翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Fraud Detector のアイデンティティベースポリシーの例

デフォルトでは、ユーザーと IAM ロールには Amazon Fraud Detector リソースを作成または変更するアクセス許可はありません。また、、 AWS Management Console AWS CLI、または AWS API を使用してタスクを実行することはできません。IAM 管理者は、指定されたリソースで特定の API 操作を実行するための許可をユーザーとロールに付与する IAM ポリシーを作成する必要があります。続いて、管理者はそれらのアクセス許可が必要なユーザーまたはグループにそのポリシーをアタッチします。

JSON ポリシードキュメントのこれらの例を使用して、IAM アイデンティティベースのポリシーを作成する方法については、「IAM ユーザーガイド」の「JSON タブでのポリシーの作成」を参照してください。

ポリシーのベストプラクティス

ID ベースのポリシーは、ユーザーのアカウントで誰かが Amazon Fraud Detector リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

IAM でのベストプラクティスの詳細については、『IAM ユーザーガイド』の「IAM でのセキュリティのベストプラクティス」を参照してください。

Amazon Fraud Detector の AWS 管理 (事前定義) ポリシー

AWS は、 によって作成および管理されるスタンドアロン IAM ポリシーを提供することで、多くの一般的なユースケースに対処します AWS。これらの AWS 管理ポリシーは、一般的なユースケースに必要なアクセス許可を付与するため、どのアクセス許可が必要かを調査する必要がなくなります。詳細については、「 管理ユーザーガイド」の「AWS 管理ポリシー」を参照してください。 AWS Identity and Access Management

アカウントのユーザーにアタッチできる次の AWS マネージドポリシーは、Amazon Fraud Detector に固有です。

AmazonFraudDetectorFullAccess: 以下を含む、Amazon Fraud Detector のリソース、アクションおよびサポートされているオペレーションにフルアクセスできます

このポリシーでは、無制限の S3 アクセスは提供されません。モデルトレーニングデータセットを S3 にアップロードする必要がある場合は、AmazonS3FullAccess 管理ポリシー (またはスコープダウンカスタム Amazon S3 アクセスポリシー) も必要です。

ポリシーのアクセス許可は、IAM コンソールにサインインしてポリシー名で検索することで確認できます。独自のカスタム IAM ポリシーを作成し、必要に応じて Amazon Fraud Detector のアクションとリソースのためのアクセスを許可することもできます。これらのカスタムポリシーは、それらを必要とする ユーザーにアタッチできます。

自分の権限の表示をユーザーに許可する

この例では、ユーザーアイデンティティにアタッチされたインラインおよびマネージドポリシーの表示を IAM ユーザーに許可するポリシーの作成方法を示します。このポリシーには、コンソールで、または AWS CLI または AWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Amazon Fraud Detector リソースへのフルアクセスを許可する

次の例では、 のユーザーに、すべての Amazon Fraud Detector リソースとアクションへの AWS アカウント フルアクセスを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:*"
            ],
            "Resource": "*"
        }
    ]
}

Amazon Fraud Detector リソースへの読み取り専用アクセスを許可する

この例では、Amazon Fraud Detector リソースへの AWS アカウント 読み取り専用アクセス権を のユーザーに付与します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:GetEventTypes",
                "frauddetector:BatchGetVariable",
                "frauddetector:DescribeDetector",
                "frauddetector:GetModelVersion",
                "frauddetector:GetEventPrediction",
                "frauddetector:GetExternalModels",
                "frauddetector:GetLabels",
                "frauddetector:GetVariables",
                "frauddetector:GetDetectors",
                "frauddetector:GetRules",
                "frauddetector:ListTagsForResource",
                "frauddetector:GetKMSEncryptionKey",
                "frauddetector:DescribeModelVersions",
                "frauddetector:GetDetectorVersion",
                "frauddetector:GetPrediction",
                "frauddetector:GetOutcomes",
                "frauddetector:GetEntityTypes",
                "frauddetector:GetModels"
            ],
            "Resource": "*"
        }
    ]
}

特定のリソースへのアクセスを許可する

リソースレベルのポリシーのこの例では、特定の 1 つの Detector リソースを除くすべてのアクションとリソース AWS アカウント へのアクセスを のユーザーに許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "frauddetector:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "frauddetector:*Detector"
            ],
            "Resource": "arn:${Partition}:frauddetector:${Region}:${Account}:detector/${detector-name}"
        }
    ]
}

デュアルモード API の使用時に特定のリソースへのアクセスを許可する

Amazon Fraud Detector には、リストオペレーションと説明オペレーションの両方として機能するデュアルモード取得 APIs が用意されています。パラメータなしで呼び出されると、デュアルモード API は、 に関連付けられた指定されたリソースのリストを返します AWS アカウント。パラメータで呼び出されたデュアルモード API は、指定されたリソースの詳細を返します。リソースには、モデル、変数、イベントタイプ、またはエンティティタイプを使用できます。

デュアルモード APIsIAM ポリシーのリソースレベルのアクセス許可をサポートします。ただし、リソースレベルのアクセス許可は、リクエストの一部として 1 つ以上のパラメータが指定されている場合にのみ適用されます。例えば、ユーザーが GetVariables API を呼び出して変数名を指定し、変数リソースまたは変数名に IAM 拒否ポリシーがアタッチされている場合、ユーザーはAccessDeniedExceptionエラーを受け取ります。ユーザーが GetVariables API を呼び出し、変数名を指定しない場合、すべての変数が返され、情報漏えいが発生する可能性があります。

ユーザーが特定のリソースの詳細のみを表示できるようにするには、IAM 拒否NotResourceポリシーで IAM ポリシー要素を使用します。このポリシー要素を IAM 拒否ポリシーに追加すると、ユーザーは NotResourceブロックで指定されたリソースの詳細のみを表示できます。詳細については、「IAM ユーザーガイド」の「IAM JSON ポリシー要素： NotResource」を参照してください。

次のポリシー例では、Amazon Fraud Detector のすべてのリソースへのアクセスをユーザーに許可します。ただし、NotResourceポリシー要素は、プレフィックス 、user*、job_*および を持つ変数名のみに GetVariables API コールを制限するために使用されますvar*。

{
 "Version": "2012-10-17",
 "Statement": [
  {
    "Effect": "Allow",
    "Action": "frauddetector:*",
    "Resource": "*"
  },
 {
    "Effect": "Deny",
    "Action": "frauddetector:GetVariables",
    "NotResource": [
       "arn:aws:frauddetector:*:*:variable/user*",
       "arn:aws:frauddetector:*:*:variable/job_*",
       "arn:aws:frauddetector:*:*:variable/var*"
    ]
  }
 ]
}         
         

レスポンス

このポリシー例では、レスポンスは以下の動作を示します。

タグに基づくアクセスの制限

このポリシーの例では、リソースタグに基づいて Amazon Fraud Detector へのアクセスを制限する方法を説明します。この例では、次のことを前提としています。

以下は、Project のキーと B の値を含むタグを持つ Amazon Fraud Detector リソースに対する特定のアクションを拒否するポリシーの例です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "frauddetector:*",
      "Resource": "*"
    },
    {
      "Effect": "Deny",

      "Action": [

        "frauddetector:CreateModel",
        "frauddetector:CancelBatchPredictionJob",
        "frauddetector:CreateBatchPredictionJob",
        "frauddetector:DeleteBatchPredictionJob",
        "frauddetector:DeleteDetector"
      ],

      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "B"
        }
      }
    }
  ]
}