のアイデンティティベースのポリシーの例 AWS アカウント管理

デフォルトでは、ユーザーとロールにはアカウント管理リソースを作成または変更するアクセス許可はありません。また、 を使用してタスクを実行することはできません。 AWS Management Console, AWS Command Line Interface (AWS CLI）、または AWS API。必要なリソースに対してアクションを実行するアクセス許可をユーザーに付与するために、IAM管理者はIAMポリシーを作成できます。その後、管理者はIAMポリシーをロールに追加し、ユーザーはロールを引き受けることができます。

これらのポリシードキュメント例を使用してIAMアイデンティティベースのJSONポリシーを作成する方法については、「 ユーザーガイド」のIAM「ポリシーの作成IAM」を参照してください。

各リソースタイプの の形式など、アカウント管理で定義されるアクションとリソースタイプの詳細については、ARNs「 のアクション、リソース、および条件キー」を参照してください。 AWS 「サービス認証リファレンス」の「アカウント管理」。

ポリシーのベストプラクティス

ID ベースのポリシーは、ユーザーのアカウントで誰かがアカウント管理リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションでは、 のコストが発生する可能性があります。 AWS アカウント。 アイデンティティベースのポリシーを作成または編集するときは、以下のガイドラインと推奨事項に従ってください。

• の使用を開始する AWS 管理ポリシーと最小特権のアクセス許可への移行 – ユーザーとワークロードへのアクセス許可の付与を開始するには、 を使用します。 AWS 多くの一般的なユースケースにアクセス許可を付与する マネージドポリシー。これらは で利用できます。 AWS アカウント。 を定義してアクセス許可をさらに減らすことをお勧めします。 AWS ユースケースに固有の カスタマー管理ポリシー。詳細については、「」を参照してくださいAWS マネージドポリシーまたは AWS ユーザーガイドの ジョブ機能の IAM マネージドポリシー。

• 最小特権のアクセス許可を適用する – IAMポリシーでアクセス許可を設定する場合は、タスクの実行に必要なアクセス許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用してアクセス許可を適用する方法の詳細については、「 ユーザーガイド」の「 のポリシーとアクセス許可IAMIAM」を参照してください。

• IAM ポリシーの条件を使用してアクセスをさらに制限する – ポリシーに条件を追加して、アクションとリソースへのアクセスを制限できます。例えば、ポリシー条件を記述して、すべてのリクエストを を使用して送信する必要があることを指定できますSSL。特定の を通じてサービスアクションが使用されている場合、条件を使用してサービスアクションへのアクセスを許可することもできます。 AWS のサービスまたは AWS CloudFormation。 詳細については、「 ユーザーガイド」のIAMJSON「ポリシー要素: 条件IAM」を参照してください。

• IAM Access Analyzer を使用してIAMポリシーを検証し、安全で機能的なアクセス許可を確保する – IAM Access Analyzer は、ポリシーがポリシー言語 (JSON) とIAMベストプラクティスに準拠するように、新規および既存のIAMポリシーを検証します。IAM Access Analyzer には、安全で機能的なポリシーの作成に役立つ 100 を超えるポリシーチェックと実用的な推奨事項が用意されています。詳細については、「 ユーザーガイド」のIAM「Access Analyzer ポリシーの検証IAM」を参照してください。

• 多要素認証を要求する (MFA） — でIAMユーザーまたはルートユーザーを必要とするシナリオがある場合 AWS アカウントのセキュリティを強化するMFAには、 をオンにします。API オペレーションが呼び出されるMFAタイミングを要求するには、ポリシーにMFA条件を追加します。詳細については、「 IAMユーザーガイド」のMFA「 で保護されたAPIアクセスの設定」を参照してください。

のベストプラクティスの詳細についてはIAM、「 ユーザーガイド」の「 のセキュリティのベストプラクティスIAMIAM」を参照してください。

のアカウントページの使用 AWS Management Console

のアカウントページにアクセスするには AWS Management Console、最小限のアクセス許可のセットが必要です。これらのアクセス許可により、 の詳細を一覧表示および表示できます。 AWS アカウント。 最小限必要なアクセス許可よりも制限されたアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (IAM ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。

ユーザーとロールがアカウント管理コンソールを使用できるようにするには、 AWSAccountManagementReadOnlyAccessまたは のいずれかをアタッチすることを選択できます。 AWSAccountManagementFullAccess AWS エンティティへの マネージドポリシー。詳細については、「 ユーザーガイド」の「ユーザーへのアクセス許可の追加IAM」を参照してください。

のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。 AWS CLI または AWS API。代わりに、多くの場合、実行しようとしているAPIオペレーションに一致するアクションのみへのアクセスを許可できます。

のアカウントページへの読み取り専用アクセスを提供する AWS Management Console

次の例では、 で IAM ユーザーに を付与します。 AWS アカウント のアカウントページへの読み取り専用アクセス AWS Management Console。 このポリシーがアタッチされているユーザーは変更できません。

account:GetAccountInformation アクションは、アカウントページでほとんどの設定を表示するアクセスを許可します。ただし、現在有効になっている を表示するには AWS リージョンでは、 account:ListRegionsアクションも含める必要があります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GrantReadOnlyAccessToAccountSettings",
            "Effect": "Allow",
            "Action": [
                "account:GetAccountInformation",
                "account:ListRegions"
            ],
            "Resource": "*"
        }
    ]
}

のアカウントページへのフルアクセスを提供する AWS Management Console

次の例では、 で IAM ユーザーに を付与します。 AWS アカウント のアカウントページへのフルアクセス AWS Management Console。 このポリシーがアタッチされているユーザーは、アカウントの設定を変更できます。

このポリシー例では、使用可能な各書き込みアクセス許可 ( を除く CloseAccount) を追加することで、前述のポリシー例に基づいて構築されます。これにより、ユーザーは account:EnableRegionおよび アクセスaccount:DisableRegion許可を含むアカウントのほとんどの設定を変更できます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GrantFullAccessToAccountSettings",
            "Effect": "Allow",
            "Action": [
                "account:GetAccountInformation",
                "account:ListRegions",
                "account:PutContactInformation",
                "account:PutChallengeQuestions",
                "account:PutAlternateContact",
                "account:DeleteAlternateContact",
                "account:EnableRegion",
                "account:DisableRegion"
            ],
            "Resource": "*"
        }
    ]
}