AWS Amazon WorkSpaces シンクライアントの マネージドポリシー

AWS 管理ポリシーは、 によって作成および管理されるスタンドアロンポリシーです AWS。 AWS 管理ポリシーは、多くの一般的なユースケースにアクセス許可を付与するように設計されているため、ユーザー、グループ、ロールにアクセス許可の割り当てを開始できます。

AWS 管理ポリシーは、すべての AWS お客様が使用できるため、特定のユースケースに対して最小特権のアクセス許可を付与しない場合があることに注意してください。ユースケースに固有のカスタマー管理ポリシーを定義して、アクセス許可を絞り込むことをお勧めします。

AWS 管理ポリシーで定義されているアクセス許可は変更できません。が AWS マネージドポリシーで定義されたアクセス許可 AWS を更新すると、ポリシーがアタッチされているすべてのプリンシパル ID (ユーザー、グループ、ロール) に影響します。 AWS は、新しい が起動されるか、新しい API オペレーション AWS のサービス が既存のサービスで使用できるようになったときに、 AWS マネージドポリシーを更新する可能性が高くなります。

詳細については「IAM ユーザーガイド」の「AWS マネージドポリシー」を参照してください。

AWS マネージドポリシー: AmazonWorkSpacesThinClientReadOnlyAccess

AmazonWorkSpacesThinClientReadOnlyAccess ポリシーを IAM アイデンティティにアタッチできます。このポリシーは、WorkSpaces シンクライアントサービスとその依存関係へのフルアクセス許可を付与します。この管理ポリシーの詳細については、AWS 「 管理ポリシーリファレンスガイド」のAmazonWorkSpacesThinClientReadOnlyAccess」を参照してください。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

• thinclient (WorkSpaces シンクライアント) – すべての WorkSpaces シンクライアントアクションへの読み取り専用アクセスを許可します。

• workspaces (WorkSpaces) – WorkSpaces ディレクトリと接続エイリアスを記述するアクセス許可を付与します。これは、WorkSpaces リソースが WorkSpaces シンクライアントと互換性があることを確認するために使用されます。また、WorkSpaces シンクライアント AWS コンソールでこれらのリソースを表示するためにも使用されます。

• workspaces-web (WorkSpaces Secure Browser) – WorkSpaces Secure Browser ポータルとユーザー設定を記述するアクセス許可を付与します。これは、WorkSpaces Secure Browserリソースが WorkSpaces シンクライアントと互換性があることを確認するために使用されます。また、WorkSpaces シンクライアント AWS コンソールでこれらのリソースを表示するためにも使用されます。

• appstream (AppStream 2.0) – AppStream 2.0 スタックを記述するアクセス許可を付与します。これは、AppStream 2.0 リソースが WorkSpaces シンクライアントと互換性があることを確認するために使用されます。また、WorkSpaces シンクライアント AWS コンソールでこれらのリソースを表示するためにも使用されます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowThinClientReadAccess",
      "Effect": "Allow",
      "Action": [
        "thinclient:GetDevice",
        "thinclient:GetDeviceDetails",
        "thinclient:GetEnvironment",
        "thinclient:GetSoftwareSet",
        "thinclient:ListDevices",
        "thinclient:ListDeviceSessions",
        "thinclient:ListEnvironments",
        "thinclient:ListSoftwareSets",
        "thinclient:ListTagsForResource"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowWorkSpacesAccess",
      "Effect": "Allow",
      "Action": [
        "workspaces:DescribeConnectionAliases",
        "workspaces:DescribeWorkspaceDirectories"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowWorkSpacesSecureBrowserAccess",
      "Effect": "Allow",
      "Action": [
        "workspaces-web:GetPortal",
        "workspaces-web:GetUserSettings",
        "workspaces-web:ListPortals"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowAppStreamAccess",
      "Effect": "Allow",
      "Action": [
        "appstream:DescribeStacks"
      ],
      "Resource": "*"
    }
  ]
}

AWS マネージドポリシー: AmazonWorkSpacesThinClientFullAccess

AmazonWorkSpacesThinClientFullAccess ポリシーを IAM アイデンティティにアタッチできます。このポリシーは、WorkSpaces シンクライアントサービスとその依存関係へのフルアクセス許可を付与します。この管理ポリシーの詳細については、AWS 「 管理ポリシーリファレンスガイド」のAmazonWorkSpacesThinClientFullAccess」を参照してください。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

• thinclient (WorkSpaces シンクライアント) – すべての WorkSpaces シンクライアントアクションへのフルアクセスを許可します。

• workspaces (WorkSpaces) – WorkSpaces ディレクトリと接続エイリアスを記述するアクセス許可を付与します。これは、WorkSpaces リソースが WorkSpaces シンクライアントと互換性があることを確認するために使用されます。また、WorkSpaces シンクライアント AWS コンソールでこれらのリソースを表示するためにも使用されます。

• workspaces-web (WorkSpaces Secure Browser) – WorkSpaces Secure Browser ポータルとユーザー設定を記述するアクセス許可を付与します。これは、WorkSpaces Secure Browserリソースが WorkSpaces シンクライアントと互換性があることを確認するために使用されます。また、WorkSpaces シンクライアント AWS コンソールでこれらのリソースを表示するためにも使用されます。

• appstream (AppStream 2.0) – AppStream 2.0 スタックを記述するアクセス許可を付与します。これは、AppStream 2.0 リソースが WorkSpaces シンクライアントと互換性があることを確認するために使用されます。また、WorkSpaces シンクライアント AWS コンソールでこれらのリソースを表示するためにも使用されます。

• iam – WorkSpaces シンクライアントがアカウントにサービスにリンクされたロールを作成できるようにします。このロールにより、WorkSpaces シンクライアントはユーザーに代わって CloudWatch にメトリクスを発行できます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowThinClientFullAccess",
      "Effect": "Allow",
      "Action": [
        "thinclient:*"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowWorkSpacesAccess",
      "Effect": "Allow",
      "Action": [
        "workspaces:DescribeConnectionAliases",
        "workspaces:DescribeWorkspaceDirectories"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowWorkSpacesSecureBrowserAccess",
      "Effect": "Allow",
      "Action": [
        "workspaces-web:GetPortal",
        "workspaces-web:GetUserSettings",
        "workspaces-web:ListPortals"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowAppStreamAccess",
      "Effect": "Allow",
      "Action": [
        "appstream:DescribeStacks"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowCreateServiceLinkedRole",
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "arn:aws:iam::*:role/aws-service-role/monitoring.thinclient.amazonaws.com/AWSServiceRoleForAmazonWorkSpacesThinClientMonitoring",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "monitoring.thinclient.amazonaws.com"
        }
      }
    }
  ]
}

AWS マネージドポリシー: AmazonWorkSpacesThinClientMonitoringServiceRolePolicy

この AWS 管理ポリシーは、Amazon WorkSpaces シンクライアントが運用メトリクスをアカウントに発行できるようにするサービスにリンクされたロール (AWSServiceRoleForAmazonWorkSpacesThinClientMonitoringServiceRolePolicy) にアタッチされます。 AWS このポリシーは、サービス固有のメトリクスと使用状況メトリクスの両方を Amazon CloudWatch に発行するために必要なアクセス許可を定義します。

サービスにリンクされたロールの詳細については、WorkSpaces」を参照してください。

アクセス許可の詳細

このポリシーには、以下のアクセス許可が含まれています。

• cloudwatch (WorkSpaces シンクライアント) – WorkSpaces シンクライアントが特定の名前空間 (AWS/WorkSpacesThinClient および AWS/Usage) で Amazon CloudWatch にメトリクスを発行できるようにします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudWatchPutMetricData",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": [
                        "AWS/WorkSpacesThinClient",
                        "AWS/Usage"
                    ]
                }
            }
        }
    ]
}

AWS マネージドポリシーへの WorkSpaces シンクライアントの更新

変更	説明	日付
AmazonWorkSpacesThinClientFullAccess - ポリシーを更新 AmazonWorkSpacesThinClientMonitoringServiceRolePolicy - 新しいポリシー	WorkSpaces シンクライアントは、サービスにリンクされたロールを含めるようにポリシーを更新しました。	2025 年 8 月 26 日
AmazonWorkSpacesThinClientReadOnlyAccess - ポリシーを更新	WorkSpaces シンクライアントは、デバイスの詳細と WorkSpaces 接続エイリアスの読み取りアクセス許可を制限するようにポリシーを更新しました。	2025 年 1 月 9 日
AmazonWorkSpacesThinClientFullAccess - ポリシーを更新	WorkSpaces シンクライアントは、WorkSpaces 接続エイリアスの読み取りアクセス許可の制限を含めるようにポリシーを更新しました。	2025 年 1 月 9 日
AmazonWorkSpacesThinClientReadOnlyAccess - ポリシーを更新	WorkSpaces シンクライアントは、AppStream 2.0、WorkSpaces Web、WorkSpaces の限定的な読み取りアクセス許可を含めるようにポリシーを更新しました。	2024 年 8 月 9 日
AmazonWorkSpacesThinClientFullAccess - 新しいポリシー	Amazon WorkSpaces シンクライアントへのフルアクセスと、必要な関連サービスへの制限付きアクセスを提供します。	2024 年 8 月 9 日
AmazonWorkSpacesThinClientReadOnlyAccess - 新しいポリシー	Amazon WorkSpaces シンクライアントとその依存関係への読み取り専用アクセスを提供します。	2024 年 7 月 19 日
WorkSpaces シンクライアントが変更の追跡を開始しました	WorkSpaces シンクライアントは、 AWS 管理ポリシーの変更の追跡を開始しました。	2024 年 7 月 19 日