Change Manager のロールとアクセス許可の設定

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで、Policies を選択し、Create Policy を選択します。

[ポリシーの作成] ページで [JSON] タブをクリックし、デフォルトのコンテンツを次のように置き換えます。これは次のステップで実際の Change Manager オペレーションで変更します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::delegated-admin-account-id:role/AWS-SystemsManager-job-functionAdministrationRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeDocument",
                "ssm:GetDocument",
                "ssm:StartChangeRequestExecution"
            ],
            "Resource": [
                "arn:aws:ssm:region:account-id:automation-definition/template-name:$DEFAULT",
                "arn:aws:ssm:region::document/template-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:ListOpsItemEvents",
                "ssm:GetOpsItem",
                "ssm:ListDocuments",
                "ssm:DescribeOpsItems"
            ],
            "Resource": "*"
        }
    ]
}

iam:PassRole アクションに対して、Resource 値を更新して Runbook ワークフローを開始するアクセス許可を付与する組織に対して定義されているすべてのジョブ関数の ARN を含めます。

region、account-id、template-name、delegated-admin-account-id、および job-function プレスホルダーを実際の Change Manager オペレーションの値で置き換えてください。

2 番目の Resource ステートメントでリストを更新して、アクセス許可を付与するすべての変更テンプレートを含めます。"Resource": "*" を指定して組織のすべての変更テンプレートにアクセス許可を付与することもできます。

[Next: Tags] (次へ: タグ) を選択します。

(オプション) 1 つ以上のタグキーと値のペアを追加して、このポリシーのアクセスを整理、追跡、または制御します。

[次へ: レビュー] を選択します。

[Review policy] (ポリシーの確認) ページの [Name] (名前) ボックスに MyChangeManagerAssumeRole などの名前を入力し、説明を入力します。

[ポリシーの作成] を選択し、「タスク 2: Change Manager のロールの継承を作成する」に進みます。

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで ロール を選択してから、ロールを作成する を選択します。

[Select trusted entity] (信頼できるエンティティを選択) で、次のように選択します。

[Next] を選択します。

[アタッチされたアクセス許可ポリシー] ページで、タスク 1: Change Manager のロールの継承ポリシーを作成する で作成したロールの継承 (MyChangeManagerAssumeRole など) を検索します。

ロールの継承ポリシー名の横にあるチェックボックスを選択し、[次へ: タグ] を選択します。

[Role name] (ロール名) に、新しいインスタンスプロファイルの名前 (MyChangeManagerAssumeRole など) を入力します。

(オプション) [Description] (説明) で、このインスタンスロールの説明を更新します。

(オプション) 1 つ以上のタグキーと値のペアを追加して、このロールのアクセスを整理、追跡、または制御します。

[次へ: レビュー] を選択します。

(オプション) [Tags] (タグ) で、1 つ以上のタグキーと値のペアを追加し、このロールのアクセスを整理、追跡、制御して、[Create role] (ロールの作成) を選択します。ロールページが再度表示されます。

[ロールの作成] を選択します。ロールページが再度表示されます。

ロール ページで作成したロールを選択して、概要 ページを開きます。

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで [Roles] (ロール) を選択します。

前のステップで作成した Change Manager のロールの継承 (MyChangeManagerAssumeRole など) を検索し、その名前を選択します。

ロールの継承の [Summary] (サマリー) ページで [Permissions] (アクセス許可) タブを選択します。

[Add permissions, Create inline policy] (アクセス許可の追加、インラインポリシーの作成) を選択します。

[ポリシーの作成] ページの [Visual editor] (ビジュアルエディタ) タブを選択します。

[サービス]、[IAM] の順に選択します。

[Filter actions (フィルタアクション)] テキストボックスに「PassRole」と入力し、[PassRole] オプションを選択します。

[リソース] を展開します。[Specific] (固有) が選択されていることを確認し、[Add ARN] (ARN の追加) を選択します。

[ロールの ARN を指定する] フィールドに、ロールの継承アクセス許可を渡す IAM インスタンスプロファイルロールまたは IAM サービスロールの ARN を入力します。システムによって、[アカウント] と [Role name with path (ロール名とパス)] フィールドが入力されます。

[Add] (追加) をクリックします。

[ポリシーの確認] を選択します。

[Name] (名前) に、このポリシーを識別する名前を入力し、[Create policy] (ポリシーの作成) を選択します。

AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで Roles (ロール) を選択します。

リストで、更新するロールの継承の名前 (MyChangeManagerAssumeRole など) を選択します。

[アクセス許可] タブを選択します。

[Add permissions, Create inline policy] (アクセス許可の追加、インラインポリシーの作成) を選択します。

[JSON] タブを選択します。

呼び出す AWS のサービスの JSON ポリシードキュメントを入力します。JSON ポリシードキュメントの 2 つの例を以下に示します。

Amazon S3 PutObject および GetObject の例

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}
        

Amazon EC2 CreateSnapshot および DescribeSnapShots の例

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":"ec2:CreateSnapshot",
         "Resource":"*"
      },
      {
         "Effect":"Allow",
         "Action":"ec2:DescribeSnapshots",
         "Resource":"*"
      }
   ]
}

IAM ポリシー言語の詳細については、IAM ユーザーガイドの「IAM JSON ポリシーリファレンス」を参照してください。

完了したら、[ポリシーの確認] を選択します。構文エラーがある場合は、Policy Validator (ポリシー検証) によってレポートされます。

[Name] (名前) に、作成するポリシーを識別する名前を入力します。ポリシーの [Summary] (概要) を参照して、ポリシーによって付与された許可を確認します。次に [ポリシーの作成] を選択して作業を保存します。

インラインポリシーを作成した後は、自動的にロールに埋め込まれます。