ポリシーのベストプラクティスコンソールを使用する場合自分の権限の表示をユーザーに許可するポリシーの例: 基本 MediaConvert ポリシーポリシーの例: リソースレベルのアクセスコントロールポリシーの例: リソースタグを使用したタグベースのアクセスコントロール

AWS Elemental のアイデンティティベースのポリシーの例 MediaConvert

デフォルトでは、ユーザーとロールにはリソースを作成または変更 MediaConvertするアクセス許可はありません。また、、 AWS Command Line Interface （AWS CLI） AWS Management Console、または AWS API を使用してタスクを実行することはできません。IAM 管理者は、リソースで必要なアクションを実行するための権限をユーザーに付与する IAM ポリシーを作成できます。その後、管理者はロールに IAM ポリシーを追加し、ユーザーはロールを引き受けることができます。

これらサンプルの JSON ポリシードキュメントを使用して、IAM アイデンティティベースのポリシーを作成する方法については、IAM ユーザーガイドのIAM ポリシーの作成を参照してください。

各リソースタイプの ARN の形式など MediaConvert、で定義されるアクションとリソースタイプの詳細については、「サービス認証リファレンス」の「AWS Elemental のアクション、リソース、および条件キー MediaConvert」を参照してください。 ARNs

ポリシーのベストプラクティス

ID ベースのポリシーは、ユーザーのアカウントで誰かが MediaConvert リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションを実行すると、 AWS アカウントに料金が発生する可能性があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する – ユーザーとワークロードにアクセス許可を付与するには、多くの一般的なユースケースにアクセス許可を付与する AWS 管理ポリシーを使用します。これらはで使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義して、アクセス許可をさらに減らすことをお勧めします。詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」または「ジョブ機能のAWS マネージドポリシー」を参照してください。
最小特権を適用する – IAM ポリシーで許可を設定する場合は、タスクの実行に必要な許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用して許可を適用する方法の詳細については、IAM ユーザーガイドのIAM でのポリシーとアクセス許可を参照してください。
IAM ポリシーで条件を使用してアクセスをさらに制限する - ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。例えば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。条件を使用して、などの特定のを通じてサービスアクションが使用される場合に AWS のサービス、サービスアクションへのアクセスを許可することもできます AWS CloudFormation。詳細については、「IAM ユーザーガイド」の [IAM JSON policy elements: Condition] (IAM JSON ポリシー要素:条件) を参照してください。
IAM Access Analyzer を使用して IAM ポリシーを検証し、安全で機能的な権限を確保する - IAM Access Analyzer は、新規および既存のポリシーを検証して、ポリシーが IAM ポリシー言語 (JSON) および IAM のベストプラクティスに準拠するようにします。IAM アクセスアナライザーは 100 を超えるポリシーチェックと実用的な推奨事項を提供し、安全で機能的なポリシーの作成をサポートします。詳細については、IAM ユーザーガイドのIAM Access Analyzer ポリシーの検証を参照してください。
多要素認証 (MFA) を要求する – で IAM ユーザーまたはルートユーザーを必要とするシナリオがある場合は AWS アカウント、セキュリティを強化するために MFA を有効にします。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、IAM ユーザーガイドのMFA 保護 API アクセスの設定を参照してください。

IAM でのベストプラクティスの詳細については、IAM ユーザーガイドのIAM でのセキュリティのベストプラクティスを参照してください。

MediaConvert コンソールを使用する

AWS Elemental MediaConvert コンソールにアクセスするには、最小限のアクセス許可のセットが必要です。これらのアクセス許可により、の MediaConvert リソースの詳細を一覧表示および表示できます AWS アカウント。最小限必要な許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。

AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。

ユーザーとロールが MediaConvert 引き続きコンソールを使用できるようにするには、エンティティに MediaConvert ConsoleAccessまたは ReadOnly AWS 管理ポリシーもアタッチします。詳細については、IAM ユーザーガイドのユーザーへの許可の追加を参照してください。

次のサンプルポリシーは、すべての MediaConvert リソース (ジョブListJobs、キューCreateJob、出力プリセットなど) に対するすべての AWS Elemental MediaConvert アクション (、など) に対するアクセス許可を IAM ユーザーに付与します。また、ジョブを実行するためにが引き受け MediaConvert るサービスロールを指定するために必要な IAM アクションも付与します。また、Amazon S3 アクションを許可して、IAM ユーザーが [参照] ボタンを使用して入力位置と出力位置を選択できるようにします。ジョブの実行に、Amazon S3 の許可は必須ではありません。許可がない場合、IAM ユーザーは代わりにバケットの URL を指定できます。この例では、アカウント番号は 111122223333、ロール名はですMediaConvertRole。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "mediaconvertActions",
      "Effect": "Allow",
      "Action": "mediaconvert:*",
      "Resource": "*"
    },
    {
      "Sid": "iamListRoles",
      "Effect": "Allow",
      "Action": "iam:ListRoles",
      "Resource": "*"
    },
    {
      "Sid": "iamPassRole",
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::111122223333:role/MediaConvertRole"
    },
    {
      "Sid": "s3Actions",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation",
        "s3:ListAllMyBuckets"
      ],
      "Resource": "*"
    }
  ]
}

自分の権限の表示をユーザーに許可する

この例では、ユーザーアイデンティティにアタッチされたインラインおよびマネージドポリシーの表示を IAM ユーザーに許可するポリシーの作成方法を示します。このポリシーには、コンソールで、または AWS CLI または AWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

ポリシーの例: 基本 MediaConvert ポリシー

次のポリシー例では、AWS Elemental を運用するための基本的なアクセス許可を付与します MediaConvert。この例では、アカウント番号は 111122223333、ロール名はですMediaConvertRole。暗号化を使用している場合は、または Amazon S3 バケットでデフォルトの暗号化が有効になっている場合は、追加のアクセス許可が必要です。詳細については、「AWS Elemental を使用した暗号化と DRM によるメディアアセットの保護 MediaConvert」を参照してください。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "mediaconvertActions",
      "Effect": "Allow",
      "Action": "mediaconvert:*",
      "Resource": "*"
    },
    {
      "Sid": "iamListRoles",
      "Effect": "Allow",
      "Action": "iam:ListRoles",
      "Resource": "*"
    },
    {
      "Sid": "iamPassRole",
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::111122223333:role/MediaConvertRole"
    },
    {
      "Sid": "s3Actions",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation",
        "s3:ListAllMyBuckets"
      ],
      "Resource": "*"
    }
  ]
}

ポリシーの例: リソースレベルのアクセスコントロール

次のポリシー例では、アカウント内の特定の AWS Elemental MediaConvert リソースにアクセス許可を付与します。この例では、アカウント番号は 012345678910 です。また、任意のパーティションとリージョンで以下のアクションを許可します。

アカウントですべてのキューの詳細を一度に表示する。
キュー「myQueue」に一度に投入されたすべてのジョブを表示する。
「allow」で始まる名前のプリセットと任意のジョブテンプレートを参照するジョブを作成し、キュー「myQueue」に投入する。
キュー「myQueue」、および「allow」で始まる名前のプリセットを参照するジョブテンプレートを作成する。

注記

キュー、出力プリセット、ジョブなどの AWS Elemental MediaConvert リソースにクロスアカウントアクセス許可を付与することはできません。Amazon S3 に保存されている入力および出力メディアファイルに対するクロスアカウントアクセス許可は付与できます。



{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListQueues",
            "Effect": "Allow",
            "Action": "mediaconvert:ListQueues",
            "Resource": "*"
        },
        {
            "Sid": "AllowListJobsInQueue",
            "Effect": "Allow",
            "Action": "mediaconvert:ListJobs",
            "Resource": "arn:*:mediaconvert:*:012345678910:queues/myQueue"
        },
        {
            "Sid": "AllowCreateLimitedJobs",
            "Effect": "Allow",
            "Action": [
                "mediaconvert:CreateJob",
                "mediaconvert:CreateJobTemplate"
            ],
            "Resource": [
                "arn:*:mediaconvert:*:012345678910:queues/myQueue",
                "arn:*:mediaconvert:*:012345678910:presets/allow*",
                "arn:*:mediaconvert:*:012345678910:jobTemplates/*"
            ]
        }
    ]
}

ポリシーの例: リソースタグを使用したタグベースのアクセスコントロール

次のポリシーDenyMediaConvertWithResourceTagは、にリストされているアクションにキーがタグ付けaccessされ、値deniedまたは文字列「」で始まる値がある場合を除き、アカウント内のすべての MediaConvert リソースに対するすべてのアクションへのアクセスを許可しますdeny。

注記

このポリシーは、ユーザーポリシーがリソースに対するアクションを許可も拒否も両方している場合に拒否が優先されるという、IAM の原則を示しています。したがって、このアタッチされたポリシーを持つ IAM ユーザーは、すべての MediaConvertリソースへの管理アクセス許可を許可する別のポリシーがある場合でも、拒否されたアクションを実行できません。



{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowMediaConvert",
            "Effect": "Allow",
            "Action": "mediaconvert:*",
            "Resource": "*"
        },
        {
            "Sid": "DenyMediaConvertWithResourceTag",
            "Effect": "Deny",
            "Action": [
                "mediaconvert:DeleteJobTemplate",
                "mediaconvert:GetQueue",
                "mediaconvert:UpdateQueue",
                "mediaconvert:DeleteQueue",
                "mediaconvert:GetPreset",
                "mediaconvert:ListTagsForResource",
                "mediaconvert:GetJobTemplate",
                "mediaconvert:UntagResource",
                "mediaconvert:UpdateJobTemplate",
                "mediaconvert:DeletePreset",
                "mediaconvert:TagResource",
                "mediaconvert:UpdatePreset"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:ResourceTag/access": [
                        "deny*",
                        "denied"
                    ]
                }
            }
        }
    ]
}

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

AWS Elemental と IAM の MediaConvert 連携方法

サービス間の混乱した代理の防止