Amazon VPC Reachability Analyzer と AWS Organizations

Reachability Analyzer は、仮想プライベートクラウド (VPC) 内のソースリソースと送信先リソース間の接続テストを実行できるようにする設定分析ツールです。

Reachability Analyzer で AWS Organizations を使用すると、組織内のアカウント間のパスを追跡できます。

詳細については、「Reachability Analyzer user guide」の「Manage delegated administrator accounts in Reachability Analyzer」を参照してください。

AWS Organizations と Reachability Analyzer の統合には、次の情報を参考にしてください。

統合を有効にする際に作成されるサービスにリンクされたロール

信頼されたアクセスを有効にすると、以下のサービスにリンクされたロールが組織の管理アカウントに自動的に作成されます。このロールにより、Reachability Analyzer は組織内のアカウントでサポートされているオペレーションを実行できます。

このロールを削除または変更できるのは、Reachability Analyzer と Organizations 間の信頼されたアクセスを無効にする場合、または組織からメンバーアカウントを削除する場合だけです。

詳細については、「Reachability Analyzer ユーザーガイド」の「Cross-account analyses for Reachability Analyzer」(Reachability Analyzer のクロスアカウント分析) を参照してください。

サービスにリンクされたロールで使用されるサービスプリンシパル

前のセクションで説明したサービスにリンクされたロールを引き受けることができるのは、ロールに定義された信頼関係によって承認されたサービスプリンシパルだけです。Reachability Analyzer によって使用されるサービスにリンクされたロールには、次のサービスプリンシパルへのアクセス許可が付与されます。

Reachability Analyzer で信頼されたアクセスを有効にするには

信頼されたアクセスの有効化に必要な権限に関しては、信頼されたアクセスを有効にするために必要なアクセス許可 を参照してください。

Reachability Analyzer の委任管理者を指定すると、組織の Reachability Analyzer に対する信頼されたアクセスが自動的に有効になります。

組織でこのサービスの委任管理者にするメンバーアカウントを指定するにあたり、Reachability Analyzer には AWS Organizations への信頼されたアクセスが必要です。

信頼されたアクセスの有効化には、AWS Organizations コンソールを使用する方法、AWS CLI コマンドを実行する方法、いずれかの AWS SDK で API オペレーションを呼び出す方法があります。

AWS Management Console

Organizations コンソールを使用して信頼されたアクセスを有効にするには

1. AWS Organizations コンソールにサイン・インします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、ルートユーザーとしてサインインする (推奨されません) 必要があります。

2. [サービス] ページで、[VPC Reachability Analyzer] の行を探し、サービスの名前を選択してから [信頼されたアクセスを有効化] を選択します。

3. 確認ダイアログボックスで、[Show the option to enable trusted access] (信頼されたアクセスを有効にするオプションを表示する) を有効にし、ボックスに「enable」と入力してから、[Enable trusted access] (信頼されたアクセスを有効にする) を選択します。

4. AWS Organizations だけの管理者である場合は、Reachability Analyzer の管理者に、コンソールを使用してそのサービスを有効にし、AWS Organizations と連携させて使用できるようになったことを知らせます。

AWS CLI, AWS API

Organizations CLI/SDK を使用して信頼されたアクセスを有効にするには

信頼されたサービスのアクセスを有効にするには、次の AWS CLI コマンドまたは API オペレーションを使用できます。

• AWS CLI: enable-aws-service-access

  次のコマンドを実行し、Reachability Analyzer を Organizations で信頼されたサービスとして有効にできます。

  $ aws organizations enable-aws-service-access \ 
      --service-principal reachabilityanalyzer.networkinsights.amazonaws.com

  このコマンドが成功した場合、出力は生成されません。

• AWS API: EnableAWSServiceAccess

Reachability Analyzer で信頼されたアクセスを無効にするには

信頼されたアクセスの無効化に必要なアクセス権限に関しては、信頼されたアクセスを無効にするために必要なアクセス許可 を参照してください。

Reachability Analyzer コンソール (推奨) または Organizations コンソールを使用して、信頼されたアクセスを無効にできます。Reachability Analyzer コンソールを使用して信頼されたアクセスを無効にするには、「Reachability Analyzer ユーザーガイド」の「Cross-account analyses for Reachability Analyzer」(Reachability Analyzer のクロスアカウント分析) を参照してください。

Reachability Analyzer 用の委任管理者アカウントの有効化

委任管理者アカウントは、組織内のどのリソースでも接続分析を実行できます。詳細については、「Reachability Analyzer ユーザーガイド」の「Reachability Analyzer を AWS Organizations と統合する」を参照してください。

Reachability Analyzer の委任管理者を設定できるのは、組織の管理アカウントの管理者のみです。

委任管理者アカウントは、Reachability Analyzer コンソールから、または RegisterDelegatedAdministrator API を使用して指定できます。詳細については、「Organizations Command Reference」(Organizations コマンドリファレンス) で、「RegisterDelegatedAdministrator」を参照してください。

Reachability Analyzer コンソールを使用して委任管理者を設定するには、「Reachability Analyzer ユーザーガイド」の「Reachability Analyzer を AWS Organizations と統合する」を参照してください。

Reachability Analyzer 用の委任管理者の無効化

Reachability Analyzer の委任管理者を設定できるのは、組織の管理アカウントの管理者のみです。

Reachability Analyzer コンソールまたは API、あるいは Organizations DeregisterDelegatedAdministrator CLI または SDK オペレーションを使用して、委任管理者アカウントを削除できます。

Reachability Analyzer コンソールを使用して委任管理者の Reachability Analyzer アカウントを無効にするには、「Reachability Analyzer ユーザーガイド」の「Cross-account analyses for Reachability Analyzer」(Reachability Analyzer のクロスアカウント分析) を参照してください。