ロールマネージャーを使用してロールを自動的に作成する

多くの AWS サービスは、IAM ロールを使用してユーザーに代わってアクションを実行します。IAM ロールマネージャーは、このようなロールを自動的にプロビジョニングするためのオプションのアカウント設定であるため、自分で設定する必要はありません。ロールマネージャーは、追加の手動 IAM 設定なしで AWS サービスの構築を開始できるように設計されています。

ロールマネージャーは、このページの AWS ロールマネージャーをサポートするサービスコンソール に記載されている一部の AWS サービスコンソールで使用できます。

ロールマネージャーの仕組み

ロールマネージャーを有効にすると、関連するコンソールワークフローの一部として、サービスとリソースに適したロールが提供されます。サポートされているサービスコンソールには、ロールマネージャーが現在使用可能かどうかが表示されます。ロールマネージャーが提供するロールを受け入れるのに、追加のアクションは必要ありません。たとえば、コンソールで AWS Lambda 関数を作成すると、Lambda はロールマネージャーを使用してデフォルトでその関数向け実行ロールを作成します。別のロールを使用するには、既存のロールを選択するか、新しいロールを手動で作成します。

ロールマネージャーは、ロールテンプレート、ロールの信頼ポリシーの定義、サービスおよびユースケースのアクセス許可を適用することで機能します。各サービスが使用するテンプレートの詳細については、「ロールテンプレートの概要」を参照してください。定義されたタスクのテンプレートは、タスクに必要なアクションのみを付与します。独自のコードの実行など、オープンエンド型の作業用のテンプレートは、各サービスへの個別のアクセス許可を必要とせずに構築作業を進められるよう、AWS API への広範なアクセスを許可します。

ロールマネージャーによって作成された IAM ロールは、ユーザーが作成した他のロールと同じように動作します。それらのロールは、表示、編集、または削除が可能です。各ロールには、元となったロールテンプレートも記録されるため、ロールマネージャーにより元々作成されたロールを特定できます。AWSCloudTrail は、ロールマネージャーがロールを作成するとログに記録するため、各ロールがいつどのように作成されたかを監査できます。

前提条件

ロールマネージャーを有効または無効にするには、iam:PutAccountProperties アクセス許可が必要です。AWS マネージドポリシーである IAMFullAccess にはそれが含まれます。ロールマネージャーが必要とするすべてのアクセス許可については、「ロールマネージャーへのアクセスを管理する」を参照してください。

ロールマネージャーを有効または無効にする方法 (コンソール)

ロールマネージャーは、IAM コンソールの [アカウント設定] ページで有効または無効にできます。このページには、お使いのアカウントでロールマネージャーが有効になっているかどうかも表示されます。

ロールマネージャーを無効にしても、ロールマネージャーによって作成されたロールは削除されません。

AWS ロールマネージャーをサポートするサービスコンソール

ロールマネージャーは、次の AWS サービスコンソールのロール作成をサポートします。

AWS は、時間の経過とともにサービスサポートを追加し続けます。各サービスが使用するロールテンプレートの詳細については、「ロールテンプレートの概要」を参照してください。

関連情報