AWS IoT ジョブを使用するためにユーザーとクラウドサービスを承認する

次の表は、IAMポリシーアクションとAPIアクションを使用するアクセス許可のリストを示しています。リソースタイプの詳細については、「 で定義されるリソースタイプ AWS IoT」を参照してください。アクションの詳細については AWS IoT 、「 で定義されるアクション AWS IoT」を参照してください。

次の例は、IoT モノとモノのグループに対して次のアクションを実行するアクセス許可をユーザーに付与するIAMポリシーを示しています。

この例では、次のように置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "iot:CreateJobTemplate",
                "iot:CreateJob",
                ],
            "Effect": "Allow",
            "Resource": "arn:aws:iot:region:account-id:thinggroup/thing-group-name"
        },
        {
            "Action": [
                "iot:DescribeJob",
                "iot:CancelJob",
                "iot:DeleteJob",
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iot:region:account-id:job/*"
        },
        {
            "Action": [
                "iot:DescribeJobExecution",
                "iot:CancelJobExecution",
                "iot:DeleteJobExecution",
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iot:region:account-id:thing/thing-name"
                "arn:aws:iot:region:account-id:job/*"
            ]
        }
    ]
}

プリンシパルが特定の IP アドレスからコントロールプレーンエンドポイントをAPI呼び出すことを制限できます。許可できる IP アドレスを指定するには、IAMポリシーの条件要素でグローバルaws:SourceIp条件キーを使用します。

この条件キーを使用すると、 など、ユーザーに代わってこれらのAPI呼び出しを行うこと AWS のサービスを他の へのアクセスを拒否することもできます AWS CloudFormation。これらのサービスへのアクセスを許可するには、aws:SourceIp key で aws:ViaAWSService グローバル条件キーを使用します。これにより、送信元 IP アドレスのアクセス制限は、プリンシパルによって直接行われた要求にのみ適用されます。詳細については、AWS「: ソース IP AWS に基づいて へのアクセスを拒否する」を参照してください。

次の例は、コントロールプレーンエンドポイントをAPI呼び出すことができる特定の IP アドレスのみを許可する方法を示しています。aws:ViaAWSService キーは に設定されておりtrue、他の サービスがユーザーに代わって をAPI呼び出すことができます。

{            
   "Version": "2012-10-17",
   "Statement": [
       {
            "Effect": "Allow",
            "Action": [
                "iot:CreateJobTemplate",
                "iot:CreateJob"
             ],
            "Resource": ["*"],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "123.45.167.89"
                }
            },            
            "Bool": {"aws:ViaAWSService": "true"}
        }
    ],
}           

承認する必要があるAPIオペレーションは通常、CLIコマンドを入力することで実行されます。ユーザーが DescribeJobExecution オペレーションを実行した場合の例を以下に示します。

この例では、次のように置き換えます。

aws iot-jobs-data describe-job-execution \ 
    --endpoint-url "https://account-id.jobs.iot.region.amazonaws.com" \ 
    --job-id jobID --thing-name thing-name
            

以下に、このアクションを承認するサンプルIAMポリシーを示します。

{
    "Version": "2012-10-17",
    "Statement": 
    {
        "Action": ["iotjobsdata:DescribeJobExecution"],
        "Effect": "Allow",
        "Resource": "arn:aws:iot:region:account-id:thing/thing-name",
    }
   }

プリンシパルが特定の IP アドレスからデータプレーンエンドポイントをAPI呼び出すことを制限できます。許可できる IP アドレスを指定するには、IAMポリシーの条件要素でグローバルaws:SourceIp条件キーを使用します。

この条件キーを使用すると、 など、ユーザーに代わってこれらのAPI呼び出しを行うこと AWS のサービスを他の へのアクセスを拒否することもできます AWS CloudFormation。これらのサービスへのアクセスを許可するには、aws:ViaAWSService グローバル条件キーを aws:SourceIp 条件キーで使用します。これにより、IP アドレスのアクセス制限は、プリンシパルによって直接行われた要求にのみ適用されます。詳細については、AWS「: ソース IP AWS に基づいて へのアクセスを拒否する」を参照してください。

次の例は、データプレーンエンドポイントをAPI呼び出すことができる特定の IP アドレスのみを許可する方法を示しています。

{            
   "Version": "2012-10-17",
   "Statement": [
       {
            "Effect": "Allow",
            "Action": ["iotjobsdata:*"],
            "Resource": ["*"],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "123.45.167.89"
                }
            },            
            "Bool": {"aws:ViaAWSService": "false"}
        }
    ],
}           

次の例は、特定の IP アドレスまたはアドレス範囲がデータプレーンエンドポイントをAPI呼び出すのを制限する方法を示しています。

{            
   "Version": "2012-10-17",
   "Statement": [
       {
            "Effect": "Deny",
            "Action": ["iotjobsdata:*"],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "123.45.167.89",
                        "192.0.2.0/24", 
                        "203.0.113.0/24"                        
                    ]
                }
            },
            "Resource": ["*"],
        }
    ],
}

コントロールプレーンとデータプレーンの両方で API オペレーションを実行する場合、コントロールプレーンポリシーアクションは iot: プレフィックスを使用し、データプレーンポリシーアクションは iotjobsdata: プレフィックスを使用する必要があります。

例えば、 DescribeJobExecution API はコントロールプレーンとデータプレーンの両方で使用できます。コントロールプレーンでは、 DescribeJobExecution API を使用してジョブ実行を記述します。データプレーンでは、 DescribeJobExecution API を使用してジョブ実行の詳細を取得します。

次のIAMポリシーは、コントロールプレーンとデータプレーンDescribeJobExecutionAPIの両方で を使用するアクセス許可をユーザーに付与します。

この例では、次のように置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": ["iotjobsdata:DescribeJobExecution"],
            "Effect": "Allow",
            "Resource": "arn:aws:iot:region:account-id:thing/thing-name"
        },
        {
            "Action": [
                "iot:DescribeJobExecution",
                "iot:CancelJobExecution",
                "iot:DeleteJobExecution",
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iot:region:account-id:thing/thing-name"
                "arn:aws:iot:region:account-id:job/*"
            ]
        }
    ]            
}

タグ付け許可を付与する次のIAMポリシー例を参照してください。

例 1

次のコマンドを実行してジョブを作成し、特定の環境にタグ付けするユーザー。

この例では、以下を置き換えます。

aws iot create-job 
    --job-id test_job 
    --targets "arn:aws:iot:region:account-id:thing/thingOne"
    --document-source "https://s3.amazonaws.com/amzn-s3-demo-bucket/job-document.json"
    --description "test job description" 
    --tags Key=environment,Value=beta

この例では、次のIAMポリシーを使用する必要があります。

{
    "Version": "2012-10-17",
    "Statement": 
    {
        "Action": [ "iot:CreateJob", "iot:CreateJobTemplate", "iot:TagResource" ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:iot:aws-region:account-id:job/*",
            "arn:aws:iot:aws-region:account-id:jobtemplate/*"
        ]
    }
}