アイデンティティベースのポリシーリソースベースのポリシーアクセスコントロールリスト (ACLs）タグベースの承認 IAM のロール AWS IoT Greengrass

との AWS IoT Greengrass 連携方法 IAM

IAM を使用してへのアクセスを管理する前に AWS IoT Greengrass、で使用できるIAM機能を理解しておく必要があります AWS IoT Greengrass。

IAM 機能	Greengrass によってサポートされていますか。
リソースレベルのアクセス許可を持つアイデンティティベースポリシー	あり
リソースベースのポリシー	なし
アクセスコントロールリスト (ACLs）	なし
タグベースの承認	あり
一時的な認証情報	あり
サービスリンクロール	なし
サービスロール	あり

他の AWS のサービスがと連携する方法の概要についてはIAM、「ユーザーガイド」のAWS 「と連携するのサービスIAMIAM」を参照してください。

AWS IoT Greengrassのアイデンティティベースのポリシー

IAM アイデンティティベースのポリシーでは、許可または拒否されたアクションとリソース、およびアクションを許可または拒否する条件を指定できます。は、特定のアクション、リソース、および条件キー AWS IoT Greengrass をサポートします。ポリシーで使用するすべての要素については、「ユーザーガイド」の「 IAMJSONポリシー要素のリファレンスIAM」を参照してください。

アクション

管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

JSON ポリシーの Action要素は、ポリシーでアクセスを許可または拒否するために使用できるアクションを記述します。ポリシーアクションの名前は通常、関連する AWS APIオペレーションと同じです。一致するAPIオペレーションがないアクセス許可のみのアクションなど、いくつかの例外があります。また、ポリシーに複数のアクションが必要なオペレーションもあります。これらの追加アクションは、依存アクションと呼ばれます。

このアクションは、関連付けられたオペレーションを実行するための権限を付与するポリシーで使用されます。

のポリシーアクションは、アクションの前に greengrass: プレフィックス AWS IoT Greengrass を使用します。例えば、 ListCoreDevicesAPIオペレーションを使用してコアデバイスをに一覧表示できるようにするには AWS アカウント、ポリシーに greengrass:ListCoreDevicesアクションを含めます。ポリシーステートメントには、 Actionまたは NotAction element. AWS IoT Greengrass defines のいずれかを含める必要があります。このサービスで実行できるタスクを記述する独自のアクションのセットを定義します。

1 つのステートメントで複数のアクションを指定するには、次のようにアクションをカンマで区切って全体を括弧 ([ ]) で囲って表示します。


"Action": [
  "greengrass:action1",
  "greengrass:action2",
  "greengrass:action3"
]

ワイルドカード (*) を使用して、複数のアクションを指定できます。例えば、List という単語で始まるすべてのアクションを指定するには、次のアクションを含めます。


"Action": "greengrass:List*"

注記

サービスに対して使用可能なすべてのアクションを指定するには、ワイルドカードを使用しないことをお勧めします。ベストプラクティスとして、ポリシー内で最小限の特権と狭い範囲のアクセス許可を付与する必要があります。詳細については、「最小限のアクセス許可の付与」を参照してください。

AWS IoT Greengrass アクションの完全なリストについては、「ユーザーガイド」の「で定義されるアクション AWS IoT GreengrassIAM」を参照してください。

リソース

Policy ResourceJSON要素は、アクションが適用されるオブジェクトを指定します。ステートメントには、Resource または NotResource 要素を含める必要があります。ベストプラクティスとして、Amazon リソースネーム (ARN) を使用してリソースを指定します。これは、リソースレベルの許可と呼ばれる特定のリソースタイプをサポートするアクションに対して実行できます。

オペレーションのリスト化など、リソースレベルの権限をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (*) を使用します。


"Resource": "*"

次の表に、 AWS IoT Greengrass ポリシーステートメントの Resource要素ARNsで使用できるリソースを示します。 AWS IoT Greengrass アクションでサポートされているリソースレベルのアクセス許可のマッピングについては、ユーザーガイドの「で定義されるアクション AWS IoT GreengrassIAM」を参照してください。

一部の AWS IoT Greengrass アクション (一部のリストオペレーションなど) は、特定のリソースで実行できません。このような場合は、ワイルドカードのみを使用する必要があります。


"Resource": "*"

ステートメントARNsで複数のリソースを指定するには、次のように角括弧 ([]) でリストし、カンマで区切ります。


"Resource": [
  "resource-arn1",
  "resource-arn2",
  "resource-arn3"
]

ARN 形式の詳細については、「」の「Amazon リソースネーム (ARNs) と AWS サービス名前空間」を参照してくださいAmazon Web Services 全般のリファレンス。

条件キー

管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルが、どのリソースに対してどのような条件下でアクションを実行できるかということです。

Condition 要素 (または Condition ブロック) を使用すると、ステートメントが有効な条件を指定できます。Condition 要素はオプションです。イコールや未満などの条件演算子を使用して条件式を作成することで、ポリシーの条件とリクエスト内の値を一致させることができます。

1 つのステートメントに複数の Condition 要素を指定する場合、または 1 つの Condition 要素に複数のキーを指定する場合、 AWS では AND 論理演算子を使用してそれらを評価します。1 つの条件キーに複数の値を指定すると、は論理ORオペレーションを使用して条件 AWS を評価します。ステートメントの権限が付与される前にすべての条件が満たされる必要があります。

条件を指定する際にプレースホルダー変数も使用できます。例えば、IAMユーザー名でタグ付けされている場合にのみ、リソースにアクセスするアクセス許可をIAMユーザーに付与できます。詳細については、「ユーザーガイド」のIAM「ポリシー要素: 変数とタグIAM」を参照してください。

AWS は、グローバル条件キーとサービス固有の条件キーをサポートします。すべての AWS グローバル条件キーを確認するには、「ユーザーガイド」のAWS 「グローバル条件コンテキストキーIAM」を参照してください。

例

AWS IoT Greengrass アイデンティティベースのポリシーの例を表示するには、「」を参照してくださいAWS IoT Greengrass のアイデンティティベースのポリシーの例。

のリソースベースのポリシー AWS IoT Greengrass

AWS IoT Greengrass は、リソースベースのポリシーをサポートしていません。

アクセスコントロールリスト (ACLs）

AWS IoT Greengrass はをサポートしていませんACLs。

AWS IoT Greengrass タグに基づいた認可

サポートされている AWS IoT Greengrass リソースにタグをアタッチするか、へのリクエストでタグを渡すことができます AWS IoT Greengrass。タグに基づいてアクセスを管理するには、aws:ResourceTag/${TagKey}、aws:RequestTag/${TagKey}、または aws:TagKeys の条件キーを使用して、ポリシーの [Condition element] (条件要素) でタグ情報を提供します。詳細については、「AWS IoT Greengrass Version 2 リソースのタグ付け」を参照してください。

IAM のロール AWS IoT Greengrass

IAM ロールは、特定のアクセス許可 AWS アカウントを持つ内のエンティティです。

での一時的な認証情報の使用 AWS IoT Greengrass

一時的な認証情報は、フェデレーションでサインインしたり、 IAM ロールを引き受けたり、クロスアカウントロールを引き受けたりするために使用されます。一時的なセキュリティ認証情報を取得するには、 AssumeRoleやなどのAPIオペレーションを呼び出し AWS STS ますGetFederationToken。

Greengrass コアでは、[device role] (デバイスロール) の一時的な認証情報が Greengrass コンポーネントで利用可能になります。コンポーネントがを使用している場合は AWS SDK、が認証情報 AWS SDKを取得するためにロジックを追加する必要はありません。

サービスリンクロール

AWS IoT Greengrass は、サービスにリンクされたロールをサポートしていません。

サービスロール

この機能により、ユーザーに代わってサービスがサービスロールを引き受けることが許可されます。このロールにより、サービスがお客様に代わって他のサービスのリソースにアクセスし、アクションを完了することが許可されます。サービスロールはIAMアカウントに表示され、アカウントによって所有されます。つまり、IAM管理者はこのロールのアクセス許可を変更できます。ただし、それにより、サービスの機能が損なわれる場合があります。

AWS IoT Greengrass コアデバイスはサービスロールを使用して、Greengrass コンポーネントと Lambda 関数がユーザーに代わって一部の AWS リソースにアクセスできるようにします。詳細については、「コアデバイスが AWS サービスとやり取りできるように認証する」を参照してください。

AWS IoT Greengrass はサービスロールを使用して、ユーザーに代わって一部の AWS リソースにアクセスします。詳細については、「Greengrass サービスロール」を参照してください。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

ID およびアクセス管理

アイデンティティベースポリシーの例

と の AWS IoT Greengrass 連携方法 IAM