Amazon Keyspaces と の連携方法 IAM - Amazon Keyspaces (Apache Cassandra 向け)
Amazon Keyspaces のアイデンティティベースポリシーAmazon Keyspaces のリソースベースポリシーAmazon Keyspaces タグに基づいた認可Amazon Keyspaces IAMロール

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Keyspaces と の連携方法 IAM

IAM を使用して Amazon Keyspaces へのアクセスを管理する前に、Amazon Keyspaces で使用できるIAM機能を理解しておく必要があります。Amazon Keyspaces およびその他の AWS のサービスが と連携する方法の概要を把握するにはIAM、「 IAMユーザーガイド」の「 AWS と連携する のサービスIAM」を参照してください。

Amazon Keyspaces のアイデンティティベースポリシー

IAM アイデンティティベースのポリシーでは、許可または拒否されたアクションとリソース、およびアクションが許可または拒否される条件を指定できます。Amazon Keyspaces は、特定のアクション、リソース、および条件キーをサポートしています。JSON ポリシーで使用するすべての要素については、「 ユーザーガイド」の「 IAMJSONポリシー要素のリファレンスIAM」を参照してください。

アクセスIAM許可ポリシーに使用できる Amazon Keyspaces のサービス固有のリソースとアクション、および条件コンテキストキーを確認するには、「サービス認証リファレンス」の「Amazon Keyspaces (Apache Cassandra 向け) のアクション、リソース、および条件キー」を参照してください。

アクション

管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

JSON ポリシーの Action要素は、ポリシーでアクセスを許可または拒否するために使用できるアクションを記述します。ポリシーアクションの名前は通常、関連する AWS APIオペレーションと同じです。一致するAPIオペレーションがないアクセス許可のみのアクションなど、いくつかの例外があります。また、ポリシーに複数のアクションが必要なオペレーションもあります。これらの追加アクションは、依存アクションと呼ばれます。

このアクションは、関連付けられたオペレーションを実行するための権限を付与するポリシーで使用されます。

Amazon Keyspaces のポリシーアクションは、アクションの前にプレフィックス cassandra: を使用します。例えば、Amazon Keyspaces CREATECQLステートメントを使用して Amazon Keyspaces キースペースを作成するアクセス許可を付与するには、ポリシーに cassandra:Createアクションを含めます。ポリシーステートメントには、Action または NotAction 要素を含める必要があります。Amazon Keyspaces は、このサービスで実行できるタスクを記述する独自のアクションのセットを定義します。

単一ステートメントに複数アクションを指定するには、次のようにカンマで区切ります:

"Action": [
      "cassandra:CREATE",
      "cassandra:MODIFY"
          ]

Amazon Keyspaces アクションのリストを確認するには、『Service Authorization Reference (サービス認可リファレンス)』の「Actions Defined by Amazon Keyspaces (for Apache Cassandra) (Amazon Keyspaces (Apache Cassandra 向け) で定義されるアクション)」を参照してください。

リソース

管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

Policy ResourceJSON要素は、アクションが適用されるオブジェクトを指定します。ステートメントには、Resource または NotResource 要素を含める必要があります。ベストプラクティスとして、Amazon リソースネーム (ARN) を使用してリソースを指定します。これは、リソースレベルの許可と呼ばれる特定のリソースタイプをサポートするアクションに対して実行できます。

オペレーションのリスト化など、リソースレベルの権限をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (*) を使用します。

"Resource": "*"

Amazon Keyspaces では、キースペースとテーブルを IAM アクセス許可の Resource要素で使用できます。

Amazon Keyspaces キースペースリソースには、次の がありますARN。

arn:${Partition}:cassandra:${Region}:${Account}:/keyspace/${KeyspaceName}/

Amazon Keyspaces テーブルリソースには、次の がありますARN。

arn:${Partition}:cassandra:${Region}:${Account}:/keyspace/${KeyspaceName}/table/${tableName}

の形式の詳細についてはARNs、「Amazon リソースネーム (ARNs）」および AWS 「サービス名前空間」を参照してください。

例えば、 ステートメントでmykeyspaceキー空間を指定するには、次の を使用しますARN。

"Resource": "arn:aws:cassandra:us-east-1:123456789012:/keyspace/mykeyspace/"

特定のアカウントに属するすべてのキースペースを指定するには、ワイルドカード (*) を使用します。

"Resource": "arn:aws:cassandra:us-east-1:123456789012:/keyspace/*"

リソースを作成するためのアクションなど、Amazon Keyspaces アクションには特定のリソースで実行できないものがあります。このような場合は、ワイルドカード *を使用する必要があります。

"Resource": "*"

標準ドライバーを使用してプログラムで Amazon Keyspaces に接続するには、ほとんどのドライバーが接続時にシステムキースペース/テーブルを読み取るため、プリンシパルがシステムテーブルSELECTにアクセスできる必要があります。例えば、 mytableの のIAMユーザーにSELECT許可を付与するにはmykeyspace、プリンシパルに mytableと の両方を読み取る許可が必要ですsystem keyspace。1 つのステートメントで複数のリソースを指定するには、 をカンマARNsで区切ります。

"Resource": "arn:aws:cassandra:us-east-1:111122223333:/keyspace/mykeyspace/table/mytable",
            "arn:aws:cassandra:us-east-1:111122223333:/keyspace/system*"

Amazon Keyspaces リソースタイプとその のリストを確認するにはARNs、「サービス認証リファレンス」の「Amazon Keyspaces (Apache Cassandra 向け) で定義されるリソース」を参照してください。各リソースARNの を指定できるアクションについては、「Amazon Keyspaces (Apache Cassandra 向け) で定義されるアクション」を参照してください。

条件キー

管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルが、どのリソースに対してどのような条件下でアクションを実行できるかということです。

Condition 要素 (または Condition ブロック) を使用すると、ステートメントが有効な条件を指定できます。Condition 要素はオプションです。イコールや未満などの 条件演算子 を使用して条件式を作成することで、ポリシーの条件とリクエスト内の値を一致させることができます。

1 つのステートメントに複数の Condition 要素を指定する場合、または 1 つの Condition 要素に複数のキーを指定する場合、 AWS では AND 論理演算子を使用してそれらを評価します。1 つの条件キーに複数の値を指定すると、 は論理ORオペレーションを使用して条件 AWS を評価します。ステートメントの権限が付与される前にすべての条件が満たされる必要があります。

条件を指定する際にプレースホルダー変数も使用できます。例えば、リソースにIAMユーザー名でタグ付けされている場合にのみ、リソースへのアクセス許可をIAMユーザーに付与できます。詳細については、「 ユーザーガイド」のIAM「ポリシー要素: 変数とタグIAM」を参照してください。

AWS は、グローバル条件キーとサービス固有の条件キーをサポートします。すべての AWS グローバル条件キーを確認するには、「 ユーザーガイド」のAWS 「 グローバル条件コンテキストキーIAM」を参照してください。

Amazon Keyspaces では独自の条件キーが定義されており、また一部のグローバル条件キーの使用がサポートされています。すべての AWS グローバル条件キーを確認するには、「 ユーザーガイド」のAWS 「 グローバル条件コンテキストキーIAM」を参照してください。

すべての Amazon Keyspaces アクションでは、aws:RequestTag/${TagKey}、aws:ResourceTag/${TagKey} および aws:TagKeys 条件キーがサポートされます。詳細については、「 タグに基いた Amazon Keyspaces リソースアクセス」を参照してください。

Amazon Keyspaces の条件キーのリストを確認するには、『Service Authorization Reference (サービス認可リファレンス)』の「Condition Keys for Amazon Keyspaces (for Apache Cassandra)」(Amazon Keyspaces (Apache Cassandra 向け) の条件キー) を参照してください。どのアクションおよびリソースと条件キーを使用できるかについては、「Actions Defined by Amazon Keyspaces (for Apache Cassandra) (Amazon Keyspaces (Apache Cassandra 向け)」で定義されるアクション) を参照してください。

例

Amazon Keyspaces のアイデンティティベースポリシーの例は、「Amazon Keyspaces のアイデンティティベースポリシーの例」でご確認ください。

Amazon Keyspaces のリソースベースポリシー

Amazon Keyspaces では、リソースベースのポリシーはサポートされていません。詳細なリソースベースポリシーのページの例については、「https://docs.aws.amazon.com/lambda/latest/dg/access-control-resource-based.html」を参照してください。

Amazon Keyspaces タグに基づいた認可

タグを使用して Amazon Keyspaces リソースへのアクセスを管理することができます。タグに基づいてリソースアクセスを管理するには、cassandra:ResourceTag/key-name、aws:RequestTag/key-name、または aws:TagKeys の条件キーを使用して、ポリシーの条件要素でタグ情報を提供します。Amazon Keyspaces リソースのタグ付けの詳細については、「Amazon Keyspaces リソースのタグとラベルの使用」を参照してください。

リソースのタグに基づいてリソースへのアクセスを制限するためのアイデンティティベースのポリシーの例を表示するには、「 タグに基いた Amazon Keyspaces リソースアクセス」を参照してください。

Amazon Keyspaces IAMロール

IAM ロールは、特定のアクセス許可 AWS アカウント を持つ 内のエンティティです。

Amazon Keyspaces での一時認証情報の使用

一時的な認証情報を使用して、フェデレーションでサインインしたり、 IAM ロールを引き受けたり、クロスアカウントロールを引き受けたりすることができます。一時的なセキュリティ認証情報を取得するには、 AssumeRoleや などのオペレーションを呼び出し AWS STS APIますGetFederationToken。

Amazon Keyspaces では、Github リポジトリから入手できる AWS Signature Version 4 (SigV4) 認証プラグインによる一時的な認証情報を次の言語で使用できます。

Amazon Keyspaces にプログラムでアクセスするための認証プラグインを実装する例とチュートリアルについては、「」を参照してくださいCassandra クライアントドライバーを使用した Amazon Keyspaces へのプログラムアクセス。

サービスリンクロール

サービスにリンクされたロールを使用すると、 AWS サービスが他のサービスのリソースにアクセスして、ユーザーに代わってアクションを実行できます。サービスにリンクされたロールはIAMアカウントに表示され、サービスによって所有されます。IAM 管理者は、サービスにリンクされたロールのアクセス許可を表示できますが、編集することはできません。

Amazon Keyspaces のサービスリンクロールの作成または管理の詳細については、「Amazon Keyspaces のサービスリンクロールの使用」を参照してください。

サービスロール

Amazon Keyspaces ではサービスロールがサポートされていません。