Amazon Rekognition で IAM を使用する方法 - Amazon Rekognition

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Rekognition で IAM を使用する方法

IAM を使用して Amazon Rekognition へのアクセスを管理する前に、Amazon Recognition で使用できる IAM 機能について理解しておく必要があります。Amazon Rekognition やその他の方法のハイレベルのビューを取得するにはAWSIAM と連携するサービスについては、「」を参照してください。AWSIAM と連携するサービスIAM ユーザーガイド

Amazon Rekognition アイデンティティベースのポリシー

IAM ID ベースのポリシーでは、許可または拒否するアクションとリソース、またアクションを許可または拒否する条件を指定できます。Amazon Rekognition は、特定のアクション、リソース、および条件キーをサポートしています。JSON ポリシーで使用するすべての要素については、IAM ユーザーガイドIAM JSON ポリシーの要素のリファレンスを参照してください。

Actions

管理者は AWS JSON ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

JSON ポリシーの Action 要素は、ポリシー内のアクセスを許可または拒否するために使用できるアクションを記述します。ポリシーアクションの名前は通常、関連する AWS API オペレーションと同じです。一致する API オペレーションを持たないアクセス許可のみのアクションなど、いくつかの例外があります。また、ポリシーに複数のアクションが必要なオペレーションもあります。これらの追加アクションは、依存アクションと呼ばれます。

このアクションは、関連付けられた操作を実行するための許可を付与するポリシーで使用されます。

Amazon Rekognition のポリシーアクションは、アクションの前にプレフィックスを使用します。rekognition:。 たとえば、Amazon Rekognition を使用してイメージ内のオブジェクト、シーン、または概念を検出するアクセス許可を付与するには、DeleteLabelsAPI 操作を実行する場合は、rekognition:DetectLabels彼らのポリシーのアクション。ポリシーステートメントには、Action または NotAction エレメントを含める必要があります。Amazon Rekognition は、このサービスで実行できるタスクを記述する独自のアクションのセットを定義します。

単一のステートメントに複数のアクションを指定するには、次のようにコンマで区切ります。

"Action": [ "rekognition:action1", "rekognition:action2"

ワイルドカード (*) を使用して複数のアクションを指定することができます。例えば、Describe という単語で始まるすべてのアクションを指定するには、次のアクションを含めます。

"Action": "rekognition:Describe*"

Amazon Rekognition アクションのリストを表示するには、Amazon Rekognition で定義されるアクションIAM ユーザーガイド

Resources

管理者は AWS JSON ポリシーを使用して、誰が何にアクセスするかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。

Resource JSON ポリシーエレメントは、アクションが適用されるオブジェクトを指定します。ステートメントには、Resource または NotResource エレメントを含める必要があります。ベストプラクティスとして、リソースは Amazon リソースネーム (ARN) を使用して指定します。これは、リソースレベルのアクセス許可と呼ばれる特定のリソースタイプをサポートするアクションに対して実行できます。

操作のリスト化など、リソースレベルの許可をサポートしないアクションの場合は、ワイルドカード (*) を使用して、ステートメントがすべてのリソースに適用されることを示します。

"Resource": "*"

ARN の形式の詳細については、「Amazon リソースネーム (ARN) と AWS サービスの名前空間」を参照してください。

たとえば、ステートメントで MyCollection コレクションを指定するには、次の ARN を使用します。

"Resource": "arn:aws:rekognition:us-east-1:123456789012:collection/MyCollection"

特定のアカウントに属するすべてのインスタンスを指定するには、ワイルドカード (*) を使用します。

"Resource": "arn:aws:rekognition:us-east-1:123456789012:collection/*"

リソースの作成など、一部の Amazon Rekognition アクションは、特定のリソースで実行できません。このような場合は、ワイルドカード (*) を使用する必要があります。

"Resource": "*"

Amazon Rekognition リソースタイプおよびその ARN のリストを表示するには、Amazon Rekognition で定義されるリソースIAM ユーザーガイド。各リソースの ARN を指定できるアクションについては、Amazon Rekognition で定義されるアクション

条件キー

Amazon Rekognition にはサービス固有条件キーがありませんが、いくつかのグローバル条件キーの使用がサポートされています。すべての AWSグローバル条件キーを確認するには、IAM ユーザーガイドの「AWS グローバル条件コンテキストキー」を参照してください。

Examples

Amazon Rekognition アイデンティティベースのポリシーの例を表示するには、Amazon Rekognition アイデンティティベースのポリシーの例

Amazon Rekognition リソースベースのポリシー

Amazon Rekognition では、リソースベースのポリシーはサポートされていません。

Amazon S3 などの他のサービスでは、リソースベースのアクセス権限ポリシーもサポートされています。たとえば、ポリシーを S3 バケットにアタッチして、そのバケットに対するアクセス許可を管理できます。

Amazon S3 バケットに保存されているイメージにアクセスするには、S3 バケット内のオブジェクトにアクセスするための権限が必要です。Amazon Rekognition は、このアクセス許可により、イメージを S3 バケットからダウンロードできます。次のポリシー例では、ユーザーは Tests3bucket という S3 バケットに対して、s3:GetObject アクションを実行できます。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "s3:GetObject", "Resource": [ "arn:aws:s3:::Tests3bucket/*" ] } ] }

バージョニングを有効にして S3 バケットを使用するには、次の例に示すように、s3:GetObjectVersion アクションを追加します。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetObject", "s3:GetObjectVersion" ], "Resource": [ "arn:aws:s3:::Tests3bucket/*" ] } ]

Amazon Rekognition のロール

IAM ロールは、特定のアクセス許可を持つ AWS アカウント内のエンティティです。

Amazon Rekognition での一時的な認証情報の使用

一時的な認証情報を使用して、フェデレーションでサインイン、IAM ロールを引き受ける、またはクロスアカウントロールを引き受けることができます。一時的なセキュリティ認証情報を取得するには、 AWS STS AssumeRole または GetFederationToken などの API オペレーションを呼び出します。

Amazon Rekognition では、一時認証情報の使用をサポートしています。

サービスにリンクされたロール

サービスにリンクされたロールによって、AWS サービスが他のサービスのリソースにアクセスして自動的にアクションを完了できます。サービスにリンクされたロールは、IAM アカウント内に表示され、サービスによって所有されます。IAM 管理者は、サービスにリンクされたロールのアクセス許可を表示できますが、編集することはできません。

Amazon Rekognition では、サービスにリンクされたロールはサポートされていません。

サービスロール

この機能では、サービスのロールをユーザーに代わって引き受けることをサービスに許可します。このロールにより、サービスはユーザーに代わって他のサービスのリソースにアクセスし、アクションを実行できます。サービスロールは、IAM アカウントに表示され、サービスによって所有されます。つまり、IAM 管理者は、このロールのアクセス許可を変更できます。ただし、これを行うことにより、サービスの機能が損なわれる場合があります。

Amazon Rekognition では、サービスロールがサポートされています。

Amazon Rekognition での IAM ロールの選択

保存した動画を分析するために Amazon Rekognition を設定する場合は、Amazon Rekognition SNS にアクセスすることを許可するためのロールを、ユーザーが選択する必要があります。サービスロールあるいはサービスにリンクされたロールを以前に作成している場合、Amazon Rekognition は選択できるロールのリストを示します。詳細については、「Amazon Rekognition Video を設定する」を参照してください。