Amazon Personalize で IAM を使用する方法 - Amazon Personalize

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Personalize で IAM を使用する方法

IAM を使用して Amazon パーソナライズへのアクセスを管理する前に、Amazon Personalize で利用可能な IAM 機能について理解しておく必要があります。Amazon Personalize などのハイレベルのビューを表示するにはAWSサービスは IAM と連携する詳細については、「」を参照してください。AWSIAM と連携するサービスIAM ユーザーガイド

Amazon Personalize のアイデンティティベースのポリシー

IAM ID ベースのポリシーでは、許可または拒否するアクションとリソース、またアクションを許可または拒否する条件を指定できます。Amazon Personalize ito は、特定のアクション、リソース、および条件キーをサポートしています。JSON ポリシーで使用するすべての要素については、IAM ユーザーガイド の「IAM JSON ポリシーエレメントのリファレンス」を参照してください。

Actions

管理者は AWS JSON ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

JSON ポリシーの Action 要素は、ポリシー内のアクセスを許可または拒否するために使用できるアクションを記述します。ポリシーアクションの名前は通常、関連する AWS API オペレーションと同じです。一致する API オペレーションを持たないアクセス許可のみのアクションなど、いくつかの例外があります。また、ポリシーに複数のアクションが必要なオペレーションもあります。これらの追加アクションは、依存アクションと呼ばれます。

このアクションは、関連付けられた操作を実行するための許可を付与するポリシーで使用されます。

Amazon Personalize ito のポリシーアクションは、アクションの前にプレフィックスを使用します。personalize:。 たとえば、Amazon Personalize を使用してデータセットを作成するにはCreateDatasetAPI オペレーションを使用する場合は、personalize:CreateDatasetアクションを選択します。ポリシーステートメントには、Action または NotAction エレメントを含める必要があります。Amazon Personalize ito は、このサービスで実行できるタスクを記述する独自のアクションのセットを定義します。

1 つのステートメントで複数のアクションを指定するには、次のコマンドのようにカンマで区切ります。

"Action": [ "personalize:action1", "personalize:action2"

ワイルドカード (*) を使用して複数のアクションを指定することができます。たとえば、Describe という単語で始まるすべてのアクションを指定するには、以下のアクションを含めます。

"Action": "personalize:Describe*"

Amazon Personalize アクションのリストを表示するには、Amazon Personalize で定義されるアクションIAM ユーザーガイド

Resources

管理者は AWS JSON ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

Resource JSON ポリシーエレメントは、アクションが適用されるオブジェクトを指定します。ステートメントには、Resource または NotResource エレメントを含める必要があります。ベストプラクティスとして、リソースは Amazon リソースネーム (ARN) を使用して指定します。これは、リソースレベルのアクセス許可と呼ばれる特定のリソースタイプをサポートするアクションに対して実行できます。

操作のリスト化など、リソースレベルの許可をサポートしないアクションの場合は、ワイルドカード (*) を使用して、ステートメントがすべてのリソースに適用されることを示します。

"Resource": "*"

Amazon Personalize データセットリソースには、次の ARN があります。

arn:${Partition}:personalize:${Region}:${Account}:dataset/${dataset-name}

ARN の形式の詳細については、「Amazon リソースネーム (ARN) と AWS のサービスの名前空間」を参照してください。

たとえば、ステートメントで MyDataset データセットを指定するには、次の ARN を使用します。

"Resource": "arn:aws:personalize:us-east-1:123456789012:dataset/MyDataset"

特定のアカウントに属するすべてのデータセットを指定するには、次の例に示すように、ワイルドカード (*) を使用します。

"Resource": "arn:aws:personalize:us-east-1:123456789012:dataset/*"

リソースの作成など、一部の Amazon Personalize アクションは、特定のリソースで実行できません。このような場合は、ワイルドカード (*) を使用する必要があります。

"Resource": "*"

Amazon Personalize リソースタイプおよびその ARN のリストを表示するには、Amazon Personalize で定義されるリソースIAM ユーザーガイド。各リソースの ARN を指定するために使用できるアクションの詳細については、」Amazon Personalize で定義されるアクション

条件キー

管理者は AWS JSON ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

Condition エレメント (または Condition ブロック) を使用すると、ステートメントが有効な条件を指定できます。Conditionエレメントはオプションです。イコールや以下などの条件演算子を使用する条件式を作成して、リクエスト内に値のあるポリシーの条件に一致させることができます。

1 つのステートメントに複数の Condition エレメントを指定する場合、または 1 つの Condition エレメントに複数のキーを指定する場合、AWS が論理 AND 演算を使用してそれらを評価します。単一の条件キーに複数の値を指定する場合、AWS が論理 OR 演算を使用して条件を評価します。ステートメントのアクセス許可が付与される前にすべての条件が満たされる必要があります。

条件を指定する際にプレースホルダー変数も使用できます。例えば、IAM ユーザー名でタグ付けされている場合のみ、リソースにアクセスする IAM ユーザーアクセス許可を付与できます。詳細については、IAM ユーザーガイドIAM ポリシーエレメント: 変数およびタグを参照してください。

AWS はグローバル条件キーとサービス固有の条件キーをサポートしています。すべての AWS グローバル条件キーを確認するには、IAM ユーザーガイドの「AWS グローバル条件コンテキストキー」を参照してください。

Examples

Amazon Personalize のアイデンティティベースのポリシーの例を表示するには、Amazon Personalize のアイデンティティベースのポリシーの例

Amazon Personalize リソースベースのポリシー

Amazon Personalize では、リソースベースのポリシーはサポートされていません。

Amazon Personalize タグに基づいた認証

Amazon Personalize ito は、リソースのタグ付けやタグに基づいたアクセスの制御をサポートしていません。

Amazon Personalize IAM ロール

IAM ロールは、特定のアクセス許可を持つ AWS アカウント内のエンティティです。

Amazon Personalize での一時的な認証情報の使用

一時的な認証情報を使用して、フェデレーションでサインイン、IAM ロールを引き受ける、またはクロスアカウントロールを引き受けることができます。一時的なセキュリティ認証情報を取得するには、AssumeRole または GetFederationToken などの AWS Security Token Service (AWS STS) API オペレーションを呼び出します。

Amazon Personalize では、一時認証情報の使用をサポートしています。

サービスにリンクされたロール

サービスにリンクされたロールによって、AWS サービスが他のサービスのリソースにアクセスして自動的にアクションを完了できます。サービスにリンクされたロールは、IAM アカウント内に表示され、サービスによって所有されます。IAM 管理者は、サービスにリンクされたロールのアクセス許可を表示できますが、編集することはできません。

Amazon Personalize では、サービスにリンクされたロールをサポートしていません。

サービスロール

この機能では、サービスのロールをユーザーに代わって引き受けることをサービスに許可します。このロールにより、サービスはユーザーに代わって他のサービスのリソースにアクセスし、アクションを実行できます。サービスロールは、IAM アカウントに表示され、サービスによって所有されます。つまり、IAM 管理者は、このロールのアクセス許可を変更できます。ただし、これを行うことにより、サービスの機能が損なわれる場合があります。

Amazon Personalize ではサービスロールがサポートされています