AWS Audit Manager のアクション、リソース、および条件キー

AWS Audit Manager (サービスプレフィックス auditmanager) では、IAM 許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

参照:

• このサービスを設定する方法について説明します。

• このサービスで使用可能な API オペレーションのリストを表示します。

• IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。

AWS Audit Manager で定義されるアクション

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、AWS でオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource 要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
AssociateAssessmentReportEvidenceFolder	AWS Audit Manager で証拠フォルダを評価レポートに関連付ける許可を付与します	Write	assessment*
BatchAssociateAssessmentReportEvidence	AWS Audit Manager 内の評価レポートに証拠のリストを関連付ける許可を付与します	Write	assessment*
BatchCreateDelegationByAssessment	AWS Audit Manager 内で評価の委任を作成する許可を付与	Write	assessment*
BatchDeleteDelegationByAssessment	AWS Audit Manager 内で評価の委任を削除する許可を付与	Write	assessment*
BatchDisassociateAssessmentReportEvidence	AWS Audit Manager 内の評価から証拠のリストの関連付けを解除する許可を付与	Write	assessment*
BatchImportEvidenceToAssessmentControl	AWS Audit Manager 内の評価コントロールに証拠のリストをインポートする許可を付与	Write	assessmentControlSet*
CreateAssessment	AWS Audit Manager 内で使用する評価を作成する許可を付与	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateAssessmentFramework	AWS Audit Manager 内で使用できるようにフレームワークを作成する許可を付与	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateAssessmentReport	AWS Audit Manager 内で評価レポートを作成する許可を付与	Write	assessment*
CreateControl	AWS Audit Manager 内で使用するコントロールを作成する許可を付与	Write		aws:RequestTag/${TagKey} aws:TagKeys
DeleteAssessment	AWS Audit Manager 内で評価を削除する許可を付与	Write	assessment*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAssessmentFramework	AWS Audit Manager 内で評価フレームワークを削除する許可を付与	書き込み	assessmentFramework*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAssessmentFrameworkShare	AWS Audit Manager 内のカスタムフレームワークに対する、共有リクエストを削除するためのアクセス許可を付与する	書き込み
DeleteAssessmentReport	AWS Audit Manager 内で評価レポートを削除する許可を付与	Write	assessment*
DeleteControl	AWS Audit Manager 内でコントロールを削除する許可を付与	Write	control*
				aws:RequestTag/${TagKey} aws:TagKeys
DeregisterAccount	AWS Audit Manager 内でアカウントの登録を解除する許可を付与	Write
DeregisterOrganizationAdminAccount	AWS Audit Manager 内で委任された管理者アカウントの委任を解除する許可を付与	Write
DisassociateAssessmentReportEvidenceFolder	AWS Audit Manager の評価レポートから証拠フォルダの関連付けを解除する許可を付与	Write	assessment*
GetAccountStatus	AWS Audit Manager 内でアカウントのステータスを取得する許可を付与	Read
GetAssessment	AWS Audit Manager 内で作成された評価を取得する許可を付与	Read	assessment*
GetAssessmentFramework	AWS Audit Manager 内の評価フレームワークを取得する許可を付与	Read	assessmentFramework*
GetAssessmentReportUrl	AWS Audit Manager 内の評価レポートの URL を取得する許可を付与	Read	assessment*
GetChangeLogs	AWS Audit Manager 内の評価レポートの変更ログを取得する許可を付与	Read	assessment*
GetControl	AWS Audit Manager 内でコントロールを取得する許可を付与	Read	control*
GetDelegations	AWS Audit Manager 内のすべての委任を取得する許可を付与	リスト
GetEvidence	AWS Audit Manager から証拠を取得する許可を付与	Read	assessmentControlSet*
GetEvidenceByEvidenceFolder	AWS Audit Manager 内の証拠フォルダからすべての証拠を取得する許可を付与	読み取り	assessmentControlSet*
GetEvidenceFileUploadUrl	手作業による証拠としてファイルをアップロードするために使用できる、署名済みの Amazon S3 URL を取得する許可を付与します	読み取り
GetEvidenceFolder	AWS Audit Manager から証拠フォルダを取得する許可を付与	Read	assessmentControlSet*
GetEvidenceFoldersByAssessment	AWS Audit Manager 内の評価から証拠フォルダを取得する許可を付与	Read	assessment*
GetEvidenceFoldersByAssessmentControl	AWS Audit Manager 内の評価コントロールから証拠フォルダを取得する許可を付与	読み取り	assessmentControlSet*
GetInsights	アクティブなすべての評価の分析データを取得するアクセス許可を付与します。	読み取り
GetInsightsByAssessment	特定のアクティブな評価の分析データを取得するアクセス許可を付与します。	読み取り
GetOrganizationAdminAccount	AWS Audit Manager 内で委任された管理者アカウントを取得する許可を付与	Read
GetServicesInScope	AWS Audit Manager で評価のスコープ内にあるサービスを取得する許可を付与	Read
GetSettings	AWS Audit Manager 内で構成した設定を取得する許可を付与	読み取り
ListAssessmentControlInsightsByControlDomain	特定のコントロールドメインおよびアクティブアセスメント内のコントロールの分析データを一覧表示する権限を付与します。	リスト
ListAssessmentFrameworkShareRequests	AWS Audit Manager 内のカスタムフレームワークについて、送信または受信されたすべての共有リクエストをリストするためのアクセス許可を付与する	リスト
ListAssessmentFrameworks	AWS Audit Manager 内のすべての評価フレームワークを一覧表示する許可を付与	リスト
ListAssessmentReports	AWS Audit Manager 内のすべての評価レポートを一覧表示する許可を付与	リスト
ListAssessments	AWS Audit Manager 内のすべての評価を一覧表示する許可を付与	リスト
ListControlDomainInsights	すべてのアクティブな評価でコントロールドメインの分析データを一覧表示する権限を付与します。	リスト
ListControlDomainInsightsByAssessment	特定のアクティブな評価でコントロールドメインの分析データを一覧表示する権限を付与します。	リスト
ListControlInsightsByControlDomain	すべてのアクティブな評価で、特定のコントロールドメイン内のコントロールの分析データを一覧表示する権限を付与します。	リスト
ListControls	AWS Audit Manager 内のすべてのコントロールを一覧表示する許可を付与	リスト
ListKeywordsForDataSource	AWS Audit Manager 内のすべてのデータソースを一覧表示する許可を付与	リスト
ListNotifications	AWS Audit Manager 内のすべての通知を一覧表示する許可を付与	リスト
ListTagsForResource	AWS Audit Manager リソースのタグを一覧表示する許可を付与	読み取り	assessment
			control
RegisterAccount	AWS Audit Manager でアカウントを登録する許可を付与	Write
RegisterOrganizationAdminAccount	AWS Audit Manager 内で委任された管理者として組織内のアカウントを登録する許可を付与	書き込み
StartAssessmentFrameworkShare	AWS Audit Manager 内のカスタムフレームワークに対する共有リクエストを、作成するためのアクセス許可を付与する	書き込み	assessmentFramework*
TagResource	AWS Audit Manager リソースにタグを付ける許可を付与	タグ付け	assessment
			control
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	AWS Audit Manager リソースのタグを解除する許可を付与	タグ付け	assessment
			control
				aws:TagKeys
UpdateAssessment	AWS Audit Manager 内で評価を更新する許可を付与	Write	assessment*
UpdateAssessmentControl	AWS Audit Manager 内で評価コントロールを更新する許可を付与	Write	assessmentControlSet*
UpdateAssessmentControlSetStatus	AWS Audit Manager 内で設定した評価コントロールのステータスを更新する許可を付与	Write	assessmentControlSet*
UpdateAssessmentFramework	AWS Audit Manager 内で評価フレームワークを更新する許可を付与	書き込み	assessmentFramework*
UpdateAssessmentFrameworkShare	AWS Audit Manager 内のカスタムフレームワークに対する共有リクエストを、更新するためのアクセス許可を付与する	書き込み
UpdateAssessmentStatus	AWS Audit Manager 内で評価のステータスを更新する許可を付与	Write	assessment*
UpdateControl	AWS Audit Manager 内でコントロールを更新する許可を付与	Write	control*
UpdateSettings	AWS Audit Manager 内の設定を更新する許可を付与	Write
ValidateAssessmentReportIntegrity	AWS Audit Manager 内の評価レポートの整合性を検証する許可を付与	Read

AWS Audit Manager で定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
assessment	arn:${Partition}:auditmanager:${Region}:${Account}:assessment/${AssessmentId}
assessmentFramework	arn:${Partition}:auditmanager:${Region}:${Account}:assessmentFramework/${AssessmentFrameworkId}
assessmentControlSet	arn:${Partition}:auditmanager:${Region}:${Account}:assessment/${AssessmentId}/controlSet/${ControlSetId}
control	arn:${Partition}:auditmanager:${Region}:${Account}:control/${ControlId}	aws:ResourceTag/${TagKey}

AWS Audit Manager の条件キー

AWS Audit Manager は、IAM ポリシーの Condition 要素で使用できる次の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	タイプ
aws:RequestTag/${TagKey}	リクエストで渡されたタグでアクセスをフィルタリングします	文字列
aws:ResourceTag/${TagKey}	リソースに関連付けられたタグでアクセスをフィルタリングします	文字列
aws:TagKeys	リクエストで渡されたタグキーでアクセスをフィルタリングします	ArrayOfString