翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Snow Family デバイスでIAMローカルで使用する

AWS Identity and Access Management （IAM) は、 AWS Snowball Edge デバイスで実行される AWS リソースへのアクセスを安全に制御するのに役立ちます。を使用してIAM、誰が認証 (サインイン) され、誰がリソースの使用を認可 (アクセス許可あり) されているかを制御します。

IAM は、 デバイスでローカルでサポートされています。ローカルIAMサービスを使用して、新しいユーザーを作成し、IAMポリシーをアタッチできます。これらのポリシーを使用して、割り当てられたタスクの実行に必要なアクセスを許可できます。例えば、ユーザーにデータ転送機能を付与できますが、新しい Amazon EC2互換インスタンスを作成する機能を制限できます。

さらに、デバイス上で AWS Security Token Service （AWS STS) を使用して、ローカルのセッションベースの認証情報を作成できます。IAM サービスの詳細については、IAM「 ユーザーガイド」の「入門」を参照してください。

デバイスのルート認証情報を無効にすることはできません。また、アカウント内のポリシーを使用して AWS アカウント ルートユーザーへのアクセスを明示的に拒否することはできません。ルートユーザーアクセスキーを保護し、デバイスと日常的にやり取りするためのIAMユーザー認証情報を作成することをお勧めします。

Snowball Edge での AWS CLI および APIオペレーションの使用

Snowball Edge で IAM、 AWS STS、Amazon S3、Amazon EC2 コマンドを発行するために AWS CLI または APIオペレーションを使用する場合は、region「」として を指定する必要がありますsnow。 これは、次の例に示すように、 コマンド自体で aws configureまたは を使用して実行できます。

aws configure --profile abc
AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
AWS Secret Access Key [None]: 1234567
Default region name [None]: snow
Default output format [None]: json
        

または

aws iam list-users --profile snowballEdge --endpoint http://192.0.2.0:6078 --region snow 
        

Snowball Edge でサポートされているIAM AWS CLI コマンドのリスト

以下は、Snowball Edge デバイスでIAMサポートされている の AWS CLI コマンドとオプションのサブセットの説明です。コマンドまたはオプションが以下に示されていない場合、そのコマンドまたはオプションはサポートされていません。コマンドでサポートされていないパラメータについては、説明に記載されています。

Snow Family デバイスでサポートされているIAMAPIオペレーション

Snowball Edge で使用できるIAMAPIオペレーションを次に示します。IAMAPIリファレンスの説明へのリンクがあります。

Snow Family デバイスでサポートされているIAMポリシーバージョンと文法

以下は、IAMポリシーのローカルIAMサポートバージョン 2012-10-17 とポリシー文法のサブセットです。

IAM Snow Family デバイスのポリシー例

次に、Snowball Edge デバイスにアクセス許可を付与するポリシーの例を示します。

Snow Family デバイスのサンプルユーザーの GetUser 呼び出しを 経由で許可する IAM API

次のポリシーを使用して、 IAM を介したサンプルユーザーの GetUser 呼び出しを許可しますAPI。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "iam:GetUser",
            "Resource": "arn:aws:iam:::user/example-user"
        }
    ]
}

API Snow Family デバイスで Amazon S3 へのフルアクセスを許可する

次のポリシーを使用して、Amazon S3 へのフルアクセスを許可しますAPI。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
            
        }
    ]
}

Snow Family デバイス上の Amazon S3 バケットへの読み取りおよび書き込みアクセスの許可

特定のバケットへの読み取りおよび書き込みアクセスを許可するには、次のポリシーを使用します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListObjectsInBucket",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name"
        },
        {
            "Sid": "AllObjectActions",
            "Effect": "Allow",
            "Action": "s3:*Object",
            "Resource": "arn:aws:s3:::bucket-name/*"
        }
    ]
}

Snow Family デバイスの Amazon S3 バケットのリスト、取得、およびアクセスを許可する

次のポリシーを使用して、特定の S3 バケットへの List、Get、および Put アクセスを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

EC2 API Snow Family デバイスで Amazon へのフルアクセスを許可する

Amazon へのフルアクセスを許可するには、次のポリシーを使用しますEC2。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:*",
            "Resource": "*"
        }
    ]
}

Snow Family デバイスで Amazon EC2互換インスタンスを起動および停止するためのアクセスを許可する

次のポリシーを使用して、Amazon EC2インスタンスを開始および停止するためのアクセスを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*"
        }
    ]
}

Snow Family デバイスで への呼び出しを拒否する DescribeLaunchTemplates が、 DescribeImages へのすべての呼び出しを許可する

DescribeLaunchTemplates への呼び出しを拒否するが、DescribeImages へのすべての呼び出しを許可するには、次のポリシーを使用します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages"
            ],
            "Resource": "*"
        }
    ]
}

Snow Family デバイスでのAPI通話のポリシー

ユーザー定義のマネージドポリシーを含む、Snow デバイスで使用可能なすべてのマネージドポリシーを一覧表示します。詳細は、「list-policies」を参照してください。

aws iam list-policies --endpoint http://ip-address:6078 --profile snowballEdge --region snow
{
    "Policies": [
        {
            "PolicyName": "Administrator",
            "Description": "Root user admin policy for Account 123456789012",
            "CreateDate": "2020-03-04T17:44:59.412Z",
            "AttachmentCount": 1,
            "IsAttachable": true,
            "PolicyId": "policy-id",
            "DefaultVersionId": "v1",
            "Path": "/",
            "Arn": "arn:aws:iam::123456789012:policy/Administrator",
            "UpdateDate": "2020-03-04T19:10:45.620Z"
        }
    ]
}                                          

TrustPolicy Snow Family デバイスの例

信頼ポリシーは、通常アクセスできない AWS リソースにアクセスするために使用できる一連の一時的なセキュリティ認証情報を返します。これらの一時的な認証情報は、アクセスキー ID、シークレットアクセスキー、およびセキュリティトークンで構成されています。通常、クロスアカウントアクセスには、アカウントで AssumeRole を使用します。

以下に示しているのは、信頼ポリシーの例です。信頼ポリシーの詳細については、 リファレンスAssumeRoleの「」を参照してください。 AWS Security Token Service API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::AccountId:root" //You can use the Principal ID instead of the account ID. 
                ]
            },
            "Action": [
                "sts:AssumeRole"
            ]
        }
    ]
}