Amazon Lightsail のサービスにリンクされたロールのアクセス許可 Amazon Lightsail のサービスにリンクされたロールの作成 Amazon Lightsail のサービスにリンクされたロールの編集 Amazon Lightsail のサービスにリンクされたロールの削除 Amazon Lightsail サービスにリンクされたロールでサポートされているリージョン

Amazon Lightsail のサービスにリンクされたロールを使用する

Amazon Lightsail は AWS Identity and Access Management (IAM) サービスにリンクされたロールを使用します。サービスにリンクされたロールは、Amazon Lightsail に直接リンクされた一意のタイプの IAM ロールです。サービスにリンクされたロールは Amazon Lightsail によって事前定義されており、Lightsail がユーザーに代わって他の AWS サービスを呼び出すために必要なすべてのアクセス許可が含まれています。

サービスにリンクされたロールを使用すると、必要なアクセス許可を手動で追加する必要がなくなるため、Amazon Lightsail の設定が簡単になります。Amazon Lightsail は、サービスにリンクされたロールのアクセス許可を定義します。特に定義されている場合を除き、Amazon Lightsail のみがそのロールを引き受けることができます。定義されたアクセス許可には、他の IAM エンティティにアタッチできない信頼ポリシーとアクセス許可ポリシーが含まれます。

サービスリンクロールは、まずその関連リソースを削除しなければ削除できません。これによりAmazon Lightsail リソースへのアクセス許可が誤って削除されないため、Amazon Lightsail リソースが保護されます。

サービスリンクロールをサポートする他のサービスについては、「IAM と連携する AWS サービス」で「サービスリンクロール」列が「はい」になっているサービスを探してください。サービスのサービスリンクロールに関するドキュメンテーションを表示するには、[Yes] (はい) リンクを選択します。

Amazon Lightsail のサービスにリンクされたロールのアクセス許可

Amazon Lightsail は、 AWSServiceRoleForLightsail — という名前のサービスにリンクされたロールを使用して、Lightsail インスタンスとブロックストレージディスクスナップショットを Amazon Elastic Compute Cloud (Amazon EC2) にエクスポートし、Amazon Simple Storage Service (Amazon S3) から現在のアカウントレベルのブロックパブリックアクセス設定を取得します。

AWSServiceRoleForLightsail サービスにリンクされたロールは、次のサービスを信頼してロールを引き受けます。

lightsail.amazonaws.com

ロールのアクセス許可ポリシーにより、Amazon Lightsail は指定されたリソースに対して次のアクションを実行できます。

アクション: すべての AWS リソースec2:CopySnapshotで。
アクション: すべての AWS リソースec2:DescribeSnapshotsで。
アクション: すべての AWS リソースec2:CopyImageで。
アクション: すべての AWS リソースec2:DescribeImagesで。
アクション: cloudformation:DescribeStacksすべての AWS AWS CloudFormation スタックで。
アクション: すべての AWS リソースs3:GetAccountPublicAccessBlockで。

サービスリンクロールのアクセス許可

IAM; エンティティ (ユーザー、グループ、ロールなど) がサービスにリンクされたロールの説明を作成または編集できるようにするには、アクセス許可を設定する必要があります。

特定のサービスにリンクされたロールの作成を IAM エンティティに許可するには

サービスにリンクされたロールを作成する必要のある IAM エンティティに、次のポリシーを追加します。



{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*",
            "Condition": {"StringLike": {"iam:AWSServiceName": "lightsail.amazonaws.com"}}
        },
        {
            "Effect": "Allow",
            "Action": "iam:PutRolePolicy",
            "Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*"
        }
    ]
}

IAM エンティティがサービスにリンクされた任意のロールを作成することを許可するには

サービスにリンクされたロール、または必要なポリシーを含む任意のサービスロールを作成する必要のある IAM エンティティのアクセス許可ポリシーに、次のステートメントを追加します。このポリシーにより、ロールにポリシーがアタッチされます。



{
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/*"
}

IAM エンティティが任意のサービスロールの説明を編集することを許可するには

サービスにリンクされたロール、または任意のサービスロールの説明を編集する必要のある IAM エンティティのアクセス許可ポリシーに、次のステートメントを追加します。



{
    "Effect": "Allow",
    "Action": "iam:UpdateRoleDescription",
    "Resource": "arn:aws:iam::*:role/aws-service-role/*"
}

IAM エンティティがサービスにリンクされた特定のロールを削除することを許可するには

サービスにリンクされたロールを削除する必要のある IAM エンティティのアクセス許可ポリシーに、次のステートメントを追加します。



{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/lightsail.amazonaws.com/AWSServiceRoleForLightsail*"
}

IAM エンティティがサービスロールを削除することを許可するには

サービスにリンクされたロール、または任意のサービスロールを削除する必要のある IAM; エンティティのアクセス許可ポリシーに、次のステートメントを追加します。



{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/*"
}

または、 AWS マネージドポリシーを使用して、サービスへのフルアクセスを提供することもできます。

Amazon Lightsail のサービスにリンクされたロールの作成

サービスリンクロールを手動で作成する必要はありません。Lightsail インスタンスまたはブロックストレージディスクスナップショットを Amazon EC2 にエクスポートするか、、 AWS CLI、または AWS API で Lightsail AWS AWS Management Consoleバケットを作成または更新すると、Amazon Lightsail によってサービスにリンクされたロールが作成されます。

このサービスにリンクされたロールを削除した後に、そのロールを再作成する必要がある場合は、同じプロセスを使用してアカウントでロールを再作成することができます。Lightsail インスタンスまたはブロックストレージディスクスナップショットを Amazon EC2 にエクスポートするか、Lightsail バケットを作成または更新すると、Amazon Lightsail によってサービスにリンクされたロールが再度作成されます。

重要

Amazon Lightsail がサービスにリンクされたロールを作成できるようにするには、IAM アクセス許可を設定する必要があります。これを行うには、次の「サービスにリンクされたロールのアクセス許可」セクションのステップを実行します。

Amazon Lightsail のサービスにリンクされたロールの編集

Amazon Lightsail では、 AWSServiceRoleForLightsail サービスにリンクされたロールを編集することはできません。サービスリンクロールを作成した後は、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用したロールの説明の編集はできます。詳細については、「IAM ユーザーガイド」の「サービスリンクロールの編集」を参照してください。

Amazon Lightsail のサービスにリンクされたロールの削除

サービスリンクロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。そうすることで、モニタリングや保守が積極的に行われていない未使用のエンティティを排除できます。ただし、サービスにリンクされたロールを削除する AWSServiceRoleForLightsail前に、保留中のコピー状態の Amazon Lightsail インスタンスまたはディスクスナップショットがないことを確認する必要があります。詳細については、「スナップショットを Amazon EC2 にエクスポートする」を参照してください。

サービスにリンクされたロールを IAM で手動削除するには

IAM コンソール、、または AWS API を使用して AWS CLI、 AWSServiceRoleForLightsail サービスにリンクされたロールを削除します。詳細については、「IAM ユーザーガイド」の「サービスリンクロールの削除」を参照してください。

Amazon Lightsail サービスにリンクされたロールでサポートされているリージョン

Amazon Lightsail は、サービスが利用可能なすべてのリージョンでサービスにリンクされたロールの使用をサポートしています。Lightsail が利用可能なリージョンの詳細については、Amazon Lightsailリージョン」を参照してください。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

リソースレベルのアクセス許可ポリシーの例

IAM でバケットを管理する