翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

エラスティッククラスター上のサービスにリンクされたロール

Amazon DocumentDB エラスティッククラスターは AWS Identity and Access Management (IAM) サービスにリンクされているロールを使用します。サービスにリンクされているロールは、Amazon DocumentDB エラスティッククラスターに直接リンクされれている特殊なタイプの IAM ロールです。サービスにリンクされていロールは Amazon DocumentDB によって事前に定義されており、ユーザーに代わってサービスが他の AWS サービスを呼び出すために必要なすべてのアクセス許可が含まれています。

サービスにリンクされているロールを使用すると、必要な権限を手動で追加する必要がないため、Amazon DocumentDB の使用が簡単になります。Amazon DocumentDB エラスティッククラスターには、サービスにリンクされているロールのアクセス許可が定義されます。特に定義されていない限り、Amazon DocumentDB のみがそのロールを引き受けることができます。定義されたアクセス許可には、信頼ポリシーとアクセス許可ポリシーが含まれ、そのアクセス許可ポリシーを他の IAM エンティティにアタッチすることはできません。ロールを削除するには、まず関連リソースを削除します。これにより、リソースにアクセスするためのアクセス許可を誤って削除することができないため、Amazon DocumentDB エラスティッククラスターが保護されます。

サービスにリンクされているロールをサポートするその他のサービスについては、「IAM と連携する AWS のサービス」を参照し、[サービスにリンクされたロール] 列が [はい] になっているサービスを探してください。サービスにリンクされたロールに関するサービスのドキュメントを表示するには、「はい」のリンクをクリックします。

エラスティッククラスターに対するサービスにリンクされたロールのアクセス許可

Amazon DocumentDB エラスティッククラスターは、サービスにリンクされている AWSServiceRoleForDocDB-Elastic というロールを使用します。これにより Amazon DocumentDB エラスティッククラスターはクラスターに代わって AWS サービスを呼び出すことができます。

このサービスにリンクされたロールには、アカウントで操作するためのアクセス許可を付与する AmazonDocDB-ElasticServiceRolePolicy というアクセス許可ポリシーがアタッチされています。ロールのアクセス許可ポリシーは、Amazon DocumentDB エラスティッククラスターが指定リソースに対して以下のアクションを実行することを 許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": [
                        "AWS/DocDB-Elastic"
                    ]
                }
            }
        }
    ]
}
  

{
"Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/docdb-elastic.amazonaws.com/AWSServiceRoleForDocDB-Elastic",
    "Condition": {
"StringLike": {
"iam:AWSServiceName":"docdb-elastic.amazonaws.com"
        }
    }
}
   

詳細については、『AWS ID とアクセス管理ユーザーガイド』の「サービスにリンクされたロールのアクセス許可」を参照してください。

Amazon DocumentDB エラスティッククラスター用のサービスにリンクされたロールの作成

サービスリンクロールを手動で作成する必要はありません。DB インスタンスが作成されると、Amazon DocumentDB の Elastic クラスターはサービスにリンクされたロールを自動的に作成します。

Amazon DocumentDB エラスティッククラスター用のサービスにリンクされたロールの編集

Amazon DocumentDB のエラスティッククラスターでは、AWSServiceRoleForDocDB-Elastic サービスにリンクされたロールを編集することはできません。サービスリンクロールを作成した後は、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用したロールの説明の編集はできます。詳細については、『AWS ID とアクセス管理ユーザーガイド』の「サービスにリンクされたロールの編集」を参照してください。

Amazon DocumentDB エラスティッククラスター用のサービスにリンクされたロールの削除

サービスリンクロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。そうすることで、使用していないエンティティがアクティブにモニタリングされたり、メンテナンスされたりすることがなくなります。ただし、サービスにリンクされたロールを削除する前に、すべての クラスターを削除する必要があります。

サービスにリンクされたロールのクリーンアップ

IAM を使用してサービスにリンクされたロールを削除するには、まずそのロールにアクティブなセッションがないことを確認し、そのロールで使用されているリソースをすべて削除する必要があります。

サービスにリンクされたロールにアクティブなセッションがあるかどうかを、IAM コンソールで確認するには:

すべてのクラスターの削除

Amazon DocumentDB コンソールからクラスターを削除する