翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
と AWS IoT の仕組み IAM
IAM を使用して へのアクセスを管理する前に AWS IoT、 で使用できるIAM機能を理解しておく必要があります AWS IoT。 AWS IoT およびその他の AWS のサービスが とどのように連携するかの概要についてはIAM、 IAM ユーザーガイドのAWS 「 と連携する のサービスIAM」を参照してください。
AWS IoT アイデンティティベースのポリシー
IAM ID ベースのポリシーでは、許可または拒否されたアクションとリソース、およびアクションが許可または拒否される条件を指定できます。 は、特定のアクション、リソース、および条件キー AWS IoT をサポートします。JSON ポリシーで使用するすべての要素については、 IAM ユーザーガイドのIAMJSON「ポリシー要素リファレンス」を参照してください。
アクション
管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。
JSON ポリシーの Action要素は、ポリシー内のアクセスを許可または拒否するために使用できるアクションを記述します。ポリシーアクションは通常、関連付けられた AWS APIオペレーションと同じ名前です。一致するAPIオペレーションがないアクセス許可のみのアクションなど、いくつかの例外があります。また、ポリシーに複数のアクションが必要なオペレーションもあります。これらの追加アクションは、依存アクションと呼ばれます。
このアクションは、関連付けられたオペレーションを実行するための権限を付与するポリシーで使用されます。
次の表に、IAMIoT アクション、関連付けられた AWS IoT API、およびアクションが操作するリソースを示します。
| ポリシーアクション | AWS IoT API | リソース |
|---|---|---|
| iot:AcceptCertificateTransfer | AcceptCertificateTransfer |
注記で AWS アカウント 指定された は、証明書が転送されるアカウントARNである必要があります。 |
| iot:AddThingToThingGroup | AddThingToThingGroup |
|
| iot:AssociateTargetsWithJob | AssociateTargetsWithJob | なし |
| iot:AttachPolicy | AttachPolicy |
または
|
| iot:AttachPrincipalPolicy | AttachPrincipalPolicy |
|
| iot:AttachSecurityProfile | AttachSecurityProfile |
|
| iot:AttachThingPrincipal | AttachThingPrincipal |
|
| iot:CancelCertificateTransfer | CancelCertificateTransfer |
注記で AWS アカウント 指定された は、証明書が転送されるアカウントARNである必要があります。 |
| iot:CancelJob | CancelJob |
|
| iot:CancelJobExecution | CancelJobExecution |
|
| iot:ClearDefaultAuthorizer | ClearDefaultAuthorizer | なし |
| iot:CreateAuthorizer | CreateAuthorizer |
|
| iot:CreateCertificateFromCsr | CreateCertificateFromCsr | * |
| iot:CreateDimension | CreateDimension |
|
| iot:CreateJob | CreateJob |
|
| iot:CreateJobTemplate | CreateJobTemplate |
|
| iot:CreateKeysAndCertificate | CreateKeysAndCertificate | * |
| iot:CreatePolicy | CreatePolicy |
|
| iot:CreatePolicyVersion | CreatePolicyVersion |
注記これは AWS IoT ポリシーであって、IAMポリシーであってはなりません。 |
| iot:CreateRoleAlias | CreateRoleAlias |
（パラメータ: roleAlias）
|
| iot:CreateSecurityProfile | CreateSecurityProfile |
|
| iot:CreateThing | CreateThing |
|
| iot:CreateThingGroup | CreateThingGroup |
作成されているグループと親グループ用、使用されている場合 |
| iot:CreateThingType | CreateThingType |
|
| iot:CreateTopicRule | CreateTopicRule |
|
| iot:DeleteAuthorizer | DeleteAuthorizer |
|
| iot:DeleteCACertificate | DeleteCACertificate |
|
| iot:DeleteCertificate | DeleteCertificate |
|
| iot:DeleteDimension | DeleteDimension |
|
| iot:DeleteJob | DeleteJob |
|
| iot:DeleteJobTemplate | DeleteJobTemplate |
|
| iot:DeleteJobExecution | DeleteJobExecution |
|
| iot:DeletePolicy | DeletePolicy |
|
| iot:DeletePolicyVersion | DeletePolicyVersion |
|
| iot:DeleteRegistrationCode | DeleteRegistrationCode | * |
| iot:DeleteRoleAlias | DeleteRoleAlias |
|
| iot:DeleteSecurityProfile | DeleteSecurityProfile |
|
| iot:DeleteThing | DeleteThing |
|
| iot:DeleteThingGroup | DeleteThingGroup |
|
| iot:DeleteThingType | DeleteThingType |
|
| iot:DeleteTopicRule | DeleteTopicRule |
|
| iot:DeleteV2LoggingLevel | DeleteV2LoggingLevel |
|
| iot:DeprecateThingType | DeprecateThingType |
|
| iot:DescribeAuthorizer | DescribeAuthorizer |
（パラメータ: authorizerName） なし |
| iot:DescribeCACertificate | DescribeCACertificate |
|
| iot:DescribeCertificate | DescribeCertificate |
|
| iot:DescribeDefaultAuthorizer | DescribeDefaultAuthorizer | なし |
| iot:DescribeEndpoint | DescribeEndpoint | * |
| iot:DescribeEventConfigurations | DescribeEventConfigurations | なし |
| iot:DescribeIndex | DescribeIndex |
|
| iot:DescribeJob | DescribeJob |
|
| iot:DescribeJobExecution | DescribeJobExecution | なし |
| iot:DescribeJobTemplate | DescribeJobTemplate |
|
| iot:DescribeRoleAlias | DescribeRoleAlias |
|
| iot:DescribeThing | DescribeThing |
|
| iot:DescribeThingGroup | DescribeThingGroup |
|
| iot:DescribeThingRegistrationTask | DescribeThingRegistrationTask | なし |
| iot:DescribeThingType | DescribeThingType |
|
| iot:DetachPolicy | DetachPolicy |
または
|
| iot:DetachPrincipalPolicy | DetachPrincipalPolicy |
|
| iot:DetachSecurityProfile | DetachSecurityProfile |
|
| iot:DetachThingPrincipal | DetachThingPrincipal |
|
| iot:DisableTopicRule | DisableTopicRule |
|
| iot:EnableTopicRule | EnableTopicRule |
|
| iot:GetEffectivePolicies | GetEffectivePolicies |
|
| iot:GetIndexingConfiguration | GetIndexingConfiguration | なし |
| iot:GetJobDocument | GetJobDocument |
|
| iot:GetLoggingOptions | GetLoggingOptions | * |
| iot:GetPolicy | GetPolicy |
|
| iot:GetPolicyVersion | GetPolicyVersion |
|
| iot:GetRegistrationCode | GetRegistrationCode | * |
| iot:GetTopicRule | GetTopicRule |
|
| iot:ListAttachedPolicies | ListAttachedPolicies |
または
|
| iot:ListAuthorizers | ListAuthorizers | なし |
| iot:ListCACertificates | ListCACertificates | * |
| iot:ListCertificates | ListCertificates | * |
| iot:ListCertificatesByCA | ListCertificatesByCA | * |
| iot:ListIndices | ListIndices | なし |
| iot:ListJobExecutionsForJob | ListJobExecutionsForJob | なし |
| iot:ListJobExecutionsForThing | ListJobExecutionsForThing | なし |
| iot:ListJobs | ListJobs |
thingGroupName パラメータが使用されている場合 |
| iot:ListJobTemplates | ListJobs | なし |
| iot:ListOutgoingCertificates | ListOutgoingCertificates | * |
| iot:ListPolicies | ListPolicies | * |
| iot:ListPolicyPrincipals | ListPolicyPrincipals | * |
| iot:ListPolicyVersions | ListPolicyVersions |
|
| iot:ListPrincipalPolicies | ListPrincipalPolicies |
|
| iot:ListPrincipalThings | ListPrincipalThings |
|
| iot:ListRoleAliases | ListRoleAliases | なし |
| iot:ListTargetsForPolicy | ListTargetsForPolicy |
|
| iot:ListThingGroups | ListThingGroups | なし |
| iot:ListThingGroupsForThing | ListThingGroupsForThing |
|
| iot:ListThingPrincipals | ListThingPrincipals |
|
| iot:ListThingRegistrationTaskReports | ListThingRegistrationTaskReports | なし |
| iot:ListThingRegistrationTasks | ListThingRegistrationTasks | なし |
| iot:ListThingTypes | ListThingTypes | * |
| iot:ListThings | ListThings | * |
| iot:ListThingsInThingGroup | ListThingsInThingGroup |
|
| iot:ListTopicRules | ListTopicRules | * |
| iot:ListV2LoggingLevels | ListV2LoggingLevels | なし |
| iot:RegisterCACertificate | RegisterCACertificate | * |
| iot:RegisterCertificate | RegisterCertificate | * |
| iot:RegisterThing | RegisterThing | なし |
| iot:RejectCertificateTransfer | RejectCertificateTransfer |
|
| iot:RemoveThingFromThingGroup | RemoveThingFromThingGroup |
|
| iot:ReplaceTopicRule | ReplaceTopicRule |
|
| iot:SearchIndex | SearchIndex |
|
| iot:SetDefaultAuthorizer | SetDefaultAuthorizer |
|
| iot:SetDefaultPolicyVersion | SetDefaultPolicyVersion |
|
| iot:SetLoggingOptions | SetLoggingOptions |
|
| iot:SetV2LoggingLevel | SetV2LoggingLevel |
|
| iot:SetV2LoggingOptions | SetV2LoggingOptions |
|
| iot:StartThingRegistrationTask | StartThingRegistrationTask | なし |
| iot:StopThingRegistrationTask | StopThingRegistrationTask | なし |
| iot:TestAuthorization | TestAuthorization |
|
| iot:TestInvokeAuthorizer | TestInvokeAuthorizer | なし |
| iot:TransferCertificate | TransferCertificate |
|
| iot:UpdateAuthorizer | UpdateAuthorizer |
|
| iot:UpdateCACertificate | UpdateCACertificate |
|
| iot:UpdateCertificate | UpdateCertificate |
|
| iot:UpdateDimension | UpdateDimension |
|
| iot:UpdateEventConfigurations | UpdateEventConfigurations | なし |
| iot:UpdateIndexingConfiguration | UpdateIndexingConfiguration | なし |
| iot:UpdateRoleAlias | UpdateRoleAlias |
|
| iot:UpdateSecurityProfile | UpdateSecurityProfile |
|
| iot:UpdateThing | UpdateThing |
|
| iot:UpdateThingGroup | UpdateThingGroup |
|
| iot:UpdateThingGroupsForThing | UpdateThingGroupsForThing |
|
のポリシーアクションは、アクションの前に次のプレフィックス AWS IoT を使用します: iot:。例えば、 で に登録されているすべての IoT ListThings モノ AWS アカウント を一覧表示するアクセス許可をユーザーに付与するにはAPI、 iot:ListThings アクションをポリシーに含めます。ポリシーステートメントには、 Actionまたは NotAction element を含める必要があります。 は、このサービスで実行できるタスクを記述する独自のアクションセット AWS IoT を定義します。
単一ステートメントに複数アクションを指定するには、次のようにカンマで区切ります:
"Action": [ "ec2:action1", "ec2:action2"
ワイルドカード (*) を使用して複数アクションを指定できます。例えば、Describe という単語で始まるすべてのアクションを指定するには、次のアクションを含めます。
"Action": "iot:Describe*"
AWS IoT アクションのリストを確認するには、IAM「 ユーザーガイド」の「 で定義されるアクション AWS IoT」を参照してください。
Device Advisor のアクション
次の表に、IAMIoT Device Advisor アクション、関連する AWS IoT Device Advisor API、およびアクションが操作するリソースを示します。
| ポリシーアクション | AWS IoT API | リソース |
|---|---|---|
| iotdevice アドバイザー：CreateSuiteDefinition | CreateSuiteDefinition |
なし |
| iotdevice アドバイザー：DeleteSuiteDefinition | DeleteSuiteDefinition |
|
| iotdevice アドバイザー：GetSuiteDefinition | GetSuiteDefinition |
|
| iotdevice アドバイザー：GetSuiteRun | GetSuiteRun |
|
| iotdevice アドバイザー：GetSuiteRunReport | GetSuiteRunReport |
|
| iotdevice アドバイザー：ListSuiteDefinitions | ListSuiteDefinitions | なし |
| iotdevice アドバイザー：ListSuiteRuns | ListSuiteRuns |
|
| iotdevice アドバイザー：ListTagsForResource | ListTagsForResource |
|
| iotdevice アドバイザー：StartSuiteRun | StartSuiteRun |
|
| iotdevice アドバイザー：TagResource | TagResource |
|
| iotdevice アドバイザー：UntagResource | UntagResource |
|
| iotdevice アドバイザー：UpdateSuiteDefinition | UpdateSuiteDefinition |
|
| iotdevice アドバイザー：StopSuiteRun | StopSuiteRun |
|
AWS IoT Device Advisor のポリシーアクションでは、アクションの前に次のプレフィックスを使用します。 iotdeviceadvisor:例えば、 で に登録されているすべてのスイート定義を一覧表示するアクセス許可を誰かに付与するには AWS アカウント ListSuiteDefinitions API、 iotdeviceadvisor:ListSuiteDefinitions アクションをポリシーに含めます。
リソース
管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。
Resource JSON ポリシー要素は、アクションが適用されるオブジェクトを指定します。ステートメントには、Resource または NotResource 要素を含める必要があります。ベストプラクティスとして、Amazon リソースネーム (ARN) を使用してリソースを指定します。これは、リソースレベルの許可と呼ばれる特定のリソースタイプをサポートするアクションに対して実行できます。
オペレーションのリスト化など、リソースレベルの権限をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (*) を使用します。
"Resource": "*"
| ポリシーアクション | AWS IoT API | リソース |
|---|---|---|
| iot:AcceptCertificateTransfer | AcceptCertificateTransfer |
注記で AWS アカウント 指定された は、証明書が転送されるアカウントARNである必要があります。 |
| iot:AddThingToThingGroup | AddThingToThingGroup |
|
| iot:AssociateTargetsWithJob | AssociateTargetsWithJob | なし |
| iot:AttachPolicy | AttachPolicy |
または
|
| iot:AttachPrincipalPolicy | AttachPrincipalPolicy |
|
| iot:AttachThingPrincipal | AttachThingPrincipal |
|
| iot:CancelCertificateTransfer | CancelCertificateTransfer |
注記で AWS アカウント 指定された は、証明書が転送されるアカウントARNである必要があります。 |
| iot:CancelJob | CancelJob |
|
| iot:CancelJobExecution | CancelJobExecution |
|
| iot:ClearDefaultAuthorizer | ClearDefaultAuthorizer | なし |
| iot:CreateAuthorizer | CreateAuthorizer |
|
| iot:CreateCertificateFromCsr | CreateCertificateFromCsr | * |
| iot:CreateJob | CreateJob |
|
| iot:CreateJobTemplate | CreateJobTemplate |
|
| iot:CreateKeysAndCertificate | CreateKeysAndCertificate | * |
| iot:CreatePolicy | CreatePolicy |
|
| CreatePolicyVersion | iot:CreatePolicyVersion |
注記これは AWS IoT ポリシーであって、IAMポリシーであってはなりません。 |
| iot:CreateRoleAlias | CreateRoleAlias |
（パラメータ: roleAlias）
|
| iot:CreateThing | CreateThing |
|
| iot:CreateThingGroup | CreateThingGroup |
作成されているグループと親グループ用、使用されている場合 |
| iot:CreateThingType | CreateThingType |
|
| iot:CreateTopicRule | CreateTopicRule |
|
| iot:DeleteAuthorizer | DeleteAuthorizer |
|
| iot:DeleteCACertificate | DeleteCACertificate |
|
| iot:DeleteCertificate | DeleteCertificate |
|
| iot:DeleteJob | DeleteJob |
|
| iot:DeleteJobExecution | DeleteJobExecution |
|
| iot:DeleteJobTemplate | DeleteJobTemplate |
|
| iot:DeletePolicy | DeletePolicy |
|
| iot:DeletePolicyVersion | DeletePolicyVersion |
|
| iot:DeleteRegistrationCode | DeleteRegistrationCode | * |
| iot:DeleteRoleAlias | DeleteRoleAlias |
|
| iot:DeleteThing | DeleteThing |
|
| iot:DeleteThingGroup | DeleteThingGroup |
|
| iot:DeleteThingType | DeleteThingType |
|
| iot:DeleteTopicRule | DeleteTopicRule |
|
| iot:DeleteV2LoggingLevel | DeleteV2LoggingLevel |
|
| iot:DeprecateThingType | DeprecateThingType |
|
| iot:DescribeAuthorizer | DescribeAuthorizer |
（パラメータ: authorizerName） なし |
| iot:DescribeCACertificate | DescribeCACertificate |
|
| iot:DescribeCertificate | DescribeCertificate |
|
| iot:DescribeDefaultAuthorizer | DescribeDefaultAuthorizer | なし |
| iot:DescribeEndpoint | DescribeEndpoint | * |
| iot:DescribeEventConfigurations | DescribeEventConfigurations | なし |
| iot:DescribeIndex | DescribeIndex |
|
| iot:DescribeJob | DescribeJob |
|
| iot:DescribeJobExecution | DescribeJobExecution | なし |
| iot:DescribeJobTemplate | DescribeJobTemplate |
|
| iot:DescribeRoleAlias | DescribeRoleAlias |
|
| iot:DescribeThing | DescribeThing |
|
| iot:DescribeThingGroup | DescribeThingGroup |
|
| iot:DescribeThingRegistrationTask | DescribeThingRegistrationTask | なし |
| iot:DescribeThingType | DescribeThingType |
|
| iot:DetachPolicy | DetachPolicy |
または
|
| iot:DetachPrincipalPolicy | DetachPrincipalPolicy |
|
| iot:DetachThingPrincipal | DetachThingPrincipal |
|
| iot:DisableTopicRule | DisableTopicRule |
|
| iot:EnableTopicRule | EnableTopicRule |
|
| iot:GetEffectivePolicies | GetEffectivePolicies |
|
| iot:GetIndexingConfiguration | GetIndexingConfiguration | なし |
| iot:GetJobDocument | GetJobDocument |
|
| iot:GetLoggingOptions | GetLoggingOptions | * |
| iot:GetPolicy | GetPolicy |
|
| iot:GetPolicyVersion | GetPolicyVersion |
|
| iot:GetRegistrationCode | GetRegistrationCode | * |
| iot:GetTopicRule | GetTopicRule |
|
| iot:ListAttachedPolicies | ListAttachedPolicies |
または
|
| iot:ListAuthorizers | ListAuthorizers | なし |
| iot:ListCACertificates | ListCACertificates | * |
| iot:ListCertificates | ListCertificates | * |
| iot:ListCertificatesByCA | ListCertificatesByCA | * |
| iot:ListIndices | ListIndices | なし |
| iot:ListJobExecutionsForJob | ListJobExecutionsForJob | なし |
| iot:ListJobExecutionsForThing | ListJobExecutionsForThing | なし |
| iot:ListJobs | ListJobs |
thingGroupName パラメータが使用されている場合 |
| iot:ListJobTemplates | ListJobTemplates | なし |
| iot:ListOutgoingCertificates | ListOutgoingCertificates | * |
| iot:ListPolicies | ListPolicies | * |
| iot:ListPolicyPrincipals | ListPolicyPrincipals |
|
| iot:ListPolicyVersions | ListPolicyVersions |
|
| iot:ListPrincipalPolicies | ListPrincipalPolicies |
|
| iot:ListPrincipalThings | ListPrincipalThings |
|
| iot:ListRoleAliases | ListRoleAliases | なし |
| iot:ListTargetsForPolicy | ListTargetsForPolicy |
|
| iot:ListThingGroups | ListThingGroups | なし |
| iot:ListThingGroupsForThing | ListThingGroupsForThing |
|
| iot:ListThingPrincipals | ListThingPrincipals |
|
| iot:ListThingRegistrationTaskReports | ListThingRegistrationTaskReports | なし |
| iot:ListThingRegistrationTasks | ListThingRegistrationTasks | なし |
| iot:ListThingTypes | ListThingTypes | * |
| iot:ListThings | ListThings | * |
| iot:ListThingsInThingGroup | ListThingsInThingGroup |
|
| iot:ListTopicRules | ListTopicRules | * |
| iot:ListV2LoggingLevels | ListV2LoggingLevels | なし |
| iot:RegisterCACertificate | RegisterCACertificate | * |
| iot:RegisterCertificate | RegisterCertificate | * |
| iot:RegisterThing | RegisterThing | なし |
| iot:RejectCertificateTransfer | RejectCertificateTransfer |
|
| iot:RemoveThingFromThingGroup | RemoveThingFromThingGroup |
|
| iot:ReplaceTopicRule | ReplaceTopicRule |
|
| iot:SearchIndex | SearchIndex |
|
| iot:SetDefaultAuthorizer | SetDefaultAuthorizer |
|
| iot:SetDefaultPolicyVersion | SetDefaultPolicyVersion |
|
| iot:SetLoggingOptions | SetLoggingOptions | * |
| iot:SetV2LoggingLevel | SetV2LoggingLevel | * |
| iot:SetV2LoggingOptions | SetV2LoggingOptions | * |
| iot:StartThingRegistrationTask | StartThingRegistrationTask | なし |
| iot:StopThingRegistrationTask | StopThingRegistrationTask | なし |
| iot:TestAuthorization | TestAuthorization |
|
| iot:TestInvokeAuthorizer | TestInvokeAuthorizer | なし |
| iot:TransferCertificate | TransferCertificate |
|
| iot:UpdateAuthorizer | UpdateAuthorizer |
|
| iot:UpdateCACertificate | UpdateCACertificate |
|
| iot:UpdateCertificate | UpdateCertificate |
|
| iot:UpdateEventConfigurations | UpdateEventConfigurations | なし |
| iot:UpdateIndexingConfiguration | UpdateIndexingConfiguration | なし |
| iot:UpdateRoleAlias | UpdateRoleAlias |
|
| iot:UpdateThing | UpdateThing |
|
| iot:UpdateThingGroup | UpdateThingGroup |
|
| iot:UpdateThingGroupsForThing | UpdateThingGroupsForThing |
|
の形式の詳細についてはARNs、「Amazon リソースネーム (ARNs）」および AWS 「サービス名前空間」を参照してください。
リソースを作成するためのアクションなど、特定のリソースに対して実行できない AWS IoT アクションもあります。このような場合は、ワイルドカード *を使用する必要があります。
"Resource": "*"
AWS IoT リソースタイプとその のリストを確認するにはARNs、「 ユーザーガイド」の「 で定義されるリソース AWS IoT」を参照してください。 IAM 各リソースARNの を指定できるアクションについては、「 で定義されるアクション AWS IoT」を参照してください。
Device Advisor のリソース
AWS IoT Device Advisor IAMポリシーのリソースレベルの制限を定義するには、スイート定義とスイート実行に次のリソースARN形式を使用します。
- スイート定義リソースARN形式
-
arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id - スイート実行リソースARN形式
-
arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
条件キー
管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルが、どのリソースに対してどのような条件下でアクションを実行できるかということです。
Condition 要素 (または Condition ブロック) を使用すると、ステートメントが有効な条件を指定できます。Condition 要素はオプションです。イコールや未満などの 条件演算子 を使用して条件式を作成することで、ポリシーの条件とリクエスト内の値を一致させることができます。
1 つのステートメントに複数の Condition 要素を指定する場合、または 1 つの Condition 要素に複数のキーを指定する場合、 AWS では AND 論理演算子を使用してそれらを評価します。1 つの条件キーに複数の値を指定すると、 は論理ORオペレーションを使用して条件 AWS を評価します。ステートメントの権限が付与される前にすべての条件が満たされる必要があります。
条件を指定する際にプレースホルダー変数も使用できます。例えば、IAMユーザー名でタグ付けされている場合にのみ、リソースにアクセスするアクセス許可をIAMユーザーに付与できます。詳細については、「 ユーザーガイド」のIAM「ポリシー要素: 変数とタグ」を参照してください。 IAM
AWS は、グローバル条件キーとサービス固有の条件キーをサポートします。すべての AWS グローバル条件キーを確認するには、 ユーザーガイドのAWS 「グローバル条件コンテキストキー」を参照してください。 IAM
AWS IoT は独自の条件キーのセットを定義し、一部のグローバル条件キーの使用もサポートします。すべての AWS グローバル条件キーを確認するには、 IAM ユーザーガイドのAWS 「グローバル条件コンテキストキー」を参照してください。
| AWS IoT 条件キー | 説明 | タイプ |
|---|---|---|
aws:RequestTag/${ |
ユーザーが AWS IoTに対して行うリクエストに含まれるタグキー。 | 文字列 |
aws:ResourceTag/${ |
AWS IoT リソースにアタッチされたタグのタグキーコンポーネント。 | 文字列 |
aws:TagKeys |
リクエスト内のリソースに関連付けられているすべてのタグキー名のリスト。 | 文字列 |
AWS IoT 条件キーのリストを確認するには、 IAM ユーザーガイドの「 の条件キー AWS IoT」を参照してください。条件キーを使用できるアクションとリソースについては、「 で定義されるアクション AWS IoT」を参照してください。
例
AWS IoT ID ベースのポリシーの例を表示するには、「」を参照してくださいAWS IoT ID ベースのポリシーの例。
AWS IoT リソースベースのポリシー
リソースベースのポリシーは、指定されたプリンシパルが AWS IoT リソースに対して実行できるアクションと条件を指定するJSONポリシードキュメントです。
AWS IoT はIAMリソースベースのポリシーをサポートしていません。ただし、 AWS IoT リソースベースのポリシーをサポートしています。詳細については、「AWS IoT Core ポリシー」を参照してください。
AWS IoT タグに基づく認可
AWS IoT リソースにタグをアタッチしたり、 へのリクエストでタグを渡すことができます AWS IoT。タグに基づいてアクセスを制御するには、iot:ResourceTag/、key-nameaws:RequestTag/、または key-nameaws:TagKeys の条件キーを使用して、ポリシーの条件要素でタグ情報を提供します。詳細については、「IAM ポリシーでのタグの使用」を参照してください。 AWS IoT リソースのタグ付けの詳細については、「」を参照してくださいAWS IoT リソースのタグ付け。
リソースのタグに基づいてリソースへのアクセスを制限するためのアイデンティティベースポリシーの例を表示するには、「タグに基づく AWS IoT リソースの表示」を参照してください。
AWS IoT IAM ロール
IAM ロールは、特定のアクセス許可 AWS アカウント を持つ 内のエンティティです。
での一時的な認証情報の使用 AWS IoT
一時的な認証情報を使用して、フェデレーションでサインインしたり、IAMロールを引き受けたり、クロスアカウントロールを引き受けたりすることができます。AssumeRole や などのオペレーションを呼び出す AWS STS APIことで、一時的なセキュリティ認証情報を取得しますGetFederationToken。
AWS IoT は一時的な認証情報の使用をサポートしています。
サービスリンクロール
サービスにリンクされたロールを使用すると、 AWS サービスが他のサービスのリソースにアクセスして、ユーザーに代わってアクションを実行できます。サービスにリンクされたロールはIAMアカウントに表示され、サービスによって所有されます。IAM 管理者は、サービスにリンクされたロールのアクセス許可を表示できますが、編集することはできません。
AWS IoT は、サービスにリンクされたロールをサポートしていません。
サービスロール
この機能により、ユーザーに代わってサービスがサービスロールを引き受けることが許可されます。このロールにより、サービスがお客様に代わって他のサービスのリソースにアクセスし、アクションを完了することが許可されます。サービスロールはIAMアカウントに表示され、アカウントによって所有されます。つまり、IAM管理者はこのロールのアクセス許可を変更できます。ただし、それにより、サービスの機能が損なわれる場合があります。
