AWS アカウントをリンク

AWS アカウントを DoiT プラットフォームに接続した後、アカウント上で PerfectScale for Spot・real-time anomaly detection・Cloud Diagrams・Composer・Kubernetes Intelligence などの高度な機能を有効化するには、DoiT に AWS 環境へのアクセス権限を付与するためのクロスアカウント AWS IAM ロールを作成する必要があります。

AWS アカウントは、DoiT コンソール経由または Terraform を使用してリンクできます。

Quota

AWS Identity and Access Management (IAM) では、1 ロールあたり 10 個のマネージドポリシーというデフォルトクォータが設定されています。1 つのアカウントで複数の機能を有効化するためにこのリミットを引き上げる必要がある場合は、AWS にクォータ引き上げリクエストを送信する必要があります。詳細については、IAM object quotas を参照してください。

必要な権限

ご利用の DoiT アカウントに Manage Settings 権限が付与されている必要があります。
リンクしたいアカウントに対して IAM リソース（ロールおよびポリシー）を作成する権限を持つ AWS 認証情報が必要です。
有効化する機能に基づき、追加の権限が必要になる場合があります。たとえば、real-time anomaly detection を有効化するには、S3 bucket 通知を設定する権限も必要です。

クロスアカウントロール

DoiT の CloudFormation スタックテンプレートは、DoiT Cloud Intelligence に必要な権限を付与するクロスアカウント IAM ロールをデプロイします（Terraform モジュールを介して作成される IAM ロールは同等です）。この IAM ロールの定義は、次のセクションで構成されています。

3 つの AWS マネージドポリシー: core functionality permissions を参照してください。
ご利用の Cloud Intelligence プラン内のその他の DoiT 機能で必要となる読み取り専用権限。
DoiT がクロスアカウントロールを引き受け、AWS リソースに安全にアクセスできるようにする信頼ポリシー。
インラインポリシー:
```
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "iam:List*",
        "iam:Get*"
        ],
        "Effect": "Allow",
        "Resource": "*"
    }
  ]
}
```
- iam:List*: この権限により、List で始まる IAM アクションへのアクセスが許可されます。これらは非破壊アクションであり、通常はアカウント内のユーザー・ロール・ポリシー名など、IAM リソースのインベントリを表示するために使用されます。
- iam:Get*: この権限により、Get で始まる IAM アクションへのアクセスが許可されます。これらのアクションは読み取り専用であり、通常は可視性・コンプライアンス・監査の目的で設定メタデータを取得するために使用されます。
- "Resource": "*": AWS IAM は、ほとんどの iam:List* アクションに対してリソースレベルのスコープ指定をサポートしていません。IAM はグローバルサービスであるため、Get アクションに対するリソースレベルのスコープ指定は非現実的であることが多いです。"Resource": "*" を使用することは、アカウント全体の可視性を確保するための一般的なパターンであり、AWS 推奨のパートナーアクセスパターンと一致します。
アカウント上で有効化する機能に必要な権限を付与する追加ポリシー。詳細は、Security and data access policy: Amazon Web Services を参照してください。

必要な権限​

クロスアカウントロール​

必要な権限

クロスアカウントロール