のサービスにリンクされたロールの使用 AWS CloudTrail

AWS CloudTrail は AWS Identity and Access Management (IAM) サービスにリンクされたロールを使用します。サービスにリンクされたロールは、CloudTrail に直接リンクされた一意のタイプの IAM ロールです。サービスにリンクされたロールは CloudTrail によって事前定義されており、 AWS のサービス ユーザーに代わってサービスから他の を呼び出すために必要なすべてのアクセス許可が含まれています。

サービスにリンクされたロールを使用することで、必要なアクセス許可を手動で追加する必要がなくなるため、CloudTrail の設定が簡単になります。CloudTrail は、サービスにリンクされたロールのアクセス許可を定義します。特に定義されている場合を除き、CloudTrail のみがそのロールを引き受けることができます。定義されたアクセス許可には、信頼ポリシーとアクセス権限ポリシーが含まれ、そのアクセス権限ポリシーを他の IAM エンティティに適用することはできません。

サービスリンクロールをサポートする他のサービスについては、IAM と連携するAWS のサービスを参照して、[サービスにリンクされたロール] 列が [はい] になっているサービスを探してください。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、はいリンクを選択します。

CloudTrail のサービスにリンクされたロールの許可

CloudTrail は、AWSServiceRoleForCloudTrail という名前のサービスリンクロールを使用します。このロールを使用して、組織の証跡とイベントデータストアがサポートされます。

サービスにリンクされた AWSServiceRoleForCloudTrail ロールは、以下のサービスを信頼してロールを引き受けます。

• cloudtrail.amazonaws.com

このロールは、CloudTrail の組織の証跡を作成および管理し、CloudTrail 内で CloudTrail Lake 組織のイベントデータストアをサポートするために使用されます。詳細については、「組織の証跡の作成」を参照してください。

ロールにアタッチされた CloudTrailServiceRolePolicy ポリシーは、指定したリソースに対して以下のアクションを完了することを CloudTrail に許可します。

• すべての CloudTrail リソースに対するアクション:

  • All

• すべての AWS Organizations リソースに対するアクション：

  • organizations:DescribeAccount

  • organizations:DescribeOrganization

  • organizations:ListAccounts

  • organizations:ListAWSServiceAccessForOrganization

• 組織の委任された管理者を一覧表示するための、CloudTrail サービスプリンシパルのすべての Organizations リソースでのアクション:

  • organizations:ListDelegatedAdministrators

• 組織のイベントデータストアで Lake フェデレーションを無効にするアクション:

  • glue:DeleteTable

  • lakeformation:DeRegisterResource

サービスリンク役割の作成、編集、削除を IAM エンティティ (ユーザー、グループ、役割など) に許可するにはアクセス許可を設定する必要があります。詳細については、「IAM ユーザーガイド」の「サービスリンクロールの許可」を参照してください。

CloudTrail のサービスにリンクされたロールの作成

サービスリンクロールを手動で作成する必要はありません。組織の証跡または組織のイベントデータストアを作成するか、CloudTrail コンソールで委任管理者を追加するか、 AWS CLI または API オペレーションを使用して、サービスにリンクされたロールがまだ存在しない場合、CloudTrail によって自動的に作成されます。

このサービスリンクロールを削除した後に再作成する必要がある場合は、同じプロセスで、アカウントにロールを再作成することができます。組織の証跡または組織のイベントデータストアを作成するか委任管理者を追加すると、サービスにリンクされたロールが CloudTrail によって再度作成されます。

CloudTrail のサービスにリンクされたロールの編集

CloudTrail では、AWSServiceRoleForCloudTrail のサービスリンクロールを編集することはできません。サービスリンクロールの作成後は、さまざまなエンティティがロールを参照する可能性があるため、ロール名を変更することはできません。ただし、IAM を使用してロールの説明を編集することはできます。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの編集」を参照してください。

CloudTrail のサービスにリンクされたロールの削除

AWSServiceRoleForCloudTrail ロールを手動で削除する必要はありません。Organizations 組織から AWS アカウント が削除されると、AWSServiceRoleForCloudTrailロールはその から自動的に削除されます AWS アカウント。組織の管理アカウントの AWSServiceRoleForCloudTrail サービスリンクロールからポリシーをデタッチまたは削除するには、組織からアカウントを削除する必要があります。

IAM コンソール、、 AWS CLI または AWS API を使用して、サービスにリンクされたロールを手動で削除することもできます。そのためにはまず、サービスにリンクされたロールのリソースをクリーンアップする必要があります。その後で、そのロールを手動で削除できます。

注記

リソースを削除する際に、CloudTrail サービスでロールが使用されている場合、削除は失敗することがあります。失敗した場合は数分待ってから操作を再試行してください。

AWSServiceRoleForCloudTrail ロールで使用されているリソースを削除するには、以下のいずれかの処理を行うことができます。

• Organizations の組織 AWS アカウント から を削除します。

• 証跡を更新し、組織の証跡を停止させる必要があります。詳細については、「CloudTrail コンソールで証跡を更新する」を参照してください。

• イベントデータストアを組織のイベントデータストアではなくなるように更新します。詳細については、「コンソールでイベントデータストアを更新する」を参照してください。

• 証跡を削除します。詳細については、「CloudTrail コンソールで証跡を削除する」を参照してください。

• イベントデータストアを削除します。詳細については、「コンソールでイベントデータストアを削除する」を参照してください。

サービスリンクロールを IAM で手動削除するには

IAM コンソール、 AWS CLI、または AWS API を使用して、AWSServiceRoleForCloudTrailサービスにリンクされたロールを削除します。詳細については、 IAM ユーザーガイド の「サービスにリンクされたロールの削除」を参照してください。

サービスにリンクされた CloudTrail ロールでサポートされるリージョン

CloudTrail は、CloudTrail と Organizations の両方 AWS リージョン が利用可能なすべての で、サービスにリンクされたロールの使用をサポートします。詳細については、「AWS 全般のリファレンス」の「AWS のサービス エンドポイント」を参照してください。