AWS AWS Transform の マネージドポリシー

Amazon CloudWatch – AWS/TransformCustom名前空間で CloudWatch へのメトリクスの発行を許可します。これにより、CloudWatch ダッシュボードの変換数、レイテンシー、ステータスコードをモニタリングできます。

Amazon CloudWatch Logs – ロググループの作成、ログストリーム、保持ポリシーの設定、ロググループへの/aws/TransformCustomログイベントの発行を許可します。これにより、変換中に発生した問題を可視化できます。

CloudFormation – AWSTransform で始まる名前の CloudFormation スタックの作成、更新、削除、説明を許可します。スタックオペレーションは CreatedBy: AWSTransform でタグ付けされたリソースに制限され、同じ AWS アカウントに限定されます。

Amazon EC2 – VPCs、サブネット、セキュリティグループ、イメージ、インスタンス、ルートテーブル、インターネットゲートウェイの説明を許可します。CloudFormation を介して呼び出された場合にのみ、EC2 インスタンスの実行、開始、停止、終了、変更を許可します。タグの作成は、CloudFormation オペレーション中にのみ、特定の許可されたタグキーに制限されます。

AWS Identity and Access Management (IAM) – AWSTransform デプロイインスタンスの特定の IAM ロールを取得して渡すことを許可します。ロールポリシーと添付ファイルを検査するアクセス許可が含まれています。アクセスは同じ AWS アカウントに制限されています。

Amazon EC2 Systems Manager (SSM) – AWSマネージドパラメータストアから Amazon Linux AMI パラメータを取得し、AWSTransform タグ付きインスタンスにコマンドを送信できるようにします。

Amazon S3 – バケットの一覧表示や同じ AWS アカウント内のバケットの場所の取得など、AWSTransform デプロイバケット内のオブジェクトの管理を許可します。

AWS Key Management Service (KMS) – AWSTransform にタグ付けされた KMS キーを使用した暗号化および復号オペレーションを許可します。S3 および EC2 サービスの使用に制限があります。

CloudFormation – AWSTransform で始まる名前の CloudFormation スタックの作成、更新、削除、説明を許可します。スタックオペレーションは CreatedBy: AWSTransform でタグ付けされたリソースに制限され、同じ AWS アカウントに限定されます。

Amazon ECS – ECS クラスター、サービス、タスク定義の作成、更新、削除を許可します。実行中のタスク、タスクの一覧表示、タスクステータスの記述を許可します。すべてのオペレーションは、AWSTransform で始まり、CreatedBy: AWSTransform でタグ付けされた名前のリソースに制限されます。

AWS Identity and Access Management (IAM) – ECS タスク (AWSTransform-Deploy-ECS-Task-Role および AWSTransform-Deploy-ECS-Execution-Role) の特定の IAM ロールを取得して渡すことを許可します。ロールポリシーを検査し、必要に応じて ECS サービスにリンクされたロールを作成するアクセス許可が含まれています。

Amazon CloudWatch Logs – /aws/ecs/AWSTransform で始まる名前のロググループの作成、削除、管理を許可します。デプロイされたアプリケーションをトラブルシューティングするためのログイベントの取得を許可します。

Amazon ECR – アプリケーションコンテナイメージを保存するための awstransform で始まる名前のコンテナリポジトリの作成を許可します。

AWS Key Management Service (KMS) – カスタマー管理の KMS キーを使用する場合に、ECR 暗号化用の許可の作成とデータキーの生成を許可します。

AWS Transform Custom – すべての AWS Transform カスタムリソースに対するすべてのアクションを許可します。これにより、サービスへの完全な管理アクセスが提供されます。

AWS Identity and Access Management (IAM) – AWS Transform カスタムサービスにリンクされたロール () の作成を許可しますAWSServiceRoleForAWSTransformCustom。このロールは、 AWS 変換カスタムが CloudWatch メトリクスとログをアカウントに出力するために必要です。アクセス許可は、この特定のサービスにリンクされたロールの作成のみを許可するようにスコープされています。

AWS カスタム変換 – ストリーミング会話、変換の実行、キャンペーンの管理を許可します。キャンペーンの詳細の取得、キャンペーンリポジトリのステータスの更新、キャンペーンの更新を行うアクセス許可が含まれます。

AWS Identity and Access Management (IAM) – AWS 変換カスタムサービスにリンクされたロール () の作成を許可しますAWSServiceRoleForAWSTransformCustom。このロールは、 AWS 変換カスタムが CloudWatch メトリクスとログをアカウントに出力するために必要です。アクセス許可は、この特定のサービスにリンクされたロールの作成のみを許可するようにスコープされています。

AWS カスタム変換 – ストリーミング会話、変換の実行、変換パッケージの管理など、変換リソースを包括的に管理できます。変換パッケージ URLs の作成、取得、削除、およびパッケージのアップロードの完了を許可します。

ナレッジ管理 – ナレッジ項目とその設定とステータスを一覧表示、取得、削除、更新できます。

キャンペーン管理 – キャンペーンの詳細の取得、キャンペーンリポジトリのステータスの更新、キャンペーンの更新を許可します。

リソースタグ付け – AWS Transform カスタムリソースのタグの一覧表示、追加、削除を許可します。

AWS Identity and Access Management (IAM) – AWS 変換カスタムサービスにリンクされたロール () の作成を許可しますAWSServiceRoleForAWSTransformCustom。このロールは、 AWS 変換カスタムが CloudWatch メトリクスとログをアカウントに出力するために必要です。アクセス許可は、この特定のサービスにリンクされたロールの作成のみを許可するようにスコープされています。

AWS Lambda – 変換ワークフローを調整する atxプレフィックスが付いた Lambda 関数の設定の呼び出しと取得を許可します。

Amazon S3 – atx-source-code-*バケットへのソースコードのアップロードと、 atx-custom-output-* および atx-ct-output-*バケットからの変換結果のダウンロードを許可します。

AWS Key Management Service (KMS) – AWS 変換暗号化キー () を使用したデータの暗号化と復号を許可しますalias/atx-encryption-key。

Amazon CloudWatch Logs – 変換のモニタリングとデバッグのためのバッチジョブと Lambda 実行ログイベントの読み取りを許可します。

Amazon CloudWatch – オペレーションを可視化するための AWS Transform CLI ダッシュボードの取得と一覧表示を許可します。

AWS バッチ – コンピューティング環境、ジョブキュー、ジョブ定義、ジョブステータスの記述と一覧表示を許可します。

CloudFormation – AWS Transform インフラストラクチャスタックを記述および一覧表示して、デプロイステータスを確認できるようにします。

Resource Groups Tagging API – タグ付けされたリソースを取得して、アカウント内の AWS 変換インフラストラクチャを検出できるようにします。

AWS Secrets Manager – atx/プレフィックスに保存されている AWS 変換シークレットの取得と記述を許可します。

Amazon EventBridge スケジューラ – atx-ct スケジュールグループ内でスケジュールされた変換ジョブを管理できます。

Amazon EC2 – バッチコンピューティング環境ネットワーキングの VPC、サブネット、セキュリティグループ、ルートテーブル、NAT ゲートウェイ設定の説明を許可します。

AWS Identity and Access Management (IAM) – ATXプレフィックス付きおよびAtxプレフィックス付きロール設定の読み取りを許可してインフラストラクチャのセットアップを検証し、 を Amazon EventBridge スケジューラAtxSchedulerInvocationRoleに渡して、スケジュールされたジョブを呼び出せるようにします。

CloudFormation – インフラストラクチャスタックの AWS 変換、スタックイベント、スタックリソース、ドリフト検出ステータスの説明、スタックのリスト、デプロイ前の CloudFormation テンプレートの検証を許可します。

Amazon EC2 – インスタンス、AMIs、VPCs、サブネット、セキュリティグループ、キーペア、ルートテーブル、NAT ゲートウェイ、インターネットゲートウェイの説明を許可します。でタグ付けされた EC2 インスタンスの開始と停止を許可しますatx-remote-infra: true。

Amazon EC2 Systems Manager (SSM) – コマンド実行ステータスのモニタリング、およびAWS-RunShellScriptドキュメントの実行を含む AWS 変換タグ付きインスタンスでのコマンドとセッションの実行を許可します。

Amazon S3 – オブジェクトの取得、配置、削除、バケットの一覧表示など、 AWS 変換バケットでのソースコードと出力アーティファクトの管理を許可します。

AWS Key Management Service (KMS) – AWS 変換暗号化キー () を使用したデータの暗号化と復号を許可しますalias/atx-encryption-key。

AWS Secrets Manager – atx/プレフィックスに保存されているリポジトリ認証情報などの変換シークレットの取得と記述を許可します。

Amazon EventBridge スケジューラ – atx-ct スケジュールグループ内でスケジュールされた変換ジョブを管理できます。

Resource Groups Tagging API – タグ付けされたリソースを取得して、アカウント内の AWS 変換インフラストラクチャを検出できるようにします。

AWS Identity and Access Management (IAM) – atx-transform-role*ロールを Amazon EC2 に渡し、 を Amazon EventBridge スケジューラAtxSchedulerInvocationRoleに渡し、EC2 インスタンスのロールとインスタンスプロファイル設定を読み取ることを許可します。

AWS セキュリティエージェント – エージェントスペースの一覧表示、コードレビューの作成、コードレビュージョブの開始、検出結果の一覧表示と取得、コード修復の開始を許可します。これらのアクションは、アカウントのエージェントスペースに限定されます。

Amazon S3 – kct-security-agent-*バケットからスキャン結果と検出結果をダウンロードし、セキュリティスキャン用のソースコードをそのバケット内のsecurity-scans/*プレフィックスにアップロードできるようにします。

AWS Identity and Access Management (IAM) – スキャンを実行できるように、 AWS Security Agent サービスにsecurity-agent-*ロールを渡すことを許可します。

Amazon EC2 – インスタンス、VPCs、サブネット、セキュリティグループ、アベイラビリティーゾーン、VPC エンドポイント、インターネットゲートウェイなどのインフラストラクチャコンポーネントの説明を許可します。

Amazon RDS – データベースインスタンス、クラスター、サブネットグループの説明を許可します。移行の準備のために、同じ AWS アカウント内の DB サブネットグループの変更を許可します。

Amazon RDS Data API – HTTP エンドポイントの有効化と無効化、およびデータベースモダナイゼーションプロジェクト用にタグ付けされたデータベースクラスターでの SQL ステートメントの実行を許可します。

AWS DMS – エンドポイント、レプリケーションインスタンス、タスク、サブネットグループ、および順序付け可能なインスタンスの記述を許可します。データプロバイダー、インスタンスプロファイル、移行プロジェクトの一覧表示を許可します。テーブル統計、評価の実行、メタデータモデルオペレーションの説明を許可します。詳細な説明とメタデータオペレーションは、データベースモダナイゼーションプロジェクト用にタグ付けされたリソースに制限されます。

– データベース認証情報を検出するためのシークレットの一覧表示を許可します。

AWS Identity and Access Management (IAM) – 特定の AWS DMS サービスロールとそのアタッチされたポリシーの検査を許可します。読み取り AWS管理 AWS DMS ポリシーへのアクセスが含まれます。

AWS Key Management Service (KMS) – キーエイリアスの一覧表示とキーの説明を許可します。同じ AWS アカウントに制限された統合によるシークレットの復号を許可します。

AWS DMS – レプリケーションサブネットグループ、インスタンスプロファイル、データプロバイダー、移行プロジェクト、エンドポイント、レプリケーションインスタンス、レプリケーションタスクの作成と管理を許可します。メタデータモデルのインポート、変換、エクスポート、評価などのスキーマ変換オペレーションが含まれます。レプリケーションインスタンス (作成、削除、変更、再起動) およびレプリケーションタスク (削除、開始、停止、評価) のライフサイクル管理を許可します。すべての書き込みオペレーションは、データベースモダナイゼーションプロジェクト用にタグ付けされたリソースに制限されます。

Amazon RDS – データベースサブネットグループ、データベースクラスター、データベースインスタンスの作成を許可します。データベースモダナイゼーションプロジェクトでは、すべてのリソースにタグを付ける必要があります。

– データベースモダナイゼーションの命名プレフィックスを使用して、シークレットの作成、更新、タグ付けを許可します。シークレット値の取得と、タグ付けされたリソースのシークレットの説明を許可します。

Amazon S3 – 移行データストレージ用の S3 バケットとオブジェクトの作成と管理を許可します。バケットのタグ付け、バージョニング、オブジェクトのライフサイクルオペレーションが含まれます。データベースモダナイゼーションの命名プレフィックスを持つバケットに制限されます。

AWS Identity and Access Management (IAM) – 特定の AWS DMS サービスロールを AWS DMS およびスキーマ変換サービスに渡すことを許可します。データベースオペレーションに必要な Amazon RDS サービスにリンクされたロールの作成を許可します。