# ロールテンプレートの概要
<a name="id_roles_create_role-template"></a>

ロールテンプレートとは、新しいロールの作成に使用するロールの設計図です。テンプレートはロールの信頼ポリシーとアクセス許可を設定するため、ユーザーはポリシーを自分で記述することなく、そのサービス向けのロールをすぐに取得できます。

ロールマネージャーは AWS マネージドロールテンプレートを使用しますが、ロールマネージャーなしでロールテンプレートを使用することもできます。このページでは、ロールテンプレートの仕組みを説明し、各サービス向けテンプレートを一覧表示します。

## ロールテンプレートの仕組み
<a name="id_roles_create_role-template_how-templates-work"></a>

ロールテンプレートには、信頼ポリシーとアクセス許可が含まれ、Amazon リソースネーム (ARN) が付いています。信頼ポリシーは、どのプリンシパルがそのロールを引き受けできるかを定義します。アクセス許可は、そのロールが実行できる内容を定義します。テンプレートのバージョンは変更できません。AWS がテンプレートを更新すると、既存のバージョンを変更するのではなく、新しいバージョンのテンプレートが発行されます。

ロールテンプレートは、ロールのプロパティやアクセス許可をカスタマイズおよび範囲設定するための追加パラメータを受け入れることができます。たとえば、テンプレートは、作成するロールの `RoleName` や、`bucketName` などのリソース識別子を受け入れることができます。ロールマネージャーがコンソールでロールを作成する時には、ロールのアクセス許可と信頼ポリシーにパラメータが自動適用されます。IAM API を使用してテンプレートから直接ロールを作成する場合は、ユーザーがこれらのパラメータを指定します。

テンプレートからロールを作成するには、テンプレートの ARN で `iam:AcquireRole` API を使用し、テンプレートに必要なパラメータを渡します。

ロールテンプレートの定義はバージョンによって異なる場合があります。テンプレートの現在の信頼ポリシーとアクセス許可を確認するには、テンプレート ARN を使用して `iam:GetRoleTemplateVersion` でテンプレートを取得します。AWS では、特に広範なアクセスを許可するテンプレートについては、そのまま適用するのではなく、まずテンプレートを検査するよう推奨しています。

## ロールマネージャーがテンプレートを使用する仕組み
<a name="id_roles_create_role-template_how-rm-uses"></a>

サポートされているサービスコンソールでリソースを作成する場合、ロールマネージャーは、サービスとユースケースに一致するテンプレートからロールを提供します。ロールマネージャーはテンプレートを選択してパラメータを提供します。これにより得られる結果は、`iam:AcquireRole` を呼び出した場合とロールと同じになります。ロールマネージャーを有効にする方法については、「[ロールマネージャーへのアクセスを管理する](id_roles_create_role-manager_enable-use.md)」を参照してください。

## ロールテンプレートディレクトリ
<a name="id_roles_create_role-template_directory"></a>

次の表に、ロールマネージャーがサポートする各サービス向けロールテンプレートと、それぞれに対応するテンプレート ARN およびパラメータを示します。ARN を使用してテンプレートからロールを作成するか、またはそのサービスに対してロールマネージャーが付与する許可等を確認します。サービスはアルファベット順に一覧表示されます。


| サービス | Role template | テンプレート ARN | パラメータ | 
| --- | --- | --- | --- | 
| AWS Elastic Beanstalk | PowerUserRoleTemplate | arn:aws:iam::aws:role-template/iam.amazonaws.com/PowerUserRoleTemplate:1 | AWSServiceName、RoleName | 
| Amazon EventBridge | PowerUserRoleTemplate | arn:aws:iam::aws:role-template/iam.amazonaws.com/PowerUserRoleTemplate:1 | AWSServiceName、RoleName | 
| AWS Lambda | PowerUserRoleTemplate | arn:aws:iam::aws:role-template/iam.amazonaws.com/PowerUserRoleTemplate:1 | AWSServiceName、RoleName | 
| Amazon SageMaker Unified Studio | AmazonSageMakerAdminIAMPermissiveExecutionRoleTemplate | arn:aws:iam::aws:role-template/datazone.amazonaws.com/AmazonSageMakerAdminIAMPermissiveExecutionRoleTemplate:1 | CMK\_ENABLED、RoleName、accountId、keyAccountId、keyRegion、kmsKeyId | 
| Amazon SageMaker Unified Studio | AmazonSageMakerUserIAMPermissiveExecutionRoleTemplate | arn:aws:iam::aws:role-template/datazone.amazonaws.com/AmazonSageMakerUserIAMPermissiveExecutionRoleTemplate:1 | RoleName、accountId | 
| AWS 秘密マネジャー | AWSSecretsManagerRotationRoleTemplate | arn:aws:iam::aws:role-template/secretsmanager.amazonaws.com/AWSSecretsManagerRotationRoleTemplate:1 | ADMIN\_RESOURCE\_ENABLED、CMK\_ENABLED、RoleName、accountId、adminType、kmsKeyArn、region、resourceType | 
| AWS Step Functions | PowerUserRoleTemplate | arn:aws:iam::aws:role-template/iam.amazonaws.com/PowerUserRoleTemplate:1 | AWSServiceName、RoleName | 

## 関連情報
<a name="id_roles_create_role-template_related"></a>
+ [ロールマネージャーを使用してロールを自動的に作成する](id_roles_create_role-manager.md)
+ [ロールマネージャーへのアクセスを管理する](id_roles_create_role-manager_enable-use.md)
+ [IAM API リファレンス](https://docs.aws.amazon.com/IAM/latest/APIReference/welcome.html)