メインコンテンツまでスキップ

AWS アカウントをリンク

AWS アカウントをリンクすると、プロアクティブなリソースのクオータ監視、PerfectScale for Spot、Real-time Anomaly Detection、Cloud Diagrams、Kubernetes Intelligence、各種 AWS インサイト などの高度な機能が利用可能になります。

必要な権限​

  • DoiT アカウントに Manage Settings 権限が必要です。

DoiT に AWS アカウントをリンクするには：

  1. DoiT コンソールにサインインし、上部ナビゲーションのメガメニューからデータ取り込みとインテグレーションを選択し、AWS を選択してください。

  2. Connect Amazon Web Services ページで、新しいアカウントをリンク を選択してください。

    Link Amazon Web Services account

必要なポリシーを備えたアカウント間の AWS IAM ロールを作成してください。ロールを自動作成するか、ロールを手動作成するかを選択できます。

注意

AWS Identity and Access Management (IAM) では、1 ロールあたりのマネージドポリシー数のデフォルトクオータは 10 です。1 つのアカウントで複数の機能を有効にするために上限を引き上げる必要がある場合は、AWS にクオータ引き上げリクエストを送信する必要があります。詳細は、IAM object quotas を参照してください。

ロールを自動作成​

  1. Create a role automatically を選択してください。

  2. AWS アカウントで有効にする機能を選択してください。各機能を展開すると、必要な AWS ポリシーを確認できます。

    An expanded feature section

    注意

    Real-time anomalies 機能を選択した場合は、CloudTrail のイベントファイルを含む S3 バケットの指定を求められます。詳細は、Enable real-time anomaly on AWS accounts を参照してください。

  3. AWS CloudFormation コンソールまたは AWS CloudShell を使用して、IAM ロール用の CloudFormation スタックを作成してください。

    1. 新しいアカウントをリンク を選択して、AWS CloudFormation console で DoiT スタックテンプレートを起動してください。

    2. リージョンが US East (N. Virginia) us-east-1 であることを確認してください。

      Link Amazon Web Services account

    3. ページ下部のチェックボックスを選択して、AWS CloudFormation がカスタム名の IAM リソースを作成する可能性があることを確認してください。

      Link Amazon Web Services account

    4. スタックを作成してください。（アカウント間の AWS IAM ロールも参照）

スタック作成後、アカウントが DoiT プラットフォームにリンクされるまで最長 30 秒かかる場合があります。成功すると、リンク済みの AWS アカウントは状態が 正常 と表示されます。

ロールを手動作成​

  1. Create a role manually を選択してください。

  2. DoiT コンソールに表示される Our AWS Account と Your External ID の値を控えてください。

    The manual role creation form

  3. （任意）アカウントでReal-time Anomaly Detection を有効にする場合は、AWS CloudTrail の S3 バケット名を入力し、バケットが存在するリージョンを指定してください（バケットはサポートされているリージョンのいずれかに存在する必要があります）。

  4. AWS Management Console で AWS IAM ロールを作成してください。（Creating an IAM role (console) も参照）

    1. AWS IAM console に移動し、左側のナビゲーションペインで Roles を選択し、Create role を選択してください。

    2. trusted entity として AWS account を選択してください。

    3. Another AWS account を選択し、DoiT の AWS アカウント ID（DoiT コンソールで提供された Our AWS Account）を入力してください。

    4. Require external ID のチェックボックスを選択し、あなたの外部 ID を入力してください。

    5. Next を選択して権限を追加してください。

      有効化する機能に合わせてポリシーを選択してください。

      • Core の場合、特定の AWS マネージドポリシーをロールに追加してください。

      • その他の機能の場合は、Create policy を選択し、JSON タブに切り替えて、該当機能の権限を貼り付けてカスタムポリシーを作成してください。

      参照

      AWS ドキュメント: Creating IAM policies (console)

    6. ポリシーを作成したら、元のタブに戻ってください。検索リストに新しいポリシーを表示するには更新が必要な場合があります。

    7. 有効化したい機能の新しいポリシーすべてと、Core 機能に必要な組み込みの 3 つのポリシーを選択してください。

    8. Next を選択し、ロール名を付け、選択したポリシーを確認してから Create role を選択してください。

  5. ロールを作成したら、ロール名を選択してサマリーページを開き、ロールの ARN の値をコピーして、DoiT コンソールにロール ARN を貼り付けてください。

  6. Add を選択して AWS アカウントをリンクしてください。

成功すると、DoiT コンソールで AWS アカウントのステータスは Healthy と表示されます。

機能の権限​

以下は、コア機能およびリンク済みアカウントで有効化できる一部機能に必要な権限です。利用可能な機能の全一覧は、セキュリティとデータアクセスに関するポリシー: Amazon Web Services を参照してください。

Core、Quota Monitoring など:

Core 権限は、多くの DoiT プラットフォーム機能に必要となる最小限の読み取り専用権限のセットです。これは 3 つの AWS マネージドポリシーで構成されます:

AWS マネージドポリシー説明
SecurityAuditセキュリティ構成メタデータの読み取りアクセスを許可します。
AWSSavingsPlansReadOnlyAccessSavings Plans サービスへの読み取り専用アクセスを提供します。
Billing請求およびコスト管理に関する権限を付与します。

DoiT インサイト:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "trustedadvisor:GetRecommendation",
        "trustedadvisor:ListRecommendations",
        "trustedadvisor:ListRecommendationResources"
      ],
      "Resource": "*"
    }
  ]
}

リンク済みアカウントを編集​

アカウントのリンクを解除するには:

  1. Link Amazon Web Services ページに移動してください。

  2. 対象のアカウントを見つけてください。

  3. アカウント行の一番右端にあるケバブメニュー（⋮）を選択してください。

  4. アカウントのリンクを解除 を選択してください。

    Unlink オプションの位置

機能アクセスを変更​

機能を追加​

新しい機能を追加するには、リンク済みアカウントの IAM ロールを追加の権限で更新する必要があります:

  1. アカウント行の一番右端にあるケバブメニュー（⋮）を選択してください。

  2. アカウントを編集 を選択してください。

  3. 追加する新機能のチェックボックスを選択してください。

  4. 次のいずれかの方法で、新しい権限を含むように IAM ロールを更新してください。

    • アカウントを更新 を選択して、AWS コンソールで CloudFormation スタックを作成します。

    • Prefer CLI を選択して、AWS CloudShell 経由で CloudFormation スタックを作成するコマンドを取得します。

    詳細は、ロールを自動作成 を参照してください。

機能を削除​

機能を削除するには:

  1. AWS コンソールで IAM ページを開いてください。

  2. リンク済みアカウントのロールから、その機能に関連付けられたポリシーをデタッチしてください。

クロスアカウントロール​

DoiT の CloudFormation スタックテンプレートは、DoiT Cloud Intelligence に必要な一連の権限を付与するクロスアカウント IAM ロールをデプロイします。この IAM ロールの定義は次のセクションで構成されます:

  • 3 つの AWS マネージドポリシー: コア機能の権限 を参照してください。

  • DoiT がクロスアカウントロールを引き受け、AWS リソースへ安全にアクセスできるようにする信頼ポリシー。

  • インラインポリシー:

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Action": [
            "iam:List*",
            "iam:Get*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
      ]
    }

    • iam:List*: この権限により、List で始まる IAM アクションへのアクセスが可能になります。これらは非破壊のアクションであり、アカウント内のユーザー名、ロール、ポリシーなど IAM リソースのインベントリを表示する目的で一般的に使用されます。

    • iam:Get*: この権限により、Get で始まる IAM アクションへのアクセスが可能になります。これらは読み取り専用のアクションであり、可視性、コンプライアンス、監査目的で構成メタデータを取得する際に一般的に使用されます。

    • "Resource": "*": AWS IAM は、ほとんどの iam:List* アクションに対してリソースレベルのスコープ指定をサポートしていません。IAM はグローバルサービスであるため、Get アクションのリソースレベルのスコープ指定はしばしば非現実的です。"Resource": "*" の使用はアカウント全体の可視性を確保する一般的なパターンであり、AWS 推奨のパートナーアクセスパターンと整合しています。

  • アカウントで有効化する機能に必要な権限を付与する追加のポリシー。詳しくは、セキュリティとデータアクセスに関するポリシー: Amazon Web Services を参照してください。

に最終更新