翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Billing Conductor ID ベースのポリシーの例

デフォルトでは、IAMユーザーとロールには Billing Conductor リソースを作成または変更するアクセス許可がありません。また、 AWS Management Console、 AWS CLI、または を使用してタスクを実行することはできません AWS API。IAM 管理者は、ユーザーとロールに必要な特定のリソースに対して特定のAPIオペレーションを実行するアクセス許可を付与するIAMポリシーを作成する必要があります。その後、管理者は、これらのアクセス許可を必要とするIAMユーザーまたはグループにこれらのポリシーをアタッチする必要があります。

これらのポリシードキュメント例を使用して IAM ID ベースのJSONポリシーを作成する方法については、IAM「 ユーザーガイド」のJSON「 タブでのポリシーの作成」を参照してください。

ポリシーのベストプラクティス

アイデンティティベースのポリシーは、アカウントで Billing Conductor アカウントの作成、アクセス、削除を行えるユーザーを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

のベストプラクティスの詳細についてはIAM、「 ユーザーガイド」の「 のセキュリティのベストプラクティスIAM」を参照してください。 IAM

Billing Conductor アイデンティティベースのポリシーの例

このトピックには、アカウントの情報とツールへのアクセスを制御するためにIAMユーザーまたはグループにアタッチできるポリシーの例が含まれています。

Billing Conductor コンソールに対するフルアクセスの許可

Billing Conductor コンソールにアクセスするには、最小限のアクセス許可のセットが必要です。これらの許可により、 AWS アカウント の Billing Conductor コンソールリソースの一覧と詳細を表示できます。最低限必要なアクセス許可よりも制限の厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (IAMユーザーまたはロール) に対してコンソールは意図したとおりに機能しません。

これらのエンティティが Billing Conductor コンソールを引き続き使用できるようにするには、次の AWS 管理ポリシーをエンティティにアタッチします。詳細については、IAM「 ユーザーガイド」の「ユーザーへのアクセス許可の追加」を参照してください。

料金設定ルールの作成には、billingconductor:* のアクセス許可に加えて pricing:DescribeServices が必要で、支払いアカウントにリンクされている連結アカウントを一覧表示するには、organizations:ListAccounts が必要です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "billingconductor:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "organizations:ListAccounts",
                "organizations:DescribeAccount"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "pricing:DescribeServices",
            "Resource": "*"
        }
    ]
}

AWS CLI または のみを呼び出すユーザーに対して、最小限のコンソールアクセス許可を付与する必要はありません AWS API。代わりに、実行しようとしているAPIオペレーションに一致するアクションのみへのアクセスを許可します。

Billing Conductor へのフルアクセスの許可 API

この例では、Billing Conductor へのフルアクセスをIAMエンティティに付与しますAPI。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "billingconductor:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "organizations:ListAccounts",
            "Resource": "*"
        }
    ]
}

Billing Conductor コンソールへの読み取り専用アクセス許可の付与

この例では、Billing Conductor コンソールへの読み取り専用アクセスをIAMエンティティに付与します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "billingconductor:List*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "organizations:ListAccounts",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "pricing:DescribeServices",
            "Resource": "*"
        }
    ]
}

請求コンソールにより Billing Conductor にアクセス許可を付与する

この例では、IAMエンティティは請求コンソールの請求ページから見積請求データを切り替えて表示できます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "billing:ListBillingViews",
                "aws-portal:ViewBilling"
            ],
            "Resource": "*"
        }
    ]
}

AWS コストと使用状況レポートによる Billing Conductor へのアクセスの許可

この例では、IAMエンティティは請求コンソールのコストと使用状況レポートページから見積請求データを切り替えて表示できます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "billing:ListBillingViews",
                "aws-portal:ViewBilling",
                "cur:DescribeReportDefinitions"
            ],
            "Resource": "*"
        }
    ]
}

Billing Conductor への組織単位のインポート機能に対するアクセスの付与

この例では、IAMエンティティは、請求グループを作成するときに組織単位 (OU) アカウントをインポートするために必要な特定の AWS Organizations APIオペレーションへの読み取り専用アクセスを持ちます。OU のインポート機能は AWS Billing Conductor コンソールにあります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "organizations:ListRoots",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListChildren"
            ],
            "Resource": "*"
        }
    ]
}

プロフォーマコストをサポートしていないサービスや機能への Billing と Cost Explorer のアクセスを拒否する

この例では、IAMエンティティはプロフォーマコストをサポートしていないサービスや機能へのアクセスを拒否されます。このポリシーには、管理アカウントおよび個々のメンバーアカウント内で実行できるアクションのリストが含まれています。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Deny",
        "Action": [
            "aws-portal:ModifyAccount",
            "aws-portal:ModifyBilling",
            "aws-portal:ModifyPaymentMethods",
            "aws-portal:ViewPaymentMethods",
            "aws-portal:ViewAccount",
            "cur:GetClassic*",
            "cur:Validate*",
            "tax:List*",
            "tax:Get*",
            "tax:Put*",
            "tax:ListTaxRegistrations",
            "tax:BatchPut*",
            "tax:UpdateExemptions",
            "freetier:Get*",
            "payments:Get*",
            "payments:List*",
            "payments:Update*",
            "payments:GetPaymentInstrument",
            "payments:GetPaymentStatus",
            "purchase-orders:ListPurchaseOrders",
            "purchase-orders:ListPurchaseOrderInvoices",
            "consolidatedbilling:GetAccountBillingRole",
            "consolidatedbilling:Get*",
            "consolidatedbilling:List*",
            "invoicing:List*",
            "invoicing:Get*",
            "account:Get*",
            "account:List*",
            "account:CloseAccount",
            "account:DisableRegion",
            "account:EnableRegion",
            "account:GetContactInformation",
            "account:GetAccountInformation",
            "account:PutContactInformation",
            "billing:GetBillingPreferences",
            "billing:GetContractInformation",
            "billing:GetCredits",
            "billing:RedeemCredits",
            "billing:Update*",
            "ce:GetPreferences",
            "ce:UpdatePreferences",
            "ce:GetReservationCoverage",
            "ce:GetReservationPurchaseRecommendation",
            "ce:GetReservationUtilization",
            "ce:GetSavingsPlansCoverage",
            "ce:GetSavingsPlansPurchaseRecommendation",
            "ce:GetSavingsPlansUtilization",
            "ce:GetSavingsPlansUtilizationDetails",
            "ce:ListSavingsPlansPurchaseRecommendationGeneration",
            "ce:StartSavingsPlansPurchaseRecommendationGeneration",
            "ce:UpdateNotificationSubscription"
        ],
        "Resource": "*"
    }]
}

詳細については、「AWS のサービス プロフォーマコストをサポートする」を参照してください。