AWS Amazon Connect の マネージドポリシー

ユーザー、グループ、およびロールにアクセス許可を追加する場合、ポリシーを自分で記述するよりも AWS 管理のポリシーを使用する方が効率的です。必要なアクセス許可のみをチームに提供するIAMカスタマー管理ポリシーを作成するには、時間と専門知識が必要です。すぐに開始するには、 AWS マネージドポリシーを使用できます。これらのポリシーは一般的なユースケースを対象としており、 AWS アカウントで利用できます。管理ポリシーの詳細については AWS 、「 ユーザーガイド」のAWS 「 管理ポリシー」を参照してください。 IAM

AWS サービスは、 AWS マネージドポリシーを維持および更新します。 AWS マネージドポリシーのアクセス許可は変更できません。サービスは、新しい機能をサポートするために、 AWS マネージドポリシーに追加のアクセス許可を追加することがあります。この種の更新は、ポリシーがアタッチされているすべてのアイデンティティ (ユーザー、グループ、ロール) に影響を与えます。サービスは、新機能の起動時または新しいオペレーションが利用可能になったときに、 AWS マネージドポリシーを更新する可能性が最も高いです。サービスは AWS 管理ポリシーからアクセス許可を削除しないため、ポリシーの更新によって既存のアクセス許可が損なわれることはありません。

さらに、 は、複数の サービスにまたがるジョブ関数のマネージドポリシー AWS をサポートしています。例えば、 ReadOnlyAccess AWS マネージドポリシーは、すべての AWS サービスとリソースへの読み取り専用アクセスを提供します。サービスが新機能を起動すると、 は新しいオペレーションとリソースの読み取り専用アクセス許可 AWS を追加します。ジョブ関数ポリシーのリストと説明については、IAM「 ユーザーガイド」のAWS 「ジョブ関数の管理ポリシー」を参照してください。

AWS マネージドポリシー: AmazonConnect_FullAccess

Amazon Connect への完全な読み取り/書き込みアクセスを許可するには、IAMユーザー、グループ、またはロールに 2 つのポリシーをアタッチする必要があります。以下の内容を含む AmazonConnect_FullAccessポリシーとカスタムポリシーをアタッチします。

カスタムポリシー

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
        { 
            "Sid": "AttachAnyPolicyToAmazonConnectRole", 
            "Effect": "Allow", 
            "Action": "iam:PutRolePolicy", 
            "Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*" 
        } 
    ] 
} 

AmazonConnect_FullAccess ポリシー

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "connect:*",
                "ds:CreateAlias",
                "ds:AuthorizeApplication",
                "ds:CreateIdentityPoolDirectory",
                "ds:DeleteDirectory",
                "ds:DescribeDirectories",
                "ds:UnauthorizeApplication",
                "firehose:DescribeDeliveryStream",
                "firehose:ListDeliveryStreams",
                "kinesis:DescribeStream",
                "kinesis:ListStreams",
                "kms:DescribeKey",
                "kms:ListAliases",
                "lex:GetBots",
                "lex:ListBots",
                "lex:ListBotAliases",
                "logs:CreateLogGroup",
                "s3:GetBucketLocation",
                "s3:ListAllMyBuckets",
                "lambda:ListFunctions",
                "ds:CheckAlias",
                "profile:ListAccountIntegrations",
                "profile:GetDomain",
                "profile:ListDomains",
                "profile:GetProfileObjectType",
                "profile:ListProfileObjectTypeTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "profile:AddProfileKey",
                "profile:CreateDomain",
                "profile:CreateProfile",
                "profile:DeleteDomain",
                "profile:DeleteIntegration",
                "profile:DeleteProfile",
                "profile:DeleteProfileKey",
                "profile:DeleteProfileObject",
                "profile:DeleteProfileObjectType",
                "profile:GetIntegration",
                "profile:GetMatches",
                "profile:GetProfileObjectType",
                "profile:ListIntegrations",
                "profile:ListProfileObjects",
                "profile:ListProfileObjectTypes",
                "profile:ListTagsForResource",
                "profile:MergeProfiles",
                "profile:PutIntegration",
                "profile:PutProfileObject",
                "profile:PutProfileObjectType",
                "profile:SearchProfiles",
                "profile:TagResource",
                "profile:UntagResource",
                "profile:UpdateDomain",
                "profile:UpdateProfile"
            ],
            "Resource": "arn:aws:profile:*:*:domains/amazon-connect-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:GetBucketAcl"
            ],
            "Resource": "arn:aws:s3:::amazon-connect-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "servicequotas:GetServiceQuota"
            ],
            "Resource": "arn:aws:servicequotas:*:*:connect/*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "connect.amazonaws.com"
                }
            }
        },

        {
            "Effect": "Allow",
            "Action": "iam:DeleteServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/profile.amazonaws.com/*",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "profile.amazonaws.com"
                }
            }
        }
    ]
}            

ユーザーがインスタンスを作成できるようにするには、AmazonConnect_FullAccess ポリシーによって付与されているアクセス許可があることを確認してください。

AmazonConnect_FullAccess ポリシーを使用する場合は、以下に留意してください。

さらなる情報とアクセス許可の詳細については、「Amazon Connect 管理者ウェブサイトへのアクセスを管理するためにカスタムIAMポリシーを使用するために必要なアクセス許可」を参照してください。

AWS マネージドポリシー: AmazonConnectReadOnlyAccess

読み取り専用アクセスを許可するには、 AmazonConnectReadOnlyAccessポリシーのみをアタッチする必要があります。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "AllowConnectReadOnly",
         "Effect": "Allow",
         "Action": [
            "connect:Get*",
            "connect:Describe*",
            "connect:List*",
            "ds:DescribeDirectories"
         ],
         "Resource": "*"
      },
      {
         "Sid": "DenyConnectEmergencyAccess",
         "Effect": "Deny",
         "Action": "connect:AdminGetEmergencyAccessToken",
         "Resource": "*"
      }
   ]
}  

AWS マネージドポリシー: AmazonConnectServiceLinkedRolePolicy

AmazonConnectServiceLinkedRolePolicy ロールのアクセス許可ポリシーは、 Amazon Connect が指定されたリソースに対して以下のアクションを実行することを許可します。で追加機能を有効にすると Amazon Connect、AWSServiceRoleForAmazonConnectサービスにリンクされたロールがこれらの機能に関連付けられたリソースにアクセスするためのアクセス許可が追加されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowConnectActions",
            "Effect": "Allow",
            "Action": [
                "connect:*"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "AllowDeleteSLR",
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole"
            ],
            "Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect_*"
        },
        {
            "Sid": "AllowS3ObjectForConnectBucket",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::amazon-connect-*/*"
            ]
        },
        {
            "Sid": "AllowGetBucketMetadataForConnectBucket",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetBucketAcl"
            ],
            "Resource": [
                "arn:aws:s3:::amazon-connect-*"
            ]
        },
        {
            "Sid": "AllowConnectLogGroupAccess",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:DescribeLogStreams",
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:*:*:log-group:/aws/connect/*:*"
            ]
        },
        {
            "Sid": "AllowListLexBotAccess",
            "Effect": "Allow",
            "Action": [
                "lex:ListBots",
                "lex:ListBotAliases"
            ],
            "Resource": "*"
        },
        {
			"Sid": "AllowCustomerProfilesForConnectDomain",
			"Effect": "Allow",
			"Action": [
				"profile:SearchProfiles",
				"profile:CreateProfile",
				"profile:UpdateProfile",
				"profile:AddProfileKey",
				"profile:ListProfileObjectTypes",
				"profile:ListCalculatedAttributeDefinitions",
				"profile:ListCalculatedAttributesForProfile",
				"profile:GetDomain",
				"profile:ListIntegrations"
			],
			"Resource": "arn:aws:profile:*:*:domains/amazon-connect-*"
		  },
        {
            "Sid": "AllowReadPermissionForCustomerProfileObjects",
            "Effect": "Allow",
            "Action": [
                "profile:ListProfileObjects",
                "profile:GetProfileObjectType"
            ],
            "Resource": [
                "arn:aws:profile:*:*:domains/amazon-connect-*/object-types/*"
            ]
        },
        {
            "Sid": "AllowListIntegrationForCustomerProfile",
            "Effect": "Allow",
            "Action": [
                "profile:ListAccountIntegrations"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowReadForCustomerProfileObjectTemplates",
            "Effect": "Allow",
            "Action": [
                "profile:ListProfileObjectTypeTemplates",
                "profile:GetProfileObjectTypeTemplate"
            ],
            "Resource": "arn:aws:profile:*:*:/templates*"
        },
        {
            "Sid": "AllowWisdomForConnectEnabledTaggedResources",
            "Effect": "Allow",
            "Action": [
                "wisdom:CreateContent",
                "wisdom:DeleteContent",
                "wisdom:CreateKnowledgeBase",
                "wisdom:GetAssistant",
                "wisdom:GetKnowledgeBase",
                "wisdom:GetContent",
                "wisdom:GetRecommendations",
                "wisdom:GetSession",
                "wisdom:NotifyRecommendationsReceived",
                "wisdom:QueryAssistant",
                "wisdom:StartContentUpload",
                "wisdom:UpdateContent",
                "wisdom:UntagResource",
                "wisdom:TagResource",
                "wisdom:CreateSession",
                "wisdom:CreateQuickResponse",
                "wisdom:GetQuickResponse",
                "wisdom:SearchQuickResponses",
                "wisdom:StartImportJob",
                "wisdom:GetImportJob",
                "wisdom:ListImportJobs",
                "wisdom:ListQuickResponses",
                "wisdom:UpdateQuickResponse",
                "wisdom:DeleteQuickResponse",
                "wisdom:PutFeedback",
                "wisdom:ListContentAssociations"               
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/AmazonConnectEnabled": "True"
                }
            }
        },
        {
            "Sid": "AllowListOperationForWisdom",
            "Effect": "Allow",
            "Action": [
                "wisdom:ListAssistants",
                "wisdom:ListKnowledgeBases"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowCustomerProfilesCalculatedAttributesForConnectDomain",
            "Effect": "Allow",
            "Action": [
                "profile:GetCalculatedAttributeForProfile",
                "profile:CreateCalculatedAttributeDefinition", 
                "profile:DeleteCalculatedAttributeDefinition", 
                "profile:GetCalculatedAttributeDefinition",
                "profile:UpdateCalculatedAttributeDefinition"
            ],
            "Resource": [
                "arn:aws:profile:*:*:domains/amazon-connect-*/calculated-attributes/*"
            ]
        },
                {
            "Sid": "AllowPutMetricsForConnectNamespace",
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricData",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": "AWS/Connect"
                }
            }
        },
        {
            "Sid": "AllowSMSVoiceOperationsForConnect",
            "Effect": "Allow",
            "Action": [
                 "sms-voice:SendTextMessage",
                 "sms-voice:DescribePhoneNumbers"
            ],
            "Resource": "arn:aws:sms-voice:*:*:phone-number/*",
            "Condition": {
                  "StringEquals": {
                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                  }
              }
         },
         {
            "Sid": "AllowCognitoForConnectEnabledTaggedResources",
            "Effect": "Allow",
            "Action": [
                  "cognito-idp:DescribeUserPool",
                  "cognito-idp:ListUserPoolClients"
            ],
            "Resource": "arn:aws:cognito-idp:*:*:userpool/*",
            "Condition": {
                  "StringEquals": {
                        "aws:ResourceTag/AmazonConnectEnabled": "True"
                  }
              }
         },
         {
            "Sid": "AllowWritePermissionForCustomerProfileObjects",
            "Effect": "Allow",
            "Action": [
                  "profile:PutProfileObject"
             ],
            "Resource": [
                  "arn:aws:profile:*:*:domains/amazon-connect-*/object-types/*"
                     ]
         }
    ]
}        

AWS マネージドポリシー: AmazonConnectCampaignsServiceLinkedRolePolicy

AmazonConnectCampaignsServiceLinkedRolePolicy ロールアクセス許可ポリシーにより、 Amazon Connect アウトバウンドキャンペーンは指定されたリソースに対して次のアクションを実行できます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "connect-campaigns:ListCampaigns"
            ],
            "Resource" : "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "connect:BatchPutContact",
                "connect:StopContact"
            ],
            "Resource": "arn:aws:connect:*:*:instance/*"
    ]
}   

AWS マネージドポリシー: AmazonConnectVoiceIDFullAccess

Amazon Connect Voice ID への完全なアクセスを許可するには、ユーザー、グループまたはロールに、それぞれ 2 つのポリシーをアタッチする必要があります。 Amazon Connect 管理者ウェブサイトから Voice ID にアクセスするには、AmazonConnectVoiceIDFullAccessポリシーと以下のカスタムポリシーコンテンツを添付します。

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
        { 
            "Sid": "AttachAnyPolicyToAmazonConnectRole", 
            "Effect": "Allow", 
            "Action": "iam:PutRolePolicy", 
            "Resource": "arn:aws:iam::*:role/aws-service-role/connect.amazonaws.com/AWSServiceRoleForAmazonConnect*" 
        },
        {
            "Effect": "Allow",
            "Action": [
                "connect:CreateIntegrationAssociation",
                "connect:DeleteIntegrationAssociation",
                "connect:ListIntegrationAssociations"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "events:DeleteRule",
                "events:PutRule",
                "events:PutTargets",
                "events:RemoveTargets"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "connect.amazonaws.com"
                }
            }
        }
    ] 
} 

手動ポリシーでは、以下の設定を行います。

デフォルトの暗号化オプションがないため、Amazon Connect Voice ID でカスタマーマネージドキーを使用するには、キーポリシーで次のAPI操作を許可する必要があります。同時に、関連するキーに以下のアクセス許可も追加する必要があります。これらは、管理ポリシーには含まれていません。

ドメインとKMSキーの作成の詳細については、Amazon Connect で Voice ID の有効化を開始する「」および「」を参照してください保管中の暗号化。

AWS マネージドポリシー: CustomerProfilesServiceLinkedRolePolicy

Amazon Connect Customer Profiles が AWS アカウントに CloudWatch メトリクスを発行できるようにするには、 CustomerProfilesServiceLinkedRolePolicyマネージドポリシーをアタッチする必要があります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData"
            ],
            "Resource": "",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": "AWS/CustomerProfiles"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:DeleteRole"
            ],
            "Resource": "arn:aws:iam:::role/aws-service-role/profile.amazonaws.com/AWSServiceRoleForProfile_*"
        }
    ]
}         

AWS マネージドポリシー: AmazonConnectSynchronizationServiceRolePolicy

アクセスAmazonConnectSynchronizationServiceRolePolicy許可ポリシーにより、 Amazon Connect Managed Synchronization は、指定されたリソースに対して次の読み取り、書き込み、更新、削除アクションを実行できます。リソースの同期がより多くのリソースに対して有効になると、これらのリソースにアクセスするためのアクセス許可がAWSServiceRoleForAmazonConnectSynchronizationサービスにリンクされたロールに追加されます。

AmazonConnectSynchronizationServiceRolePolicy アクセス許可ポリシーは、次のアクセス許可セットにグループ化されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowConnectActions",
            "Effect": "Allow",
            "Action": [
                "connect:CreateUser*",
                "connect:UpdateUser*",
                "connect:DeleteUser*",
                "connect:DescribeUser*",
                "connect:ListUser*",
                "connect:CreateRoutingProfile",
                "connect:UpdateRoutingProfile*",
                "connect:DeleteRoutingProfile",
                "connect:DescribeRoutingProfile",
                "connect:ListRoutingProfile*",
                "connect:CreateAgentStatus",
                "connect:UpdateAgentStatus",
                "connect:DescribeAgentStatus",
                "connect:ListAgentStatuses",
                "connect:CreateQuickConnect",
                "connect:UpdateQuickConnect*",
                "connect:DeleteQuickConnect",
                "connect:DescribeQuickConnect",
                "connect:ListQuickConnects",
                "connect:CreateHoursOfOperation",
                "connect:UpdateHoursOfOperation",
                "connect:DeleteHoursOfOperation",
                "connect:DescribeHoursOfOperation",
                "connect:ListHoursOfOperations",
                "connect:CreateQueue",
                "connect:UpdateQueue*",
                "connect:DeleteQueue",
                "connect:DescribeQueue",
                "connect:ListQueue*",
                "connect:CreatePrompt",
                "connect:UpdatePrompt",
                "connect:DeletePrompt",
                "connect:DescribePrompt",
                "connect:ListPrompts",
                "connect:GetPromptFile",
                "connect:CreateSecurityProfile",
                "connect:UpdateSecurityProfile",
                "connect:DeleteSecurityProfile",
                "connect:DescribeSecurityProfile",
                "connect:ListSecurityProfile*",
                "connect:CreateContactFlow*",
                "connect:UpdateContactFlow*",
                "connect:DeleteContactFlow*",
                "connect:DescribeContactFlow*",
                "connect:ListContactFlow*",
                "connect:BatchGetFlowAssociation",
                "connect:CreatePredefinedAttribute",
                "connect:UpdatePredefinedAttribute",
                "connect:DeletePredefinedAttribute",
                "connect:DescribePredefinedAttribute",
                "connect:ListPredefinedAttributes",
                "connect:ListTagsForResource",
                "connect:TagResource",
                "connect:UntagResource",
                "connect:ListTrafficDistributionGroups",
                "connect:ListPhoneNumbersV2",
                "connect:UpdatePhoneNumber",
                "connect:DescribePhoneNumber",
                "connect:AssociatePhoneNumberContactFlow",
                "connect:DisassociatePhoneNumberContactFlow",
                "connect:AssociateRoutingProfileQueues",
                "connect:DisassociateQueueQuickConnects",
                "connect:AssociateQueueQuickConnects",
                "connect:DisassociateUserProficiencies",
                "connect:AssociateUserProficiencies",
                "connect:DisassociateRoutingProfileQueues",
                "connect:CreateAuthenticationProfile",
                "connect:UpdateAuthenticationProfile",
                "connect:DescribeAuthenticationProfile",
                "connect:ListAuthenticationProfiles",
                "connect:CreateHoursOfOperationOverride",
                "connect:UpdateHoursOfOperationOverride",
                "connect:DeleteHoursOfOperationOverride",
                "connect:DescribeHoursOfOperationOverride",
                "connect:ListHoursOfOperationOverrides"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowPutMetricsForConnectNamespace",
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricData",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": "AWS/Connect"
                }
            }
        }
    ]
}

AWS マネージドポリシーへの Amazon Connect の更新

このサービスがこれらの変更の追跡を開始してからの Amazon Connect の AWS マネージドポリシーの更新に関する詳細を表示します。このページの変更に関する自動アラートについては、Amazon Connect ドキュメント履歴ページのRSSフィードにサブスクライブします。