AWS AppFabric のアイデンティティベースのポリシーの例 - AWS AppFabric
ポリシーのベストプラクティスコンソールを使用する場合AppFabric セキュリティIAMポリシーの例AppFabric 生産性IAMポリシーの例その他のIAMポリシーの例

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS AppFabric のアイデンティティベースのポリシーの例

デフォルトでは、ユーザーとロールにはリソースを作成または変更 AppFabricするアクセス許可がありません。また、、 AWS Command Line Interface （AWS CLI） AWS Management Console、または を使用してタスクを実行することはできません AWS API。必要なリソースに対してアクションを実行するアクセス許可をユーザーに付与するには、IAM管理者はIAMポリシーを作成できます。その後、管理者はIAMポリシーをロールに追加し、ユーザーはロールを引き受けることができます。

これらのポリシードキュメント例を使用して IAM ID ベースのJSONポリシーを作成する方法については、IAM「 ユーザーガイド」のIAM「ポリシーの作成」を参照してください。

各リソースタイプの の形式など AppFabric、 で定義されるアクションとARNsリソースタイプの詳細については、「サービス認証リファレンス」の「 のアクション、リソース、および条件キー AWS AppFabric」を参照してください。

ポリシーのベストプラクティス

ID ベースのポリシーは、誰かがアカウント内の AppFabric リソースを作成、アクセス、または削除できるかどうかを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

  • AWS マネージドポリシーを開始し、最小権限のアクセス許可に移行 – ユーザーとワークロードへのアクセス許可の付与を開始するには、多くの一般的なユースケースのアクセス許可を付与するAWS マネージドポリシーを使用します。これらは で使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義することで、アクセス許可をさらに減らすことをお勧めします。詳細については、IAM「 ユーザーガイド」の「 管理AWS ポリシー」または ジョブ機能の 管理ポリシーを参照してください。 AWS

  • 最小権限のアクセス許可を適用する – IAMポリシーでアクセス許可を設定する場合、タスクの実行に必要なアクセス許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用してアクセス許可を適用する方法の詳細については、IAM「 ユーザーガイド」の「 のポリシーとアクセス許可IAM」を参照してください。

  • IAM ポリシーの条件を使用してアクセスをさらに制限する – ポリシーに条件を追加して、アクションとリソースへのアクセスを制限できます。例えば、ポリシー条件を記述して、すべてのリクエストを を使用して送信する必要があることを指定できますSSL。また、 などの特定の を通じてサービスアクションが使用されている場合 AWS のサービス、 条件を使用してサービスアクションへのアクセスを許可することもできます AWS CloudFormation。詳細については、「 ユーザーガイド」のIAMJSON「ポリシー要素: 条件」を参照してください。 IAM

  • IAM Access Analyzer を使用してIAMポリシーを検証し、安全で機能的なアクセス許可を確保する – IAM Access Analyzer は、ポリシーがポリシー言語 (JSON) とIAMベストプラクティスに準拠するように、新規および既存のIAMポリシーを検証します。IAM Access Analyzer には、安全で機能的なポリシーの作成に役立つ 100 を超えるポリシーチェックと実用的なレコメンデーションが用意されています。詳細については、IAM「 ユーザーガイド」のIAM「Access Analyzer ポリシーの検証」を参照してください。

  • 多要素認証が必要 (MFA） – でIAMユーザーまたはルートユーザーを必要とするシナリオがある場合は AWS アカウント、 をオンにMFAしてセキュリティを強化します。API オペレーションが呼び出されるMFAタイミングを要求するには、ポリシーにMFA条件を追加します。詳細については、IAM「 ユーザーガイド」のMFA「保護APIアクセスの設定」を参照してください。

のベストプラクティスの詳細についてはIAM、「 ユーザーガイド」の「 のセキュリティのベストプラクティスIAM」を参照してください。 IAM

コンソールの使用 AppFabric

AWSAppFabricReadOnlyAccess AWS マネージドポリシーを ID IAM にアタッチして、 のコンソールを含め AppFabric、 AppFabric サービスへの読み取り専用アクセス許可を付与します AWS Management Console。または、AWSAppFabricFullAccess AWS 管理ポリシーを ID IAM にアタッチして、 AppFabric サービスへの完全な管理アクセス許可を付与することもできます。詳細については、「AWS の マネージドポリシー AWS AppFabric」を参照してください。

AppFabric セキュリティIAMポリシーの例

次のポリシー例は、セキュリティ機能の AppFabric に適用されます。

アプリケーションバンドルへのアクセスを許可する

次のポリシー例では、 サービス内の AppFabricアプリケーションバンドルへのアクセスを許可します。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:StartUserAccessTasks",
                "appfabric:BatchGetUserAccessTasks"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appbundle/*"]
        }
    ],
    "Version": "2012-10-17"
}

コンテンツに対するアクセス制限

次のポリシー例では、 サービス内のアプリケーションバンドルへのアクセスを制限します AppFabric。

{
    "Statement": [
        {
            "Action": ["appfabric:*"],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "appfabric:StartUserAccessTasks",
                "appfabric:BatchGetUserAccessTasks"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appbundle/*"]
        }
    ],
    "Version": "2012-10-17"
}

取り込みの削除または停止を制限する

次のポリシー例では、 AppFabric サービス内の取り込みの削除または停止を制限します。

{
    "Statement": [
        {
            "Action": ["appfabric:*"],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "appfabric:StopIngestion",
                "appfabric:DeleteIngestion",
                "appfabric:DeleteIngestionDestination"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appbundle/*"]
        }
    ],
    "Version": "2012-10-17"
}

AppFabric 生産性IAMポリシーの例

AWS AppFabric for productivity 機能はプレビュー中であり、変更される可能性があります。

次のポリシー例は、生産性 AppFabric 向上のための 機能に適用されます。

productivity の機能への読み取り専用アクセスを許可する

次のポリシー例では、生産性向上機能 AppFabric のために への読み取り専用アクセスを許可します。

重要

このポリシーをIAMコンソールのJSONポリシーエディタに追加すると、無効なアクションエラーが表示される場合があります。これは、生産性 AppFabric 向上のための機能が現在プレビューされているためです。このエラーは無視し、ポリシーの作成を続けていただいて構いません。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:GetAppClient",
                "appfabric:ListActionableInsights",
                "appfabric:ListAppClients",
                "appfabric:ListMeetingInsights"
            ],
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

productivity の機能への完全なアクセスを許可する

次のポリシー例では、生産性 AppFabric 向上のための へのフルアクセスを許可します。

重要

このポリシーをIAMコンソールのJSONポリシーエディタに追加すると、無効なアクションエラーが表示される場合があります。これは、生産性 AppFabric 向上のための機能が現在プレビューされているためです。このエラーは無視し、ポリシーの作成を続けていただいて構いません。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:CreateAppClient",
                "appfabric:DeleteAppClient",
                "appfabric:GetAppClient",
                "appfabric:ListActionableInsights",
                "appfabric:ListAppClients",
                "appfabric:ListMeetingInsights",
                "appfabric:PutFeedback",
                "appfabric:Token"
                "appfabric:UpdateAppClient"
            ],
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

作成へのアクセスを許可する AppClients

次のポリシー例では、 を作成するためのアクセスを許可します AppClients。詳細については、「生産性向上 AppFabric のための の作成 AppClient」を参照してください。

重要

このポリシーをIAMコンソールのJSONポリシーエディタに追加すると、無効なアクションエラーが表示される場合があります。これは、生産性 AppFabric 向上のための機能が現在プレビューされているためです。このエラーは無視し、ポリシーの作成を続けていただいて構いません。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:CreateAppClient"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

アクセスを許可して の詳細を取得 AppClients

次のポリシー例では、 の詳細を取得するためのアクセスを許可します AppClients。詳細については、「 の詳細を取得する AppClient」を参照してください。

重要

このポリシーをIAMコンソールのJSONポリシーエディタに追加すると、無効なアクションエラーが表示される場合があります。これは、生産性 AppFabric 向上のための機能が現在プレビューされているためです。このエラーは無視し、ポリシーの作成を続けていただいて構いません。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:GetAppClient",
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

リストへのアクセスを許可する AppClients

次のポリシー例では、リスト へのアクセスを許可します AppClients。詳細については、「 の詳細を取得する AppClient」を参照してください。

重要

このポリシーをIAMコンソールのJSONポリシーエディタに追加すると、無効なアクションエラーが表示される場合があります。これは、生産性 AppFabric 向上のための機能が現在プレビューされているためです。このエラーは無視し、ポリシーの作成を続けていただいて構いません。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:ListAppClients"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

更新へのアクセスを許可する AppClients

次のポリシー例では、 を更新するアクセスを許可します AppClients。詳細については、「 の更新 AppClient」を参照してください。

重要

このポリシーをIAMコンソールのJSONポリシーエディタに追加すると、無効なアクションエラーが表示される場合があります。これは、生産性 AppFabric 向上のための機能が現在プレビューされているためです。このエラーは無視し、ポリシーの作成を続けていただいて構いません。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:UpdateAppClient"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

削除するアクセスを許可する AppClients

次のポリシー例では、 を削除するアクセスを許可します AppClients。詳細については、「 の更新 AppClient」を参照してください。

重要

このポリシーをIAMコンソールのJSONポリシーエディタに追加すると、無効なアクションエラーが表示される場合があります。これは、生産性 AppFabric 向上のための機能が現在プレビューされているためです。このエラーは無視し、ポリシーの作成を続けていただいて構いません。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:DeleteAppClient"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

アプリケーションを承認するためのアクセスを許可する

次のポリシー例では、トークン を使用してアプリケーションを承認するアクセスを許可しますAPI。詳細については、「アプリケーションの認証と認可」を参照してください。

重要

このポリシーをIAMコンソールのJSONポリシーエディタに追加すると、無効なアクションエラーが表示される場合があります。これは、生産性 AppFabric 向上のための機能が現在プレビューされているためです。このエラーは無視し、ポリシーの作成を続けていただいて構いません。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:Token"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

その他のIAMポリシーの例

自分の権限の表示をユーザーに許可する

この例では、IAMユーザーがユーザー ID にアタッチされているインラインポリシーとマネージドポリシーを表示できるようにするポリシーを作成する方法を示します。このポリシーには、コンソールで、または AWS CLI または を使用してプログラムでこのアクションを実行するアクセス許可が含まれています AWS API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}