Amazon VPC Transit Gateway での Identity and Access Management

AWS は、セキュリティ認証情報を使用してユーザーを識別し、 リソースへのアクセス AWS を許可します。 AWS Identity and Access Management （IAM) の機能を使用すると、他のユーザー、サービス、およびアプリケーションが、セキュリティ認証情報を共有せずに、 AWS リソースを完全または限定的な方法で使用できるようになります。

デフォルトでは、IAMユーザーには AWS リソースを作成、表示、または変更するアクセス許可はありません。ユーザーがトランジットゲートウェイなどのリソースにアクセスしたり、タスクを実行したりできるようにするには、必要な特定のリソースとAPIアクションを使用するアクセス許可をユーザーに付与する IAMポリシーを作成し、そのユーザーが属するグループにポリシーをアタッチする必要があります。ポリシーをユーザーまたはユーザーのグループにアタッチする場合、ポリシーによって特定リソースの特定タスクを実行するユーザーの権限が許可または拒否されます。

トランジットゲートウェイを使用するには、次のいずれかの AWS マネージドポリシーがニーズを満たす場合があります。

• AmazonEC2FullAccess

• AmazonEC2ReadOnlyAccess

• PowerUserAccess

• ReadOnlyAccess

Transit Gateway を管理するためのポリシー例

トランジットゲートウェイを使用するためのIAMポリシーの例を次に示します。

必要なタグを持つ Transit Gateway を作成する

以下の例で、ユーザーは Transit Gateway を作成できるようになります。aws:RequestTag 条件キーでは、ユーザーは Transit Gateway をタグ stack=prod にタグ付けすることが求められます。aws:TagKeys 条件キーは、ForAllValues 修飾子を使用し、キー stack のみがリクエストで許可されることを指定します（他のタグは指定できません）。ユーザーが Transit Gateway の作成時にこの指定のタグを渡さない場合、またはタグを指定しない場合、リクエストは却下されます。

2 番目のステートメントは、ec2:CreateAction 条件キーを使用して、ユーザーが CreateTransitGateway のコンテキストでみタグを使用できるようにします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateTaggedTGWs",
            "Effect": "Allow",
            "Action": "ec2:CreateTransitGateway",
            "Resource": "arn:aws:ec2:region:account-id:transit-gateway/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/stack": "prod"
                },
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": [
                        "stack"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:region:account-id:transit-gateway/*",
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "CreateTransitGateway"
                }
            }
        }
    ]
}

Transit Gateway ルートテーブルの操作

以下の例では、ユーザーが特定の Transit Gateway のみ（tgw-11223344556677889）に対して Transit Gateway ルートテーブルを作成および削除できるようにします。ユーザーは、任意の Transit Gateway のルートテーブルでルートの作成や置き換えができますが、タグ network=new-york-office の付いたアタッチメントに対してのみ可能です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteTransitGatewayRouteTable",
                "ec2:CreateTransitGatewayRouteTable"
            ],
            "Resource": [
                "arn:aws:ec2:region:account-id:transit-gateway/tgw-11223344556677889",
                "arn:aws:ec2:*:*:transit-gateway-route-table/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTransitGatewayRoute",
                "ec2:ReplaceTransitGatewayRoute"
            ],
            "Resource": "arn:aws:ec2:*:*:transit-gateway-attachment/*",
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/network": "new-york-office"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTransitGatewayRoute",
                "ec2:ReplaceTransitGatewayRoute"
            ],
            "Resource": "arn:aws:ec2:*:*:transit-gateway-route-table/*"
        }
    ]
}