AWS アカウントをリンク

AWS アカウントをプラットフォームに接続した後、PerfectScale for Spot・real-time anomaly detection・Cloud Diagrams・Composer・Kubernetes Intelligence などの高度な機能をアカウントで有効にするには、DoiT が AWS 環境へアクセスする権限を付与するクロスアカウント AWS IAM ロールを作成する必要があります。

AWS アカウントは、コンソール経由または Terraform の使用のいずれかでリンクできます。

クォータ

AWS Identity and Access Management（IAM）は、ロールごとにデフォルトで 10 個のマネージドポリシーというクォータを設定しています。1 つのアカウントで複数の機能を有効にするためにこのリミットを引き上げる必要がある場合は、AWS にクォータ引き上げリクエストを送信する必要があります。詳細は、IAM object quotas を参照してください。

必要な権限

お使いの DoiT アカウントに Manage Settings 権限が必要です。
リンクしたいアカウントに対して IAM リソース（ロールとポリシー）を作成する権限を持つ AWS 認証情報が必要です。
有効にする機能に基づき、追加の権限が必要になる場合があります。たとえば、real-time anomaly detection を有効にするには、S3 bucket 通知を設定する権限も必要です。

クロスアカウントロール

DoiT の CloudFormation スタックテンプレートは、Cloud Intelligence に必要な権限を付与するクロスアカウント IAM ロールをデプロイします（Terraform モジュールで作成される IAM ロールは同等です）。この IAM ロールの定義は、以下のセクションで構成されます。

3 つの AWS マネージドポリシー：コア機能の権限を参照してください。
Cloud Intelligence プラン内の他の DoiT 機能に必要な読み取り専用権限。
DoiT がクロスアカウントロールを引き受け、安全にお客様の AWS リソースへアクセスできるようにする信頼ポリシー。
インラインポリシー：
```
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "iam:List*",
        "iam:Get*"
        ],
        "Effect": "Allow",
        "Resource": "*"
    }
  ]
}
```
- iam:List*: この権限により、List で始まる IAM アクションへのアクセスが可能になります。これらはアカウント内のユーザー・ロール・ポリシー名など、IAM リソースのインベントリを表示するために使用される、変更を伴わないアクションです。
- iam:Get*: この権限により、Get で始まる IAM アクションへのアクセスが可能になります。これらのアクションは読み取り専用であり、可視性・コンプライアンス・監査の目的で設定メタデータを取得するために使用されます。
- "Resource": "*": AWS IAM は、ほとんどの iam:List* アクションに対してリソースレベルのスコープ指定をサポートしていません。IAM はグローバルサービスであるため、Get アクションに対するリソースレベルのスコープ指定は実務上困難な場合が多くあります。"Resource": "*" を使用することは、アカウント全体の可視性を確保する一般的なパターンであり、AWS 推奨のパートナーアクセスパターンと整合しています。
アカウントで有効にする機能に必要な権限を付与する追加ポリシー。Security and data access policy: Amazon Web Services を参照してください。

必要な権限​

クロスアカウントロール​

必要な権限

クロスアカウントロール