AWS Data Pipeline は新規顧客には利用できなくなりました。の既存のお客様は、通常どおりサービスを AWS Data Pipeline 引き続き使用できます。[詳細はこちら](https://aws.amazon.com/blogs/big-data/migrate-workloads-from-aws-data-pipeline/)
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# の Identity and Access Management AWS Data Pipeline
セキュリティ認証情報により、AWS のサービスに対してお客様の身分が証明され、パイプラインなどの AWS リソースを使用するアクセス許可が付与されます。 AWS Data Pipeline および AWS Identity and Access Management (IAM) の機能を使用して、 AWS Data Pipeline および他のユーザーがセキュリティ認証情報を共有せずに AWS Data Pipeline リソースにアクセスすることを許可できます。
組織はパイプラインへのアクセスを共有することができ、これによって組織内の個人がパイプラインを共同で開発および管理できます。ただし、次のような措置を講じる必要がある場合があります。
+ 特定のパイプラインにどのユーザーがアクセスできるかを制御する
+ 誤って編集されないように実稼働のパイプラインを保護する
+ 監査人に対してパイプラインへの読み取り専用アクセスは許可し、変更は許可しない。
AWS Data Pipeline は、さまざまな機能を提供する AWS Identity and Access Management (IAM) と統合されています。
+ でユーザーとグループを作成します AWS アカウント。
+ のユーザー間で AWS リソースを簡単に共有できます AWS アカウント。
+ 各ユーザーに一意のセキュリティ認証情報を割り当てます。
+ サービスとリソースへの各ユーザーのアクセス権限を制御します。
+ AWS アカウント内のすべてのユーザーに対する単一の請求書を受け取ります。
で IAM を使用することで AWS Data Pipeline、組織内のユーザーが特定の API アクションを使用してタスクを実行できるかどうか、および特定の AWS リソースを使用できるかどうかを制御できます。パイプラインのタグとワーカーグループに基づく IAM ポリシーを使用して、パイプラインを他のユーザーと共有し、ユーザーのアクセスレベルを制御することができます。
**Topics**
+ [の IAM ポリシー AWS Data Pipeline](dp-iam-resourcebased-access.md)
+ [のポリシーの例 AWS Data Pipeline](dp-example-tag-policies.md)
+ [の IAM ロール AWS Data Pipeline](dp-iam-roles.md)
# の IAM ポリシー AWS Data Pipeline
デフォルトでは、IAM エンティティには AWS リソースを作成または変更するためのアクセス許可はありません。IAM エンティティがリソースを作成または変更、およびタスクを実行できるようにするには、IAM ポリシーを作成する必要があります。これによって、必要な特定のリソースおよび API アクションを使用するためのアクセス許可を IAM エンティティに付与し、その後、ポリシーをそのアクセス許可が必要な IAM エンティティにアタッチします。
ポリシーをユーザーまたはユーザーのグループにアタッチする場合、ポリシーによって特定リソースの特定タスクを実行するユーザーの権限が許可または拒否されます。IAM ポリシーの一般的な情報については、「IAM ユーザーガイド」の「[アクセス許可とポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/PermissionsAndPolicies.html)」を参照してください。カスタム IAM ポリシーの管理と作成の詳細については、[IAM ポリシーの管理](https://docs.aws.amazon.com/IAM/latest/UserGuide/ManagingPolicies.html)を参照してください。
**Topics**
+ [ポリシー構文](#dp-policy-syntax)
+ [タグを使用したパイプラインへのアクセスの制御](#dp-control-access-tags)
+ [ワーカーグループを使用したパイプラインへのアクセスの制御](#dp-control-access-workergroup)
## ポリシー構文
IAM ポリシーは、1 つ、または複数のステートメントで構成される JSON ドキュメントです。各ステートメントは次のように構成されます。
```
{
"Statement":[{
"Effect":"effect",
"Action":"action",
"Resource":"*",
"Condition":{
"condition":{
"key":"value"
}
}
}
]
}
```
ポリシーステートメントは以下の要素によって構成されます。
+ [**Effect**]:effect は、`Allow`または`Deny`にすることができます。デフォルトでは、IAM エンティティはリソースおよび API アクションを使用するアクセス許可がないため、リクエストはすべて拒否されます。明示的な許可はデフォルトに上書きされます。明示的な拒否はすべての許可に優先します。
+ [**Action**]: *action* はアクセス許可を付与または拒否する対象とする、特定の API アクションです。のアクションのリストについては AWS Data Pipeline、 *AWS Data Pipeline API リファレンス*の[「アクション](https://docs.aws.amazon.com/datapipeline/latest/APIReference/API_Operations.html)」を参照してください。
+ **Resource]** (リソース): アクションによって影響を及ぼされるリソースです。ここで唯一の有効な値は `"*"` です。
+ **Condition**: condition はオプションです。これらは、ポリシーがいつ有効になるかを制御するために使用できます。
AWS Data Pipeline は、AWS 全体のコンテキストキー ([「条件で使用できるキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/AccessPolicyLanguage_ElementDescriptions.html#AvailableKeys)」を参照) と、以下のサービス固有のキーを実装します。
+ `datapipeline:PipelineCreator` – パイプラインを作成したユーザーにアクセスを許可します。これの例については、「[パイプライン所有者にフルアクセスを付与する](dp-example-tag-policies.md#ex3)」を参照してください。
+ `datapipeline:Tag` – パイプラインのタグ付けに基づいてアクセスを許可します。詳細については、「[タグを使用したパイプラインへのアクセスの制御](#dp-control-access-tags)」を参照してください。
+ `datapipeline:workerGroup` – ワーカーグループの名前に基づいてアクセスを許可します。詳細については、「[ワーカーグループを使用したパイプラインへのアクセスの制御](#dp-control-access-workergroup)」を参照してください。
## タグを使用したパイプラインへのアクセスの制御
パイプラインのタグを参照する IAM ポリシーを作成できます。これにより、パイプラインのタグ付けを使用して以下の操作を行うことができます。
+ パイプラインへの読み取り専用アクセス権限の付与
+ パイプラインへの読み取り/書き込みアクセス権限の付与
+ パイプラインへのアクセスのブロック
たとえば、管理者が実稼働用と開発用の 2 つのパイプライン環境を使用しており、それぞれの環境に対して IAM グループを設定しているとします。管理者は、実稼働環境のパイプライン環境に対して、実稼働用 IAM グループのユーザーには読み取り/書き込みアクセス権限を付与し、開発者用 IAM グループのユーザーには読み取り専用アクセス権限を付与します。管理者は、開発環境のパイプライン環境に対して、実稼働用と開発用 IAM グループのユーザーには読み取り/書き込みアクセス権限を付与します。
このシナリオを達成するため、管理者は実稼働用パイプラインに "environment=production" というタグを付け、開発者用 IAM グループに次のポリシーをアタッチします。最初のステートメントでは、すべてのパイプラインに対する読み取り専用アクセスを付与しています。2 番目のステートメントでは、"environment=production" タグがないパイプラインへの読み取り/書き込みアクセスを付与しています。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"datapipeline:Describe*",
"datapipeline:ListPipelines",
"datapipeline:GetPipelineDefinition",
"datapipeline:QueryObjects"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "datapipeline:*",
"Resource": "*",
"Condition": {
"StringNotEquals": {"datapipeline:Tag/environment": "production"}
}
}
]
}
```
------
さらに管理者は、実稼働の IAM グループに次のポリシーをアタッチします。このステートメントは、すべてのパイプラインに対するフルアクセスを付与しています。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "datapipeline:*",
"Resource": "*"
}
]
}
```
------
その他の例については、「[タグに基づいてユーザーに読み取り専用アクセスを付与する](dp-example-tag-policies.md#ex1)」と「[タグに基づいてユーザーにフルアクセスを付与する](dp-example-tag-policies.md#ex2)」を参照してください。
## ワーカーグループを使用したパイプラインへのアクセスの制御
参照ワーカーグループ名を作成する IAM ポリシーを作成できます。
たとえば、管理者が実稼働用と開発用の 2 つのパイプライン環境を使用しており、それぞれの環境に対して IAM グループを設定しているとします。3 台のデータベースサーバーがあり、それぞれ実稼働環境、実稼働準備環境、および開発者環境に対して Task Runner が設定されているものとします。管理者は、実稼働用 IAM グループのユーザーは実稼働用リソースにタスクをプッシュするパイプラインを作成でき、開発用 IAM グループのユーザーは実稼働準備用と開発者用の両方のリソースにタスクをプッシュするパイプラインを作成できるようにする必要があります。
このシナリオを達成するため、管理者は実稼働用認証情報を使用して実稼働用リソースに Task Runner をインストールし、`workerGroup` を "prodresource" に設定します。さらに、開発用認証情報を使用して開発用リソースに Task Runner をインストールし、`workerGroup` を "pre-production" と "development" に設定します。管理者は、開発者用 IAM グループに次のポリシーをアタッチして、"prodresource" リソースへのアクセスをブロックします。最初のステートメントでは、すべてのパイプラインに対する読み取り専用アクセスを付与しています。2 番目のステートメントは、ワーカーグループの名前に "dev" または "pre-prod" というプレフィックスが含まれていれば、パイプラインへの読み取り/書き込みアクセスを付与します。
さらに、管理者は、実稼働用 IAM グループに次のポリシーをアタッチして、"prodresource" リソースへのアクセス権限を付与します。最初のステートメントでは、すべてのパイプラインに対する読み取り専用アクセスを付与しています。2 番目のステートメントは、ワーカーグループの名前に "prod" というプレフィックスが含まれていれば、読み取り/書き込みアクセスを付与します。
# のポリシーの例 AWS Data Pipeline
次の例では、パイプラインへのフルアクセスまたは限定的なアクセスをユーザーに許可する方法を示します。
**Topics**
+ [例 1: タグに基づいてユーザーに読み取り専用アクセスを付与する](#ex1)
+ [例 2: タグに基づいてユーザーにフルアクセスを付与する](#ex2)
+ [例 3: パイプライン所有者にフルアクセスを付与する](#ex3)
+ [例 4: AWS Data Pipeline コンソールへのアクセスをユーザーに許可する](#example4-grant-users-access-to-console)
## 例 1: タグに基づいてユーザーに読み取り専用アクセスを付与する
次のポリシーでは、「environment=production」というタグを持つパイプラインでのみ、読み取り専用 AWS Data Pipeline API アクションの使用をユーザーに許可します。
ListPipelines API アクションでは、タグに基づいた権限付与はサポートされていません。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"datapipeline:Describe*",
"datapipeline:GetPipelineDefinition",
"datapipeline:ValidatePipelineDefinition",
"datapipeline:QueryObjects"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"datapipeline:Tag/environment": "production"
}
}
}
]
}
```
------
## 例 2: タグに基づいてユーザーにフルアクセスを付与する
次のポリシーでは、ListPipelines を除くすべての AWS Data Pipeline API アクションの使用をユーザーに許可しますが、「environment=test」というタグを持つパイプラインでのみ許可します。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"datapipeline:*"
],
"Resource": [
"*"
],
"Condition": {
"StringEquals": {
"datapipeline:Tag/environment": "test"
}
}
}
]
}
```
------
## 例 3: パイプライン所有者にフルアクセスを付与する
次のポリシーでは、ユーザーはすべての AWS Data Pipeline API アクションを使用できますが、独自のパイプラインでのみ使用できます。
## 例 4: AWS Data Pipeline コンソールへのアクセスをユーザーに許可する
次のポリシーでは、ユーザーは、 AWS Data Pipeline コンソールを使用してパイプラインを作成および管理できます。
このポリシーには、 `roleARN` AWS Data Pipeline が必要とする に関連付けられた特定のリソースに対する`PassRole`アクセス許可のアクションが含まれます。アイデンティティベース (IAM) の `PassRole` アクセス権限の詳細については、ブログ記事「[IAM ロール (PassRole アクセス権限) を使用した EC2 インスタンスの起動アクセス権限の付与](https://aws.amazon.com/blogs/security/granting-permission-to-launch-ec2-instances-with-iam-roles-passrole-permission/)」を参照してください。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Action": [
"cloudwatch:*",
"datapipeline:*",
"dynamodb:DescribeTable",
"elasticmapreduce:AddJobFlowSteps",
"elasticmapreduce:ListInstance*",
"iam:AddRoleToInstanceProfile",
"iam:CreateInstanceProfile",
"iam:GetInstanceProfile",
"iam:GetRole",
"iam:GetRolePolicy",
"iam:ListInstanceProfiles",
"iam:ListInstanceProfilesForRole",
"iam:ListRoles",
"rds:DescribeDBInstances",
"rds:DescribeDBSecurityGroups",
"redshift:DescribeClusters",
"redshift:DescribeClusterSecurityGroups",
"s3:List*",
"sns:ListTopics"
],
"Effect": "Allow",
"Resource": [
"*"
]
},
{
"Action": "iam:PassRole",
"Effect": "Allow",
"Resource": [
"arn:aws:iam::*:role/DataPipelineDefaultResourceRole",
"arn:aws:iam::*:role/DataPipelineDefaultRole"
]
}
]
}
```
------
# の IAM ロール AWS Data Pipeline
AWS Data Pipeline は AWS Identity and Access Management ロールを使用します。IAM ロールにアタッチされたアクセス許可ポリシーによって、実行できるアクション AWS Data Pipeline とアプリケーション、および AWS アクセスできるリソースが決まります。詳細については、「IAM ユーザーガイド」の「[IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)」を参照してください。
AWS Data Pipeline には 2 つの IAM ロールが必要です。
+ **パイプラインロールは、**AWS リソース AWS Data Pipeline へのアクセスを制御します。パイプラインオブジェクト定義では、`role` フィールドによってこのロールが指定されます。
+ **EC2 インスタンスロール**は、Amazon EMR クラスターの EC2 インスタンスを含む EC2 インスタンスで実行されているアプリケーションが AWS リソースに対して持つアクセスを制御します。パイプラインオブジェクト定義では、`resourceRole` フィールドによってこのロールが指定されます。
**重要**
デフォルトのロールを持つ AWS Data Pipeline コンソールを使用して 2022 年 10 月 3 日より前にパイプラインを作成した場合は、 `DataPipelineDefaultRole` AWS Data Pipeline を作成し、`AWSDataPipelineRole`管理ポリシーをロールにアタッチします。2022 年 10 月 3 日から、`AWSDataPipelineRole` マネージドポリシーは廃止され、コンソールを使用するときにパイプラインのパイプラインロールを指定する必要があります。
既存のパイプラインを確認し、`DataPipelineDefaultRole` がパイプラインと関連付けられているかどうか、および `AWSDataPipelineRole` がそのロールにアタッチされているかどうかを判別することをお勧めします。満たされている場合は、このポリシーで許可されているアクセス権限を確認して、セキュリティ要件に適したものになっていることを確認してください。必要に応じて、このロールにアタッチされたポリシーおよびポリシーステートメントを追加、更新、または置換します。または、パイプラインを更新して、異なるアクセス許可ポリシーで作成したロールを使用することもできます。
## AWS Data Pipeline ロールのアクセス許可ポリシーの例
各ロールには、そのロールがアクセスできる AWS リソースおよびそのロールが実行できるアクションを決定する 1 つ以上のアクセス許可ポリシーがアタッチされています。このトピックでは、パイプラインロールのアクセス許可ポリシーの例を示します。また、デフォルトの EC2 インスタンスロール `DataPipelineDefaultResourceRole` のマネージドポリシーである `AmazonEC2RoleforDataPipelineRole` のコンテンツも示します。
### パイプラインロールのアクセス許可ポリシーの例
次のポリシー例は、 が Amazon EC2 および Amazon EMR リソースでパイプラインを実行する AWS Data Pipeline ために必要な必須関数を許可するようにスコープされています。また、多くのパイプラインに必要な Amazon Simple Storage Service や Amazon Simple Notification Service などの他の AWS リソースにアクセスするためのアクセス許可も提供します。パイプラインで定義されたオブジェクトに AWS サービスのリソースが必要ない場合は、そのサービスにアクセスするためのアクセス許可を削除することを強くお勧めします。例えば、パイプラインで [DynamoDBDataNode](dp-object-dynamodbdatanode.md) が定義されておらず、[SnsAlarm](dp-object-snsalarm.md) アクションを使用していない場合、それらのアクションの許可ステートメントを削除することをお勧めします。
+ を AWS アカウント ID `111122223333`に置き換えます。
+ `NameOfDataPipelineRole` を、パイプラインロール (このポリシーがアタッチされているロール) の名前に置き換えます。
+ `NameOfDataPipelineResourceRole` を、EC2 インスタンスロールの名前に置き換えます。
+ `us-west-1` を、アプリケーションに適したリージョンに置き換えます。
### EC2 インスタンスロールのデフォルトマネージドポリシー
`AmazonEC2RoleforDataPipelineRole` のコンテンツを以下に示します。これは、 のデフォルトのリソースロールにアタッチされた AWS Data Pipelineマネージドポリシーです`DataPipelineDefaultResourceRole`。パイプラインのリソースロールを定義するときは、このアクセス許可ポリシーから始めて、不要な AWS サービスアクションのアクセス許可を削除することをお勧めします。
ポリシーのバージョン 3 を示します。これは、この執筆時点での最新のバージョンです。IAM コンソールを使用して、ポリシーの最新バージョンを表示します。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Action": [
"cloudwatch:*",
"datapipeline:*",
"dynamodb:*",
"ec2:Describe*",
"elasticmapreduce:AddJobFlowSteps",
"elasticmapreduce:Describe*",
"elasticmapreduce:ListInstance*",
"elasticmapreduce:ModifyInstanceGroups",
"rds:Describe*",
"redshift:DescribeClusters",
"redshift:DescribeClusterSecurityGroups",
"s3:*",
"sdb:*",
"sns:*",
"sqs:*"
],
"Resource": ["*"]
}]
}
```
------
## の IAM ロールの作成 AWS Data Pipeline とロールのアクセス許可の編集
IAM コンソール AWS Data Pipeline を使用して のロールを作成するには、次の手順に従います。このプロセスは次の 2 つのステップで構成されています。まず、ロールにアタッチするアクセス許可ポリシーを作成します。次に、ロールを作成して、ポリシーをアタッチします。ロールを作成した後、アクセス許可ポリシーをアタッチおよびデタッチして、ロールのアクセス許可を変更できます。
**注記**
以下で説明するように、コンソール AWS Data Pipeline を使用して 用のロールを作成すると、IAM はロールに必要な適切な信頼ポリシーを作成してアタッチします。
**のロールで使用するアクセス許可ポリシーを作成するには AWS Data Pipeline**
1. [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) で IAM コンソール を開きます。
1. ナビゲーションペインで **ポリシー**を選択してから **ポリシーの作成**を選択します。
1. [**JSON**] タブを選択します。
1. パイプラインロールを作成する場合は、[パイプラインロールのアクセス許可ポリシーの例](#dp-role-example-policy)のポリシーの例のコンテンツをコピーして貼り付け、セキュリティ要件に応じて適宜編集します。または、カスタム EC2 インスタンスロールを作成する場合は、[EC2 インスタンスロールのデフォルトマネージドポリシー](#dp-resource-role-example-policy)の例と同様にします。
1. **[ポリシーの確認]** を選択します。
1. ポリシーの名前 (例えば、`MyDataPipelineRolePolicy`) とオプションの **[Description]** (説明) を入力してから、**[Create policy]** (ポリシーの作成) を選択します。
1. ポリシーの名前をメモします。これは、ロールを作成するときに必要になります。
**の IAM ロールを作成するには AWS Data Pipeline**
1. IAM コンソール ([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)) を開きます。
1. ナビゲーションペインで **[Roles]** (ロール) を選択し、続いて **[Create Role]** (ロールの作成) を選択します。
1. **[Choose a use case]** (ユースケースの選択) で、**[Data Pipeline]** を選択します。
1. **[Select your use case]** (ユースケースの選択) で、次のいずれかを実行します。
+ `Data Pipeline` を選択して、パイプラインロールを作成します。
+ `EC2 Role for Data Pipeline` を選択して、リソースロールを作成します。
1. **[Next: Permissions]** (次のステップ: 許可) を選択します。
1. のデフォルトポリシー AWS Data Pipeline が一覧表示されている場合は、次の手順に進んでロールを作成し、次の手順の指示に従って編集します。それ以外の場合は、上記の手順で作成したポリシーの名前を入力し、リストからそのポリシーを選択します。
1. **[Next: Tags]** (次へ: タグ) を選択し、ロールに追加するタグを入力してから、**[Next: Review]** (次へ: 確認) を選択します。
1. ロールの名前 (例えば、`MyDataPipelineRole`) とオプションの **[Description]** (説明) を入力してから、**[Create role]** (ロールの作成) を選択します。
**の IAM ロールのアクセス許可ポリシーをアタッチまたはデタッチするには AWS Data Pipeline**
1. IAM コンソール ([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)) を開きます。
1. ナビゲーションペインで **[Roles]** (ロール) を選択します。
1. 検索ボックスで、編集するロールの名前 (例えば、**DataPipelineDefaultRole** や **MyDataPipelineRole**) を入力していき、リストから **[Role name]** (ロール名) を選択します。
1. **[Permissions]** (アクセス許可) タブで、以下を実行します。
+ アクセス許可ポリシーをデタッチするには、**[Permissions policies]** (アクセス許可ポリシー) で、ポリシーエントリの右端にある削除ボタンを選択します。確認を求められたら、**[Detach]** (デタッチ) を選択します。
+ 前に作成したポリシーをアタッチするには、**[Attach policies]** (ポリシーをアタッチします) を選択します。検索ボックスで、編集するポリシーの名前を入力していき、リストからポリシーを選択し、**[Attach policy]** (ポリシーのアタッチ) を選択します。
## 既存のパイプラインのロールの変更
別のパイプラインロールまたはリソースロールをパイプラインに割り当てる場合は、 AWS Data Pipeline コンソールでアーキテクトエディタを使用できます。
**コンソールを使用してパイプラインに割り当てられているロールを編集するには**
1. [https://console.aws.amazon.com/datapipeline/](https://console.aws.amazon.com/datapipeline/) で AWS Data Pipeline コンソールを開きます。
1. リストからパイプラインを選択し、**[Actions]** (アクション)、**[Edit]** (編集) を選択します。
1. アーキテクトエディタの右ペインで、**[Others]** (その他) を選択します。
1. **リソースロール**と**ロール**リストから、割り当て AWS Data Pipeline るロールを選択し、**保存**を選択します。