説明される AWS Migration Hub 認証とアクセスコントロール

AWS Migration Hub リソースへのアクセス許可の管理の概要

すべての AWS リソースは AWS アカウントによって所有され、となり、リソースの作成またはアクセスは、アクセス権限のポリシーによって管理されます。アカウント管理者は、アクセス許可ポリシーを IAM ID （ユーザー、グループ、ロール）にアタッチし、アクセス許可ポリシーをリソースにアタッチすることもできます。

アクセス権限を付与する場合、アクセス権限を取得するユーザー、取得するアクセス権限の対象となるリソース、およびそれらのリソースに対して許可される特定のアクションを決定します。

AWS Migration Hub リソースおよびオペレーション

AWS Migration Hub では、プライマリリソースは、Migration Hub ProgressUpdateStreamです。 このリソースには、次の表に示すように、一意の Amazon リソースネーム (ARN) が関連付けられています。

AWS Migration Hub には、Migration Hub リソースを操作するための一連のオペレーションが用意されています。使用可能なオペレーションのリストについては、「Actions」を参照してください。

リソース所有権について

リソース所有者は、リソースを作成した AWS アカウントです。つまり、リソース所有者は、リソースの作成リクエストを認証するプリンシパルエンティティ (ルートアカウント、IAM ユーザー、または IAM ロール) の AWS アカウントです。以下の例では、このしくみを示しています。

リソースへのアクセスの管理

アクセスポリシーでは、誰が何にアクセスできるかを記述します。以下のセクションで、アクセス権限のポリシーを作成するために使用可能なオプションについて説明します。

IAM アイデンティティにアタッチされたポリシーはアイデンティティベースのポリシー（IAM ポリシー）と呼ばれ、リソースにアタッチされたポリシーはリソースベースのポリシーと呼ばれます。AWS Migration Hub はアイデンティティベースのポリシー（IAM ポリシー）をサポートしていません。「リソースベースのポリシー」を参照してください。

アイデンティティベースのポリシー (IAM ポリシー)

ポリシーを IAM アイデンティティにアタッチできます。たとえば、次の操作を実行できます。

すべてのリソースの Migration Hub アクション mgh:NotifyMigrationTaskState のアクセス許可を付与するポリシーの例を次に示します。

{
  "Version": "2017-03-31",
  "Statement": {
    "Effect": "Allow",
    "Action":[
      "mgh:NotifyMigrationTaskState"
    ],
    "Resource": "*"
      
  }
}        

Migration Hub でアイデンティティベースのポリシーを使用する方法の詳細については、「AWS Migration Hub でアイデンティティベースのポリシー（IAM ポリシー）を使用する」を参照してください。ユーザー、グループ、ロール、アクセス権限の詳細については、IAM ユーザーガイド の「アイデンティティ (ユーザー、グループ、ロール)」を参照してください。

リソースベースのポリシー

Amazon S3 などの他のサービスでは、リソースベースのアクセス権限ポリシーもサポートされています。たとえば、ポリシーを S3 バケットにアタッチして、そのバケットに対するアクセス許可を管理できます。Migration Hub はリソースベースのポリシーをサポートしていません。ただし、リソースへの参照は引き続き表示されることに注意してください。これが、 リソースベースのアクセス許可とリソースレベルのアクセス許可には違いがある理由です。

リソースベースのアクセス許可は、リソースに直接アタッチするアクセス許可です。一方、リソースレベルのアクセス許可は、ユーザーまたはロールがアクションを実行できるリソースを ID ベースのアクセス許可内で指定するだけです。したがって、Migration Hub アクセス許可についてリソースへの参照が作成されると、リソースレベルの アクセス許可のこのコンテキスト内になります。

ポリシー要素の指定 : アクション、効果、プリンシパル

サービスは、Migration Hub リソースごとに一連の API オペレーションを定義します。こうした API オペレーションへのアクセス許可を付与するために、Migration Hub は一連のアクションをポリシーに定義します。一部の API オペレーションは、API オペレーションを実行するために複数のアクションに対するアクセス許可を要求できます。リソースおよび API オペレーションに関する詳細については、「AWS Migration Hub リソースおよびオペレーション」および「Migration Hub Actions」を参照してください。

以下は、最も基本的なポリシーの要素です。

IAM ポリシーの構文と説明についての詳細については、IAM ユーザーガイド の「AWS IAM ポリシーリファレンス」を参照してください。

すべての AWS Migration Hub API アクションとそれらが適用されるリソースの表については、「AWS Migration Hub API のアクセス許可: アクションとリソースのリファレンス」を参照してください。

ポリシーでの条件の指定

アクセス権限を付与するとき、IAM ポリシー言語を使用して、ポリシーが有効になる必要がある条件を指定できます。たとえば、特定の日付の後にのみ適用されるポリシーが必要になる場合があります。ポリシー言語での条件の指定の詳細については、IAM ユーザーガイドの「条件」を参照してください。

条件を表すには、あらかじめ定義された条件キーを使用します。Migration Hub に固有の条件キーはありません。ただし、AWS 全体の条件キーがあり、必要に応じて使用できます。AWS 全体を対象とするすべてのキーのリストについては、『IAM ユーザーガイド』の「条件に利用可能なキー」を参照してください。

AWS Migration Hub でアイデンティティベースのポリシー（IAM ポリシー）を使用する

このトピックでは、アカウント管理者が IAM アイデンティティ（ユーザー、グループ、ロール）へのアクセス許可ポリシーをアタッチする、アイデンティティベースのポリシーについて説明します。

このセクションでは、次のトピックを対象としています。

以下に示しているのは、アクセス権限ポリシーの例です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "mgh:AssociateCreatedArtifact",
                "mgh:NotifyApplicationState",
                "mgh:ListDiscoveredResources"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:mgh:us-west-2:account_num:ProgressUpdateStreamName/DMS/*"
        }
    ]
}

次に、移行ツールを承認する信頼ポリシーを定義する必要があります。この例では、AWS Database Migration Service (DMS) がロールを引き受けます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "dms.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
        

このポリシーは、アクセス許可ポリシーと信頼ポリシーの 2 つの部分に実装されます。

すべての AWS Migration Hub API アクションとそれらが適用されるリソースと条件の表については、「AWS Migration Hub API のアクセス許可: アクションとリソースのリファレンス」を参照してください。

AWS Migration Hub コンソールおよび API を使用するために必要なアクセス許可

AWS Migration Hub コンソールは、ユーザーと API が Migration Hub リソースを作成し、移行を管理するための統合環境を提供します。コンソールには、アクセスするために特定のアクセス許可を必要とする多くの機能とワークフローが用意されています。これらのアクセス許可を実装する最善の方法は、マネージドポリシーを使用することです。「コンソールと API マネージドアクセス」を参照してください。

また、「AWS Migration Hub API のアクセス許可: アクションとリソースのリファレンス」で説明されている API 固有のアクセス許可もあります。

AWS Migration Hub での AWS マネージド（事前定義）ポリシー

AWS は、AWS によって作成され管理されるスタンドアロンの IAM ポリシーが提供する多くの一般的ユースケースに対応します。これらの AWS マネージドポリシーは、一般的ユースケースに必要なアクセス許可を付与することで、どの権限が必要なのかをユーザーが調査する必要をなくすことができます。

アカウントのユーザーにアタッチ可能な以下の AWS マネージドポリシーは、Migration Hub に固有のもので、ユースケースシナリオ別にグループ化されます。

独自のカスタム IAM ポリシーを作成して、Migration Hub のアクションとリソースのためのアクセス許可を許可することもできます。こうしたカスタムポリシーは、該当するアクセス権限が必要な IAM ユーザーまたはグループにアタッチできます。

AWS Migration Hub 信頼ポリシー

信頼ポリシーは、プリンシパルがロールのアクセス許可ポリシーを引き受けるか、使用することを承認するだけです。AWS アカウント（「ルート」ユーザー）、IAM ユーザー、またはロールをプリンシパルにすることができます。Migration Hub では、信頼ポリシーをアクセス許可ポリシーに手動で追加する必要があります。

したがって、IAM ロールごとに 2 つの個別のポリシーを作成する必要があります。