AWS Systems Manager アイデンティティベースのポリシーの例 - AWS Systems Manager

AWS Systems Manager アイデンティティベースのポリシーの例

デフォルトでは、AWS Identity and Access Management (IAM) ユーザーおよびロールには、AWS Systems Manager リソースを作成または変更するアクセス許可はありません。また、Systems Manager コンソール、AWS Command Line Interface (AWS CLI)、また AWS API を使用してタスクを実行しません。IAM 管理者は、ユーザーとロールに必要な、指定されたリソースで特定の API オペレーションを実行するアクセス許可をユーザーとロールに付与する IAM ポリシーを作成する必要があります。続いて、管理者はそれらのアクセス許可が必要な IAM ユーザーまたはグループにそのポリシーを添付します。

次の許可ポリシーの例では、米国東部 (オハイオ) (us-east-2) AWS リージョン で MyDocument- で始まる名前のドキュメントを削除することをユーザーに許可します。

{ "Version": "2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "ssm:DeleteDocument" ], "Resource" : [ "arn:aws:ssm:us-east-2:111122223333:document/MyDocument-*" ] } ] }

JSON ポリシードキュメントのこれらの例を使用して、IAM アイデンティティベースのポリシーを作成する方法については、IAM ユーザーガイドの「IAM ポリシーの作成」を参照してください。

ポリシーのベストプラクティス

アイデンティティベースのポリシーは非常に強力です。アカウント内で、Systems Manager リソースを作成、アクセス、または削除できるかどうかを決定します。これらのアクションを実行すると、AWS アカウントに追加料金が発生する可能性があります。ID ベースのポリシーを作成または編集するときは、以下のガイドラインと推奨事項に従います。

  • AWS マネージドポリシーの使用を開始する — Systems Managerの使用をすばやく開始するには、AWS マネージドポリシーを使用して、従業員に必要なアクセス許可を付与します。これらのポリシーはアカウントですでに有効になっており、AWS によって管理および更新されています 詳細については、IAM ユーザーガイドの「AWS マネージドポリシーを使用したアクセス許可の使用開始」を参照してください。

  • 最小権限を付与する – カスタムポリシーを作成するときは、タスクの実行に必要なアクセス許可のみを付与します。最小限のアクセス許可からスタートし、必要に応じて追加のアクセス許可を付与します。この方法は、寛容なアクセス許可でスタート、後でそれらを強化しようとするよりも安全です。詳細については、IAM ユーザーガイドの「最小特権の付与」を参照してください。

  • 機密性の高い操作に MFA を有効にする – セキュリティを強化するために、機密性の高いリソースまたは API 操作にアクセスするために IAM ユーザーに対して、多要素認証 (MFA) の使用を要求します。詳細については、IAM ユーザーガイドの「AWS での多要素認証 (MFA) の使用」を参照してください。

  • [Use policy conditions for extra security] (追加のセキュリティとしてポリシー条件を使用する) – 実行可能な範囲内で、ID ベースのポリシーでリソースへのアクセスを許可する条件を定義します。例えば、リクエストが発生しなければならない IP アドレスの許容範囲を指定するための条件を記述できます。指定された日付または時間範囲内でのみリクエストを許可する条件を書くことも、SSL や MFA の使用を要求することもできます。詳細については、IAM ユーザーガイドの「IAM JSON ポリシー要素: 条件」を参照してください。

Systems Manager コンソールを使用する

Systems Manager コンソールにアクセスするには、一連の最小限のアクセス許可が必要です。これらのアクセス許可により、AWS アカウント の Systems Manager リソースおよび他のリソースの詳細をリストおよび表示できます。

Systems Manager コンソールで Systems Manager を完全に利用するには、次のサービスへのアクセス許可が必要です。

  • AWS Systems Manager

  • Amazon Elastic Compute Cloud (Amazon EC2)

  • AWS Identity and Access Management (IAM)

必要なアクセス許可は、次のポリシーステートメントを使用して付与できます。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ssm:*", "ec2:describeInstances", "iam:ListRoles" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "*", "Condition": { "StringEquals": { "iam:PassedToService": "ssm.amazonaws.com" } } } ] }

最小限必要なアクセス許可よりも制限されたアイデンティティベースのポリシーを作成すると、そのポリシーをアタッチしたエンティティ (IAM ユーザーまたはロール) に対してはコンソールが意図したとおりに機能しません。

AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソール許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。

ユーザーが自分の許可を表示できるようにする

この例では、ユーザーアイデンティティ に添付されたインラインおよび管理ポリシーの表示を IAM ユーザーに許可するポリシーを作成する方法を示します。このポリシーには、コンソールで、またはプログラムで AWS CLI または AWS API を使用してこのアクションを完了するためのアクセス許可が含まれています。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] }

お客様管理ポリシーの例

スタンドアロンポリシーを作成して独自の AWS アカウント で管理できます。このようなポリシーは、カスタマー管理ポリシーと呼ばれます。これらのポリシーは、AWS アカウント の複数のプリンシパルエンティティにアタッチできます。ポリシーをプリンシパルエンティティにアタッチすると、ポリシーで定義されたアクセス権限がエンティティに付与されます。詳細については、IAM ユーザーガイドの「お客様が管理するポリシーの例」を参照してください。

以下のユーザーポリシーの例では、さまざまな Systems Manager アクションのアクセス許可を付与します。これらを使用して、IAM ユーザーおよびロールの Systems Manager アクセスを制限します。これらのポリシーは、Systems Manager API、AWS SDK、または AWS CLI でアクションを実行するときに機能します。コンソールを使用するユーザーに対しては、コンソールに固有の追加のアクセス権限を付与する必要があります。詳細については、「」を参照してくださいSystems Manager コンソールを使用する

注記

すべての例で、米国西部 (オレゴン) リージョン (us-west-2) を使用し、架空のアカウント ID を使用しています。AWS パブリックドキュメント (AWS-* で始まるドキュメント) については、Amazon リソースネーム (ARN) にアカウント ID を指定しないでください。

例 1: ユーザーに単一リージョンで Systems Manager オペレーションを実行することを許可する

次の例では、米国東部 (オハイオ) リージョン (us-east-2) でのみ Systems Manager オペレーションを実行するための許可を付与します。

{ "Version": "2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "ssm:*" ], "Resource" : [ "arn:aws:ssm:us-east-2:aws-account-ID:*" ] } ] }

例 2: 単一リージョンのドキュメントの一覧表示をユーザーに許可する

次の例で付与する許可では、米国東部 (オハイオ) リージョン (us-east-2) の Update で始まるすべてのドキュメント名を一覧表示できます。

{ "Version": "2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "ssm:ListDocuments" ], "Resource" : [ "arn:aws:ssm:us-east-2:aws-account-ID:document/Update*" ] } ] }

例3: ユーザーが特定 SSM ドキュメントを使用して特定ノードでコマンドを実行することを許可します。

次の IAM ポリシーの例は、ユーザーが米国東部 (オハイオ) リージョン (us-east-2) で次の操作を実行することを許可します。

  • Systems Manager のドキュメント (SSM ドキュメント) とドキュメントバージョンを一覧表示します。

  • ドキュメントに関する詳細の表示。

  • ポリシーに指定されたドキュメントを使用してコマンドを送信します。ドキュメント名は次のエントリによって決定します。

    arn:aws:ssm:us-east-2:aws-account-ID:document/Systems-Manager-document-name
  • コマンドを 3 つのノードに送信します。ノードは 2 番目の Resource セクションにある以下のエントリによって決定されます。

    "arn:aws:ssm:us-east-2:aws-account-ID:instance/i-02573cafcfEXAMPLE", "arn:aws:ssm:us-east-2:aws-account-ID:instance/i-0471e04240EXAMPLE", "arn:aws:ssm:us-east-2:aws-account-ID:instance/i-07782c72faEXAMPLE"
  • 送信後のコマンドの詳細を表示。

  • 自動化でワークフローを開始および停止する (AWS Systems Manager の機能)。

  • 自動化ワークフローに関する情報を取得します。

ユーザーがアクセスしている任意のノードにおいて (ユーザーアカウントによって決定される)、同ユーザーがこのドキュメントを利用してコマンドを送信する許可を付与する場合、Resource セクションで次のようなエントリを指定してその他のノードエントリを削除します。次の例では、米国東部 (オハイオ) リージョン (us-east-2) を使用しています。

"arn:aws:ssm:us-east-2:*:instance/*"
{ "Version": "2012-10-17", "Statement": [ { "Action": [ "ssm:ListDocuments", "ssm:ListDocumentVersions", "ssm:DescribeDocument", "ssm:GetDocument", "ssm:DescribeInstanceInformation", "ssm:DescribeDocumentParameters", "ssm:DescribeInstanceProperties" ], "Effect": "Allow", "Resource": "*" }, { "Action": "ssm:SendCommand", "Effect": "Allow", "Resource": [ "arn:aws:ssm:us-east-2:aws-account-ID:instance/i-02573cafcfEXAMPLE", "arn:aws:ssm:us-east-2:aws-account-ID:instance/i-0471e04240EXAMPLE", "arn:aws:ssm:us-east-2:aws-account-ID:instance/i-07782c72faEXAMPLE", "arn:aws:ssm:us-east-2:aws-account-ID:document/Systems-Manager-document-name" ] }, { "Action": [ "ssm:CancelCommand", "ssm:ListCommands", "ssm:ListCommandInvocations" ], "Effect": "Allow", "Resource": "*" }, { "Action": "ec2:DescribeInstanceStatus", "Effect": "Allow", "Resource": "*" }, { "Action": "ssm:StartAutomationExecution", "Effect": "Allow", "Resource": [ "arn:aws:ssm:us-east-2:aws-account-ID:automation-definition/*" ] }, { "Action": "ssm:DescribeAutomationExecutions", "Effect": "Allow", "Resource": [ "*" ] }, { "Action": [ "ssm:StopAutomationExecution", "ssm:GetAutomationExecution" ], "Effect": "Allow", "Resource": [ "*" ] } ] }

タグに基づく Systems Manager ドキュメントの表示

アイデンティティベースのポリシーの条件を使用して、タグに基づいて Systems Manager リソースへのアクセスをコントロールできます。この例では、SSM ドキュメントを表示できるポリシーを作成する方法を示します。ただし、ドキュメントタグ Owner にそのユーザーのユーザー名の値がある場合のみ、アクセス許可は付与されます。このポリシーでは、このアクションをコンソールで実行するために必要なアクセス権限も付与します。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "ListDocumentsInConsole", "Effect": "Allow", "Action": "ssm:ListDocuments", "Resource": "*" }, { "Sid": "ViewDocumentIfOwner", "Effect": "Allow", "Action": "ssm:GetDocument", "Resource": "arn:aws:ssm:*:*:document/*", "Condition": { "StringEquals": {"ssm:ResourceTag/Owner": "${aws:username}"} } } ] }

このポリシーをアカウントの IAM ユーザーに添付できます。richard-roe という名前のユーザーが Systems Manager ドキュメントを表示しようとする場合、ドキュメントに Owner=richard-roe または owner=richard-roe というタグが付いている必要があります。タグが付いていない場合は、アクセスが拒否されます。条件キー名では大文字と小文字は区別されないため、条件タグキー OwnerOwnerowner に一致します。詳細については、「IAM User Guide」(IAM ユーザーガイド) の「IAM JSON policy elements: Condition」(IAM JSON ポリシー要素: 条件) をご参照ください。