へのアクセスを管理する AWS Trusted Advisor

AWS Trusted Advisor から にアクセスできます AWS Management Console。すべての AWS アカウント は、選択したコアTrusted Advisor チェック にアクセスできます。Business、Enterprise On-Ramp、または Enterprise Support プランをお持ちの場合は、すべてのチェックにアクセスできます。詳細については、AWS Trusted Advisor チェックリファレンス を参照してください。

AWS Identity and Access Management （IAM) を使用して、 へのアクセスを制御できます Trusted Advisor。

Trusted Advisor コンソールのアクセス許可

Trusted Advisor コンソールにアクセスするには、ユーザーに最小限のアクセス許可のセットが必要です。これらのアクセス許可により、ユーザーは 内の Trusted Advisor リソースの詳細を一覧表示および表示できます AWS アカウント。

次のオプションを使用して、 Trusted Advisorへのアクセスを制御できます。

ポリシーを作成するときに、アクションを許可または拒否するサービスの名前空間を指定できます。の名前空間は Trusted Advisor ですtrustedadvisor。ただし、trustedadvisor名前空間を使用して でオペレーションを許可または拒否 Trusted Advisor APIすることはできません AWS Support API。代わりに、 AWS Support の support 名前空間を使用する必要があります｡

Trusted Advisor アクション

コンソールで次の Trusted Advisor アクションを実行できます。これらの Trusted Advisor アクションをIAMポリシーで指定して、特定のアクションを許可または拒否することもできます。

Trusted Advisor 組織ビューのアクション

次の Trusted Advisor アクションは、組織ビュー機能用です。詳細については、「AWS Trusted Advisor の組織ビュー」を参照してください。

Trusted Advisor 優先度アクション

アカウントで Trusted Advisor Priority が有効になっている場合は、コンソールで次の Trusted Advisor アクションを実行できます。これらの Trusted Advisor アクションをIAMポリシーに追加して、特定のアクションを許可または拒否することもできます。詳細については、「Trusted Advisor Priority のIAMポリシーの例」を参照してください。

詳細については、「AWS Trusted Advisor Priority の開始方法」を参照してください。

Trusted Advisor Engage アクション

アカウントで Trusted Advisor Engage を有効にしている場合は、コンソールで次の Trusted Advisor アクションを実行できます。これらの Trusted Advisor アクションをIAMポリシーに追加して、特定のアクションを許可または拒否することもできます。詳細については、「Trusted Advisor Engage のIAMポリシーの例」を参照してください。

詳細については、「AWS Trusted Advisor Engage の使用を開始する (プレビュー）」を参照してください。

IAM ポリシーの例

次のポリシーは、 Trusted Advisorへのアクセスを許可および拒否する方法を示しています。次のいずれかのポリシーを使用して、IAMコンソールでカスタマー管理ポリシーを作成できます。例えば、ポリシーの例をコピーし、IAMコンソールの JSONタブに貼り付けることができます。次に、ポリシーをIAMユーザー、グループ、またはロールにアタッチします。

IAM ポリシーの作成方法の詳細については、 IAM ユーザーガイドのIAM「ポリシーの作成 (コンソール）」を参照してください。

へのフルアクセス Trusted Advisor

次のポリシーでは、ユーザーは Trusted Advisor コンソールですべてのチェックですべての Trusted Advisor アクションを表示および実行できます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        }
    ]
}

Trusted Advisorへの読み取り専用アクセス

次のポリシーでは、 Trusted Advisor コンソールへの読み取り専用アクセスをユーザーに許可します。ユーザーは、変更 (更新チェックや通知設定の変更など) を行うことはできません。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:Describe*",
                "trustedadvisor:Get*",
                "trustedadvisor:List*"
            ],
            "Resource": "*"
        }
    ]
}

へのアクセスを拒否する Trusted Advisor

次のポリシーでは、ユーザーが Trusted Advisor コンソールでチェックを表示またはアクションを実行 Trusted Advisor することはできません。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        }
    ]
}

特定のアクションを許可および拒否する

次のポリシーでは、ユーザーはコンソールで Trusted Advisor すべての Trusted Advisor チェックを表示できますが、チェックの更新は許可されません。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "trustedadvisor:*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "trustedadvisor:RefreshCheck",
            "Resource": "*"
        }
    ]
}

の オペレーションへのアクセスを制御する AWS Support API Trusted Advisor

では AWS Management Console、別のtrustedadvisorIAM名前空間が へのアクセスを制御します Trusted Advisor。trustedadvisor 名前空間を使用して、 でのオペレーションを許可または拒否 Trusted Advisor APIすることはできません AWS Support API。代わりに、support 名前空間を使用します。 Trusted Advisor プログラムで を呼び出すには、 AWS Support APIに対するアクセス許可が必要です。

例えば、 RefreshTrustedAdvisorCheckオペレーションを呼び出す場合は、ポリシーでこのアクションに対するアクセス許可が必要です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "support:DescribeTrustedAdvisorCheckRefreshStatuses",
                "support:DescribeTrustedAdvisorCheckResult",
                "support:DescribeTrustedAdvisorChecks",
                "support:DescribeTrustedAdvisorCheckSummaries",
                "support:RefreshTrustedAdvisorCheck",
                "trustedadvisor:Describe*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "support:AddAttachmentsToSet",
                "support:AddCommunicationToCase",
                "support:CreateCase",
                "support:DescribeAttachment",
                "support:DescribeCases",
                "support:DescribeCommunications",
                "support:DescribeServices",
                "support:DescribeSeverityLevels",
                "support:ResolveCase"
            ],
            "Resource": "*"
        }
    ]
}

が AWS Support および とIAM連携する方法については Trusted Advisor、「」を参照してくださいアクション。

Trusted Advisor Priority のIAMポリシーの例

以下の AWS 管理ポリシーを使用して、 Trusted Advisor Priority へのアクセスを制御できます。詳細については、「AWS の マネージドポリシー AWS Trusted Advisor」および「AWS Trusted Advisor Priority の開始方法」を参照してください。

Trusted Advisor Engage のIAMポリシーの例

Trusted Advisor Engage で読み取りおよび書き込みアクセスを許可するポリシーの例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:CreateEngagement*",
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*",
                "trustedadvisor:UpdateEngagement*"
            ],
            "Resource": "*"
        }
    ]
}

Trusted Advisor Engage で読み取り専用アクセスを許可するポリシーの例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*"
            ],
            "Resource": "*"
        }
    ]
}

Trusted Advisor Engage で読み取りおよび書き込みアクセスを付与し、 への信頼できるアクセスを有効にするポリシーの例 Trusted Advisor：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListAWSServiceAccessForOrganization",
                "trustedadvisor:CreateEngagement*",
                "trustedadvisor:DescribeAccount*",
                "trustedadvisor:DescribeOrganization",
                "trustedadvisor:GetEngagement*",
                "trustedadvisor:ListEngagement*",
                "trustedadvisor:SetOrganizationAccess",
                "trustedadvisor:UpdateEngagement*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": [
                        "reporting.trustedadvisor.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/reporting.trustedadvisor.amazonaws.com/AWSServiceRoleForTrustedAdvisorReporting",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "reporting.trustedadvisor.amazonaws.com"
                }
            }
        }
    ]
}

以下も参照してください。

アクセス Trusted Advisor 許可の詳細については、次のリソースを参照してください。