Amazon Rekognition で IAM が機能する仕組み - Amazon Rekognition

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Rekognition で IAM が機能する仕組み

IAM を使用して Amazon Rekognition へのアクセスを管理する前に、Amazon Rekognition で使用できる IAM 機能について理解しておく必要があります。Amazon Rekognition およびその他の方法の概要を説明します。AWSサービスは IAM と連携します。AWSIAM と連携するサービスIAM ユーザーガイド

Amazon Rekognition アイデンティティベースのポリシー

IAM アイデンティティベースのポリシーでは、許可または拒否するアクションとリソース、またアクションを許可または拒否する条件を指定できます。Amazon Rekognition は、特定のアクション、リソース、および条件キーをサポートしています。JSON ポリシーで使用するすべての要素については、「IAM ユーザーガイド」「IAM JSON ポリシーの要素のリファレンス」を参照してください。

アクション

管理者は AWS JSON ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの プリンシパル がどの リソース に対してどのような 条件 下で アクション を実行できるかということです。

JSON ポリシーの Action 要素は、ポリシー内のアクセスを許可または拒否するために使用できるアクションを記述します。ポリシーアクションの名前は通常、関連する AWS API 演算と同じです。一致する API 演算を持たないアクセス許可のみのアクションなど、いくつかの例外があります。また、ポリシーに複数のアクションが必要な演算もあります。これらの追加アクションは、依存アクション と呼ばれます。

このアクションは、関連付けられた操作を実行するための許可を付与するポリシーで使用されます。

Amazon Rekognition のポリシーアクションは、アクションの前にプレフィックスを使用します。rekognition:。 たとえば、Amazon Rekognition でイメージ内のオブジェクト、シーン、または概念を検出するアクセス許可を付与するには、DeleteLabelsAPI オペレーションでは、rekognition:DetectLabels彼らのポリシーでの行動。ポリシーステートメントには、Action または NotAction 要素を含める必要があります。Amazon Rekognition は、このサービスで実行できるタスクを記述する独自のアクションのセットを定義します。

単一のステートメントに複数のアクションを指定するには、次のようにコンマで区切ります:

"Action": [ "rekognition:action1", "rekognition:action2"

ワイルドカード (*) を使用して複数のアクションを指定することができます。例えば、Describe という単語で始まるすべてのアクションを指定するには、次のアクションを含めます:

"Action": "rekognition:Describe*"

Amazon Rekognition アクションのリストを表示するには、「」を参照してください。Amazon Rekognition で定義されるアクションIAM ユーザーガイド

リソース

管理者は AWS JSON ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

Resource JSON ポリシーエレメントは、オブジェクトあるいはアクションが適用されるオブジェクトを指定します。ステートメントには、Resource または NotResource エレメントを含める必要があります。ベストプラクティスとして、Amazon リソースネーム (ARN) を使用してリソースを指定します。これは、リソースレベルのアクセス許可 と呼ばれる特定のリソースタイプをサポートするアクションに対して実行できます。

操作のリスト化など、リソースレベルの許可をサポートしないアクションの場合は、ワイルドカード (*) を使用して、ステートメントがすべてのリソースに適用されることを示します。

"Resource": "*"

ARN の形式の詳細については、「Amazon リソースネーム (ARN) と AWS サービスの名前空間」 を参照してください。

たとえば、ステートメントで MyCollection コレクションを指定するには、次の ARN を使用します。

"Resource": "arn:aws:rekognition:us-east-1:123456789012:collection/MyCollection"

特定のアカウントに属するすべてのインスタンスを指定するには、ワイルドカード (*) を使用します。

"Resource": "arn:aws:rekognition:us-east-1:123456789012:collection/*"

リソースの作成を含む、一部の Amazon Rekognition アクションは、特定のリソースで実行できません。このような場合は、ワイルドカード (*) を使用する必要があります。

"Resource": "*"

Amazon Rekognition リソースタイプおよびその ARN のリストを表示するには、「」を参照してください。Amazon Rekognition で定義されるリソースIAM ユーザーガイド。どのアクションで各リソースの ARN を指定できるかについては、「」を参照してください。Amazon Rekognition で定義されるアクション

条件キー

Amazon Rekognition にはサービス固有条件キーがありませんが、いくつかのグローバル条件キーの使用をサポートしています。すべての AWS グローバル条件キーを確認するには、IAM ユーザーガイドのAWS グローバル条件コンテキストキー」を参照してください。

Amazon Rekognition リソースベースのポリシー

Amazon Rekognition では、リソースベースのポリシーはサポートされていません。

Amazon S3 などの他のサービスでは、リソースベースのアクセス権限ポリシーもサポートされています。例えば、ポリシーを S3 バケットに添付して、そのバケットに対するアクセス許可を管理できます。

Amazon S3 バケットに保存されているイメージにアクセスするには、S3 バケット内のオブジェクトへのアクセス許可が必要です。このアクセス権限があれば、Amazon Rekognition は S3 バケットからイメージをダウンロードできます。次のポリシー例では、ユーザーは Tests3bucket という S3 バケットに対して、s3:GetObject アクションを実行できます。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "s3:GetObject", "Resource": [ "arn:aws:s3:::Tests3bucket/*" ] } ] }

バージョニングを有効にして S3 バケットを使用するには、次の例に示すように、s3:GetObjectVersion アクションを追加します。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetObject", "s3:GetObjectVersion" ], "Resource": [ "arn:aws:s3:::Tests3bucket/*" ] } ]

Amazon Rekognition の IAM ロール

IAM ロールは AWS アカウント内のエンティティで、特定の許可を持っています。

Amazon Rekognition での一時的な認証情報の使用

テンポラリ認証情報を使用して、フェデレーションでサインイン、IAM ロールを引き受ける、またはクロスアカウントロールを引き受けることができます。テンポラリセキュリティ認証情報を取得するには、AWS STSAssumeRole または GetFederationToken などの API オペレーションを呼び出します。

Amazon Rekognition では、一時認証情報の使用をサポートしています。

サービスにリンクされたロール

サービスリンクロールを使用すると、AWS のサービスがユーザーに代わって他のサービスのリソースにアクセスし、アクションを完了することができます。サービスリンクロールは IAM アカウント内に表示され、サービスによって所有されます。IAM 管理者はサービスリンクロールの許可を表示できますが、編集することはできません。

Amazon Rekognition では、サービスにリンクされたロールはサポートされていません。

サービスロール

この機能では、サービスロールをユーザーに代わって引き受けることをサービスに許可します。このロールにより、サービスはユーザーに代わって他のサービスのリソースにアクセスし、アクションを実行できます。サービスロールは、IAM アカウントに表示され、サービスによって所有されます。つまり、IAM 管理者は、このロールのアクセス許可を変更できます。ただし、これを行うことにより、サービスの機能が損なわれる場合があります。

Amazon Rekognition では、サービスロールがサポートされています。

Amazon Rekognition での IAM ロールの選択

保存した動画を分析するために Amazon Rekognition を設定する場合は、ユーザーに代わり Amazon Rekognition が Amazon SNS にアクセスすることを許可するロールを選択する必要があります。サービスロールあるいはサービスにリンクされたロールを以前に作成している場合、Amazon Rekognition は選択できるロールのリストを示します。詳細については、「Amazon Rekognition Video の設定」を参照してください。