翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Route 53 リソースに対するアクセス許可の管理の概要

すべての AWS リソースは AWS アカウントによって所有され、リソースを作成またはアクセスするためのアクセス許可はアクセス許可ポリシーによって管理されます。

アクセス許可を付与するときは、アクセス許可を取得するユーザー、アクセス許可を取得する対象のリソース、およびアクセス許可を取得して実行するアクションを決定します。

ユーザーが の AWS 外部とやり取りする場合は、プログラムによるアクセスが必要です AWS Management Console。プログラムによるアクセスを許可する方法は、 にアクセスするユーザーのタイプによって異なります AWS。

ユーザーにプログラマチックアクセス権を付与するには、以下のいずれかのオプションを選択します。

ARNs Amazon Route 53 リソース用

Amazon Route 53 は、、ヘルスチェックDNS、ドメイン登録のさまざまなリソースタイプをサポートしています。ポリシーでは、 * を に使用することで、次のリソースへのアクセスを許可または拒否できますARN。

すべての Route 53 リソースでアクセス許可がサポートされているわけではありません。次のリソースへのアクセスを許可したり拒否したりすることはできません。

Route 53 は、これらのタイプのリソースそれぞれを操作するAPIアクションを提供します。詳細については、「Amazon Route 53 APIリファレンス」を参照してください。アクションのリストとARN、各アクションを使用する許可を付与または拒否するために指定する については、「」を参照してくださいAmazon Route 53 のAPIアクセス許可: アクション、リソース、および条件リファレンス。

リソース所有権について

AWS アカウントは、誰がリソースを作成したかに関係なく、アカウントで作成されたリソースを所有します。具体的には、リソース所有者は、リソース作成リクエストを認証するプリンシパルエンティティ (つまり、ルートアカウント、またはIAMロール) の AWS アカウントです。

次の例は、この仕組みを示しています。

リソースへのアクセスの管理

アクセス許可のポリシーでは、誰が何にアクセスできるかを指定します。このセクションでは、Amazon Route 53 のアクセス許可ポリシーを作成するために使用可能なオプションについて説明します。IAM ポリシーの構文と説明に関する一般的な情報については、IAM「 ユーザーガイド」のAWS IAM「ポリシーリファレンス」を参照してください。

IAM ID にアタッチされたポリシーは ID ベースのポリシー (IAM ポリシー) と呼ばれ、リソースにアタッチされたポリシーはリソースベースのポリシーと呼ばれます。Route 53 は、アイデンティティベースのポリシー (IAM ポリシー) のみをサポートします。

ID ベースのポリシー (IAM ポリシー）

IAM ID にポリシーをアタッチできます。例えば、次のオペレーションを実行できます。

次のポリシー例では、ユーザーが CreateHostedZone アクションを実行し、 AWS アカウントのパブリックホストゾーンを作成できるようにします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "route53:CreateHostedZone"
            ],
            "Resource":"*"
        }
    ]
}

ポリシーをプライベートホストゾーンにも適用する場合は、次の例に示すようにDescribeRegion、Route 53 AssociateVPCWithHostedZoneアクションと 2 つの Amazon EC2アクション、DescribeVpcsおよび を使用するアクセス許可を付与する必要があります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "route53:CreateHostedZone",
                "route53:AssociateVPCWithHostedZone"
            ],
            "Resource":"*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeRegion"
            ],
            "Resource":"*"
        },
    ]
}

Route 53 の ID へのポリシーのアタッチの詳細については、「Amazon Route 53 のアイデンティティベースのポリシー (IAM ポリシー) の使用」を参照してください。ユーザー、グループ、ロール、アクセス許可の詳細については、 IAM ユーザーガイドの「アイデンティティ (ユーザー、グループ、ロール）」を参照してください。

リソースベースのポリシー

Amazon S3 などの他のサービスでは、リソースへのアクセス許可ポリシーのアタッチもサポートされています。例えば、ポリシーを S3 バケットにアタッチして、そのバケットに対するアクセス許可を管理できます。Amazon Route 53 では、リソースへのポリシーのアタッチはサポートされません。 

ポリシー要素の指定: リソース、アクション、効果、プリンシパル

Amazon Route 53 には、各 Route 53 リソースで使用できるAPIアクション (「」を参照) が含まれています (「」を参照）ARNs Amazon Route 53 リソース用。 API これらのアクションの一部またはすべてを実行するアクセス許可を、ユーザーまたはフェデレーティッドユーザーに付与できます。ドメインの登録などの一部のAPIアクションでは、複数のアクションを実行するためのアクセス許可が必要です。

以下は、基本的なポリシーの要素です。

IAM ポリシーの構文と説明の詳細については、IAM「 ユーザーガイド」のAWS IAM「ポリシーリファレンス」を参照してください。

すべての Route 53 APIオペレーションとそれらが適用されるリソースを示すテーブルについては、「」を参照してくださいAmazon Route 53 のAPIアクセス許可: アクション、リソース、および条件リファレンス。

ポリシーでの条件の指定

アクセス許可を付与するときは、IAMポリシー言語を使用して、ポリシーを有効にするタイミングを指定できます。例えば、特定の日付の後にのみ適用されるポリシーが必要になる場合があります。ポリシー言語で条件を指定する方法の詳細については、IAM「 ユーザーガイド」のIAMJSON「ポリシー要素: 条件」を参照してください。

条件を表すには、あらかじめ定義された条件キーを使用します。Route 53 に固有の条件キーはありません。ただし、必要に応じて使用できる AWS 幅広い条件キーがあります。 AWS ワイドキーの完全なリストについては、IAM「 ユーザーガイド」の「条件に利用可能なキー」を参照してください。