Amazon DataZone コンソールでユーザーを管理する

ユーザーは、AWS 認証情報またはシングルサインオン (SSO) 認証情報のどちらかを使用して Amazon DataZone データポータルにアクセスできます。Amazon DataZone ドメインの Amazon DataZone コンソールでユーザーを管理するには、管理者権限を持つ アカウントの IAM ロールを引き受ける必要があります。Amazon DataZone マネジメントコンソールを使用するために必要なIAMアクセス許可を設定するすることで、Amazon DataZone コンソールでユーザーを管理するために最小限必要な権限を取得します。

IAM ロールとユーザーを管理する

IAM ロールとユーザーは AWS ID およびアクセス管理 (IAM) を使用して作成され、ポリシーを介してアタッチされたアクセス許可を通じて Amazon DataZone ドメインにアクセスできます。詳細については、「Amazon DataZone データポータルを使用するために必要なIAMアクセス許可を設定する」を参照してください。Amazon DataZone の現在のリリースでは、Amazon DataZone ドメイン所有者アカウントの管理者は、自身のアカウントのユーザーまたは関連付けられているアカウントのユーザーに IAM ユーザープロファイルを作成できます。Amazon DataZone ドメイン所有者アカウントの管理者は、既存のユーザーのステータスを [割り当て済み] または [割り当て解除済み] (Amazon DataZone の使用に関して割り当て済みか未割り当てか) に設定したり、既存のユーザーをアクティブ化または非アクティブ化にしたりすることもできます。

1. https://console.aws.amazon.com/datazone で AWS マネジメントコンソールにサインインし、Amazon DataZone コンソールを開きます。

2. [ドメインを表示] を選択し、リストからドメイン名を選択します。名前はハイパーリンクになっています。

3. ドメインの詳細ページで、[ユーザー管理] を選択します。

4. Amazon DataZone ドメイン所有者アカウントまたは関連付けられているアカウントにユーザー IAM ユーザーを追加するには、[追加] を選択して [IAM ユーザーを追加] を選択します。

5. [ユーザーを追加] ページで、[現在のアカウント] または [関連付けられているアカウント] を選択し、[ユーザーまたはロールを検索して追加] フィールドを使用して追加するユーザーを検索し、[ユーザーを追加] を選択します。

6. 既存の IAM ユーザーのステータスを表示するには、[ユーザー管理] ページのユーザータイプのドロップダウンメニューで [IAM ユーザー] を選択します。

   • [名前] 列には IAM ユーザーまたはロールの ARN が表示されてます。

   • [ステータス] 列には、ドメインの IAM ユーザーまたはロールの現在のステータスが表示されます。

     • [割り当て済み] とは、Amazon DataZone を使用する権限が IAM ユーザーに割り当てられていることを意味します。

     • [割り当て解除済み] とは、Amazon DataZone を使用する権限が IAM ユーザーから割り当て解除されたことを意味します。

     • [アクティブ化] とは、IAM ユーザーまたはロールが API を呼び出したか、(コマンドラインインターフェイス経由) でコマンドを発行したか、またはドメインの Amazon DataZone ポータルにアクセスしたことを意味し、ユーザーのサブスクリプションの請求が発生します。

     • [非アクティブ化] とは、IAM ユーザーまたはロールが Amazon DataZone ドメインへのアクセスをブロックしていることを意味します。

7. 現在アクティブ化されている IAM ユーザーまたはロールを非アクティブ化するには、ユーザーの横にあるチェックボックスをオンにし、[アクション] メニューから [非アクティブ化] を選択します。ユーザーは Amazon DataZone ドメインにアクセスできなくなります。ユーザーに対する請求は、現在の暦月末に終了します。

8. 現在非アクティブ化されている IAM ユーザーまたはロールをアクティブ化するには、ユーザーの横にあるチェックボックスをオンにし、[アクション] メニューから [アクティブ化] を選択します。IAM ユーザーまたはロールに適切なアクセス許可がある場合、ユーザーは Amazon DataZone ドメインにアクセスできます。ユーザーに対する請求が再開されます。

SSO ユーザーを管理する

SSO ユーザーの作成と同期は、AWS IAM アイデンティティセンターの ID プロバイダーによって行われます。Amazon DataZone の AWS IAM アイデンティティセンターを有効にして設定するための詳細については、「Amazon 用 Identity Center のセットアップ AWS IAM DataZone」および「Amazon DataZone の IAM アイデンティティセンターを有効にする」を参照しください。ドメインに割り当てられている SSO ユーザーのリストを表示したり、SSO ユーザーを追加したり、SSO ユーザーを削除したりできます。

1. https://console.aws.amazon.com/datazone で AWS マネジメントコンソールにサインインし、Amazon DataZone コンソールを開きます。

2. [ドメインを表示] を選択し、リストからドメイン名を選択します。名前はハイパーリンクになっています。

3. ドメインの詳細ページで、下にスクロールして [ユーザー管理] を選択します。

4. ユーザータイプでは、[SSO ユーザー] を選択して、SSO ユーザーの現在のリストを表示します。

   • [名前] 列には、SSO ユーザーの名前が表示されます。

   • [ステータス] 列には、ドメインの SSO ユーザーの現在のステータスが表示されます。

     • [割り当て済み] とは、SSO ユーザーにドメインが明示的に割り当てられていることを意味します。結果として、ユーザーは Amazon DataZone にアクセスできます。このステータスは、ドメインの ID プロバイダーモードが明示的な割り当てに設定されている場合にのみ使用されます。

     • [アクティブ化] とは、SSO ユーザーがドメインの Amazon DataZone ポータルにアクセスし、ユーザーのサブスクリプションに対して請求されることを意味します。アクティブ化は自動的に行われます。

     • [非アクティブ化] とは、SSO ユーザーによるドメインへのアクセスがブロックされていることを意味します。ユーザーに対する請求は、アクセスが非アクティブ化された月の末日に終了します。

     • [削除済み] とは、SSO ユーザーにドメインがあらかじめ割り当てられていたものの、ユーザーがアクセスする前に削除されたことを意味します。

5. [追加] と [ユーザーを追加] を順に選択して、SSO ユーザーを追加します。このオプションは、ドメインが [暗黙的なユーザーの割り当て] に設定されている場合は使用できません。つまり、アイデンティティプール内のすべてのユーザーは Amazon DataZone ドメインにアクセスできます。

   • [ユーザーを追加] ページで、追加するユーザーのエイリアスを検索します。一致する可能性のあるリストが検索ボックスの下に表示されます。

   • 追加するユーザーを選択します。そのユーザーのエイリアスが、検索ボックスの下にチップとして表示されます。

   • 追加するユーザーのリストに問題がなければ、[ユーザーを追加] を選択します。

   • ユーザーに Amazon DataZone ドメインが割り当てられ、ステータスは [割り当て済み] になります。

   • ユーザーがドメインのデータポータルに初めてアクセスすると、ステータスは自動的に [アクティブ化] に変わり、ユーザーのサブスクリプションに対して請求が開始されます。

6. ユーザーを選択し、[アクション] メニューから [無効化] を選択して、[割り当て済み] のSSO ユーザーを削除します。結果として、ユーザーは Amazon DataZone ドメインにアクセスできなくなります。ユーザーのステータスには [削除済み] と表示されます。このオプションは、ドメインが [暗黙的なユーザーの割り当て] に設定されている場合は使用できません。

7. ユーザーを選択し、[アクション] メニューから [非アクティブ化] を選択して、[アクティブ化] の SSO ユーザーを非アクティブ化します。結果として、ユーザーは Amazon DataZone ドメインにアクセスできなくなり、ブロックされます。ユーザーのサブスクリプションに対する請求は、その月の末日まで継続されます。ユーザーのステータスには [非アクティブ] と表示されます。

8. ユーザーを選択し、[アクション] メニューから [アクティブ化] を選択して、[非アクティブ化] の SSO ユーザーをアクティブ化します。結果として、ユーザーは Amazon DataZone ドメインへのアクセスを回復します。請求はすぐに開始されます。ユーザーのステータスには [アクティブ化] と表示されます。

SSO グループを管理する

SSO グループの作成と同期は、AWS IAM アイデンティティセンターの ID プロバイダーによって行われます。Amazon DataZone の AWS IAM アイデンティティセンターを有効にして設定するための詳細については、「Amazon 用 Identity Center のセットアップ AWS IAM DataZone」および「Amazon DataZone の IAM アイデンティティセンターを有効にする」を参照しください。ドメインに割り当てられている SSO グループのリストを表示したり、SSO グループを追加したり、SSO グループを削除したりできます。

1. https://console.aws.amazon.com/datazone で AWS マネジメントコンソールにサインインし、Amazon DataZone コンソールを開きます。

2. [ドメインを表示] を選択し、リストからドメイン名を選択します。名前はハイパーリンクになっています。

3. ドメインの詳細ページで、下にスクロールして [ユーザー管理] を選択します。

4. ユーザータイプでは、[SSO グループ] を選択して、SSO グループの現在のリストを表示します。

   • [名前] 列には、SSO グループの名前が表示されます。

   • [ステータス] 列には、ドメインの SSO グループの現在のステータスが表示されます。

     • [割り当て済み] とは、SSO グループにドメインが明示的に割り当てられていることを意味します。結果として、グループ内のすべてのユーザーはドメインのデータポータルにアクセスできます (ユーザーが非アクティブ化されている場合は除く)。

     • [未割り当て] とは、SSO グループがドメインから削除されていることを意味します。グループのユーザーは、このグループのメンバーシップを使用してドメインのデータポータルにアクセスすることはできません。

5. [追加] と [グループを追加] を順に選択して、SSO グループを追加します。このオプションは、ドメインが [暗黙的なユーザーの割り当て] に設定されている場合は使用できません。つまり、アイデンティティプール内のすべてのユーザーは、グループメンバーシップに関係なく、Amazon DataZone ドメインにアクセスできます。

   • [グループを追加] ページで、追加するグループのエイリアスを検索します。一致する可能性のあるリストが検索ボックスの下に表示されます。

   • 追加するグループを選択します。そのユーザーのエイリアスが、検索ボックスの下にチップとして表示されます。

   • 追加するグループのリストに問題がなければ、[グループの追加] を選択します。

   • グループに Amazon DataZone ドメインが割り当てられ、ステータスは [割り当て済み] になります。

   • グループのメンバーがドメインのデータポータルにアクセスすると、ステータスは自動的に [アクティブ化] に変わり、ユーザーのサブスクリプションに対して請求が開始されます。

6. グループを選択し、[アクション] メニューから [割り当て解除] を選択して、[割り当てられた SSO グループ] を削除します。結果として、グループは Amazon DataZone ドメインにアクセスできなくなります。グループのステータスには [未割り当て] と表示されます。このグループのメンバーシップを使用して Amazon DataZone にアクセスしていたユーザーは、アクセスできなくなります。このオプションは、ドメインが [暗黙的なユーザーの割り当て] に設定されている場合は使用できません。グループの割り当てを解除してアクセスが削除されたユーザーに対する請求を停止するには、次にユーザープロファイルを手動で選択して [非アクティブ化] する必要があります。