Amazon Forecast は、新規顧客には利用できなくなりました。Amazon Forecast の既存のお客様は、通常どおりサービスを引き続き使用できます。詳細はこちら

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Forecast は、新規顧客には利用できなくなりました。Amazon Forecast の既存のお客様は、通常どおりサービスを引き続き使用できます。詳細はこちら

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Forecast のアイデンティティベースのポリシーの例

デフォルトでは、ユーザーおよびロールには、Forecast リソースを作成または変更する許可はありません。また、、 AWS Command Line Interface （AWS CLI） AWS Management Console、または AWS API を使用してタスクを実行することはできません。IAM 管理者は、リソースで必要なアクションを実行するための権限をユーザーに付与する IAM ポリシーを作成できます。その後、管理者はロールに IAM ポリシーを追加し、ユーザーはロールを引き継ぐことができます。

これらサンプルの JSON ポリシードキュメントを使用して、IAM アイデンティティベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「IAM ポリシーを作成する (コンソール)」を参照してください。

Forecast が定義するアクションとリソースタイプ (リソースタイプごとの ARN の形式を含む) の詳細については、「サービス認可リファレンス」の「Amazon Forecast のアクション、リソース、および条件キー」を参照してください。

オペレーションが呼び出されるたびに、Amazon Forecast は呼び出し元の権限について一連の認証チェックを実行します。これらのチェックには以下が含まれます。

ポリシーに関するベストプラクティス

ID ベースのポリシーは、ユーザーのアカウントで誰かが Forecast リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

IAM でのベストプラクティスの詳細については、IAM ユーザーガイドの IAM でのセキュリティのベストプラクティスを参照してください。

Forecast コンソールの使用

Amazon Forecast コンソールにアクセスするには、許可の最小限のセットが必要です。これらのアクセス許可により、 の Forecast リソースの詳細を一覧表示および表示できます AWS アカウント。最小限必要な許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。

AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。

ユーザーとロールが引き続き Forecast コンソールを使用できるようにするには、エンティティに次の AWS 管理ポリシーもアタッチします。詳細については、「IAM ユーザーガイド」の「ユーザーへの許可の追加」を参照してください。

AWSForecastFullAccess

次のポリシーは、コンソールを使用するときにすべての Amazon Forecast アクションへのフルアクセスを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "forecast:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "forecast.amazonaws.com"
                }
            }
        }
    ]
}

自分の権限の表示をユーザーに許可する

この例では、ユーザーアイデンティティにアタッチされたインラインおよびマネージドポリシーの表示を IAM ユーザーに許可するポリシーの作成方法を示します。このポリシーには、コンソールで、または AWS CLI または AWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

AWS Amazon Forecast の管理 (事前定義) ポリシー

AWS は、 によって作成および管理されるスタンドアロン IAM ポリシーを提供することで、多くの一般的なユースケースに対処します AWS。これらの AWS 管理ポリシーは、一般的なユースケースに必要なアクセス許可を付与するため、どのアクセス許可が必要かを調査する必要がなくなります。詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」を参照してください。

アカウントのユーザーにアタッチできる以下の AWS マネージドポリシーは、Amazon Forecast に固有のものです。

これらの許可ポリシーについては、IAM コンソールにサインインしてそれらを検索することで確認できます。

独自のカスタム IAM ポリシーを作成して、Amazon Forecast アクションとリソースのための権限を許可することもできます。これらのカスタムポリシーは、それらを必要とする IAM ユーザーにアタッチできます。

お客様が管理するポリシーの例

このセクションでは、さまざまな Amazon Forecast アクションの許可を付与するユーザーポリシー例を示しています。これらのポリシーは、 AWS SDKsまたは を使用しているときに機能します AWS CLI。コンソールを使用している場合は、「Forecast コンソールの使用」を参照してください。

例 1: アカウント管理者にアクセス許可を付与する

アカウントを設定した後で (「にサインアップする AWS」を参照)、管理者ユーザーを作成し、アカウントを管理します。管理者ユーザーは、ユーザーを作成してそのアクセス許可を管理できます。

アカウントで使用可能なすべてのアクセス許可を管理者ユーザーに付与するには、そのユーザーに次のアクセス許可ポリシーをアタッチします

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        }
    ]
}

例 2: すべての Amazon Forecast と IAM PassRole アクションを許可する

すべての Amazon Forecast アクションに対する許可を持ち、他のサービスに対する許可を持たないユーザーを作成することを選択できます (このユーザーをサービス固有の管理者とみなします)。このユーザーに以下のアクセス許可ポリシーをアタッチします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "forecast:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "forecast.amazonaws.com"
                }
            }
        }
    ]
}

例 3: すべての Amazon Forecast アクションを許可しつつ IAM PassRole アクションを制限する

すべての Amazon Forecast アクションのアクセス許可を持ち、IAM PassRole アクションを制限するユーザーを作成することを選択する場合があります。このユーザーに以下のアクセス許可ポリシーをアタッチします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "forecast:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::EXAMPLE_ACCOUNT_ID_12349858:role/EXAMPLE_ROLE_TO_ALLOW_TO_PASS",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "forecast.amazonaws.com"
                }
            }
        }
    ]
}

例 4: アクションベースのポリシー: Amazon Forecast 読み取り専用アクセス

以下のポリシーでは、リソースを一覧表示して説明する Amazon Forecast アクションを実行するための許可をユーザーに付与します。

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "forecast:DescribeDataset",
          "forecast:DescribeDatasetGroup",
          "forecast:DescribeDatasetImportJob",
          "forecast:DescribeForecast",
          "forecast:DescribeForecastExportJob",
          "forecast:DescribePredictor",
          "forecast:ListDatasetGroups",
          "forecast:ListDatasetImportJobs",
          "forecast:ListDatasets",
          "forecast:ListDatasetExportJobs",
          "forecast:ListForecasts",
          "forecast:ListPredictors"
        ],
        "Resource": "*"
      }
    ]
}

例 5: パスロールと KMS アクションを含むすべての Amazon Forecast アクションを許可する

Amazon Forecast の暗号化用のクロスアカウントカスタマーマネージドキーを使用して、すべての Amazon Forecast アクションに対する許可を持ち、他のサービスに対する許可を持たないユーザーを作成できます。詳細については、「 AWS Key Management Service デベロッパーガイド」のAWS 「クロスアカウントキーポリシー」を参照してください。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "forecast:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "forecast.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:iam::1234567890:key/example_key"
        }
    ]
}