Amazon AppIntegrations のサービスにリンクされたロールの使用

Amazon AppIntegrations は AWS Identity and Access Management (IAM) のサービスにリンクされたロールを使用します。サービスにリンクされたロールは、Amazon AppIntegrations に直接リンクされている固有なタイプの IAM ロールです。サービスにリンクされたロールは、Amazon AppIntegrations で事前定義され、ユーザーに代わって当該サービスが他の AWS のサービスを呼び出すために必要なすべてのアクセス許可を持っています。

サービスにリンクされたロールを使用すると、必要なアクセス許可を手動で追加する必要がなくなるため、Amazon AppIntegrations の設定が容易になります。Amazon AppIntegrations は、サービスにリンクされたロールのアクセス許可を定義し、別段の定義がない限り、Amazon AppIntegrations のみがそのロールを引き受けることができます。定義したアクセス許可には、信頼ポリシーと許可ポリシーが含まれます。この許可ポリシーを他の IAM エンティティにアタッチすることはできません。

サービスリンクロールは、まずその関連リソースを削除しなければ削除できません。これにより、リソースへのアクセス許可を不用意に削除することができないため、Amazon AppIntegrations のリソースが保護されます。

サービスにリンクされたロールをサポートする他のサービスについては、「IAM と連動する AWS のサービス」を参照し、Service-linked roles (サービスにリンクされたロール) の列内で Yes (はい) と表記されたサービスを確認してください。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、[はい] リンクを選択します。

Amazon AppIntegrations のサービスにリンクされたロールのアクセス許可

Amazon AppIntegrations は、AWSServiceRoleForAppIntegrations というサービスにリンクされたロールを使用します。これにより、AppIntegrations は、ユーザーに代わって AWS のサービスやリソースにアクセスできるようになります。

サービスにリンクされたロールである AWSServiceRoleForAppIntegrations は、以下のサービスを信頼してロールを引き受けます。

AppIntegrationsServiceLinkedRolePolicy というロール許可ポリシーは、指定したリソースに対して以下のアクションを実行することを Amazon AppIntegrations に許可します。

     {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": "AWS/AppIntegrations"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "appflow:DescribeConnectorEntity",
                "appflow:ListConnectorEntities"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "appflow:DescribeConnectorProfiles",
                "appflow:UseConnectorProfile"
            ],
            "Resource": "arn:aws:appflow:*:*:connector-profile/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "appflow:DeleteFlow",
                "appflow:DescribeFlow",
                "appflow:DescribeFlowExecutionRecords",
                "appflow:StartFlow",
                "appflow:StopFlow",
                "appflow:UpdateFlow"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/AppIntegrationsManaged": "true"
                }
            },
            "Resource": "arn:aws:appflow:*:*:flow/FlowCreatedByAppIntegrations-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "appflow:TagResource"
            ],
            "Condition": {
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": [
                        "AppIntegrationsManaged"
                    ]
                }
            },
            "Resource": "arn:aws:appflow:*:*:flow/FlowCreatedByAppIntegrations-*"
        }
    ]
}
   

サービスリンクロールの作成、編集、削除を IAM エンティティ (ユーザー、グループ、ロールなど) に許可するには、アクセス許可を設定する必要があります。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールのアクセス許可」を参照してください。

Amazon AppIntegrations のサービスにリンクされたロールの作成

サービスリンクロールを手動で作成する必要はありません。AWS Management Console、AWS CLI、または AWS API で、Amazon Q in Connect、Customer Profiles、Tasks ウィジェットのいずれかを使用してデータまたはイベント統合を作成する際に、Amazon AppIntegrations はユーザーに代わってサービスにリンクされたロールを作成します。

このサービスリンクロールを削除した後で再度作成する必要が生じた場合は、同じ手順でアカウントにロールを再作成できます。Amazon Connect で Amazon Q in Connect、Customer Profiles、Tasks ウィジェットのいずれかを使用してデータまたはイベント統合を作成する際に、Amazon AppIntegrations はユーザーに代わってもう一度サービスにリンクされたロールを作成します。

IAM コンソールを使用して、AppIntegrations ユースケースでサービスにリンクされたロールを作成することもできます。AWS CLI または AWS API では、app-integrations.amazonaws.com サービス名を使用してサービスにリンクされたロールを作成します。詳細については、IAM ユーザーガイドの「サービスリンクロールの作成」を参照してください。このサービスリンクロールを削除しても、同じ方法でロールを再作成できます。

Amazon AppIntegrations のサービスにリンクされたロールの編集

Amazon AppIntegrations では、サービスにリンクされたロールである AWSServiceRoleForAppIntegrations を編集することはできません。サービスリンクロールを作成した後は、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用したロールの説明の編集はできます。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの編集」を参照してください。

Amazon AppIntegrations のサービスにリンクされたロールの削除

サービスリンクロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。そうすることで、積極的にモニタリングまたは保守されていない未使用のエンティティを排除できます。ただし、手動で削除する前に、サービスリンクロールのリソースをクリーンアップする必要があります。まず、AWS コンソールでデータおよびイベント統合の関連付けを削除してから、AWS CLI を使用してデータおよびイベント統合を削除する必要があります。

サービスにリンクされたロールを IAM で手動削除するには

IAM コンソール、AWS CLI、または AWS API を使用して、サービスにリンクされたロールである AWSServiceRoleForAppIntegrations を削除します。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの削除」を参照してください。

Amazon AppIntegrations のサービスにリンクされたロールをサポートするリージョン

Amazon AppIntegrations は、このサービスを利用できるすべてのリージョンでサービスにリンクされたロールの使用をサポートします。詳細については、「AWS リージョンとエンドポイント」を参照してください。

AWSServiceRoleForAppIntegrations ロールは、以下のリージョンで使用できます。