会話ログの IAM ポリシー - Amazon Lex V1
会話ログ用の IAM ロールとポリシーの作成IAM ロールを渡すアクセス許可の付与

Amazon Lex V2 を使用している場合は、代わりに Amazon Lex V2 ガイドを参照してください。

 

Amazon Lex V1 を使用している場合は、ボットを Amazon Lex V2 にアップグレードすることをお勧めします。V1 には新機能を追加されませんので、すべての新しいボットには V2 を使用することを強くお勧めします。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

会話ログの IAM ポリシー

選択したログ記録のタイプに応じて、Amazon Lex には、ログを保存するために Amazon CloudWatch Logs と Amazon Simple Storage Service (S3) バケットを使用するアクセス許可が必要です。これらのリソースに Amazon Lex がアクセスできるようにするには、AWS Identity and Access Management ロールとアクセス許可を作成する必要があります。

会話ログ用の IAM ロールとポリシーの作成

会話ログを有効にするには、CloudWatch Logs および Amazon S3 の書き込み権限を付与する必要があります。S3 オブジェクトのオブジェクト暗号化を有効にする場合は、オブジェクトの暗号化に使用する AWS KMS キーへのアクセス許可を付与する必要があります。

IAM AWS Management Console、IAM API あるいは AWS Command Line Interface を使用して、ロールポリシーを作成して埋め込むことができます。この手順では、AWS CLI を使用してロールとポリシーを作成します。コンソールを使用しての ポリシーの作成の詳細については、「AWS Identity and Access Management User Guide」(AWS Identity and Access Management ユーザーガイド) の「Creating policies on the JSON tab」(JSON タブでポリシーを作成する) を参照してください。

注記

次のコードは、Linux と MacOS 用にフォーマットされています。Windows の場合、Linux 行連結記号 (\) をキャレット (^) に置き換えます。

会話ログの IAM ロールを作成するには

  1. LexConversationLogsAssumeRolePolicyDocument.json という現在のディレクトリにドキュメントを作成し、次のコードを追加して保存します。このポリシードキュメントは、信頼されたエンティティとしてロールに Amazon Lex を追加します。これにより、Lex は、会話ログ用に設定されたリソースにログを配信するロールを引き受けることができます。

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "lex.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

  2. AWS CLI で、次のコマンドを実行して、会話ログの IAM ロールを作成します。

    aws iam create-role \
    --role-name role-name \
    --assume-role-policy-document file://LexConversationLogsAssumeRolePolicyDocument.json

次に、Amazon Lex が CloudWatch Logs に書き込むことができるロールにポリシーを作成し、アタッチします。

会話テキストを CloudWatch Logs にログ記録するための IAM ポリシーを作成するには

  1. LexConversationLogsCloudWatchLogsPolicy.json という現在のディレクトリにドキュメントを作成し、次の IAM ポリシーを追加して保存します。

    {
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
              "logs:CreateLogStream",
              "logs:PutLogEvents"
          ],
          "Resource": "arn:aws:logs:region:account-id:log-group:log-group-name:*"
      }
  ]
}

  2. AWS CLI で、CloudWatch Logs ロググループに書き込み権限を付与する IAM ポリシーを作成します。

    aws iam create-policy \
    --policy-name cloudwatch-policy-name \
    --policy-document file://LexConversationLogsCloudWatchLogsPolicy.json

  3. 会話ログ用に作成した IAM ロールにポリシーをアタッチします。

    aws iam attach-role-policy \
    --policy-arn arn:aws:iam::account-id:policy/cloudwatch-policy-name \
    --role-name role-name

オーディオを S3 バケットにログ記録する場合は、Amazon Lex がバケットに書き込むことを可能にするポリシーを作成します。

S3 バケットへのオーディオログ記録のための IAM ポリシーを作成するには

  1. LexConversationLogsS3Policy.json という現在のディレクトリにドキュメントを作成し、次のポリシーを追加して保存します。

    {
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
              "s3:PutObject"
          ],
          "Resource": "arn:aws:s3:::bucket-name/*"
      }
  ]
}

  2. AWS CLI で、S3 バケットへの書き込みアクセス権限を付与する IAM ポリシーを作成します。

    aws iam create-policy \
    --policy-name s3-policy-name \
    --policy-document file://LexConversationLogsS3Policy.json

  3. 会話ログ用に作成したロールにポリシーをアタッチします。

    aws iam attach-role-policy \
    --policy-arn arn:aws:iam::account-id:policy/s3-policy-name \
    --role-name role-name

IAM ロールを渡すアクセス許可の付与

コンソール、AWS Command Line Interface、または AWS SDK を使用して会話ログに使用する IAM ロールを指定する場合、会話ログ IAM ロールを指定するユーザーには、ロールを Amazon Lex に渡すアクセス許可が必要です。ユーザーが Amazon Lex サービスにロールを渡すには、ユーザー、ロール、またはグループに PassRole アクセス許可を付与する必要があります。

次のポリシーは、ユーザー、ロール、またはグループに付与するアクセス許可を定義します。iam:AssociatedResourceArn 条件キーと iam:PassedToService 条件キーを使用して、アクセス許可の範囲を制限できます。詳細については、「AWS Identity and Access Management ユーザーガイド」の「AWS サービスに IAM とAWS STS Condition Context Keys ロールを渡す許可をユーザーに付与する」をご覧ください。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/role-name",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "lex.amazonaws.com"
                },
                "StringLike": {
                    "iam:AssociatedResourceARN": "arn:aws:lex:region:account-id:bot:bot-name:bot-alias"
                }
            }
        }
    ]
}