のセットアップ AWS Data Pipeline

AWS Data Pipeline を初めて使用する場合は、事前に以下のタスクを完了してください。

これらのタスクを完了したら、 の使用を開始できます AWS Data Pipeline。基本的なチュートリアルについては、「AWS Data Pipeline の使用の開始」を参照してください。

にサインアップする AWS

Amazon Web Services (AWS) にサインアップすると、 を含む AWS のすべてのサービスに AWS アカウントが自動的にサインアップされます AWS Data Pipeline。料金は、使用するサービスの料金のみが請求されます。 AWS Data Pipeline 使用率の詳細については、AWS Data Pipeline」を参照してください。

にサインアップする AWS アカウント

がない場合は AWS アカウント、次のステップを実行して作成します。

にサインアップするには AWS アカウント

1. https://portal.aws.amazon.com/billing/signup を開きます。

2. オンラインの手順に従います。

   サインアップ手順の一環として、通話呼び出しを受け取り、電話キーパッドで検証コードを入力するように求められます。

   にサインアップすると AWS アカウント、 AWS アカウントのルートユーザーが作成されます。ルートユーザーには、アカウントのすべての AWS のサービス とリソースへのアクセス権があります。セキュリティのベストプラクティスとして、ユーザーに管理アクセスを割り当て、ルートユーザーのみを使用してルートユーザーアクセスが必要なタスクを実行してください。

AWS サインアッププロセスが完了すると、 から確認メールが送信されます。https://aws.amazon.com/ の [マイアカウント] を選んで、いつでもアカウントの現在のアクティビティを表示し、アカウントを管理できます。

管理アクセスを持つユーザーを作成する

にサインアップしたら AWS アカウント、 を保護し AWS アカウントのルートユーザー、 を有効にして AWS IAM Identity Center、日常的なタスクにルートユーザーを使用しないように管理ユーザーを作成します。

のセキュリティ保護 AWS アカウントのルートユーザー

1. ルートユーザーを選択し、 AWS アカウント E メールアドレスを入力して、アカウント所有者AWS Management Consoleとして にサインインします。次のページでパスワードを入力します。

   ルートユーザーを使用してサインインする方法については、AWS サインイン ユーザーガイドの「ルートユーザーとしてサインインする」を参照してください。

2. ルートユーザーの多要素認証 (MFA) を有効にします。

   手順については、「IAM ユーザーガイド」の AWS アカウント 「ルートユーザーの仮想 MFA デバイスを有効にする (コンソール）」を参照してください。

管理アクセスを持つユーザーを作成する

1. IAM アイデンティティセンターを有効にします。

   手順については、「AWS IAM Identity Center ユーザーガイド」の「AWS IAM Identity Centerの有効化」を参照してください。

2. IAM アイデンティティセンターで、ユーザーに管理アクセスを付与します。

   を ID ソース IAM アイデンティティセンターディレクトリ として使用する方法のチュートリアルについては、「 ユーザーガイド」の「デフォルト でユーザーアクセス IAM アイデンティティセンターディレクトリを設定するAWS IAM Identity Center 」を参照してください。

管理アクセス権を持つユーザーとしてサインインする

• IAM アイデンティティセンターのユーザーとしてサインインするには、IAM アイデンティティセンターのユーザーの作成時に E メールアドレスに送信されたサインイン URL を使用します。

  IAM Identity Center ユーザーを使用してサインインする方法については、「 AWS サインイン ユーザーガイド」の AWS 「 アクセスポータルにサインインする」を参照してください。

追加のユーザーにアクセス権を割り当てる

1. IAM アイデンティティセンターで、最小特権のアクセス許可を適用するというベストプラクティスに従ったアクセス許可セットを作成します。

   手順については、「AWS IAM Identity Center ユーザーガイド」の「権限設定を作成する」を参照してください。

2. グループにユーザーを割り当て、そのグループにシングルサインオンアクセス権を割り当てます。

   手順については、「AWS IAM Identity Center ユーザーガイド」の「グループの参加」を参照してください。

AWS Data Pipeline およびパイプラインリソースの IAM ロールを作成する

AWS Data Pipeline には、アクションを実行し、 AWS リソースにアクセスするためのアクセス許可を決定する IAM ロールが必要です。パイプラインロールは が AWS Data Pipeline 持つアクセス許可を決定し、リソースロールは EC2 インスタンスなどのパイプラインリソースで実行されているアプリケーションが持つアクセス許可を決定します。これらのロールは、パイプラインを作成するときに指定します。カスタムロールを指定せず、デフォルトのロール DataPipelineDefaultRole および DataPipelineDefaultResourceRole を使用する場合でも、まずロールを作成し、アクセス許可ポリシーをアタッチする必要があります。詳細については、「AWS Data Pipeline の IAM ロール」を参照してください。

必要なアクションを実行するための IAM プリンシパル (ユーザーとグループ) の許可

パイプラインを操作するには、アカウント内の IAM プリンシパル (ユーザーまたはグループ) が、必須のAWS Data Pipeline アクションと、パイプラインで定義されている他のサービスに対するアクションを実行できる必要があります。

アクセス許可を簡素化するために、 AWSDataPipeline_FullAccessマネージドポリシーを IAM プリンシパルにアタッチできます。この管理ポリシーにより、プリンシパルは、 AWS Data Pipeline カスタムロールが指定されていない場合に、ユーザーが必要とするすべてのアクションと、 で使用されるデフォルトのロールに対する iam:PassRole アクションを実行できます。

この管理ポリシーを慎重に評価し、ユーザーが必要とするものだけに許可を制限することを強くお勧めします。必要に応じて、このポリシーを開始点として使用し、許可を削除して、IAM プリンシパルにアタッチできる、より制限の厳しいインラインアクセス許可ポリシーを作成してください。詳細およびアクセス許可ポリシーの例については、AWS Data Pipeline のポリシー例を参照してください。

パイプラインを使用するすべての IAM プリンシパルにアタッチされたポリシーに、次の例のようなポリシーステートメントを含める必要があります。このステートメントにより、IAM プリンシパルは、パイプラインが使用するロールで PassRole アクションを実行できます。デフォルトのロールを使用しない場合は、MyPipelineRole および MyResourceRole を、作成したカスタムロールに置き換えてください。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "iam:PassRole",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam::*:role/MyPipelineRole",
                "arn:aws:iam::*:role/MyResourceRole"
            ]
        }
    ]
}

次の手順では、IAM グループを作成し、グループにAWSDataPipeline_FullAccess管理ポリシーをアタッチしてから、グループにユーザーを追加する方法を示します。この手順は、任意のインラインポリシーで使用できます。

ユーザーグループを作成してAWSDataPipeline_FullAccessポリシーをDataPipelineDevelopersアタッチするには

1. IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

2. ナビゲーションペインで [Groups]、[Create New Group] の順に選択します。

3. [Group Name] (グループ名)(例: DataPipelineDevelopers) を入力し、[Next Step] (次のステップ) を選択します。

4. [Filter] (フィルタ) に AWSDataPipeline_FullAccess を入力し、リストから選択します。

5. [Next Step]、[Create Group] の順に選択します。

6. ユーザーをグループに追加するには

   1. グループのリストから、作成したグループを選択します。

   2. [Group Actions] で、[Add Users to Group] を選択します。

   3. 追加するユーザーをリストから選択し、[Add Users to Group] (グループにユーザーを追加) を選択します。

プログラムによるアクセス権を付与する

ユーザーが の AWS 外部で を操作する場合は、プログラムによるアクセスが必要です AWS Management Console。プログラムによるアクセスを許可する方法は、 にアクセスするユーザーのタイプによって異なります AWS。

ユーザーにプログラマチックアクセス権を付与するには、以下のいずれかのオプションを選択します。

プログラマチックアクセス権を必要とするユーザー	目的	方法
ワークフォースアイデンティティ (IAM Identity Center で管理されているユーザー)	一時的な認証情報を使用して、、 AWS SDKs AWS CLI、または AWS APIs。	使用するインターフェイス用の手引きに従ってください。 については AWS CLI、「 ユーザーガイド」の AWS CLI 「 を使用するための の設定 AWS IAM Identity CenterAWS Command Line Interface 」を参照してください。 AWS SDKs 、ツール、 AWS APIs「 SDK とツールのリファレンスガイド」の「IAM Identity Center 認証」を参照してください。 AWS SDKs
IAM	一時的な認証情報を使用して、、 AWS SDKs AWS CLI、または AWS APIs。	「IAM ユーザーガイド」の「 AWS リソースでの一時的な認証情報の使用」の手順に従います。
IAM	(非推奨) 長期認証情報を使用して、、 AWS SDKs AWS CLI、または AWS APIs。	使用するインターフェイス用の手引きに従ってください。 については AWS CLI、「 AWS Command Line Interface ユーザーガイド」の「IAM ユーザー認証情報を使用した認証」を参照してください。 AWS SDKs「 SDK とツールのリファレンスガイド」の「長期的な認証情報を使用した認証」を参照してください。 AWS SDKs AWS APIsユーザーガイド」の「IAM ユーザーのアクセスキーの管理」を参照してください。