ポリシーのベストプラクティスコンソールを使用する場合 AppFabric セキュリティIAMポリシーの例 AppFabric for productivity IAMポリシーの例その他のIAMポリシーの例

のアイデンティティベースのポリシーの例 AWS AppFabric

デフォルトでは、ユーザーとロールにはリソースを作成または変更 AppFabricするアクセス許可はありません。また、を使用してタスクを実行することはできません。 AWS Management Console, AWS Command Line Interface (AWS CLI）、または AWS API。必要なリソースに対してアクションを実行するアクセス許可をユーザーに付与するために、IAM管理者はIAMポリシーを作成できます。その後、管理者はIAMポリシーをロールに追加し、ユーザーはロールを引き受けることができます。

これらのポリシードキュメント例を使用してIAMアイデンティティベースのJSONポリシーを作成する方法については、「ユーザーガイド」のIAM「ポリシーの作成IAM」を参照してください。

各リソースタイプのの形式など AppFabric、で定義されるアクションとリソースタイプの詳細については、ARNs「のアクション、リソース、および条件キー」を参照してください。 AWS AppFabric 「サービス認証リファレンス」の「」。

ポリシーのベストプラクティス

ID ベースのポリシーは、ユーザーのアカウントで誰かが AppFabric リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションでは、のコストが発生する可能性があります。 AWS アカウント。アイデンティティベースのポリシーを作成または編集するときは、以下のガイドラインと推奨事項に従ってください。

の使用を開始する AWS 管理ポリシーと最小特権のアクセス許可への移行 – ユーザーとワークロードへのアクセス許可の付与を開始するには、を使用します。 AWS 多くの一般的なユースケースにアクセス許可を付与するマネージドポリシー。これらはで利用できます。 AWS アカウント。を定義してアクセス許可をさらに減らすことをお勧めします。 AWS ユースケースに固有のカスタマー管理ポリシー。詳細については、「」を参照してくださいAWS マネージドポリシーまたは AWS ユーザーガイドのジョブ機能の IAM マネージドポリシー。
最小特権のアクセス許可を適用する – IAMポリシーでアクセス許可を設定する場合は、タスクの実行に必要なアクセス許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用してアクセス許可を適用する方法の詳細については、「ユーザーガイド」の「のポリシーとアクセス許可IAMIAM」を参照してください。
IAM ポリシーの条件を使用してアクセスをさらに制限する – ポリシーに条件を追加して、アクションとリソースへのアクセスを制限できます。例えば、ポリシー条件を記述して、すべてのリクエストをを使用して送信する必要があることを指定できますSSL。特定のを通じてサービスアクションが使用されている場合、条件を使用してサービスアクションへのアクセスを許可することもできます。 AWS のサービスまたは AWS CloudFormation。詳細については、「ユーザーガイド」のIAMJSON「ポリシー要素: 条件IAM」を参照してください。
IAM Access Analyzer を使用してIAMポリシーを検証し、安全で機能的なアクセス許可を確保する – IAM Access Analyzer は、ポリシーがポリシー言語 (JSON) とIAMベストプラクティスに準拠するように、新規および既存のIAMポリシーを検証します。IAM Access Analyzer には、安全で機能的なポリシーの作成に役立つ 100 を超えるポリシーチェックと実用的な推奨事項が用意されています。詳細については、「ユーザーガイド」のIAM「Access Analyzer ポリシーの検証IAM」を参照してください。
多要素認証を要求する (MFA） — でIAMユーザーまたはルートユーザーを必要とするシナリオがある場合 AWS アカウントのセキュリティを強化するMFAには、をオンにします。API オペレーションが呼び出されるMFAタイミングを要求するには、ポリシーにMFA条件を追加します。詳細については、「 IAMユーザーガイド」のMFA「で保護されたAPIアクセスの設定」を参照してください。

のベストプラクティスの詳細についてはIAM、「ユーザーガイド」の「のセキュリティのベストプラクティスIAMIAM」を参照してください。

コンソール AppFabricの使用

をアタッチする AWSAppFabricReadOnlyAccess AWS ID への IAM マネージドポリシー。のコンソールを含む AppFabric、 AppFabric サービスへの読み取り専用アクセス許可を付与します。 AWS Management Console。または、 AWSAppFabricFullAccess AWS ID IAM にマネージドポリシーを使用して、 AppFabric サービスへの完全な管理アクセス許可を付与します。詳細については、「AWS のマネージドポリシー AWS AppFabric」を参照してください。

AppFabric セキュリティIAMポリシーの例

セキュリティ AppFabric 機能のには、次のポリシー例が適用されます。

アプリケーションバンドルへのアクセスを許可する

次のポリシー例では、サービス内の AppFabricアプリケーションバンドルへのアクセスを許可します。


{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:StartUserAccessTasks",
                "appfabric:BatchGetUserAccessTasks"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appbundle/*"]
        }
    ],
    "Version": "2012-10-17"
}

コンテンツに対するアクセス制限

次のポリシー例では、サービス内のアプリケーションバンドルへのアクセスを制限します AppFabric。


{
    "Statement": [
        {
            "Action": ["appfabric:*"],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "appfabric:StartUserAccessTasks",
                "appfabric:BatchGetUserAccessTasks"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appbundle/*"]
        }
    ],
    "Version": "2012-10-17"
}

取り込みの削除または停止を制限する

次のポリシー例では、 AppFabric サービス内の取り込みの削除または停止を制限します。


{
    "Statement": [
        {
            "Action": ["appfabric:*"],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "appfabric:StopIngestion",
                "appfabric:DeleteIngestion",
                "appfabric:DeleteIngestionDestination"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appbundle/*"]
        }
    ],
    "Version": "2012-10-17"
}

AppFabric for productivity IAMポリシーの例

- AWS AppFabric for productivity 機能はプレビュー版であり、変更される可能性があります。

AppFabric for productivity の機能には、次のポリシー例が適用されます。

productivity の機能への読み取り専用アクセスを許可する

次のポリシー例では、 AppFabric for productivity 機能への読み取り専用アクセスを許可します。

重要

IAM コンソールのポリシーエディタでこのJSONポリシーを追加すると、無効なアクションエラーが表示されることがあります。これは、 AppFabric for productivity 機能が現在プレビューされているためです。このエラーは無視し、ポリシーの作成を続けていただいて構いません。


{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:GetAppClient",
                "appfabric:ListActionableInsights",
                "appfabric:ListAppClients",
                "appfabric:ListMeetingInsights"
            ],
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

productivity の機能への完全なアクセスを許可する

次のポリシー例では、 AppFabric for productivity 機能へのフルアクセスを許可します。

重要


{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:CreateAppClient",
                "appfabric:DeleteAppClient",
                "appfabric:GetAppClient",
                "appfabric:ListActionableInsights",
                "appfabric:ListAppClients",
                "appfabric:ListMeetingInsights",
                "appfabric:PutFeedback",
                "appfabric:Token"
                "appfabric:UpdateAppClient"
            ],
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

作成するためのアクセスを許可する AppClients

次のポリシー例では、を作成するためのアクセスを許可します AppClients。詳細については、「Create an for productivity AppFabric AppClient」を参照してください。

重要


{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:CreateAppClient"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

の詳細を取得するためのアクセスを許可する AppClients

次のポリシー例では、の詳細を取得するためのアクセスを許可します AppClients。詳細については、「の詳細を取得する AppClient」を参照してください。

重要


{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:GetAppClient",
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

リストへのアクセスを許可する AppClients

次のポリシー例では、を一覧表示するためのアクセスを許可します AppClients。詳細については、「の詳細を取得する AppClient」を参照してください。

重要


{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:ListAppClients"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

更新へのアクセスを許可する AppClients

次のポリシー例では、を更新するためのアクセスを許可します AppClients。詳細については、「の更新 AppClient」を参照してください。

重要


{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:UpdateAppClient"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

削除するためのアクセスを許可する AppClients

次のポリシー例では、を削除するためのアクセスを許可します AppClients。詳細については、「の更新 AppClient」を参照してください。

重要


{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:DeleteAppClient"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

アプリケーションを承認するためのアクセスを許可する

次のポリシー例では、トークンを使用してアプリケーションを認証するためのアクセスを許可しますAPI。詳細については、「アプリケーションを認証し承認する」を参照してください。

重要


{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "appfabric:Token"
            ],
            "Resource": ["arn:aws:appfabric:*:*:appclient/*"]
        }
    ],
    "Version": "2012-10-17"
}

その他のIAMポリシーの例

自分の権限の表示をユーザーに許可する

この例では、IAMユーザーがユーザー ID にアタッチされているインラインポリシーと管理ポリシーを表示できるようにするポリシーを作成する方法を示します。このポリシーには、コンソールで、またはを使用してプログラムでこのアクションを実行するアクセス許可が含まれています。 AWS CLI または AWS API.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

その方法は? AWS AppFabric と連携する IAM

サービスリンクロールの使用