コンソールを使用して Automation 用のサービスロールを作成する

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで ロール を選択し、続いて ロールを作成する を選択します。

[Select type of trusted entity ] (信頼されたエンティティの種類を選択) の下で、[AWS service ] (AWS サービス) を選択します。

[Choose a use case (ユースケースの選択)] セクションで、[Systems Manager] を選択し、[Next: Permissions (次へ: アクセス許可)] を選択します。

[Attached permissions policy] ページで [AmazonSSMAutomationRole] を検索して選択したら、[Next: Review] を選択します。

[Review (確認)] ページの [Role name (ロール名)] ボックスに名前を入力し、続いて説明を入力します。

[ロールの作成] を選択します。ロールページが再度表示されます。

ロール ページで作成したロールを選択して、概要 ページを開きます。[ロール名] と [ロール ARN] を書き留めます。ロール ARN は、次の手順で iam:PassRole ポリシーを IAM アカウントにアタッチするときに指定します。ランブックでロール名と ARN を指定することもできます。

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで [Roles] (ロール) を選択します。

アカウントのロールのリストから、オートメーションのサービスロールの名前を選択します。

[Trust relationships] タブを選択し、続いて [Edit trust relationship] を選択します。

オートメーション用の aws:SourceArn と aws:SourceAccount のグローバル条件コンテキストキーを使用して「混乱した代理の問題」を防止するために信頼ポリシーを修正します。

[Update Trust Policy] (信頼ポリシーの更新) をクリックし、変更を保存します。

AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで [Roles (ロール) ] を選択します。

リストで編集するロールの名前を選択します。

[Permissions] タブを選択します。

[アクセス許可の追加] ドロップダウンで、[ポリシーをアタッチする] または [インラインポリシーの作成] を選択します。

[ポリシーをアタッチする] を選択した場合、追加するポリシーの横にあるチェックボックスを選択して [アクセス許可の追加] を選択します。

[ポリシーの作成] を選択し、[JSON] タブを選択します。

呼び出す AWS のサービスの JSON ポリシードキュメントを入力します。JSON ポリシードキュメントの 2 つの例を以下に示します。

Amazon S3 PutObject と GetObject の例

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}
        

Amazon EC2 CreateSnapshot と DescribeSnapShots の例

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ec2:CreateSnapshot",
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":"ec2:DescribeSnapshots",
         "Resource":"*"
      }
   ]
}

IAM ポリシー言語の詳細については、IAM ユーザーガイドの「IAM JSON ポリシーリファレンス」を参照してください。

完了したら、[ポリシーの確認] を選択します。構文エラーがある場合は、Policy Validator (ポリシー検証) によってレポートされます。

[ポリシーの確認] ページで、作成するポリシーの [名前] を入力します。ポリシーの [概要] を確認して、ポリシーで許可されている権限を確認します。次に [ポリシーの作成] を選択して作業を保存します。

インラインポリシーを作成した後は、自動的にロールに埋め込まれます。

作成したロールの [Summary] ページで [Permissions] タブを選択します。

[Add inline policy] を選択します。

[ポリシーの作成] ページの [Visual editor] (ビジュアルエディタ) タブを選択します。

[サービス]、[IAM] の順に選択します。

[アクションの選択] を選択します。

[Filter actions (フィルタアクション)] テキストボックスに「PassRole」と入力し、[PassRole] オプションを選択します。

[リソース] を選択します。[Specific] (固有) が選択されていることを確認し、[Add ARN] (ARN の追加) を選択します。

[Specify ARN for role] (ロールの ARN の指定) フィールドに、タスク 1 の終わりでコピーした自動化ロールの ARN を貼り付けます。システムによって、[アカウント] と [Role name with path (ロール名とパス)] フィールドが入力されます。

[Add] (追加) をクリックします。

[Review policy (ポリシーの確認)] を選択します。

[Review Policy (ポリシーの確認)] ページに名前を入力し、[Create Policy (ポリシーの作成)] を選択します。