**の新しいコンソールエクスペリエンスの紹介 AWS WAF**

更新されたエクスペリエンスを使用して、コンソールの任意の場所で AWS WAF 機能にアクセスできるようになりました。詳細については、[「コンソールの使用](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html)」を参照してください。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# Firewall Manager のサービスにリンクされたロールの使用
<a name="fms-using-service-linked-roles"></a>

AWS Firewall Manager は AWS Identity and Access Management (IAM)[ サービスにリンクされたロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)を使用します。サービスにリンクされたロールは、Firewall Manager に直接リンクされた一意のタイプの IAM ロールです。サービスにリンクされたロールは Firewall Manager によって事前定義されており、サービスがユーザーに代わって他の AWS サービスを呼び出すために必要なすべてのアクセス許可が含まれています。

サービスにリンクされたロールを使用することで、必要な許可を手動で追加する必要がなくなるため、Firewall Manager の設定が簡単になります。Firewall Manager は、サービスにリンクされたロールの許可を定義します。特に定義されている場合を除き、Firewall Manager のみがそのロールを引き受けることができます。定義された許可には、信頼ポリシーと許可ポリシーが含まれます。この許可ポリシーを他の IAM エンティティにアタッチすることはできません。

サービスにリンクされたロールを削除するには、まずそのロールの関連リソースを削除します。これにより、リソースに対する許可が誤って削除されることがなくなり、Firewall Manager のリソースは保護されます。

サービスにリンクされたロールをサポートする他のサービスについては、「[IAM と連携するAWS サービス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照して、**サービスにリンクされたロール**列が**はい**になっているサービスを見つけてください。そのサービスに関するサービスにリンクされたロールのドキュメントを表示するには、リンクが設定されている **[Yes]** (はい) を選択します。

## Firewall Manager でのサービスにリンクされたロールの許可
<a name="fms-slr-permissions"></a>

AWS Firewall Manager は、サービスにリンクされたロール名 AWSServiceRoleForFMS を使用して、Firewall Manager がユーザーに代わって AWS サービスを呼び出し、ファイアウォールポリシーと AWS Organizations アカウントリソースを管理できるようにします。このポリシーは、 AWS マネージドロール にアタッチされます`AWSServiceRoleForFMS`。マネージドロールの詳細については、「[AWS 管理ポリシー: `FMSServiceRolePolicy`](fms-security-iam-awsmanpol.md#security-iam-awsmanpol-FMSServiceRolePolicy)」を参照してください。

AWSServiceRoleForFMS サービスにリンクされたロールは、サービスを信頼し、ロール `fms.amazonaws.com` を引き受けます。

ロールの許可ポリシーは、指定したリソースに対して以下のアクションを完了することを Firewall Manager に許可します。
+ `waf` - アカウントの AWS WAF Classic ウェブ ACLs、ルールグループのアクセス許可、およびウェブ ACLs関連付けを管理します。
+ `ec2` – Elastic Network Interface と Amazon EC2 インスタンスで、セキュリティグループを管理します。Amazon VPC サブネット上のネットワーク ACL を管理します。
+ `vpc` – Amazon VPC 内のサブネット、ルートテーブル、タグ、エンドポイントを管理します。
+ `wafv2` - アカウントの AWS WAF ウェブ ACLs、ルールグループのアクセス許可、およびウェブ ACLs関連付けを管理します。
+ `cloudfront` – CloudFront ディストリビューションを保護するためのウェブ ACL を作成します。
+ `config` - アカウントで Firewall Manager が所有する AWS Config ルールを管理します。
+ `iam` - このサービスにリンクされたロールを管理し、 AWS WAF および Shield ポリシーのログ記録を設定する場合は、必要な AWS WAF および Shield サービスにリンクされたロールを作成します。
+ `organization` - Firewall Manager が所有するサービスにリンクされたロールを作成して、Firewall Manager が使用する AWS Organizations リソースを管理します。
+ `shield` - アカウント内のリソース AWS Shield の保護と L7 緩和設定を管理します。
+ `ram` - DNS Firewall ルールグループと Network Firewall ルールグループの AWS RAM リソース共有を管理します。
+ `network-firewall` - アカウントの Firewall Manager 所有の AWS Network Firewall リソースと依存する Amazon VPC リソースを管理します。
+ `route53resolver` – アカウント内で、Firewall Manager が所有する DNS Firewall の関連付けを管理します。

IAM コンソールの [FMSServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/FMSServiceRolePolicy$serviceLevelSummary) で、すべてのポリシーを確認します。

サービスリンクロールの作成、編集、削除を IAM エンティティ (ユーザー、グループ、ロールなど) に許可するにはアクセス許可を設定する必要があります。詳細については、「*IAM ユーザーガイド*」の「[サービスにリンクされたロールの許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)」を参照してください。

## Firewall Manager のサービスにリンクされたロールの作成
<a name="fms-create-slr"></a>

サービスリンクロールを手動で作成する必要はありません。で Firewall Manager のログ記録を有効にするか AWS マネジメントコンソール、Firewall Manager CLI または Firewall Manager API で`PutLoggingConfiguration`リクエストを行うと、Firewall Manager によってサービスにリンクされたロールが作成されます。

ログ記録を有効化するためには、`iam:CreateServiceLinkedRole` 許可が必要です。

このサービスにリンクされたロールを削除した後で再度作成する必要が生じた場合は、同じ方法でアカウントにロールを再作成できます。Firewall Manager ログ記録を有効にすると、Firewall Manager は、ユーザーのためにサービスにリンクされたロールを再作成します。

## Firewall Manager のサービスにリンクされたロールの編集
<a name="fms-edit-slr"></a>

Firewall Manager では、AWSServiceRoleForFMS のサービスにリンクされたロールを編集することはできません。サービスにリンクされたロールを作成すると、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用したロール記述の編集はできます。詳細については、「*IAM ユーザーガイド*」の「[サービスにリンクされたロールの編集](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)」を参照してください。

## Firewall Manager のサービスにリンクされたロールの削除
<a name="fms-delete-slr"></a>

サービスにリンクされたロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。そうすることで、積極的にモニタリングまたは保守されていない未使用のエンティティを排除できます。ただし、手動で削除する前に、サービスにリンクされたロールのリソースをクリーンアップする必要があります。

**注記**  
リソースを削除する際に、Firewall Manager のサービスでそのロールが使用されている場合、削除は失敗することがあります。失敗した場合は、数分待ってから操作を再試行してください。

**IAM を使用して、サービスにリンクされたロールを削除するには**

IAM コンソール、IAM CLI、または IAM API を使用して、AWSServiceRoleForFMS サービスにリンクされたロールを削除します。詳細については、「*IAM ユーザーガイド*」の「[サービスにリンクされたロールの削除](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)」を参照してください。

## Firewall Manager サービスにリンクされたロールをサポートするリージョン
<a name="fms-slr-regions"></a>

Firewall Manager では、このサービスが利用可能なすべてのリージョンで、サービスにリンクされたロールの使用をサポートしています。詳細については、「[Firewall Manager エンドポイントとクォータ](https://docs.aws.amazon.com/general/latest/gr/firewallmanager.html)」を参照してください。