AWS Data Pipeline の設定 - AWS Data Pipeline
AWS にサインアップするAWS Data Pipeline およびパイプラインリソースの IAM ロールの作成必要なアクションを実行するための IAM プリンシパル (ユーザーとグループ) の許可プログラムによるアクセス権を付与する

AWS Data Pipeline の設定

AWS Data Pipeline を初めて使用する場合は、事前に以下のタスクをすべて実行してください。

これらのタスクの完了後、AWS Data Pipeline の使用を開始できます。基本的なチュートリアルについては、「AWS Data Pipeline の使用の開始」を参照してください。

AWS にサインアップする

Amazon Web Services (AWS) にサインアップすると、AWS アカウントが AWS 内のすべてのサービス (AWS Data Pipeline など) に自動的にサインアップします。料金は、使用するサービスの料金のみが請求されます。AWS Data Pipeline の使用料の詳細については、「AWS Data Pipeline」を参照してください。

AWS アカウントへのサインアップ

AWS アカウントがない場合は、以下のステップを実行して作成します。

AWS アカウントにサインアップするには

  1. https://portal.aws.amazon.com/billing/signup を開きます。

  2. オンラインの手順に従います。

    サインアップ手順の一環として、通話呼び出しを受け取り、電話のキーパッドを使用して検証コードを入力するように求められます。

    AWS アカウントにサインアップすると、AWS アカウントのルートユーザーが作成されます。ルートユーザーには、アカウントのすべての AWS のサービスとリソースへのアクセス権があります。セキュリティのベストプラクティスとして、管理ユーザーに管理アクセスを割り当て、ルートユーザーアクセスが必要なタスクを実行する場合にのみ、ルートユーザーを使用してください。

サインアップ処理が完了すると、AWS からユーザーに確認メールが送信されます。https://aws.amazon.com/ の [アカウント] をクリックして、いつでもアカウントの現在のアクティビティを表示し、アカウントを管理することができます。

管理ユーザーの作成

AWS アカウント にサインアップした後、AWS アカウントのルートユーザー を安全に保護し、AWS IAM Identity Center を有効にし、管理ユーザーを作成することで、日常的なタスクにルートユーザーを使用しないようにします。

AWS アカウントのルートユーザーをセキュリティで保護する

  1. [ルートユーザー] を選択し、AWS アカウント のメールアドレスを入力して、アカウント所有者として AWS Management Console にサインインします。次のページでパスワードを入力します。

    ルートユーザーを使用してサインインする方法については、「AWS サインイン User Guide」の「Signing in as the root user」を参照してください。

  2. ルートユーザーの多要素認証 (MFA) を有効にします。

    手順については、「IAM ユーザーガイド」の「AWS アカウントのルートユーザーの仮想 MFA デバイスを有効にする (コンソール)」を参照してください。

管理ユーザーを作成する

  1. IAM Identity Center を有効にする

    手順については、「AWS IAM Identity Center ユーザーガイド」の「AWS IAM Identity Center の有効化」を参照してください。

  2. IAM Identity Center で、管理ユーザーに管理者アクセスを付与します。

    IAM アイデンティティセンターディレクトリ をアイデンティティソースとして使用するチュートリアルについては、「AWS IAM Identity Center ユーザーガイド」の「デフォルト IAM アイデンティティセンターディレクトリ でのユーザーアクセス設定」を参照してください。

管理ユーザーとしてサインインする

  • IAM アイデンティティセンターのユーザーとしてサインインするには、IAM アイデンティティセンターのユーザーの作成時に E メールアドレスに送信されたサインイン URL を使用します。

    IAM アイデンティティセンターのユーザーを使用してサインインする方法については、「AWS サインイン User Guide」の「Signing in to the AWS access portal」を参照してください。

AWS Data Pipeline およびパイプラインリソースの IAM ロールの作成

AWS Data Pipeline では、アクションを実行し、AWS リソースにアクセスするための許可を決定する IAM ロールが必要です。パイプラインロールは、AWS Data Pipeline が持つ許可を決定し、リソースロールは、EC2 インスタンスなどのパイプラインリソースで実行されているアプリケーションが持つ許可を決定します。これらのロールは、パイプラインを作成するときに指定します。カスタムロールを指定せず、デフォルトのロール DataPipelineDefaultRole および DataPipelineDefaultResourceRole を使用する場合でも、まずロールを作成し、アクセス許可ポリシーをアタッチする必要があります。詳細については、「AWS Data Pipeline の IAM ロール」を参照してください。

必要なアクションを実行するための IAM プリンシパル (ユーザーとグループ) の許可

パイプラインを操作するには、アカウント内の IAM プリンシパル (ユーザーまたはグループ) が、必須のAWS Data Pipelineアクションと、パイプラインで定義されている他のサービスに対するアクションを実行できる必要があります。

許可を簡素化するために、AWSDataPipeline_FullAccess 管理ポリシーを IAM プリンシパルにアタッチできます。この管理ポリシーにより、プリンシパルは、ユーザーが必要とするすべてのアクション、およびカスタムロールが指定されていない場合に AWS Data Pipeline で使用されるデフォルトロールでの iam:PassRole アクション を実行できます。

この管理ポリシーを慎重に評価し、ユーザーが必要とするものだけに許可を制限することを強くお勧めします。必要に応じて、このポリシーを開始点として使用し、許可を削除して、IAM プリンシパルにアタッチできる、より制限の厳しいインラインアクセス許可ポリシーを作成してください。詳細およびアクセス許可ポリシーの例については、AWS Data Pipeline のポリシー例を参照してください。

パイプラインを使用するすべての IAM プリンシパルにアタッチされたポリシーに、次の例のようなポリシーステートメントを含める必要があります。このステートメントにより、IAM プリンシパルは、パイプラインが使用するロールで PassRole アクションを実行できます。デフォルトのロールを使用しない場合は、MyPipelineRole および MyResourceRole を、作成したカスタムロールに置き換えてください。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "iam:PassRole",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam::*:role/MyPipelineRole",
                "arn:aws:iam::*:role/MyResourceRole"
            ]
        }
    ]
}

次の手順では、IAM グループを作成し、AWSDataPipeline_FullAccess 管理ポリシーをグループに割り当て、ユーザーをグループに追加する方法を示します。この手順は、任意のインラインポリシーで使用できます。

ユーザーグループ DataPipelineDevelopers を作成して AWSDataPipeline_FullAccess ポリシーをアタッチするには

  1. IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

  2. ナビゲーションペインで [Groups]、[Create New Group] の順に選択します。

  3. [Group Name] (グループ名)(例: DataPipelineDevelopers) を入力し、[Next Step] (次のステップ) を選択します。

  4. [Filter] (フィルタ) に AWSDataPipeline_FullAccess を入力し、リストから選択します。

  5. [Next Step]、[Create Group] の順に選択します。

  6. ユーザーをグループに追加するには

    1. グループのリストから、作成したグループを選択します。

    2. [Group Actions] で、[Add Users to Group] を選択します。

    3. 追加するユーザーをリストから選択し、[Add Users to Group] (グループにユーザーを追加) を選択します。

プログラムによるアクセス権を付与する

AWS Management Console の外部で AWS を操作するには、プログラマチックアクセス権が必要です。プログラマチックアクセス権を付与する方法は、AWS にアクセスしているユーザーのタイプによって異なります。

ユーザーにプログラマチックアクセス権を付与するには、以下のいずれかのオプションを選択します。

プログラマチックアクセス権を必要とするユーザー To 方法

ワークフォースアイデンティティ

(IAM Identity Center で管理されているユーザー)

 一時的な認証情報を使用して、AWS CLI、AWS SDK、または AWS API へのプログラマチックリクエストに署名します。

使用するインターフェイス用の手引きに従ってください。
IAM 一時的な認証情報を使用して、AWS CLI、AWS SDK、または AWS API へのプログラムによるリクエストに署名します。 「IAM ユーザーガイド」の「AWS リソースでの一時的な認証情報の使用」の指示に従ってください。
IAM

(非推奨)

長期的な認証情報を使用して、AWS CLI、AWS SDK、AWS API へのプログラムによるリクエストに署名します。

使用するインターフェイス用の手順に従ってください。