リソースが同じアカウントにある場合のアクセス許可の設定

OpenSearch サービスと Amazon Personalize のリソースが同じアカウントにある場合は、 OpenSearch サービスの IAM サービスロールを作成する必要があります。このロールには、Amazon Personalize キャンペーンからパーソナライズされたランキングを取得するためのアクセス許可が必要です。Amazon Personalize キャンペーンからパーソナライズされたランキングを取得するためのアクセス許可を OpenSearch サービスロールに付与するには、以下が必要です。

• ロールの信頼ポリシーは、 OpenSearch サービスにアクセスAssumeRole許可を付与する必要があります。信頼ポリシーの例については、「信頼ポリシーの例」を参照してください。

• ロールには、Amazon Personalize キャンペーンからパーソナライズされたランキングを取得する許可が必要です。ポリシーの例については、「アクセス許可ポリシーの例」を参照してください。

IAM ロールの作成方法の詳細については、「IAM ユーザーガイド」の「IAM ロールを作成する」を参照してください。ロールへの IAM ポリシーのアタッチについては、「IAM ユーザーガイド」の「IAM ID のアクセス許可の追加および削除」を参照してください。

OpenSearch サービスの IAM サービスロールを作成したら、サービスサービスロールの OpenSearch サービスドメインアクセスPassRole許可にアクセスするユーザーまたは OpenSearch ロールに付与する必要があります。詳細については、「Amazon OpenSearch Service ドメインセキュリティの設定」を参照してください。

信頼ポリシーの例

次の信頼ポリシーの例では、 OpenSearch サービスにアクセスAssumeRole許可を付与します。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "",
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Principal": {
            "Service": [
                "es.amazonaws.com"
            ]
        }
    }]
}

アクセス許可ポリシーの例

次のポリシー例では、Amazon Personalize キャンペーンからパーソナライズされたランキングを取得するための最低限のアクセス許可をロールに付与しています。Campaign ARN には、Amazon Personalize キャンペーンの Amazon リソースネーム (ARN) を指定します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "personalize:GetPersonalizedRanking"
            ],
            "Resource": "Campaign ARN"
        }
    ]
}