翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
AWS Client VPN は AWS Identity and Access Management (IAM) サービスにリンクされたロールを使用します。サービスにリンクされたロールは、クライアント VPN に直接リンクされた一意のタイプの IAM ロールです。サービスにリンクされたロールは、クライアント VPN によって事前定義されており、ユーザーに代わってサービスから他の AWS のサービスを呼び出すために必要なアクセス許可がすべて含まれています。
サービスにリンクされたロールを使用することで、必要な許可を手動で追加する必要がなくなるため、クライアント VPN の設定が簡単になります。クライアント VPN は、サービスにリンクされたロールの許可を定義します。特に定義されている場合を除き、クライアント VPN のみがそのロールを引き受けることができます。定義される許可は信頼ポリシーと許可ポリシーに含まれており、その許可ポリシーを他の IAM エンティティにアタッチすることはできません。
サービスリンクロールを削除するには、最初に関連リソースを削除する必要があります。これにより、リソースへの意図しないアクセスによる許可の削除が防止され、クライアント VPN リソースは保護されます。
クライアント VPN のサービスにリンクされたロールのアクセス許可
クライアント VPN は、AWSServiceRoleForClientVPNConnections (クライアント VPN 接続用のサービスにリンクされたロール) という名前のサービスにリンクされたロールを使用します。
AWSServiceRoleForClientVPNConnections のサービスにリンクされたロールは、以下のサービスを信頼してロールを引き受けます。
-
clientvpn-connections.amazonaws.com
ClientVPNServiceConnectionsRolePolicy という名前のロール許可ポリシーは、クライアント VPN が次のアクションを指定されたリソースで完了することを許可します。
-
アクション:
arn:aws:lambda:*:*:function:AWSClientVPN-*上でlambda:InvokeFunction
サービスにリンクされたロールの作成、編集、削除を IAM エンティティ (ユーザー、グループ、ロールなど) に許可するには、権限を設定する必要があります。詳細については、「IAM User Guide」(IAM ユーザーガイド) の「Service-linked role permissions」(サービスにリンクされたロールのアクセス権限) を参照してください。
クライアント VPN のサービスにリンクされたロールを作成する
サービスリンクロールを手動で作成する必要はありません。、 AWS Management Console、 AWS CLIまたは AWS API を使用してアカウントに最初のクライアント VPN エンドポイントを作成すると、クライアント VPN によってサービスにリンクされたロールが作成されます。
このサービスリンクロールを削除した後で再度作成する必要が生じた場合は同じ方法でアカウントにロールを再作成できます。アカウントに最初のクライアント VPN エンドポイントを作成すると、クライアント VPN によってサービスにリンクされたロールが再度作成されます。
クライアント VPN のサービスにリンクされたロールを編集する
クライアント VPN では、AWSServiceRoleForClientVPNConnections のサービスにリンクされたロールを編集することはできません。サービスリンクロールの作成後は、さまざまなエンティティがロールを参照する可能性があるため、ロール名を変更することはできません。ただし、IAM を使用してロールの説明を編集することはできます。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの編集」を参照してください。
クライアント VPN のサービスにリンクされたロールを削除する
クライアント VPN を使用する必要がなくなった場合は、AWSServiceRoleForClientVPNConnections のサービスにリンクされたリンクロールを削除することをお勧めします。
まず、関連するクライアント VPN リソースを削除する必要があります。これにより、リソースに対するアクセス許可を誤って削除することがなくなります。
サービスにリンクされたロールを削除するには、IAM コンソール、IAM CLI、または IAM API を使用します。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの削除」を参照してください。
