翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Device Farm のアイデンティティベースのポリシーの例

デフォルトでは、IAMユーザーとロールには Device Farm リソースを作成または変更するアクセス許可はありません。また、 AWS Management Console、 AWS CLI、または を使用してタスクを実行することはできません AWS API。IAM 管理者は、必要な指定されたリソースに対して特定のAPIオペレーションを実行するアクセス許可をユーザーとロールに付与するIAMポリシーを作成する必要があります。続いて、管理者はそれらのアクセス権限が必要な IAM ユーザーまたはグループにそのポリシーをアタッチします。

これらのポリシードキュメント例を使用してIAMアイデンティティベースのJSONポリシーを作成する方法については、「 IAMユーザーガイド」のJSON「 タブでのポリシーの作成」を参照してください。

ポリシーに関するベストプラクティス

アイデンティティベースポリシーは、ユーザーのアカウントで誰かが Device Farm リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションでは、 AWS アカウントに費用が発生する場合があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

IAM でのベストプラクティスの詳細については、「IAMユーザーガイド」の「IAM でのセキュリティのベストプラクティス」を参照してください。

自分の権限の表示をユーザーに許可する

この例では、ユーザー ID にアタッチされたインラインおよび管理ポリシーの表示を IAM ユーザーに許可するポリシーを作成する方法を示します。このポリシーには、コンソールで、または AWS CLI または を使用してプログラムでこのアクションを実行するアクセス許可が含まれています AWS API。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

1 つの Device Farm デスクトップブラウザテストプロジェクトへのアクセス

この例では、 AWS アカウントの IAMユーザーに、Device Farm のデスクトップブラウザテストプロジェクトの 1 つである へのアクセス権を付与しますarn:aws:devicefarm:us-west-2:111122223333:testgrid-project:123e4567-e89b-12d3-a456-426655441111。アカウントでそのプロジェクトに関連するアイテムを表示できるようにする必要があります。

devicefarm:GetTestGridProject エンドポイントに加えて、アカウントには devicefarm:ListTestGridSessions、devicefarm:GetTestGridSession、devicefarm:ListTestGridSessionActions、および devicefarm:ListTestGridSessionArtifacts エンドポイントが必要です。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"GetTestGridProject",
         "Effect":"Allow",
         "Action":[
            "devicefarm:GetTestGridProject"
         ],
         "Resource":"arn:aws:devicefarm:us-west-2:111122223333:testgrid-project:123e4567-e89b-12d3-a456-426655441111"
      },
      {
         "Sid":"ViewProjectInfo",
         "Effect":"Allow",
         "Action":[
            "devicefarm:ListTestGridSessions",
            "devicefarm:ListTestGridSessionActions",
            "devicefarm:ListTestGridSessionArtifacts"
         ],
         "Resource":"arn:aws:devicefarm:us-west-2:111122223333:testgrid-*:123e4567-e89b-12d3-a456-426655441111/*"
      }
   ]
}

CI システムを使用している場合は、各 CI 実行者に一意のアクセス認証情報を付与する必要があります。例えば、CI システムでは、devicefarm:ScheduleRun または devicefarm:CreateUpload よりも多くの権限が必要になることはほとんどありません。次のIAMポリシーでは、アップロードを作成し、それを使用してテスト実行をスケジュールすることで、CI ランナーが新しい Device Farm ネイティブアプリケーションテストのテストを開始できるようにする最小限のポリシーの概要を説明します。

{
   "Version":"2012-10-17",
   "Statement": [
      {
         "$id":"scheduleTestRuns",
         "effect":"Allow", 
         "Action": [ "devicefarm:CreateUpload","devicefarm:ScheduleRun" ],
         "Resource": [
            "arn:aws:devicefarm:us-west-2:111122223333:project:123e4567-e89b-12d3-a456-426655440000",
            "arn:aws:devicefarm:us-west-2:111122223333:*:123e4567-e89b-12d3-a456-426655440000/*",
            ]
         }
    ]
}
            
         

タグに基づく Device Farm デスクトップブラウザテストプロジェクトの表示

アイデンティティベースポリシーの条件を使用して、タグに基づいて Device Farm リソースへのアクセスを管理できます。この例では、プロジェクトとセッションの表示を許可するポリシーを作成する方法を示しています。リクエスト先のリソースの Owner タグがリクエスト元のアカウントのユーザー名と一致する場合、権限が付与されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListTestGridProjectSessions",
            "Effect": "Allow",
            "Action": [
              "devicefarm:ListTestGridSession*",
              "devicefarm:GetTestGridSession", 
              "devicefarm:ListTestGridProjects" 
              ],
            "Resource": [
               "arn:aws:devicefarm:us-west-2:testgrid-project:*/*"
               "arn:aws:devicefarm:us-west-2:testgrid-session:*/*"
               ],
            "Condition": {
               "StringEquals": {"aws:TagKey/Owner":"${aws:username}"}
            }
        }
    ]
}

このポリシーをアカウントの IAM ユーザーにアタッチできます。richard-roe という名前のユーザーが Device Farm プロジェクトまたはセッションを表示しようとする場合、プロジェクトに Owner=richard-roe または owner=richard-roe というタグが付いている必要があります。それ以外の場合、ユーザーはアクセスを拒否されます。条件キー名では大文字と小文字は区別されないため、条件タグキー Owner は Owner と owner に一致します。詳細については、「 IAMユーザーガイド」のIAMJSON「ポリシー要素: 条件」を参照してください。