクされたロールの削除

サービスにリンクされたロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。そうすることで、積極的にモニタリングまたは保守されていない未使用のエンティティを排除できます。ただし、手動で削除する前に、サービスにリンクされたロールのリソースをクリーンアップする必要があります。

注記

リソースを削除する際に、AWS WAF Classic サービスでロールが使用されている場合、削除は失敗することがあります。失敗した場合は、数分待ってから操作を再試行してください。

AWSServiceRoleForWAFLogging および AWSServiceRoleForWAFRegionalLogging によって使用される AWS WAF Classic リソースを削除するには

  1. AWS WAF Classic コンソールで、すべてのウェブ ACL からログ記録を削除します。詳細については、「ウェブ ACL トラフィック情報のログ記録」を参照してください。

  2. API または CLI を使用して、ログ記録が有効化されている各ウェブ ACL に DeleteLoggingConfiguration リクエストを送信します。詳細については、「AWS WAF Classic API リファレンス」を参照してください。

IAM を使用して、サービスにリンクされたロールを手動で削除するには

AWSServiceRoleForWAFLogging および AWSServiceRoleForWAFRegionalLogging サービスにリンクされたロールを削除するには、IAM コンソール、IAM CLI、または IAM API を使用します。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの削除」を参照してください。

AWS WAF Classic サービスにリンクされたロールをサポートするリージョン

AWS WAF Classic は、次の で、サービスにリンクされたロールの使用をサポートしています。AWS リージョン

リージョン名 リージョンアイデンティティ AWS WAF Classic でのサポート
米国東部 (バージニア北部) us-east-1 あり
米国東部 (オハイオ) us-east-2 あり
米国西部 (北カリフォルニア) us-west-1 あり
米国西部 (オレゴン) us-west-2 あり
アジアパシフィック (ムンバイ) ap-south-1 あり
アジアパシフィック (大阪) ap-northeast-3 あり
アジアパシフィック (ソウル) ap-northeast-2 あり
アジアパシフィック (シンガポール) ap-southeast-1 あり
アジアパシフィック (シドニー) ap-southeast-2 あり
アジアパシフィック (東京) ap-northeast-1 あり
カナダ (中部) ca-central-1 あり
欧州 (フランクフルト) eu-central-1 あり
欧州 (アイルランド) eu-west-1 あり
欧州 (ロンドン) eu-west-2 あり
欧州 (パリ) eu-west-3 あり
南米 (サンパウロ) sa-east-1 あり