IAM ポリシーをアタッチして AWS OpsWorks スタックのアクセス許可を管理する

重要

この AWS OpsWorks Stacks サービスは 2024 年 5 月 26 日にサポート終了となり、新規および既存のお客様の両方で無効になっています。できるだけ早くワークロードを他のソリューションに移行することを強くお勧めします。移行についてご質問がある場合は、 AWS re:Post または AWS Premium Support を通じて AWS Support チームにお問い合わせください。

IAM ポリシーをアタッチすることで、ユーザーの AWS OpsWorks スタックのアクセス許可を指定できます。次に示す一部の権限については、ポリシーのアタッチが必須となります。

• 管理ユーザー権限 (ユーザーのインポートなど)。

• 特定のアクションの権限 (スタックの作成、スタックのクローン化など)。

アタッチされたポリシーが必要となる全アクションの一覧については、「AWS OpsWorks スタックのアクセス許可レベル」を参照してください。

ポリシーを使用することによって、許可 ページで付与された権限レベルをカスタマイズすることもできます。このセクションでは、IAM ポリシーをユーザーに適用して AWS OpsWorks スタックのアクセス許可を指定する方法の概要を説明します。詳細については、「 AWS リソースのアクセス管理」を参照してください。

IAM ポリシーは、1 つ以上の statements (ステートメント) を含んだ JSON オブジェクトです。各ステートメント要素には、一連の権限が記述され、それぞれ 3 つの基本要素が存在します。

[アクション]

権限の対象となるアクション。 AWS OpsWorks スタックアクションは として指定しますopsworks:action。Action には、特定のアクションを指定できます。例えば、opsworks:CreateStack は、CreateStack の呼び出しをユーザーに許可するかどうかを指定します。また、ワイルドカードを使用して複数のアクションをまとめて指定することもできます。例えば、すべての作成アクションを指定するには、opsworks:Create* とします。 AWS OpsWorks スタックアクションの完全なリストについては、「 AWS OpsWorks スタック API リファレンス」を参照してください。

[Effect] (効果)

指定したアクションを許可するか拒否するかを示します。

リソース

アクセス許可が影響する AWS リソース。 AWS OpsWorks スタックには、スタックという 1 つのリソースタイプがあります。特定のスタックリソースの権限を指定するには、Resource 形式で、スタックの ARN を arn:aws:opsworks:region:account_id:stack/stack_id/ に指定します。

また、ワイルドカードを使用することもできます。例えば、Resource を * に設定すると、すべてのリソースに対する権限が付与されます。

たとえば、次のポリシーでは、ID が 2860-2f18b4cb-4de5-4429-a149-ff7da9f0d8ee であるスタックのインスタンスをユーザーが停止できないようにしています。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "opsworks:StopInstance",
      "Effect": "Deny",
      "Resource": "arn:aws:opsworks:*:*:stack/2f18b4cb-4de5-4429-a149-ff7da9f0d8ee/"
    }
  ]
}

IAM ユーザーに権限を付与する方法の詳細については、「https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console」を参照してください。

IAM ポリシーの作成や変更を行う方法の詳細については、許可とポリシー を参照してください。 AWS OpsWorks スタックポリシーの例については、「」を参照してくださいポリシーの例。