このガイドでは、2025 年 3 月 13 日にリリースされた新しい AWS Wickr 管理コンソールについて説明します。AWS Wickr 管理コンソールのクラシックバージョンに関するドキュメントについては、「 Classic Administration Guide」を参照してください。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Wickr の VPC エンドポイントポリシー

VPC エンドポイントポリシーは、VPC エンドポイントにアタッチして、そのエンドポイントを介してアクセスできるリソースとアクションを制御する IAM リソースポリシーです。VPC エンドポイントポリシーは、Wickr Messaging および Wickr Admin エンドポイントにアタッチできます。

Wickr Messaging エンドポイントの場合、VPC エンドポイントポリシーを使用すると、データ境界制御を適用できます。たとえば、VPC エンドポイントを介して到達可能な Wickr ネットワークを制限して、ユーザーが不正なネットワークに接続できないようにすることができます。Wickr Admin エンドポイントの場合、VPC エンドポイントポリシーは Messaging と同じネットワークおよび条件コントロールをサポートし、さらにエンドポイントを介して許可される特定の管理アクションを制御できます。

VPC エンドポイントの詳細については、「 AWS PrivateLink ガイド」の「エンドポイントポリシーを使用してサービスへのアクセスを制御する」を参照してください。

考慮事項

Wickr Messaging の VPC エンドポイントポリシー

Wickr Messaging エンドポイントの場合、VPC エンドポイントポリシーを使用すると、データ境界制御を適用できます。たとえば、組織の Wickr ネットワークにのみアクセスを許可する VPC エンドポイントポリシーをアタッチできます。

Wickr Messaging のポリシー要素

Wickr Messaging の VPC エンドポイントポリシーでは、次の要素がサポートされています。

Wickr Messaging の VPC エンドポイントポリシーの例

Wickr Messaging の VPC エンドポイントポリシーの例を次に示します。

特定の Wickr ネットワークへのアクセスを制限する

次の VPC エンドポイントポリシーは、指定されたネットワーク ID を持つ Wickr ネットワークへのアクセスのみを許可します。このエンドポイントを介した他の Wickr ネットワークへのすべてのトラフィックは拒否されます。

{
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Allow",
            "Action": "wickr:*",
            "Resource": "arn:aws:wickr:us-east-1:123456789012:network/12345678"
        }
    ]
}

特定の VPC へのアクセスを制限する

次の VPC エンドポイントポリシーは、リクエストが指定された VPC から送信された場合にのみ、Wickr ネットワークへのアクセスを許可します。これは、複数の VPC エンドポイントが設定されていて、どの VPCs が Wickr ネットワークに到達できるかを制限する場合に便利です。

{
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Allow",
            "Action": "wickr:*",
            "Resource": "arn:aws:wickr:us-east-1:123456789012:network/12345678",
            "Condition": {
                "StringEquals": {
                    "aws:SourceVpc": "vpc-1a2b3c4d"
                }
            }
        }
    ]
}

特定の VPC エンドポイントへのアクセスを制限する

次の VPC エンドポイントポリシーは、指定された VPC エンドポイントを介してのみ Wickr ネットワークへのアクセスを許可します。これは、複数の VPC エンドポイントがあり、特定の Wickr ネットワークに到達するために使用できるエンドポイントを制限する場合に便利です。

{
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Allow",
            "Action": "wickr:*",
            "Resource": "arn:aws:wickr:us-east-1:123456789012:network/12345678",
            "Condition": {
                "StringEquals": {
                    "aws:SourceVpce": "vpce-0abcdef1234567890"
                }
            }
        }
    ]
}

特定のネットワークを除くすべての Wickr ネットワークへのアクセスを拒否する

次の VPC エンドポイントポリシーは、指定されたネットワークを除くすべての Wickr ネットワークへのアクセスを拒否します。これは、組織の Wickr ネットワークのみが VPC エンドポイント経由でアクセスでき、他のすべてのネットワークがブロックされるようにする場合に便利です。許可専用ポリシーとは異なり、この明示的な拒否を他のポリシーステートメントで上書きすることはできません。

{
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Deny",
            "Action": "wickr:*",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:SourceVpce": "vpce-0abcdef1234567890"
                }
            }
        },
        {
            "Principal": "*",
            "Effect": "Allow",
            "Action": "wickr:*",
            "Resource": "arn:aws:wickr:us-east-1:123456789012:network/12345678"
        }
    ]
}

最初のステートメントは、リクエストが指定された VPC エンドポイントから送信されない場合、すべての Wickr アクションを拒否します。2 番目のステートメントでは、指定された Wickr ネットワークへのアクセスを許可します。これらのステートメントを組み合わせることで、指定されたネットワークにのみアクセスでき、指定された VPC エンドポイントを介してのみアクセスできるようになります。

複数の条件でアクセスを制限する

次の VPC エンドポイントポリシーは、指定されたすべての条件が満たされた場合にのみ Wickr ネットワークへのアクセスを許可します。リクエストは、特定の VPC、特定の VPC エンドポイント、および特定の AWS アカウントが所有する VPC エンドポイントから発信される必要があります。

{
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Allow",
            "Action": "wickr:*",
            "Resource": "arn:aws:wickr:us-east-1:123456789012:network/12345678",
            "Condition": {
                "StringEquals": {
                    "aws:SourceVpc": "vpc-1a2b3c4d",
                    "aws:SourceVpce": "vpce-0abcdef1234567890",
                    "aws:VpceAccount": "123456789012"
                }
            }
        }
    ]
}

Wickr Admin の VPC エンドポイントポリシー

Wickr Admin エンドポイントの場合、VPC エンドポイントポリシーは、ネットワークリソースの制限や条件キー (aws:SourceVpc、、) など、Wickr Messaging aws:SourceVpceと同じポリシー要素をすべてサポートしますaws:VpceAccount。さらに、Wickr Admin は特定のアクションレベルのコントロールをサポートしています。ワイルドカードアクションを使用してwickr:*、すべてのアクションを許可または拒否したり、個々の Wickr 管理者アクションを指定したりできます。Wickr アクションの完全なリストについては、「サービス認可リファレンス」の「AWS Wickr で定義されるアクション」を参照してください。

Wickr Admin の VPC エンドポイントポリシーの例

特定の Wickr ネットワークへのアクセスを制限する

次の VPC エンドポイントポリシーは、指定されたネットワークリソースに対してのみ、すべての Wickr 管理者アクションを許可します。

{
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Allow",
            "Action": "wickr:*",
            "Resource": "arn:aws:wickr:us-east-1:123456789012:network/12345678"
        }
    ]
}

特定の Wickr ネットワークへの読み取り専用アクセスのみを許可する

次の VPC エンドポイントポリシーでは、エンドポイントを介した特定のネットワークに対する読み取り専用の Wickr Admin アクションのみを許可します。ネットワークの作成や削除などの書き込み操作は許可されません。

{
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Allow",
            "Action": [
                "wickr:ListNetworks",
                "wickr:GetNetwork",
                "wickr:GetNetworkSettings",
                "wickr:ListUsers",
                "wickr:GetUser",
                "wickr:GetUsersCount"
            ],
            "Resource": "arn:aws:wickr:us-east-1:123456789012:network/12345678"
        }
    ]
}

デフォルトの VPC エンドポイントポリシー

VPC エンドポイントにカスタムポリシーをアタッチしない場合、デフォルトのエンドポイントポリシーが適用されます。デフォルトのポリシーでは、エンドポイントを介した Wickr へのフルアクセスが許可されます。

{
    "Statement": [
        {
            "Principal": "*",
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        }
    ]
}

アクセスを制限するには、VPC エンドポイントにカスタムエンドポイントポリシーをアタッチします。

Wickr の VPC エンドポイントポリシーを作成する

VPC エンドポイントの作成時に VPC エンドポイントポリシーを作成してアタッチすることも、既存の VPC エンドポイントにポリシーをアタッチすることもできます。

AWS マネジメントコンソールを使用して VPC エンドポイントポリシーをアタッチする

を使用して VPC エンドポイントポリシーをアタッチする AWS CLI

modify-vpc-endpoint コマンドを使用して、既存の VPC エンドポイントにポリシーをアタッチします。

aws ec2 modify-vpc-endpoint \
    --vpc-endpoint-id vpce-0abcdef1234567890 \
    --policy-document file://policy.json

vpce-0abcdef1234567890 を Wickr VPC エンドポイントの ID に、policy.json をエンドポイントポリシー JSON ファイルへのパスに置き換えます。