AWS Billing を使用したアイデンティティベースのポリシー - AWS 請求
ポリシーに関するベストプラクティスコンソールを使用する自分の権限の表示をユーザーに許可する請求の IAM ポリシーの使用

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Billing を使用したアイデンティティベースのポリシー

デフォルトでは、ユーザーおよびロールには、Billing リソースを作成または変更するアクセス許可はありません。また、、 AWS Command Line Interface （AWS CLI） AWS Management Console、または AWS API を使用してタスクを実行することはできません。IAM 管理者は、リソースで必要なアクションを実行するための権限をユーザーに付与する IAM ポリシーを作成できます。その後、管理者はロールに IAM ポリシーを追加し、ユーザーはロールを引き継ぐことができます。

これらサンプルの JSON ポリシードキュメントを使用して、IAM アイデンティティベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「IAM ポリシーを作成する (コンソール)」を参照してください。

各リソースタイプの ARNsAWS 「請求のアクション、リソース、および条件キー」を参照してください。

ポリシーに関するベストプラクティス

アイデンティティベースのポリシーは、あるユーザーがアカウントの Billing リソースを作成、アクセス、削除できるどうかを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

  • AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する – ユーザーとワークロードにアクセス許可を付与するには、多くの一般的なユースケースにアクセス許可を付与するAWS 管理ポリシーを使用します。これらは で使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義して、アクセス許可をさらに減らすことをお勧めします。詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」または「ジョブ機能のAWS マネージドポリシー」を参照してください。

  • 最小特権を適用する – IAM ポリシーで許可を設定する場合は、タスクの実行に必要な許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用して許可を適用する方法の詳細については、「IAM ユーザーガイド」の「IAM でのポリシーとアクセス許可」を参照してください。

  • IAM ポリシーで条件を使用してアクセスをさらに制限する - ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。例えば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。条件を使用して、サービスアクションが などの特定の を通じて使用される場合に AWS のサービス、サービスアクションへのアクセスを許可することもできます AWS CloudFormation。詳細については、「IAM ユーザーガイド」の「IAM JSON ポリシー要素:条件」を参照してください。

  • IAM Access Analyzer を使用して IAM ポリシーを検証し、安全で機能的な権限を確保する - IAM Access Analyzer は、新規および既存のポリシーを検証して、ポリシーが IAM ポリシー言語 (JSON) および IAM のベストプラクティスに準拠するようにします。IAM アクセスアナライザーは 100 を超えるポリシーチェックと実用的な推奨事項を提供し、安全で機能的なポリシーの作成をサポートします。詳細については、「IAM ユーザーガイド」の「IAM Access Analyzer でポリシーを検証する」を参照してください。

  • 多要素認証 (MFA) を要求する – で IAM ユーザーまたはルートユーザーを必要とするシナリオがある場合は AWS アカウント、セキュリティを強化するために MFA を有効にします。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、「IAM ユーザーガイド」の「MFA を使用した安全な API アクセス」を参照してください。

IAM でのベストプラクティスの詳細については、IAM ユーザーガイドの IAM でのセキュリティのベストプラクティスを参照してください。

Billing コンソールの使用

AWS 請求コンソールにアクセスするには、最小限のアクセス許可のセットが必要です。これらのアクセス許可により、 の請求リソースの詳細を一覧表示および表示できます AWS アカウント。最小限必要な許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。

AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。

AWS 請求コンソールの有効化に必要なアクセス許可、管理者アクセス、読み取り専用アクセスなど、アクセスの詳細については、AWS マネージドポリシー「」セクションを参照してください。

自分の権限の表示をユーザーに許可する

この例では、ユーザーアイデンティティにアタッチされたインラインおよびマネージドポリシーの表示を IAM ユーザーに許可するポリシーの作成方法を示します。このポリシーには、コンソールで、または AWS CLI または AWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Billing のアイデンティティベースのポリシーの使用

注記

次の AWS Identity and Access Management (IAM) アクションは、2023 年 7 月に標準サポートが終了しました。

  • aws-portal 名前空間

  • purchase-orders:ViewPurchaseOrders

  • purchase-orders:ModifyPurchaseOrders

を使用している場合は AWS Organizations、一括ポリシーマイグレータスクリプトまたは一括ポリシーマイグレータを使用して、支払者アカウントからポリシーを更新できます。また、従来のアクションから詳細なアクションへのマッピングのリファレンスを使用して、追加する必要のある IAM アクションを検証することもできます。

2023 年 3 月 6 日午前 11 時 (PDT) 以降に AWS Organizations 作成された を持っている AWS アカウントか、 の一部である場合、きめ細かなアクションは組織で既に有効になっています。

重要

IAM ポリシーに加えて、[アカウント設定] コンソールページで請求情報とコスト管理コンソールへの IAM アクセスを付与する必要があります。

詳細については、以下の各トピックを参照してください。

このセクションを使用して、アイデンティティベースのポリシーのアカウント管理者が、アクセス許可ポリシーを IAM アイデンティティ (ロールおよびグループ) にアタッチし、Billing リソースに対して操作を実行するアクセス許可を付与する方法を確認します。

AWS アカウント と ユーザーの詳細については、IAM ユーザーガイドの「IAM とは」を参照してください。

カスタマー管理ポリシーを更新する方法の詳細については「IAM ユーザーガイド」の「カスタマー管理ポリシーの編集 (コンソール)」を参照してください。

AWS 請求コンソールアクション

この表は、Billing コンソールの情報とツールへのアクセスを付与するアクセス許可をまとめたものです。これらのアクセス許可を使用するポリシーの例については、「AWS 請求ポリシーの例」を参照してください。

AWS コスト管理コンソールのアクションポリシーのリストについては、「 AWS コスト管理ユーザーガイド」の「 コスト管理アクションポリシー」を参照してください。 AWS

アクセス許可名 説明
aws-portal:ViewBilling

Billing and Cost Management コンソールページを表示するアクセス許可を付与します。
aws-portal:ModifyBilling

次の Billing and Cost Management コンソールページを変更するアクセス許可を付与します。

IAM ユーザーにこれらのコンソールページの変更を許可するには、ModifyBilling と ViewBilling の両方を許可する必要があります。ポリシーの例については請求情報の変更を IAM ユーザーに許可するを参照してください。
aws-portal:ViewAccount

[アカウント設定] を表示するアクセス許可を付与します。
aws-portal:ModifyAccount

[アカウント設定] を変更するアクセス許可を付与します。

IAM ユーザーにアカウント設定の変更を許可するには、ModifyAccount と ViewAccount の両方を許可する必要があります。

[アカウント設定] コンソールページへのアクセスを IAM ユーザーに明示的に拒否するポリシーの例については、「アカウント設定へのアクセスは拒否するが、その他の請求および使用情報へのフルアクセスは許可する」を参照してください。
aws-portal:ViewPaymentMethods

[支払い方法] を表示するアクセス許可を付与します。
aws-portal:ModifyPaymentMethods

[支払い方法] を変更するアクセス許可を付与します。

ユーザーに支払い方法の変更を許可するには、ModifyPaymentMethods と ViewPaymentMethods の両方を許可する必要があります。
billing:ListBillingViews

利用可能な請求ビューのリストを取得する許可を付与。これには、カスタム請求ビューと、見積り請求グループに対応する請求ビューが含まれます。

カスタム請求ビューの詳細については、「Billing View によるコスト管理データアクセスの制御」を参照してください。

請求グループに関する詳細な情報は、「AWS Billing Conductor ユーザーガイド」の「請求グループの詳細の表示」を参照してください。
billing:CreateBillingView

カスタム請求ビューを作成する許可を付与。

ポリシーの例については、「カスタム請求ビューの作成、管理、共有をユーザーに許可する」を参照してください。
billing:UpdateBillingView

カスタム請求ビューを更新する許可を付与。

ポリシーの例については、「カスタム請求ビューの作成、管理、共有をユーザーに許可する」を参照してください。
billing:DeleteBillingView

カスタム請求ビューを削除する許可を付与。

ポリシーの例については、「カスタム請求ビューの作成、管理、共有をユーザーに許可する」を参照してください。
billing:GetBillingView

請求ビューの定義を取得する許可を付与。

ポリシーの例については、「カスタム請求ビューの作成、管理、共有をユーザーに許可する」を参照してください。
sustainability:GetCarbonFootprintSummary

AWS Customer Carbon Footprint Tool とデータを表示する許可を付与。これは、請求情報と AWS コスト管理コンソールのコストと使用状況レポートページからアクセスできます。

ポリシーの例については、「IAM ユーザーが請求情報とカーボンフットプリントレポートを表示できるようにする」を参照してください。
cur:DescribeReportDefinitions

AWS コストと使用状況レポートを表示する許可を付与。

AWS コストと使用状況レポートのアクセス許可は、AWS コストと使用状況レポートサービス API と請求情報とコスト管理コンソールを使用して作成されたすべてのレポートに適用されます。請求情報とコスト管理コンソールを使用してレポートを作成する場合、IAM ユーザーの許可を更新することをお勧めします。許可を更新しないと、ユーザーがコンソールのレポートページでレポートの表示、編集、削除を行うアクセス権を失うことになります。

ポリシーの例については、「レポートコンソールページへのアクセスを IAM ユーザーに許可する」を参照してください。
cur:PutReportDefinition

AWS コストと使用状況レポートを作成する許可を付与。

AWS コストと使用状況レポートのアクセス許可は、AWS コストと使用状況レポートサービス API と請求情報とコスト管理コンソールを使用して作成されたすべてのレポートに適用されます。請求情報とコスト管理コンソールを使用してレポートを作成する場合、IAM ユーザーの許可を更新することをお勧めします。許可を更新しないと、ユーザーがコンソールのレポートページでレポートの表示、編集、削除を行うアクセス権を失うことになります。

ポリシーの例については、「レポートコンソールページへのアクセスを IAM ユーザーに許可する」を参照してください。
cur:DeleteReportDefinition

AWS コストと使用状況レポートを削除する許可を付与。

AWS コストと使用状況レポートのアクセス許可は、AWS コストと使用状況レポートサービス API と請求情報とコスト管理コンソールを使用して作成されたすべてのレポートに適用されます。請求情報とコスト管理コンソールを使用してレポートを作成する場合、IAM ユーザーの許可を更新することをお勧めします。許可を更新しないと、ユーザーがコンソールのレポートページでレポートの表示、編集、削除を行うアクセス権を失うことになります。

ポリシーの例については、「AWS コストと使用状況レポートの作成、表示、編集、または削除」を参照してください。
cur:ModifyReportDefinition

AWS コストと使用状況レポートを変更する許可を付与。

AWS コストと使用状況レポートのアクセス許可は、AWS コストと使用状況レポートサービス API と請求情報とコスト管理コンソールを使用して作成されたすべてのレポートに適用されます。請求情報とコスト管理コンソールを使用してレポートを作成する場合、IAM ユーザーの許可を更新することをお勧めします。許可を更新しないと、ユーザーがコンソールのレポートページでレポートの表示、編集、削除を行うアクセス権を失うことになります。

ポリシーの例については、「AWS コストと使用状況レポートの作成、表示、編集、または削除」を参照してください。
ce:CreateCostCategoryDefinition

コストカテゴリを作成するアクセス許可を付与します。

ポリシーの例についてはCost Categories の表示と管理を参照してください。
ce:DeleteCostCategoryDefinition

コストカテゴリを削除するアクセス許可を付与します。

ポリシーの例についてはCost Categories の表示と管理を参照してください。
ce:DescribeCostCategoryDefinition

コストカテゴリを表示するアクセス許可を付与します。

ポリシーの例についてはCost Categories の表示と管理を参照してください。
ce:ListCostCategoryDefinitions

コストカテゴリを一覧表示するアクセス許可を付与します。

ポリシーの例についてはCost Categories の表示と管理を参照してください。
ce:UpdateCostCategoryDefinition

コストカテゴリを更新するアクセス許可を付与します。

ポリシーの例についてはCost Categories の表示と管理を参照してください。
aws-portal:ViewUsage

AWS 使用状況レポートを表示する許可を付与。

使用状況レポートの表示を IAM ユーザーに許可するには、ViewUsage と ViewBilling の両方を許可する必要があります。

ポリシーの例についてはレポートコンソールページへのアクセスを IAM ユーザーに許可するを参照してください。
payments:AcceptFinancingApplicationTerms

IAM ユーザーが、資金調達レンダーが提供する条件に同意できるようにします。ユーザーは、返金のために銀行口座の詳細を入力し、レンダーから提供された法的文書に署名する必要があります。
payments:CreateFinancingApplication

IAM ユーザーが新しい金融ローンを申請し、選択した金融オプションを参照できるようにします。
payments:GetFinancingApplication

IAM ユーザーが資金調達アプリケーションの詳細を取得できるようにします。ステータス、制限、条件、レンダー情報など。
payments:GetFinancingLine

IAM ユーザーがローンの詳細を取得できるようにします。例えば、ステータスと残高などです。
payments:GetFinancingLineWithdrawal

IAM ユーザーがプランジの詳細を取得できるようにします。例えば、残高と支払いなどです。
payments:GetFinancingOption

IAM ユーザーが特定のローンオプションの詳細を取得できるようにします。
payments:ListFinancingApplications

IAM ユーザーが、すべてのレンダーで、すべての資金調達アプリケーションの識別子を取得できるようにします。
payments:ListFinancingLines

IAM ユーザーがすべてのレンダーですべてのローンの識別子を取得できるようにします。
payments:ListFinancingLineWithdrawals

IAM ユーザーが、特定のローンの既存のをすべて取得できるようにします。
payments:ListTagsForResource

支払い方法のタグを表示するアクセス許可を IAM ユーザーに付与するか拒否します。
payments:TagResource

支払い方法のタグを追加するアクセス許可を IAM ユーザーに許可または拒否します。
payments:UntagResource

支払い方法からタグを削除するアクセス許可を IAM ユーザーに許可または拒否します。
payments:UpdateFinancingApplication

IAM ユーザーがローン申請を変更し、レンダーから要求された追加情報を送信できるようにします。
payments:ListPaymentInstruments

登録済みの支払い方法を一覧表示するアクセス許可を IAM ユーザーに許可または拒否します。
payments:UpdatePaymentInstrument

支払い方法を更新するアクセス許可を IAM ユーザーに許可または拒否します。
pricing:DescribeServices

AWS Price List Service API を介して AWS サービス製品と料金を表示する許可を付与。

IAM ユーザーが AWS Price List Service API を使用できるようにするには、DescribeServices、GetAttributeValues、および を許可する必要がありますGetProducts。

ポリシーの例については製品と価格の検索を参照してください。
pricing:GetAttributeValues

AWS Price List Service API を介して AWS サービス製品と料金を表示する許可を付与。

IAM ユーザーが AWS Price List Service API を使用できるようにするには、DescribeServices、GetAttributeValues、および を許可する必要がありますGetProducts。

ポリシーの例については製品と価格の検索を参照してください。
pricing:GetProducts

AWS Price List Service API を介して AWS サービス製品と料金を表示する許可を付与。

IAM ユーザーが AWS Price List Service API を使用できるようにするには、DescribeServices、GetAttributeValues、および を許可する必要がありますGetProducts。

ポリシーの例については製品と価格の検索を参照してください。
purchase-orders:ViewPurchaseOrders

[発注書] を表示するアクセス許可を付与します。

ポリシーの例については発注書の表示と管理を参照してください。
purchase-orders:ModifyPurchaseOrders

[発注書] を変更するアクセス許可を付与します。

ポリシーの例については発注書の表示と管理を参照してください。
tax:GetExemptions

税金コンソールごとに免除と免除タイプを表示するための読み取り専用アクセス許可を付与します。

ポリシーの例についてはIAM ユーザーに米国の免税の表示と サポート ケースの作成を許可するを参照してください。
tax:UpdateExemptions

米国の免税コンソールに免税申請をアップロードするアクセス許可を付与します。

ポリシーの例についてはIAM ユーザーに米国の免税の表示と サポート ケースの作成を許可するを参照してください。
support:CreateCase

免税コンソールから免税申請をアップロードするために必要な、サポートケースを提出するアクセス許可を付与します。

ポリシーの例についてはIAM ユーザーに米国の免税の表示と サポート ケースの作成を許可するを参照してください。
support:AddAttachmentsToSet

免税コンソールに免税証明書をアップロードするために必要なサポートケースにドキュメントをアタッチするアクセス許可を付与します。

ポリシーの例についてはIAM ユーザーに米国の免税の表示と サポート ケースの作成を許可するを参照してください。
customer-verification:GetCustomerVerificationEligibility

(請求先住所または連絡先住所がインドのお客様のみ)

顧客検証資格を取得するアクセス許可を付与します。
customer-verification:GetCustomerVerificationDetails

(請求先住所または連絡先住所がインドのお客様のみ)

顧客検証データを取得するアクセス許可を付与します。
customer-verification:CreateCustomerVerificationDetails

(請求先住所または連絡先住所がインドのお客様のみ)

顧客検証データを作成するアクセス許可を付与します。
customer-verification:UpdateCustomerVerificationDetails

(請求先住所または連絡先住所がインドのお客様のみ)

顧客検証データを更新するアクセス許可を付与します。
mapcredit:ListAssociatedPrograms

支払者アカウントの関連する Migration Acceleration Program 契約とダッシュボードを表示するアクセス許可を付与します。
mapcredit:ListQuarterSpend

支払者アカウントの Migration Acceleration Program の対象となる支出を表示するアクセス許可を付与します。
mapcredit:ListQuarterCredits

支払者アカウントの Migration Acceleration Program クレジットを表示するアクセス許可を付与します。
invoicing:BatchGetInvoiceProfile 請求書設定の AWS 請求書プロファイルを表示する読み取り専用アクセス許可を付与します。
invoicing:CreateInvoiceUnit 請求書設定の AWS 請求書単位を作成する許可を付与。
invoicing:DeleteInvoiceUnit 請求書設定の AWS 請求書単位を削除する許可を付与。
invoicing:GetInvoiceUnit 請求書設定の AWS 請求書ユニットを表示する読み取り専用アクセス許可を付与します。
invoicing:ListInvoiceUnits 請求書設定のすべての AWS 請求書単位を一覧表示する許可を付与。
invoicing:ListTagsForResource 請求書 AWS 設定の請求書単位のタグを表示するアクセス許可を IAM ユーザーに付与または拒否します。
invoicing:TagResource 請求書 AWS 設定の請求書単位にタグを追加するアクセス許可を IAM ユーザーに付与または拒否します。
invoicing:UntagResource 請求書設定のために AWS 請求書ユニットからタグを削除するアクセス許可を IAM ユーザーに付与または拒否します。
invoicing:UpdateInvoiceUnit 請求書設定の AWS 請求書単位を更新する編集アクセス許可を付与します。