IAM 管理グループの作成

ベストプラクティスとして、AWS CloudHSM などの AWS の操作に AWS アカウントのルートユーザー を使用しないでください。代わりに、AWS Identity and Access Management (IAM) を使用して、IAM ユーザー、IAM ロール、またはフェデレーティッドユーザーを作成します。セクションの手順に従ってIAM ユーザーおよび管理者グループの作成、管理者グループを作成し、AdministratorAccessポリシーをアタッチします。次に新しい管理者ユーザーを作成し、ユーザーをグループに追加します。必要に応じて、追加のユーザーをグループに追加します。追加した各ユーザーは、グループからAdministratorAccessポリシーを継承します。

もう 1 つのベストプラクティスは、AWS CloudHSM の実行に必要な権限のみを持つ AWS CloudHSM 管理者グループを作成することです。必要に応じて個々のユーザーをこのグループに追加します。AWS へのフルアクセスではなく、グループにアタッチされた制限付きのアクセス許可が各ユーザーに継承されます。以下の「の顧客管理ポリシー AWS CloudHSM」セクションには、AWS CloudHSM 管理者グループにアタッチする必要のあるポリシーが含まれます。

AWS CloudHSM は、AWS アカウントの サービスリンク済みロール を定義します。現在、サービスにリンクされているロールでは、アカウントを使用して AWS CloudHSM イベントを記録することができるアクセス許可を定義しています。ロールは AWS CloudHSM によって自動的に作成されるか、または手動で作成できます。ロールを編集することはできませんが、削除することはできます。詳細については、「のサービスにリンクされたロール AWS CloudHSM」を参照してください。

IAM ユーザーおよび管理者グループの作成

IAM ユーザーと、その管理者グループの作成から開始します。

AWS アカウントへのサインアップ

AWS アカウントがない場合は、以下のステップを実行して作成します。

AWS アカウント にサインアップするには

1. https://portal.aws.amazon.com/billing/signup を開きます。

2. オンラインの手順に従います。

   サインアップ手順の一環として、通話呼び出しを受け取り、電話のキーパッドを使用して検証コードを入力するように求められます。

   AWS アカウントにサインアップすると、AWS アカウントのルートユーザーが作成されます。ルートユーザーには、アカウントのすべての AWS のサービスとリソースへのアクセス権があります。セキュリティのベストプラクティスとして、管理ユーザーに管理アクセスを割り当て、ルートユーザーアクセスが必要なタスクを実行する場合にのみ、ルートユーザーを使用してください。

サインアップ処理が完了すると、AWS からユーザーに確認メールが送信されます。https://aws.amazon.com/ の [アカウント] をクリックして、いつでもアカウントの現在のアクティビティを表示し、アカウントを管理することができます。

管理ユーザーの作成

AWS アカウント にサインアップしたら、AWS アカウントのルートユーザー をセキュリティで保護し、AWS IAM Identity Center を有効にして、管理ユーザーを作成します。これにより、日常的なタスクにルートユーザーを使用しないようにします。

AWS アカウントのルートユーザーをセキュリティで保護する

1. [ルートユーザー] を選択し、AWS アカウント のメールアドレスを入力して、アカウント所有者として AWS Management Console にサインインします。次のページでパスワードを入力します。

   ルートユーザーを使用してサインインする方法については、「AWS サインイン User Guide」の「Signing in as the root user」を参照してください。

2. ルートユーザーの多要素認証 (MFA) を有効にします。

   手順については、「IAM ユーザーガイド」の「AWS アカウント のルートユーザーの仮想 MFA デバイスを有効にする (コンソール)」を参照してください。

管理ユーザーを作成する

1. IAM アイデンティティセンターを有効にします。

   手順については、「AWS IAM Identity Center ユーザーガイド」の「AWS IAM Identity Center の有効化」を参照してください。

2. IAM アイデンティティセンターで、管理ユーザーに管理者アクセスを付与します。

   IAM アイデンティティセンターディレクトリ をアイデンティティソースとして使用するチュートリアルについては、「AWS IAM Identity Center ユーザーガイド」の「デフォルトの IAM アイデンティティセンターディレクトリ でユーザーアクセスを設定する」を参照してください。

管理ユーザーとしてサインインする

• IAM アイデンティティセンターのユーザーとしてサインインするには、IAM アイデンティティセンターのユーザーの作成時に E メールアドレスに送信されたサインイン URL を使用します。

  IAM アイデンティティセンターのユーザーを使用してサインインする方法については、「AWS サインイン User Guide」の「Signing in to the AWS access portal」を参照してください。

IAM ユーザーグループにアタッチできる AWS CloudHSM のポリシーの例については、「の ID とアクセス管理 AWS CloudHSM」を参照してください。