Amazon のサービスにリンクされたロールの使用 FSx

Amazon FSxは AWS Identity and Access Management （IAM） サービスにリンクされたロール を使用します。サービスにリンクされたロールは、Amazon に直接リンクされた一意のタイプのIAMロールですFSx。サービスにリンクされたロールは Amazon によって事前定義FSxされており、ユーザーに代わってサービスから他の AWS のサービスを呼び出すために必要なすべてのアクセス許可が含まれています。

サービスにリンクされたロールを使用すると、必要なアクセス許可を手動で追加する必要がなくなるため、Amazon の設定FSxが簡単になります。Amazon FSxは、サービスにリンクされたロールのアクセス許可を定義します。特に定義されている場合を除き、Amazon のみがそのロールを引き受けFSxることができます。定義されたアクセス許可には、信頼ポリシーとアクセス許可ポリシーが含まれ、そのアクセス許可ポリシーを他のIAMエンティティにアタッチすることはできません。

サービスリンクロールは、まずその関連リソースを削除しなければ削除できません。これにより、FSxリソースにアクセスするためのアクセス許可を誤って削除することがないため、Amazon リソースが保護されます。

サービスにリンクされたロールをサポートする他のサービスの詳細については、AWS 「 と連携するサービスIAM」を参照し、「サービスにリンクされたロール」列で「はい」があるサービスを探します。 サービスにリンクされたロールに関するドキュメントをサービスで表示するには、[Yes] (はい) リンクを選択します。

Amazon のサービスにリンクされたロールのアクセス許可 FSx

Amazon FSxは、 AWSServiceRoleForAmazonFSx という名前のサービスにリンクされたロールを使用します。これにより、 でのファイルシステムの Elastic Network Interface の作成、 でのファイルシステムとボリュームのメトリクスの発行などVPC、アカウントで特定のアクションを実行します CloudWatch。

このポリシーの更新については、「」を参照してください。 AmazonFSxServiceRolePolicy

許可の詳細

許可の詳細

AWSServiceRoleForAmazonFSx ロールのアクセス許可は、A mazonFSxServiceRolePolicy AWS 管理ポリシーによって定義されます。には次のアクセス許可 AWSServiceRoleForAmazonFSx があります。

注記

AWSServiceRoleForAmazonFSx はすべての Amazon FSx ファイルシステムタイプで使用されます。リストされているアクセス許可の一部は、 FSx の には適用されませんONTAP。

• ds — Amazon FSxが AWS Directory Service ディレクトリ内のアプリケーションを表示、承認、および承認解除できるようにします。

• ec2 — Amazon が以下を実行FSxできるようにします。

  • Amazon FSx ファイルシステムに関連付けられたネットワークインターフェイスを表示、作成、関連付け解除します。

  • Amazon FSx ファイルシステムに関連付けられている 1 つ以上の Elastic IP アドレスを表示します。

  • Amazon FSx ファイルシステムに関連付けられている Amazon 、VPCsセキュリティグループ、サブネットを表示します。

  • で使用できるすべてのセキュリティグループについて、セキュリティグループの検証を強化しますVPC。

  • ネットワークインターフェイスで特定のオペレーションを実行するための、 AWSが認可されたユーザーに対するアクセス許可を作成します。

• cloudwatch — Amazon FSxがメトリクスデータポイントを AWS/FSx 名前空間 CloudWatch の に発行できるようにします。

• route53 — Amazon FSxが Amazon をVPCプライベートホストゾーンに関連付けることを許可します。

• logs — Amazon FSxが CloudWatch ログログストリームを記述して書き込むことを許可します。これは、ユーザーが FSx for Windows File Server ファイルシステムのファイルアクセス監査ログを CloudWatch Logs ストリームに送信できるようにするためです。

• firehose — Amazon FSxが Amazon Data Firehose 配信ストリームを記述および書き込みできるようにします。これは、ユーザーが Amazon FSx for Windows File Server ファイルシステムのファイルアクセス監査ログを Amazon Data Firehose 配信ストリームに発行できるようにするためです。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateFileSystem",
            "Effect": "Allow",
            "Action": [                
                "ds:AuthorizeApplication",  
                "ds:GetAuthorizedApplicationDetails",
                "ds:UnauthorizeApplication",                 
                "ec2:CreateNetworkInterface",  
                "ec2:CreateNetworkInterfacePermission",   
                "ec2:DeleteNetworkInterface", 
                "ec2:DescribeAddresses",
                "ec2:DescribeDhcpOptions",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSecurityGroups", 
                "ec2:DescribeSubnets", 
                "ec2:DescribeVPCs",
                "ec2:DisassociateAddress",
                "ec2:GetSecurityGroupsForVpc",          
                "route53:AssociateVPCWithHostedZone"
            ],
            "Resource": "*"
        },
        {
            "Sid": "PutMetrics",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": "AWS/FSx"
                }
            }
        },

        {   
            "Sid": "TagResourceNetworkInterface",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "CreateNetworkInterface"
                },
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": "AmazonFSx.FileSystemId"
                }
            }
        },
        {
            "Sid": "ManageNetworkInterface",
            "Effect": "Allow",
            "Action": [
                "ec2:AssignPrivateIpAddresses",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:UnassignPrivateIpAddresses"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*"
            ],
            "Condition": {
                "Null": {
                    "aws:ResourceTag/AmazonFSx.FileSystemId": "false"
                }
            }
        },
        {            
            "Sid": "ManageRouteTable",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateRoute",
                "ec2:ReplaceRoute",
                "ec2:DeleteRoute"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:route-table/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/AmazonFSx": "ManagedByAmazonFSx"
                }
            }
        },
        {
            "Sid": "PutCloudWatchLogs",
            "Effect": "Allow",
            "Action": [                
                "logs:DescribeLogGroups",
                "logs:DescribeLogStreams",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/fsx/*"
        },
        {
            "Sid": "ManageAuditLogs",
            "Effect": "Allow",
            "Action": [                
                "firehose:DescribeDeliveryStream",
                "firehose:PutRecord",
                "firehose:PutRecordBatch"
            ],
            "Resource": "arn:aws:firehose:*:*:deliverystream/aws-fsx-*"
        }
    ]
}

本ポリシーの更新については、AWS マネージドポリシーに対する Amazon FSx の更新 に記載されています。

IAM エンティティ (ユーザー、グループ、ロールなど) がサービスにリンクされたロールを作成、編集、または削除できるようにするには、アクセス許可を設定する必要があります。詳細については、「 IAMユーザーガイド」の「サービスにリンクされたロールのアクセス許可」を参照してください。

Amazon のサービスにリンクされたロールの作成 FSx

サービスリンクロールを手動で作成する必要はありません。 AWS Management Console、、IAMCLIまたは でファイルシステムを作成するとAPI、Amazon IAM FSxがサービスにリンクされたロールを作成します。

重要

このサービスリンクロールは、このロールでサポートされている機能を使用する別のサービスでアクションが完了した場合にアカウントに表示されます。詳細については、「アカウント に表示される新しいロール」を参照してくださいIAM。

このサービスリンクロールを削除した後で再度作成する必要が生じた場合は、同じ方法でアカウントにロールを再作成できます。ファイルシステムを作成すると、Amazon によってサービスにリンクされたロールが再度FSx作成されます。

Amazon のサービスにリンクされたロールの編集 FSx

Amazon FSx では、 AWSServiceRoleForAmazonFSx サービスにリンクされたロールを編集することはできません。サービスリンクロールを作成した後は、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、 を使用してロールの説明を編集することはできますIAM。詳細については、「 IAMユーザーガイド」の「サービスにリンクされたロールの編集」を参照してください。

Amazon のサービスにリンクされたロールの削除 FSx

サービスリンクロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。これにより、積極的にモニタリングまたは保守されない未使用のエンティティを排除できます。ただし、サービスにリンクされたロールを手動で削除する前に、すべてのファイルシステムとバックアップを削除する必要があります。

注記

リソースを削除しようとしたときに Amazon FSxサービスがロールを使用している場合、削除が失敗する可能性があります。失敗した場合は、数分待ってから操作を再試行してください。

を使用してサービスにリンクされたロールを手動で削除するには IAM

IAM コンソール、、または IAM を使用してCLI、サービスにリンクされたロールIAMAPIを削除します AWSServiceRoleForAmazonFSx。詳細については、「 IAMユーザーガイド」の「サービスにリンクされたロールの削除」を参照してください。

Amazon FSxサービスにリンクされたロールでサポートされているリージョン

Amazon は、サービスが利用可能なすべてのリージョンで、サービスにリンクされたロールの使用FSxをサポートしています。詳細については、「AWS リージョンとエンドポイント」を参照してください。