のサービスにリンクされたロールの使用 AWS Config

AWS Config uses AWS Identity and Access Management （IAM） サービスにリンクされたロール 。サービスにリンクされたロールは、 に直接リンクされた一意のタイプのIAMロールです。 AWS Config。 サービスにリンクされたロールは、 によって事前定義されています。 AWS Config および には、サービスが他の を呼び出すために必要なすべてのアクセス許可が含まれます。 AWS ユーザーに代わって のサービス。

サービスにリンクされたロールが をセットアップする AWS Config 必要なアクセス許可を手動で追加する必要がないため、簡単です。 AWS Config は、サービスにリンクされたロールのアクセス許可を定義します。特に定義されている場合を除き、 のみを定義します。 AWS Config は、そのロールを引き受けることができます。定義されたアクセス許可には、信頼ポリシーとアクセス許可ポリシーが含まれ、そのアクセス許可ポリシーを他のIAMエンティティにアタッチすることはできません。

サービスにリンクされたロールをサポートする他のサービスについては、「」を参照してください。 AWS と連携IAMし、サービスにリンクされたロール列に「はい」があるサービスを検索します。 サービスにリンクされたロールに関するドキュメントをサービスで表示するには、[Yes] (はい) リンクを選択します。

のサービスにリンクされたロールのアクセス許可 AWS Config

AWS Config は、 という名前のサービスにリンクされたロールを使用しますAWSServiceRoleForConfig。 AWS Config は、このサービスにリンクされたロールを使用して他の を呼び出す AWS ユーザーに代わって のサービス。

AWSServiceRoleForConfig サービスにリンクされたロールは、config.amazonaws.comサービスを信頼してロールを引き受けます。

AWSServiceRoleForConfig ロールのアクセス許可ポリシーには、 の読み取り専用アクセス許可と書き込みアクセス許可が含まれています。 AWS Config リソースと、他の のサービス内のリソースに対する読み取り専用アクセス許可 AWS Config は をサポートしています。管理ポリシー を表示するにはAWSServiceRoleForConfig、「」を参照してください。 AWS の マネージドポリシー AWS Config。 詳細については、「」を参照してくださいサポートされているリソースタイプ。

IAM エンティティ (ユーザー、グループ、ロールなど) がサービスにリンクされたロールを作成、編集、または削除できるようにするには、アクセス許可を設定する必要があります。詳細については、「 IAMユーザーガイド」の「サービスにリンクされたロールのアクセス許可」を参照してください。

でサービスにリンクされたロールを使用するには AWS Configでは、Amazon S3 バケットと Amazon SNSトピックに対するアクセス許可を設定する必要があります。詳細については、サービスでリンクされたロールの使用時に Amazon S3 バケットに必要なアクセス許可、に必要なアクセス許可 AWS KMS サービスにリンクされたロールを使用する場合のキー (S3 バケット配信）、およびサービスにリンクされたロールを使用するときに Amazon SNSトピックに必要なアクセス許可を参照してください。

のサービスにリンクされたロールの作成 AWS Config

IAM CLI または IAM でAPI、サービス名を使用してconfig.amazonaws.comサービスにリンクされたロールを作成します。詳細については、「 IAMユーザーガイド」の「サービスにリンクされたロールの作成」を参照してください。このサービスリンクロールを削除しても、同じ方法でロールを再作成できます。

のサービスにリンクされたロールの編集 AWS Config

AWS Config では、AWSServiceRoleForConfigサービスにリンクされたロールを編集することはできません。サービスリンクロールを作成した後は、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、 を使用してロールの説明を編集することはできますIAM。詳細については、「 IAMユーザーガイド」の「サービスにリンクされたロールの編集」を参照してください。

のサービスにリンクされたロールの削除 AWS Config

サービスリンクロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。そうすることで、積極的にモニタリングまたは保守されていない未使用のエンティティを排除できます。ただし、手動で削除する前に、サービスリンクロールのリソースをクリーンアップする必要があります。

注記

そのファイルに AWS Config リソースを削除しようとすると、 サービスでロールが使用され、削除が失敗する可能性があります。失敗した場合は、数分待ってから操作を再試行してください。

削除するには AWS Config で使用される リソース AWSServiceRoleForConfig

サービスにリンクされたロールを使用して、ConfigurationRecorders がないことを確認します。を使用できます。 AWS Config コンソールを使用して設定レコーダーを停止します。記録を停止するには、[Recording is on] (記録はオン) の [Turn off] (無効) を選択します。

ConfigurationRecorder を使用して を削除できます。 AWS Config API。削除するには、delete-configuration-recorder コマンドを使用します。

        $ aws configservice delete-configuration-recorder --configuration-recorder-name default
      

を使用してサービスにリンクされたロールを手動で削除するには IAM

IAM コンソール、、または IAM を使用してCLI、サービスにリンクされたロールIAMAPIを削除します AWSServiceRoleForConfig。詳細については、「 IAMユーザーガイド」の「サービスにリンクされたロールの削除」を参照してください。