Amazon の IAM ポリシーの例 QuickSight - Amazon QuickSight
アイデンティティベースのポリシー

重要:Amazon QuickSight 分析ワークスペースを再設計しました。コンソールの新しい外観を反映していないスクリーンショットや手順のテキストが表示される場合があります。 QuickSight 現在、スクリーンショットと手順のテキストを更新しています。

機能または項目を検索するには、クイック検索バーを使用します。

QuickSightの新しい外観について詳しくは、「Amazon での新しい分析機能の紹介」を参照してください QuickSight。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon の IAM ポリシーの例 QuickSight

このセクションでは、Amazon QuickSight で使用できる IAM ポリシーの例を紹介します。

Amazon 向けの IAM アイデンティティベースのポリシー QuickSight

このセクションでは、Amazon で使用するアイデンティティベースのポリシーの例を示します。 QuickSight

トピック

IAM コンソール管理用の IAM アイデンティティベースのポリシー QuickSight

次の例は、IAM コンソールの管理アクションに必要な IAM アクセス権限を示しています。 QuickSight 

{
   "Statement": [
       {
           "Sid": "Statement1",
           "Effect": "Allow",
           "Action": [
               "quicksight:*",
               "iam:AttachRolePolicy",
               "iam:DetachRolePolicy",
               "iam:ListAttachedRolePolicies",
               "iam:GetPolicy",
               "iam:CreatePolicyVersion",
               "iam:DeletePolicyVersion",
               "iam:GetPolicyVersion",
               "iam:ListPolicyVersions",
               "iam:DeleteRole",
               "iam:CreateRole",
               "iam:GetRole",
               "iam:ListRoles",
               "iam:CreatePolicy",
               "iam:ListEntitiesForPolicy",
               "iam:listPolicies",
               "s3:ListAllMyBuckets",
               "athena:ListDataCatalogs",
               "athena:GetDataCatalog"
           ],
           "Resource": [
               "*"
           ]
       }
}

Amazon の IAM アイデンティティベースのポリシー:ダッシュボード QuickSight

以下は、特定のダッシュボードのダッシュボード共有と埋め込みを許可する IAM ポリシーの例です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "quicksight:RegisterUser",
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "quicksight:GetDashboardEmbedUrl",
            "Resource": "arn:aws:quicksight:us-west-2:111122223333:dashboard/1a1ac2b2-3fc3-4b44-5e5d-c6db6778df89",
            "Effect": "Allow"
        }
    ]
}

Amazon の IAM アイデンティティベースのポリシー:名前空間 QuickSight

以下の例は、 QuickSight 管理者が名前空間の作成や削除を許可する IAM ポリシーを示しています。

名前空間の作成

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:AuthorizeApplication",
                "ds:UnauthorizeApplication",
                "ds:DeleteDirectory",
                "ds:CreateIdentityPoolDirectory",
                "ds:DescribeDirectories",
                "quicksight:CreateNamespace"
            ],
            "Resource": "*"
        }
    ]
}

名前空間の削除

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:UnauthorizeApplication",
                "ds:DeleteDirectory",
                "ds:DescribeDirectories",
                "quicksight:DeleteNamespace"
            ],
            "Resource": "*"
        }
    ]
}

Amazon QuickSight の IAM アイデンティティベースのポリシー:カスタム権限

以下の例は、 QuickSight 管理者または開発者がカスタム権限を管理できるようにする IAM ポリシーを示しています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "quicksight:*CustomPermissions"
            ],
            "Resource": "*"
        }
    ]
}

以下は、前の例に示されているものと同じ許可を付与するための別の方法の例です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "quicksight:CreateCustomPermissions",
                "quicksight:DescribeCustomPermissions",
                "quicksight:ListCustomPermissions",
                "quicksight:UpdateCustomPermissions",
                "quicksight:DeleteCustomPermissions"
 
            ],
            "Resource": "*"
        }
    ]
}

Amazon の IAM アイデンティティベースのポリシー QuickSight:E メールレポートテンプレートのカスタマイズ

次の例は、Amazon Simple Email Service ID の検証属性の取得だけでなく QuickSight、E メールレポートテンプレートの表示、更新、作成を許可するポリシーを示しています。このポリシーにより、 QuickSight 管理者はカスタム E メールレポートテンプレートを作成および更新できるほか、E メールレポートの送信元となるカスタム E メールアドレスが SES の認証済み ID であることを確認できます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "quicksight: DescribeAccountCustomization",
                "quicksight: CreateAccountCustomization",
                "quicksight: UpdateAccountCustomization",
                "quicksight: DescribeEmailCustomizationTemplate",
                "quicksight: CreateEmailCustomizationTemplate",
                "quicksight: UpdateEmailCustomizationTemplate",
                "ses: GetIdentityVerificationAttributes"
            ],
            "Resource": "*"
        }
    ]
}

Amazon QuickSight の IAM アイデンティティベースのポリシー:ユーザーの作成

次の例は、Amazon QuickSight ユーザーのみの作成を許可するポリシーを示しています。quicksight:CreateReader、quicksight:CreateUser、および quicksight:CreateAdmin で、"Resource": "arn:aws:quicksight::<YOUR_AWS_ACCOUNTID>:user/${aws:userid}" へのアクセス許可を制限できます。このガイドで説明されているその他すべてのアクセス許可については、"Resource": "*" を使用します。指定したリソースによって、アクセス許可の範囲は、指定したリソースに制限されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "quicksight:CreateUser"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:quicksight::<YOUR_AWS_ACCOUNTID>:user/${aws:userid}"
        }
    ]
}

Amazon の IAM アイデンティティベースのポリシー QuickSight:グループの作成と管理

以下の例は、 QuickSight 管理者と開発者にグループの作成と管理を許可するポリシーを示しています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "quicksight:ListGroups",
                "quicksight:CreateGroup",
                "quicksight:SearchGroups",
                "quicksight:ListGroupMemberships",
                "quicksight:CreateGroupMembership",
                "quicksight:DeleteGroupMembership",
                "quicksight:DescribeGroupMembership",
                "quicksight:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Amazon の IAM アイデンティティベースのポリシー QuickSight:スタンダードエディションのオールアクセス

以下の Amazon QuickSight Standard エディションの例は、作成者と読者の購読と作成を許可するポリシーを示しています。この例では、Amazon からの登録を解除する権限を明示的に拒否しています。 QuickSight

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:AuthorizeApplication",
                "ds:UnauthorizeApplication",
                "ds:CheckAlias",
                "ds:CreateAlias",
                "ds:DescribeDirectories",
                "ds:DescribeTrusts",
                "ds:DeleteDirectory",
                "ds:CreateIdentityPoolDirectory",
                "iam:ListAccountAliases",
                "quicksight:CreateUser",
                "quicksight:Subscribe"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": 
                "quicksight:Unsubscribe",
            "Resource": "*"
        }
    ]
}

Amazon の IAM アイデンティティベースのポリシー QuickSight:IAM アイデンティティセンターによるエンタープライズエディションのオールアクセス

次の Amazon QuickSight エンタープライズエディションの例は、IAM Identity Center QuickSight と統合されたアカウントで Active Directory の購読、ユーザーの作成、管理を許可するポリシーを示しています。この例では、Amazon からの登録を解除する権限を明示的に拒否しています。 QuickSight

{
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "quicksight:*",
                "iam:AttachRolePolicy",
                "iam:DetachRolePolicy",
                "iam:ListAttachedRolePolicies",
                "iam:GetPolicy",
                "iam:CreatePolicyVersion",
                "iam:DeletePolicyVersion",
                "iam:GetPolicyVersion",
                "iam:ListPolicyVersions",
                "iam:DeleteRole",
                "iam:CreateRole",
                "iam:GetRole",
                "iam:ListRoles",
                "iam:CreatePolicy",
                "iam:ListEntitiesForPolicy",
                "iam:listPolicies",
                "s3:ListAllMyBuckets",
                "athena:ListDataCatalogs",
                "athena:GetDataCatalog",
                "sso:GetManagedApplicationInstance" ,
                "sso:CreateManagedApplicationInstance",
                "sso:GetManagedApplicationInstance",
                "sso:DeleteManagedApplicationInstance",
                "sso:GetManagedApplicationInstance",
                "sso:DescribeGroup",
                "sso:SearchGroups",
                "sso:GetProfile",
                "sso:AssociateProfile", 
                "sso:DisassociateProfile", 
                "sso:ListProfiles", 
                "sso:ListDirectoryAssociations", 
                "sso:DescribeRegisteredRegions" 
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Amazon 向けの IAM アイデンティティベースのポリシー QuickSight:Active Directory を備えたエンタープライズエディションのオールアクセス

次の Amazon QuickSight エンタープライズエディションの例は、ID 管理に Active Directory QuickSight を使用するアカウントで Active Directory の購読、ユーザーの作成、管理を許可するポリシーを示しています。この例では、Amazon からの登録を解除する権限を明示的に拒否しています。 QuickSight

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:AuthorizeApplication",
                "ds:UnauthorizeApplication",
                "ds:CheckAlias",
                "ds:CreateAlias",
                "ds:DescribeDirectories",
                "ds:DescribeTrusts",
                "ds:DeleteDirectory",
                "ds:CreateIdentityPoolDirectory",
                "iam:ListAccountAliases",
                "quicksight:CreateAdmin",
                "quicksight:Subscribe",
                "quicksight:GetGroupMapping",
                "quicksight:SearchDirectoryGroups",
                "quicksight:SetGroupMapping"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "quicksight:Unsubscribe",
            "Resource": "*"
        }
    ]
}

Amazon の IAM アイデンティティベースのポリシー QuickSight:アクティブディレクトリグループ

次の例は、Amazon QuickSight エンタープライズエディションアカウントの Active Directory グループ管理を許可する IAM ポリシーを示しています。

{
    "Statement": [
        {
            "Action": [
                "ds:DescribeTrusts",
                "quicksight:GetGroupMapping",
                "quicksight:SearchDirectoryGroups",
                "quicksight:SetGroupMapping"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ],
    "Version": "2012-10-17"
}

Amazon の IAM アイデンティティベースのポリシー QuickSight:管理者アセット管理コンソールの使用

次の例は、管理者向けアセット管理コンソールへのアクセスを許可する IAM ポリシーを示しています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [          
                "quicksight:SearchGroups",
                "quicksight:SearchUsers",              
                "quicksight:ListNamespaces",            
                "quicksight:DescribeAnalysisPermissions",
                "quicksight:DescribeDashboardPermissions",
                "quicksight:DescribeDataSetPermissions",
                "quicksight:DescribeDataSourcePermissions",
                "quicksight:DescribeFolderPermissions",
                "quicksight:ListAnalyses",
                "quicksight:ListDashboards",
                "quicksight:ListDataSets",
                "quicksight:ListDataSources",
                "quicksight:ListFolders",
                "quicksight:SearchAnalyses",
                "quicksight:SearchDashboards",
                "quicksight:SearchFolders",
                "quicksight:SearchDatasets",
                "quicksight:SearchDatasources",               
                "quicksight:UpdateAnalysisPermissions",
                "quicksight:UpdateDashboardPermissions",
                "quicksight:UpdateDataSetPermissions",
                "quicksight:UpdateDataSourcePermissions",
                "quicksight:UpdateFolderPermissions"
            ],
            "Resource": "*"
        }
    ]
}

Amazon の IAM アイデンティティベースのポリシー QuickSight:管理者キー管理コンソールの使用

次の例は、管理者向けキー管理コンソールへのアクセスを許可する IAM ポリシーを示しています。

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
              "kms:CreateGrant",
              "kms:ListAliases",
              "kms:ListKeys",
              "quicksight:ListCustomerManagedKeys",
              "quicksight:ListKMSKeysForUser",
              "quicksight:RegisterCustomerManagedKey"
              "quicksight:RemoveCustomerManagedKey",
          ],
          "Resource": "*"
      }
  ]

AWS リソース Amazon QuickSight: エンタープライズエディションのスコーピングポリシー

次の Amazon QuickSight Enterprise エディションの例は、 AWS リソースへのデフォルトアクセスを設定できるポリシーと、 AWS リソースへのアクセス権限のスコープポリシーを示しています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "quicksight:*IAMPolicyAssignment*",
                "quicksight:AccountConfigurations"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}