他のサービスとの統合に関するポリシー管理ポリシーによるアクセスのコントロールカスタムユーザーポリシーの作成

Elastic Beanstalk ユーザーポリシーの管理

AWS Elastic Beanstalk には、Elastic Beanstalk が管理するすべてのリソースへのフルアクセスまたは読み取り専用アクセスを割り当てることができる 2 つのマネージドポリシーが用意されています。ポリシーは、 AWS Identity and Access Management (IAM) ユーザーまたはグループ、またはユーザーが引き受けるロールにアタッチできます。

管理ユーザーポリシー

AdministratorAccess-AWSElasticBeanstalk – Elastic Beanstalk アプリケーション、アプリケーションバージョン、構成設定、環境、および基盤となるリソースを作成、変更、削除する完全な管理アクセス許可をユーザーに付与します。管理ポリシーの内容を表示するには、AWS 「管理ポリシーリファレンスガイド」のAdministratorAccess「-AWSElasticBeanstalk」ページを参照してください。
AWSElasticBeanstalkReadOnly – アプリケーションと環境を表示することはできますが、それらを変更するオペレーションは実行できません。すべての Elastic Beanstalk リソース、および Elastic Beanstalk コンソールが取得する他の AWS リソースへの読み取り専用アクセスを提供します。読み取り専用アクセスでは、Elastic Beanstalk ログを読むためのダウンロードなどのアクションは実行できません。これは、Amazon S3 バケットにログがステージングされるので、Elastic Beanstalk にそのバケットに対する書き込みアクセス許可が必要なためです。Elastic Beanstalk ログへのアクセスを有効にする方法については、このトピックの最後の例を参照してください。管理ポリシーの内容を表示するには、AWS 「管理ポリシーリファレンスガイド」のAWSElasticBeanstalkReadOnly「」ページを参照してください。

重要

Elastic Beanstalk マネージド型ポリシーは、詳細なアクセス権限を提供しません。Elastic Beanstalk アプリケーションの操作に必要となる可能性のある、すべてのアクセス権限が付与されます。場合によっては、管理ポリシーのアクセス許可をさらに制限することをお勧めします。ユースケースの例については、「」を参照してください環境間の Amazon S3 バケットアクセスの防止。

また、当社の管理ポリシーでは、Elastic Beanstalk では管理されておらず、お客様によりソリューションに追加されるような、カスタムリソースのためのアクセス許可についてもサポートしていません。よりきめの細かなアクセス許可、必要最小限のアクセス許可、またはリソースに対するアクセス許可をカスタムで作成するには、カスタムポリシーを使用します。

非推奨のマネージドポリシー

以前は、Elastic Beanstalk は AWSElasticBeanstalkFullAccessとの 2 つのマネージドユーザーポリシーをサポートしていましたAWSElasticBeanstalkReadOnlyAccess。これらの古いポリシーは廃止する予定です。これらは、IAM コンソールで、引き続き表示および使用できる場合があります。ただし、新しい管理ユーザーポリシーを使用することと、(それが存在する場合は) カスタムポリシーを追加して、カスタムリソースにアクセス許可を付与することをお勧めします。

他のサービスとの統合に関するポリシー

また、必要に応じて、環境を他のサービスと統合することを許可する、より詳細なポリシーも指定します。

AWSElasticBeanstalkRoleCWL — 環境が Amazon CloudWatch Logs ロググループを管理できるようにします。
AWSElasticBeanstalkRoleRDS — 環境が Amazon RDS インスタンスを統合できるようにします。
AWSElasticBeanstalkRoleWorkerTier – ワーカー環境階層が Amazon DynamoDB テーブルと Amazon SQS キューを作成できるようにします。
AWSElasticBeanstalkRoleECS — マルチコンテナの Docker 環境が Amazon ECS クラスターを管理できるようにします。
AWSElasticBeanstalkRoleCore — ウェブサービス環境のコアオペレーションを許可します。
AWSElasticBeanstalkRoleSNS — 環境が Amazon SNS トピック統合を有効にすることを許可します。

特定の管理ポリシーの JSON ソースを確認するには、AWS 「管理ポリシーリファレンスガイド」を参照してください。

管理ポリシーによるアクセスのコントロール

管理ポリシーにより、Elastic Beanstalk へのフルアクセスまたは読み取り専用アクセスを許可できます。Elastic Beanstalk は、新しい機能へのアクセスに追加の許可が必要になった場合に、これらのポリシーを自動的に更新します。

管理ポリシーを IAM ユーザーまたはグループに適用するには

IAM コンソールの [Policies (ポリシー)] ページを開きます。
検索ボックスに「AWSElasticBeanstalk」と入力して、ポリシーを絞り込みます。
ポリシーのリストで、 AWSElasticBeanstalkReadOnlyまたは AdministratorAccess-AWSElasticBeanstalk の横にあるチェックボックスをオンにします。
[Policy actions] を選択して、[Attach] を選択します。
ポリシーをアタッチするユーザーとグループを 1 つ以上選択します。[Filter] メニューと検索ボックスを使用して、プリンシパルエンティティのリストをフィルタリングできます。
Attach policy] (ポリシーのアタッチ) を選択します。

カスタムユーザーポリシーの作成

独自の IAM ポリシーを作成して、特定の Elastic Beanstalk リソースに対する特定の Elastic Beanstalk API アクションを許可または拒否したり、Elastic Beanstalk で管理されていないカスタムリソースへのアクセスを制御したりできます。ユーザーまたはグループへのポリシーのアタッチについては、「IAM ユーザーガイド」の「ポリシーの使用」を参照してください。カスタムポリシーの作成の詳細については、「IAM ユーザーガイド」の「IAM ポリシーの作成」を参照してください。

注記

なお、現時点では、ユーザーによる Elastic Beanstalk API の使用方法は制限できますが、基盤となるリソースを作成するアクセス許可を持つユーザーが Amazon EC2 といったサービスで他のリソースを作成することを防ぐ効果的な方法はありません。

これらのポリシーを、すべての基盤となるリソースを確保する手段としてではなく、Elastic Beanstalk を配布する効果的な方法と考えてください。

2019 年 11 月、Elastic Beanstalk は Amazon EC2 起動テンプレートのサポートをリリースしました。これは、環境の Auto Scaling グループが Amazon EC2 インスタンスを起動するために使用できる新しいリソースタイプであり、新しいアクセス許可が必要です。ユーザーポリシーに必要なアクセス許可がない場合でも、環境ではレガシーリソース、起動設定を使用できるため、多くのお客様は影響を受けません。ただし、Amazon EC2 起動テンプレートを必要とする新しい機能を使用しようとしていて、カスタムポリシーがある場合、環境の作成または更新が失敗する可能性があります。この場合、カスタムポリシーに次のアクセス許可があることを確認してください。

Amazon EC2 起動テンプレートに必要なアクセス許可

EC2:CreateLaunchTemplate
EC2:CreateLaunchTemplateVersions
EC2:DeleteLaunchTemplate
EC2:DeleteLaunchTemplateVersions
EC2:DescribeLaunchTemplate
EC2:DescribeLaunchTemplateVersions

IAM ポリシーには、付与するアクセス許可を定義したポリシーステートメントが含まれています。Elastic Beanstalk のポリシーステートメントを作成する場合、ポリシーステートメントを構成する以下の 4 つの部分について、使い方を把握しておく必要があります。

効果は、ステートメントのアクションを許可または拒否するかどうかを指定します。
アクションは、制御する API オペレーションを指定します。たとえば、elasticbeanstalk:CreateEnvironment を使用して CreateEnvironment オペレーションを指定します。環境の作成といった特定のオペレーションには、これらのアクションを実行するための追加の許可が必要となります。詳細については、「Elastic Beanstalk アクションのリソースと条件」を参照してください。

注記
UpdateTagsForResource API オペレーションを使用するには、API オペレーション名ではなく、2 つの仮想アクションのいずれか (または両方) を指定します。

elasticbeanstalk:AddTags

UpdateTagsForResource を呼び出し、追加するタグのリストを TagsToAdd パラメータで渡すアクセス許可を制御します。

elasticbeanstalk:RemoveTags

UpdateTagsForResource を呼び出し、削除するタグキーのリストを TagsToRemove パラメータで渡すアクセス許可を制御します。
リソースは、アクセスをコントロールする対象のリソースを指定します。Elastic Beanstalk リソースを指定するには、リソースの Amazon リソースネーム (ARN) のリストを指定します。
(オプション) 条件は、ステートメントで付与された許可に対する制限を指定します。詳細については、「Elastic Beanstalk アクションのリソースと条件」を参照してください。

以下のセクションでは、カスタムユーザーポリシーを考慮する可能性のあるいくつかのケースを示します。

制限付き Elastic Beanstalk 環境の作成の有効化

次のサンプルポリシーでは、このポリシーを添付されたユーザーは、CreateEnvironment アクションを呼び出し、指定されたアプリケーションとアプリケーションバージョンを使用して、名前が Test で始まる環境を作成できます。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid":"CreateEnvironmentPerm",
      "Action": [
        "elasticbeanstalk:CreateEnvironment"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:elasticbeanstalk:us-east-2:123456789012:environment/My First Elastic Beanstalk Application/Test*"
      ],
      "Condition": {
        "StringEquals": {
          "elasticbeanstalk:InApplication": ["arn:aws:elasticbeanstalk:us-east-2:123456789012:application/My First Elastic Beanstalk Application"],
          "elasticbeanstalk:FromApplicationVersion": ["arn:aws:elasticbeanstalk:us-east-2:123456789012:applicationversion/My First Elastic Beanstalk Application/First Release"]
        }
      }
    },
    {
      "Sid":"AllNonResourceCalls",
      "Action":[
        "elasticbeanstalk:CheckDNSAvailability",
        "elasticbeanstalk:CreateStorageLocation"
      ],
      "Effect":"Allow",
      "Resource":[
        "*"
      ]
    }
  ]
}

上記のポリシーは、Elastic Beanstalk オペレーションへの制限付きアクセスを許可する方法を示しています。環境を実際に起動するには、環境を強化する AWS リソースを作成するアクセス許可がユーザーに必要です。たとえば、次のポリシーはウェブサーバー環境の一連のデフォルトリソースへのアクセス権を付与します。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:*",
        "ecs:*",
        "elasticloadbalancing:*",
        "autoscaling:*",
        "cloudwatch:*",
        "s3:*",
        "sns:*",
        "cloudformation:*",
        "sqs:*"
        ],
      "Resource": "*"
    }
  ]
}

Amazon S3 に保存されている Elastic Beanstalk ログへのアクセスの有効化

以下の例のポリシーでは、ユーザーは Elastic Beanstalk ログをプルし、Amazon S3 にステージングして、取得できます。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "s3:DeleteObject",
        "s3:GetObjectAcl",
        "s3:PutObjectAcl"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::elasticbeanstalk-*"
    }
  ]
}

注記

これらのアクセス許可をログのパスのみに制限するには、次のリソース形式を使用します。


"arn:aws:s3:::elasticbeanstalk-us-east-2-123456789012/resources/environments/logs/*"

特定の Elastic Beanstalk アプリケーションの管理の有効化

以下のサンプルポリシーでは、ユーザーが 1 つの特定の Elastic Beanstalk アプリケーション内の環境およびその他のリソースを管理できるようにします。このポリシーは、他のアプリケーションのリソースに対する Elastic Beanstalk アクションを拒否し、Elastic Beanstalk アプリケーションの作成と削除も拒否します。

注記

このポリシーは、他のサービスを介したリソースへのアクセスを拒否しません。基盤となるリソースを確保する方法としてではなく、さまざまなユーザー間で Elastic Beanstalk アプリケーションを管理するための責任を分散する効果的な方法を示しています。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "elasticbeanstalk:CreateApplication",
        "elasticbeanstalk:DeleteApplication"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "elasticbeanstalk:CreateApplicationVersion",
        "elasticbeanstalk:CreateConfigurationTemplate",
        "elasticbeanstalk:CreateEnvironment",
        "elasticbeanstalk:DeleteApplicationVersion",
        "elasticbeanstalk:DeleteConfigurationTemplate",
        "elasticbeanstalk:DeleteEnvironmentConfiguration",
        "elasticbeanstalk:DescribeApplicationVersions",
        "elasticbeanstalk:DescribeConfigurationOptions",
        "elasticbeanstalk:DescribeConfigurationSettings",
        "elasticbeanstalk:DescribeEnvironmentResources",
        "elasticbeanstalk:DescribeEnvironments",
        "elasticbeanstalk:DescribeEvents",
        "elasticbeanstalk:DeleteEnvironmentConfiguration",
        "elasticbeanstalk:RebuildEnvironment",
        "elasticbeanstalk:RequestEnvironmentInfo",
        "elasticbeanstalk:RestartAppServer",
        "elasticbeanstalk:RetrieveEnvironmentInfo",
        "elasticbeanstalk:SwapEnvironmentCNAMEs",
        "elasticbeanstalk:TerminateEnvironment",
        "elasticbeanstalk:UpdateApplicationVersion",
        "elasticbeanstalk:UpdateConfigurationTemplate",
        "elasticbeanstalk:UpdateEnvironment",
        "elasticbeanstalk:RetrieveEnvironmentInfo",
        "elasticbeanstalk:ValidateConfigurationSettings"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringNotEquals": {
          "elasticbeanstalk:InApplication": [
            "arn:aws:elasticbeanstalk:us-east-2:123456789012:application/myapplication"
          ]
        }
      }
    }
  ]
}

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

マネージド更新ロール

ARN 形式