Amazon Keyspaces のマルチリージョンレプリケーションでのロールの使用

Amazon Keyspaces (Apache Cassandra 向け) では AWS Identity and Access Management (IAM) サービスにリンクされたロールを使用します。サービスリンクロールは、Amazon Keyspaces に直接リンクされた特殊なタイプの IAM ロールです。サービスリンクロールは Amazon Keyspaces によって事前に定義されており、ユーザーに代わってサービスにより他の AWS サービスが呼び出されるようにするために必要となるすべての権限が、サービスロールに含まれています。

必要な許可を手動で追加する必要がないため、サービスリンクロールは Amazon Keyspaces のセットアップを容易にします。サービスリンクロールの許可は Amazon Keyspaces が定義し、特に定義されない限り、Amazon Keyspaces のみがそのロールを引き受けることができます。定義されるアクセス許可には、信頼ポリシーと許可ポリシーが含まれており、その許可ポリシーを他の IAM エンティティにアタッチすることはできません。

サービスリンクロールを削除するには、まずその関連リソースを削除します。これは、リソースにアクセスするための許可を不用意に削除できないため、Amazon Keyspaces リソースを保護できます。

サービスにリンクされたロールをサポートする他のサービスについては、「IAM と連動する AWS のサービス」を参照し、[Service-linked roles(サービスにリンクされたロール)] の列内で [Yes (はい)] と表記されたサービスを確認してください。そのサービスに関するサービスリンクロールのドキュメントを表示するには、リンクが設定されている [Yes (はい)] を選択します。

Amazon Keyspaces のサービスリンクロール権限

Amazon Keyspaces は、 という名前のサービスにリンクされたロールを使用してAWSServiceRoleForAmazonKeyspacesReplication、Amazon Keyspaces がユーザーに代わってマルチリージョンテーブルのすべてのレプリカに書き込みをレプリケートできるようにします。

AWSServiceRoleForAmazonKeyspacesReplication サービスにリンクされたロールは、以下のサービスを信頼してロールを引き受けます。

• replication.cassandra.amazonaws.com

という名前のロールのアクセス許可ポリシー KeyspacesReplicationServiceRolePolicy は、Amazon Keyspaces が以下のアクションを実行することを許可します。

• アクション: cassandra:Select

• アクション: cassandra:SelectMultiRegionResource

• アクション: cassandra:Modify

• アクション: cassandra:ModifyMultiRegionResource

Amazon Keyspaces のサービスにリンクされたロールは、ポリシーで指定された Amazon リソースネーム (ARN) の「Action:」アクセス許可 AWSServiceRoleForAmazonKeyspacesReplication を提供しますが、Amazon Keyspaces はアカウントの ARN を提供します。

ユーザー、グループ、ロールなどがサービスにリンクされたロールを作成、編集、削除できるようにするには、アクセス権限を設定する必要があります。詳細については、 IAM ユーザーガイド の「サービスリンクロールのアクセス許可」を参照してください。

Amazon Keyspaces 向けのサービスリンクロールの作成

サービスにリンクされたロールは手動で作成できません。AWS Management Console、AWS CLI、または AWS API でマルチリージョンキースペースを作成すると、Amazon Keyspaces によってサービスにリンクされたロールが作成されます。

このサービスリンクロールを削除した後で再度作成する必要が生じた場合は、同じ方法でアカウントにロールを再作成できます。マルチリージョンキースペース を作成すると、Amazon Keyspaces によってサービスにリンクされたロールが再度作成されます。

Amazon Keyspaces のサービスリンクロールの編集

Amazon Keyspaces では、 AWSServiceRoleForAmazonKeyspacesReplication サービスにリンクされたロールを編集することはできません。サービスリンクロールを作成すると、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用したロールの説明の編集はできます。詳細については、『IAM ユーザーガイド』の「サービスにリンクされたロールの編集」を参照してください。

Amazon Keyspaces のサービスリンクロールの削除

サービスリンクロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。そうすることで、モニタリングや保守が積極的に行われていない未使用のエンティティを排除できます。ただし、サービにリンクされたロールを手動で削除できるようにするには、まず、すべての AWS リージョン のアカウントのすべてのマルチリージョンキースペースを削除にする必要があります。

サービスリンクロールのクリーンアップ

IAM を使用してサービスにリンクされたロールを削除するには、最初に、そのロールで使用されているマルチリージョンキースペースとテーブルをすべて削除する必要があります。

注記

リソースを削除しようとしているときに Amazon Keyspaces サービスがロールを使用している場合は、削除が失敗する可能性があります。失敗した場合は、数分待ってから操作を再試行してください。

で使用されている Amazon Keyspaces リソースを削除するには AWSServiceRoleForAmazonKeyspacesReplication （コンソール）

1. AWS Management Console にサインインし、https://console.aws.amazon.com/keyspaces/home で Amazon Keyspaces コンソールを開きます。

2. 左側のパネルから [Keyspaces] を選択します。

3. リストからマルチリージョンキースペースをすべて選択します。

4. [削除] を選択して削除を確認し、[キースペースを削除] を選択します。

次のいずれかの方法で、マルチリージョンキースペースをプログラムで削除することもできます。

• Cassandra クエリ言語 (CQL) DROP KEYSPACE ステートメント

• AWS CLI の delete-keyspace操作。

• Amazon Keyspaces API の DeleteKeyspaceオペレーション。

サービスリンクロールの手動による削除

IAM コンソール、AWS CLI、または AWS API を使用して、 AWSServiceRoleForAmazonKeyspacesReplication サービスにリンクされたロールを削除します。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの削除」を参照してください。

Amazon Keyspaces サービスにリンクされたロールのサポートされているリージョン

Amazon Keyspaces は、サービスを利用できるすべてのリージョンで、サービスにリンクされたロールの使用をサポートしているわけではありません。 AWSServiceRoleForAmazonKeyspacesReplication ロールは以下のリージョンで使用できます。

リージョン名	リージョン識別子	Amazon Keyspaces でのサポート
米国東部（バージニア北部）	us-east-1	はい
米国東部 (オハイオ)	us-east-2	はい
米国西部 (北カリフォルニア)	us-west-1	はい
米国西部 (オレゴン)	us-west-2	はい
アジアパシフィック (ムンバイ)	ap-south-1	はい
アジアパシフィック (大阪)	ap-northeast-3	はい
アジアパシフィック (ソウル)	ap-northeast-2	はい
アジアパシフィック (シンガポール)	ap-southeast-1	はい
アジアパシフィック (シドニー)	ap-southeast-2	はい
アジアパシフィック (東京)	ap-northeast-1	はい
カナダ (中部)	ca-central-1	はい
欧州 (フランクフルト)	eu-central-1	はい
欧州 (アイルランド)	eu-west-1	はい
欧州 (ロンドン)	eu-west-2	はい
欧州 (パリ)	eu-west-3	はい
南米 (サンパウロ)	sa-east-1	はい
AWS GovCloud （米国東部）	us-gov-east-1	いいえ
AWS GovCloud （米国西部）	us-gov-west-1	いいえ