IAM Access Analyzer ポリシーの生成

IAM ロールのポリシーを生成する

1. AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

2. 左側のナビゲーションペインで、[Roles] を選択します。

   注記

   IAM ユーザーのアクティビティに基づいてポリシーを生成する手順は、ほぼ同じです。そのためには、[ロール] ではなく [ユーザー] を選択します。

3. アカウントのロールのリストで、ポリシーの生成に使用するアクティビティを行なったロールの名前を選択します。

4. [アクセス許可] タブの [CloudTrail イベントに基づいてポリシーを生成] セクションで、[ポリシーの生成] を選択します。

5. [ポリシーの生成] ページで、ロールで実行されたアクションについて IAM Access Analyzer が CloudTrail イベントを分析する期間を指定します。最大 90 日の範囲を選択できます。ポリシー生成時間を短縮するために、可能な限り最短の期間を選択することをお勧めします。

6. CloudTrail アクセスセクションで、適切な既存のロールを選択するか、適切なロールが存在しない場合は新しいロールを作成します。このロールは、ユーザーの代わりに CloudTrail データにアクセスするためのアクセス許可を IAM Access Analyzer に与え、アクセスを確認し、使用されているサービスとアクションを特定します。このロールに必要なアクセス許可の詳細については、「ポリシーの生成に必要なアクセス許可」を参照してください。

7. [分析対象の CloudTrail 証跡] セクションで、アカウントのイベントをログに記録する CloudTrail 証跡を指定します。

   別のアカウントにログを保存する CloudTrail 証跡を選択すると、クロスアカウントアクセスに関する情報ボックスが表示されます。クロスアカウントアクセスでは、追加の設定が必要です。詳細については、このトピックの後半の「Choose a role for cross-account access」を参照してください。

8. [ポリシーの生成] を選択します。

9. ポリシー生成中は、[アクセス許可] タブの [ロール] [概要] ページに戻ります。[ポリシー要求の詳細] セクションの状態に [成功] が表示されるまで待ち、[生成されたポリシーを表示] を選択します。生成されたポリシーは、最大 7 日間表示できます。別のポリシーを生成すると、既存のポリシーは生成した新しいポリシーに置き換えられます。

1. 以下のセクションを確認します。

   • [権限の確認] ページで、[生成されたポリシーに含まれるアクション] のリストを確認します。リストには、指定した日付範囲内でロールによって使用されたと IAM Access Analyzer が特定したサービスおよびアクションが表示されます 。

   • [使用されたサービス] セクションには、指定された日付範囲内のロールによって使用されたと IAM Access Analyzer が特定した追加のサービスが表示されます。このセクションのサービスのリストからは、どのアクションが使用されたかの情報が得られない場合があります。リストされた各サービスのメニューを使用して、ポリシーに含めるアクションを手動で選択します。

2. アクションの追加が完了したら、[次へ] をクリックします。

生成されたポリシーをカスタマイズするには

1. ポリシーテンプレートを更新します。次の図に示すように、ポリシーテンプレートには、リソースレベルのアクセス許可をサポートするアクション用のリソース ARN プレースホルダーが含まれています。リソースレベルのアクセス許可とは、ユーザーがアクションを実行できるリソースを指定できる機能を意味します。リソースレベルのアクセス許可をサポートするアクションについては、ARN を使用して、ポリシーで個々のリソースを指定することをお勧めします。プレースホルダーリソース ARN は、ユースケース用の有効なリソース ARN に置き換えることができます。

   アクションがリソースレベルのアクセス許可をサポートしていない場合は、ワイルドカード (*) を使用して、すべてのリソースがアクションの影響を受ける可能性があることを指定する必要があります。どの AWS サービスがリソースレベルのアクセス許可をサポートしているかを確認するには、「IAM と連携するAWS サービス」を参照してください。各サービスのアクションの一覧と、どのアクションがリソースレベルのアクセス許可をサポートしているかについては、「AWS のサービスのアクション、リソース、および条件キー」を参照してください。

   

2. (オプション) テンプレートの JSON ポリシーステートメントを追加、変更、または削除します。JSON ポリシーの記述の詳細については、「IAM ポリシーの作成（コンソール）」を参照してください。

3. ポリシーテンプレートのカスタマイズ完了後、以下のオプションがあります。

   • (オプション) テンプレート内の JSON をコピーして、[生成されたポリシー] ページの外部で別途使用できます。たとえば、JSON を使用して別のアカウントでポリシーを作成する場合などです。テンプレート内のポリシーが JSON ポリシーの 6,144 文字の制限を超える場合、ポリシーは複数のポリシーに分割されます。

   • [次へ] をクリックして、同じアカウントでマネージドポリシーを確認して作成します。

ポリシーを確認して作成するには

1. [マネージドポリシーの確認と作成] ページに作成するポリシーの [名前] と [説明] (オプション) を入力します。

2. (オプション) [概要] セクションでは、ポリシーに含まれるアクセス許可を確認できます。

3. (オプション) タグをキー - 値のペアとしてアタッチして、メタデータをポリシーに追加します。IAM でのタグの使用の詳細については、「IAM リソースのタグ付け」を参照してください。

4. 完了したら、次のいずれかの操作を行います。

   • 新しいポリシーは、ポリシーの生成に使用されたロールに直接アタッチできます。これを行うには、ページ下部の [ポリシーを YourRoleName にアタッチする] の横にあるチェックボックスをオンにします。次に、[ポリシーを作成してアタッチ] を選択します。

   • あるいは、[ポリシーの作成] を選択します。作成したポリシーは、IAM コンソールの [ポリシー] ナビゲーションペインのポリシーの一覧に表示されます 。

5. 作成したポリシーは、アカウントのエンティティにアタッチできます。ポリシーをアタッチした後、エンティティにアタッチされている可能性がある他の広範囲過ぎるポリシーを削除できます。マネージドポリシーをユーザーにアタッチする方法については、「IAM ID アクセス許可の追加（コンソール）」を参照してください。

ステップ 1: クロスアカウントアクセス用のロールを選択または作成する

• リポジトリの [ポリシーを生成する] 画面では、既存のロールを使用するは、必要な権限を持つロールがアカウントに存在する場合、事前に選択されています。それ以外の場合は [新しいサービスロールの作成と使用] を選択します。新しいロールは、アカウント B の CloudTrail ログへの IAM アクセスアナライザのアクセス権限を付与するために使用されます。

ステップ 2: アカウント B で Amazon S3 バケットの設定を確認または更新します

1. AWS Management Console にサインインし、Amazon S3 コンソール (https://console.aws.amazon.com/s3/) を開きます。

2. バケットリストで、CloudTrail トレイルログが保存されるバケットの名前を選択します。

3. [アクセス許可] タブを選択し、[オブジェクトの所有権] セクションに移動します。

   Amazon S3 オブジェクトの所有権のバケット設定を使用して、バケットにアップロードするオブジェクトの所有権を制御します。デフォルトでは、他の AWS アカウント がバケットにオブジェクトをアップロードした場合、アップロードしたアカウントがそのオブジェクトを所有します。ポリシーを生成するには、バケットの所有者がバケット内のすべてのオブジェクトを所有している必要があります。ご利用の ACL ユースケースによっては、バケットの [オブジェクトの所有権] の設定を変更する必要があるかもしれません。[オブジェクトの所有権] を次のオプションのいずれかに設定します。

   • [バケット所有者の強制] (推奨)

   • [バケット所有者優先]

   重要

   ポリシーを正常に生成するには、バケット内のオブジェクトをバケット所有者が所有している必要があります。[バケット所有者優先] を選択した場合、オブジェクトの所有権が変更された後の期間のみポリシーを生成することができます。

   Amazon S3 におけるオブジェクトの所有権の詳細については、「Amazon S3 ユーザーガイド」の「オブジェクトの所有権の制御およびバケットに対する ACL の無効化」を参照してください。

4. アカウント B の Amazon S3 バケットポリシーにアクセス許可を追加して、アカウント A のロールへのアクセスを許可します。

   次のポリシー例では、ListBucket という名前のバケットに対して GetObject と amzn-s3-demo-bucket を許可しています。バケットにアクセスするロールが組織内のアカウントに属し、名前が AccessAnalyzerMonitorServiceRole で始まる場合にアクセスを許可します。Resource 要素で aws:PrincipalArn を Condition として使用すると、ロールがアカウント A に属している場合にのみ、アカウントのアクティビティにアクセスできるようになります。amzn-s3-demo-bucket をバケット名に、optional-prefix をバケットのオプション プレフィックスに、organization-id を組織 ID に置き換えることができます。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "PolicyGenerationBucketPolicy",
         "Effect": "Allow",
         "Principal": {
           "AWS": "*"
         },
         "Action": [
           "s3:GetObject",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-bucket",
           "arn:aws:s3:::amzn-s3-demo-bucket/optional-prefix/AWSLogs/organization-id/${aws:PrincipalAccount}/*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:PrincipalOrgID": "organization-id"
           },
           "StringLike": {
             "aws:PrincipalArn": "arn:aws:iam::${aws:PrincipalAccount}:role/service-role/AccessAnalyzerMonitorServiceRole*"
           }
         }
       }
     ]
   }

5. AWS KMS を使用してログを暗号化する場合は、次のポリシーの例に示すように、CloudTrail ログを保存するアカウントで AWS KMS キーポリシーを更新して、IAM AccessAnalyzer にキーを使用するためのアクセスを許可します。CROSS_ACCOUNT_ORG_TRAIL_FULL_ARN を証跡のARNに置き換え、organization-id を組織 ID に置き換えます。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "*"
         },
         "Action": "kms:Decrypt",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "kms:EncryptionContext:aws:cloudtrail:arn": "CROSS_ACCOUNT_ORG_TRAIL_FULL_ARN",
             "aws:PrincipalOrgID": "organization-id"
           },
           "StringLike": {
             "kms:ViaService": [
               "access-analyzer.*.amazonaws.com",
               "s3.*.amazonaws.com"
             ],
             "aws:PrincipalArn": "arn:aws:iam::${aws:PrincipalAccount}:role/service-role/AccessAnalyzerMonitorServiceRole*"
           }
         }
       }
     ]
   }