AWS IAMポリシーの例

一般的なワークフロータイプには、これらの完全な IAM ポリシーテンプレートを使用します。それぞれは、特定のリソースへのアクセスを制限することで、最小権限の原則に従います。

SQS メッセージングワークフロー

特定のキューへのアクセスを制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:us-west-2:123456789012:my-workflow-queue"
    },
    {
      "Effect": "Allow",
      "Action": "sqs:GetQueueAttributes",
      "Resource": "arn:aws:sqs:us-west-2:123456789012:my-workflow-queue"
    }
  ]
}

us-west-2リージョンに、 123456789012 AWS アカウント ID に、 my-workflow-queueキュー名に置き換えます。

EC2管理ワークフロー

タグによって特定のインスタンスへのアクセスを制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["ec2:DescribeInstances", "ec2:DescribeTags"],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:StopInstances",
        "ec2:StartInstances",
        "ec2:ModifyInstanceAttribute"
      ],
      "Resource": "arn:aws:ec2:us-east-1:123456789012:instance/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Environment": "production"
        }
      }
    }
  ]
}

このポリシーでは、ワークフローがEnvironment=productionを持つ EC2 インスタンスタグのみを停止/開始/変更できるようにします。

DynamoDB ワークフロー

特定のテーブルへのアクセスを制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["dynamodb:Query", "dynamodb:GetItem", "dynamodb:PutItem"],
      "Resource": "arn:aws:dynamodb:us-east-1:123456789012:table/WorkflowData"
    }
  ]
}

WorkflowDataテーブル名に置き換えます。

システムマネージャーのワークフロー

特定の自動化ドキュメントへのアクセスを制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["ssm:CreateDocument", "ssm:DeleteDocument"],
      "Resource": "arn:aws:ssm:us-east-1:123456789012:document/WorkflowAutomation-*"
    },
    {
      "Effect": "Allow",
      "Action": ["ssm:StartAutomationExecution", "ssm:GetAutomationExecution"],
      "Resource": [
        "arn:aws:ssm:us-east-1:123456789012:automation-definition/WorkflowAutomation-*:*",
        "arn:aws:ssm:us-east-1:123456789012:automation-execution/*"
      ]
    }
  ]
}

これにより、自動化ドキュメントは、プレフィックスがWorkflowAutomation-の付いたものに制限されます。

APIゲートウェイワークフロー

特定の API へのアクセスを制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["apigateway:GET", "apigateway:PUT"],
      "Resource": "arn:aws:apigateway:us-west-2::/restapis/abc123xyz/*"
    }
  ]
}

abc123xyz API Gateway ID に置き換えます。

追加リソース

包括的な AWS 権限リファレンス:

AWSインテグレーション管理ポリシー: サービス別のAWS権限の完全なリストと、適応できる CloudFormation テンプレート
AWS APIポーリングの設定：追加の設定パターン

重要

これらのリソースは、クラウド統合 (監視) にアカウント ID 754728514883を使用します。ワークフローの自動化には、常に253490767857を使用します。

AWS 認証情報の概要

認証方法を比較して適切なものを選択する

IAMロールの設定

本番環境ワークフロー用の IAM ロールを構成する（推奨）

IAM ユーザーのセットアップ

テスト用のアクセスキーを使用して IAM ユーザーを設定する

AWSアクション

EC2、Lambda、S3、SQS、その他のAWSアクションを参照する

この機械翻訳は、参考として提供されています。

SQS メッセージングワークフロー .css-21sua1{background:none;border:none;width:0;padding:0;}