翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

複数の AWS アカウントを接続する

セカンダリ AWS アカウントを使用すると、 AWS DevOps Agent は組織内の複数の AWS アカウントのリソースを調査できます。アプリケーションが複数のアカウントにまたがる場合、セカンダリアカウントを追加すると、エージェントはインシデント調査中にすべての関連リソースを可視化できます。アプリケーションを構成するアカウントとリソースへのアクセスを増やすと、調査の精度が向上します。

前提条件

セカンダリ AWS アカウントを追加する前に、以下があることを確認してください。

プライマリアカウントで必要なアクセス許可

セカンダリ AWS アカウントに接続または更新すると、 AWS DevOps Agent は呼び出し元のプリンシパルが IAM ロールを渡すことができることを確認します。プリンシパルは、プライマリアカウントでリクエストを行う IAM ユーザーまたはロールです。プリンシパルに がない場合iam:PassRole、リクエストは AccessDeniedExceptionという名前の HTTP 403 で失敗しますiam:PassRole。これは、プリンシパルが既に AWS DevOps エージェントへのフルアクセスを持っている場合でも発生します (例: aidevops:*)。セカンダリアカウントiam:PassRoleを追加する前に、プライマリアカウントの ID ポリシーに を追加します。

次のポリシーは、チェックに必要な最小限のアクセス許可のセットを付与します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::<primary-account-id>:role/*",
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": "aidevops.amazonaws.com"
        }
      }
    }
  ]
}

以下に留意してください。

セカンダリ AWS アカウントの追加

以下のステップに加えて、 を使用してセカンダリアカウントAWS DevOps エージェント CLI オンボーディングガイドをプログラムで追加できます。

ステップ 1: セカンダリアカウント設定を開始する

ステップ 2: ロール名を指定する

ステップ 3: セカンダリアカウントにロールを作成する

ステップ 4: AWS 管理ポリシーをアタッチする

ステップ 5: ロールに名前を付けて作成する

ステップ 6: インラインポリシーをアタッチする

ステップ 7: 設定を完了する

必要なポリシーについて

AWS DevOps Agent では、セカンダリアカウントのリソースにアクセスするために 3 つのポリシーコンポーネントが必要です。

AWS DevOps エージェントサービスは、サービスプリンシパルを通じてセカンダリアカウントのロールを直接引き受けます。信頼ポリシー条件により、プライマリアカウントのエージェントスペースのみがこのクロスアカウントアクセスを開始できます。

セカンダリアカウントの管理