翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Fraud Detector のアイデンティティベースポリシーの例

デフォルトでは、ユーザーと IAM ロールには Amazon Fraud Detector リソースを作成または変更するアクセス許可はありません。また、、 AWS Management Console AWS CLI、または AWS API を使用してタスクを実行することはできません。IAM 管理者は、指定されたリソースで特定の API 操作を実行するための許可をユーザーとロールに付与する IAM ポリシーを作成する必要があります。続いて、管理者はそれらのアクセス許可が必要なユーザーまたはグループにそのポリシーをアタッチします。

JSON ポリシードキュメントのこれらの例を使用して、IAM アイデンティティベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「JSON タブでのポリシーの作成」を参照してください。

ポリシーに関するベストプラクティス

ID ベースのポリシーは、ユーザーのアカウントで誰かが Amazon Fraud Detector リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

IAM でのベストプラクティスの詳細については、IAM ユーザーガイドの IAM でのセキュリティのベストプラクティスを参照してください。

Amazon Fraud Detector の AWS 管理 (事前定義) ポリシー

AWS は、 によって作成および管理されるスタンドアロン IAM ポリシーを提供することで、多くの一般的なユースケースに対処します AWS。これらの AWS 管理ポリシーは、一般的なユースケースに必要なアクセス許可を付与するため、どのアクセス許可が必要かを調査する必要がなくなります。詳細については、「 AWS Identity and Access Management 管理ユーザーガイド」の「AWS 管理ポリシー」を参照してください。

アカウントのユーザーにアタッチできる次の AWS マネージドポリシーは、Amazon Fraud Detector に固有のものです。

AmazonFraudDetectorFullAccess: 以下を含む、Amazon Fraud Detector のリソース、アクションおよびサポートされているオペレーションにフルアクセスできます

このポリシーでは、無制限の S3 アクセスは提供されません。モデルトレーニングデータセットを S3 にアップロードする必要がある場合は、AmazonS3FullAccess 管理ポリシー (またはスコープダウンカスタム Amazon S3 アクセスポリシー) も必要です。

ポリシーのアクセス許可は、IAM コンソールにサインインしてポリシー名で検索することで確認できます。独自のカスタム IAM ポリシーを作成し、必要に応じて Amazon Fraud Detector のアクションとリソースのためのアクセスを許可することもできます。これらのカスタムポリシーは、それらを必要とする ユーザーにアタッチできます。

自分の権限の表示をユーザーに許可する

この例では、ユーザーアイデンティティにアタッチされたインラインおよびマネージドポリシーの表示を IAM ユーザーに許可するポリシーの作成方法を示します。このポリシーには、コンソールで、または AWS CLI または AWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Amazon Fraud Detector リソースへのフルアクセスを許可する

次の例では、 の ユーザーに、すべての Amazon Fraud Detector リソースとアクションへの AWS アカウント フルアクセスを付与します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:*"
            ],
            "Resource": "*"
        }
    ]
}

Amazon Fraud Detector リソースへの読み取り専用アクセスを許可する

この例では、Amazon Fraud Detector リソースへの AWS アカウント 読み取り専用アクセス権を のユーザーに付与します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:GetEventTypes",
                "frauddetector:BatchGetVariable",
                "frauddetector:DescribeDetector",
                "frauddetector:GetModelVersion",
                "frauddetector:GetEventPrediction",
                "frauddetector:GetExternalModels",
                "frauddetector:GetLabels",
                "frauddetector:GetVariables",
                "frauddetector:GetDetectors",
                "frauddetector:GetRules",
                "frauddetector:ListTagsForResource",
                "frauddetector:GetKMSEncryptionKey",
                "frauddetector:DescribeModelVersions",
                "frauddetector:GetDetectorVersion",
                "frauddetector:GetPrediction",
                "frauddetector:GetOutcomes",
                "frauddetector:GetEntityTypes",
                "frauddetector:GetModels"
            ],
            "Resource": "*"
        }
    ]
}

特定のリソースへのアクセスを許可する

リソースレベルのポリシーのこの例では、1 つの特定の Detector リソースを除くすべてのアクションとリソース AWS アカウント へのアクセスを のユーザーに許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "frauddetector:*Detector"
            ],
            "Resource": "arn:${Partition}:frauddetector:${Region}:${Account}:detector/${detector-name}"
        }
    ]
}

デュアルモード API の使用時に特定のリソースへのアクセスを許可する

Amazon Fraud Detector には、List オペレーションと Describe オペレーションの両方として機能するデュアルモード取得 APIs が用意されています。パラメータなしで呼び出されると、デュアルモード API は、 に関連付けられた指定されたリソースのリストを返します AWS アカウント。パラメータで呼び出されたデュアルモード API は、指定されたリソースの詳細を返します。リソースには、モデル、変数、イベントタイプ、エンティティタイプがあります。

デュアルモード APIsIAM ポリシーでリソースレベルのアクセス許可をサポートします。ただし、リソースレベルのアクセス許可は、リクエストの一部として 1 つ以上のパラメータが指定されている場合にのみ適用されます。たとえば、ユーザーが GetVariables API を呼び出して変数名を指定し、変数リソースまたは変数名にアタッチされた IAM 拒否ポリシーがある場合、ユーザーはAccessDeniedExceptionエラーを受け取ります。ユーザーが GetVariables API を呼び出し、変数名を指定しない場合、すべての変数が返されるため、情報漏えいが発生する可能性があります。

ユーザーが特定のリソースの詳細のみを表示できるようにするには、IAM 拒否NotResourceポリシーで IAM ポリシー要素を使用します。このポリシー要素を IAM 拒否ポリシーに追加すると、ユーザーは NotResourceブロックで指定されたリソースの詳細のみを表示できます。詳細については、「IAM ユーザーガイド」の「IAM JSON ポリシー要素: NotResource」を参照してください。

次のポリシー例では、ユーザーに Amazon Fraud Detector のすべてのリソースへのアクセスを許可します。ただし、NotResourceポリシー要素は、GetVariables API コールをプレフィックス user*、、job_*および を持つ変数名のみに制限するために使用されますvar*。

{
 "Version": "2012-10-17",
 "Statement": [
  {
    "Effect": "Allow",
    "Action": "frauddetector:*",
    "Resource": "*"
  },
 {
    "Effect": "Deny",
    "Action": "frauddetector:GetVariables",
    "NotResource": [
       "arn:aws:frauddetector:*:*:variable/user*",
       "arn:aws:frauddetector:*:*:variable/job_*",
       "arn:aws:frauddetector:*:*:variable/var*"
    ]
  }
 ]
}         
         

レスポンス

このポリシー例では、レスポンスは以下の動作を示します。

タグに基づくアクセスの制限

このポリシーの例では、リソースタグに基づいて Amazon Fraud Detector へのアクセスを制限する方法を説明します。この例では、次のことを前提としています。

以下は、Project のキーと B の値を含むタグを持つ Amazon Fraud Detector リソースに対する特定のアクションを拒否するポリシーの例です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "frauddetector:*",
      "Resource": "*"
    },
    {
      "Effect": "Deny",

      "Action": [

        "frauddetector:CreateModel",
        "frauddetector:CancelBatchPredictionJob",
        "frauddetector:CreateBatchPredictionJob",
        "frauddetector:DeleteBatchPredictionJob",
        "frauddetector:DeleteDetector"
      ],

      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "B"
        }
      }
    }
  ]
}