# IAM ロールを準備する
<a name="aam-prepare-roles"></a><a name="aam-identify-and-update-roles"></a>

IAM アイデンティティセンターのユーザーとグループに IAM ロールを割り当てる前に、以下の内容を行う必要があります。

1. 対象のアカウントに関連する IAM ロールを特定し、

1. IAM ロールの[信頼ポリシー](id_roles.md#id_roles_terms-and-concepts)に以下に示されるステートメントが含まれていることを確認してください。

ロールに既存の信頼ポリシーがある場合は、このステートメントをステートメント配列に追加します。新しいロールを作成する場合は、ポリシードキュメント全体を使用できます。このポリシーステートメントにより、アカウントアクセスマネージャーはロールを引き受けて、ユーザーに代わってコンテキストを設定できます。`Condition` ブロックは、アカウントアクセスマネージャーがご自身のアカウントとアカウントアクセスマネージャーのアプリケーションのみに代わり、ロールを引き受けられるようにすることで、混乱した代理問題への防御を実現します。詳細については、「[ロール信頼ポリシーを更新する](id_roles_update-role-trust-policy.md)」を参照してください。

`<your-account-id>` を AWS アカウント ID に置き換え、`<region>` を IAM アイデンティティセンターの主なリージョンに置き換え、`<application-id>` をアカウントアクセスマネージャーのアプリケーション ID に置き換えます。アプリケーション ARN は、アカウントアクセスマネージャーコンソールの**設定**ページで確認できます。

```
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountAccessManagerIAMRoleTrustPolicyStatement",
      "Effect": "Allow",
      "Principal": {
        "Service": "account-access.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:SetContext"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "<your-account-id>",
          "aws:SourceArn": "arn:aws:account-access:<region>:<your-account-id>:application/<application-id>"
        }
      }
    }
  ]
}
```

**オプション – `sts:TagSession`**。ID プロバイダー (例えば、グループメンバーシップ、部門、コストセンター) のアップストリームアサーション属性が、アカウントアクセスマネージャーが発行するセッションでプリンシパルタグとして伝播する場合、`sts:TagSession` を `Action` リストに追加します。このアクションがなくても、ロールの引き受けは成功しますが、セッションタグの伝播のみが抑制されます。ターゲットアカウントのダウンストリーム IAM ポリシーでプリンシパルタグ (`aws:PrincipalTag/<key>`) が使用される場合に追加し、それ以外の場合は除外してください。同じ `Condition` ブロックを維持します。

```
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountAccessManagerIAMRoleTrustPolicyStatement",
      "Effect": "Allow",
      "Principal": {
        "Service": "account-access.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:SetContext",
        "sts:TagSession"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "<your-account-id>",
          "aws:SourceArn": "arn:aws:account-access:<region>:<your-account-id>:application/<application-id>"
        }
      }
    }
  ]
}
```

**注記**  
必要に応じてこの信頼ポリシーステートメントが自動的に追加されるように、IAM ロール作成ワークフローを更新することをお勧めします。