メインコンテンツへスキップ

AWS 接続

AWS クラウドリソースへのアクセス用接続を作成する際は、接続のスコープを定義する必要があります。AWS 接続は、選択した AWS Organizations の管理アカウントに対して、特定の AWS アカウントまたは組織単位 (OU) を含むようにスコープを設定できます。

DoiT コンソールには、AWS 接続の作成を支援するステップバイステップのウィザードが用意されています。ウィザードは、Details、Scope、Policies and permissions、Deploy to AWS、User access の 5 つのステップで構成されています。

学習パスを選択

以下のコンテンツを読むか、▶️ インタラクティブデモ を確認して、画面付きの手順を参照してください。

必要な権限​

AWS 接続を作成するには、DoiT アカウントに CloudFlow Owner または CloudFlow Editor の権限が必要です。

前提条件​

AWS 環境アカウントへの接続を作成するには、対応する管理アカウントが DoiT Cloud Intelligence 内にリンクされ、オンボーディングされている必要があります。

すでにこのリソースを DoiT Cloud Intelligence に接続済みですか？

すでに AWS アカウントが DoiT Cloud Intelligence に接続されている場合は、既存の権限から接続を作成 できます。専用の CloudFlow IAM ロール、カスタムの組織単位スコープ、または別個のポリシーが必要な場合は、Create connection を選択してください。

ステップ 1: Details​

ウィザードを起動したら、最初に接続と、ウィザードによって作成される IAM ロールに名前を付けます。

  1. DoiT コンソール にサインインし、上部ナビゲーションのメガメニューから Automation and operations を選択し、CloudFlow を選択します。
  2. サイドバーから Connections を選択します。
  3. Connections ペインで AWS タブを選択します。
  4. Create connection を選択します。Create your AWS connection ウィザードが表示されます。
  5. まだ展開されていない場合は、矢印を選択して Details を展開します。
  6. Connection name に、この接続の目的やスコープを反映した一意の名前を入力します。この接続は DoiT プラットフォーム上に存在し、フロー自体と対話するためのユーザー権限を定義します。
  7. IAM role name に、フローの実行時にフローが引き受ける AWS IAM ロールの名前を入力します。ロール名には自動的に doit-cloudflow- のプレフィックスが付きます。デフォルトでは、IAM ロール名は接続名と同じです。別のロール名が必要な場合は変更できます。この AWS IAM ロールは DoiT プラットフォーム上ではいかなる権限も持ちません。
  8. Next を選択します。

ステップ 2: Scope​

Scope では、最初に AWS Organizations の管理アカウントを選択し、その後 AWS organizations ツリーから AWS アカウントまたは組織単位 (OU) を選択して接続スコープを構成します。OU を選択すると、その OU に現在含まれているアカウントと、将来的に追加されるアカウントが自動的に接続に含まれます。個々のアカウントを OU から除外することもできます。

  1. まだ展開されていない場合は、矢印を選択して Scope を展開します。

  2. AWS management account で、この接続によるアクセス対象とする AWS organizations 構造を持つ AWS Organizations 管理アカウントを選択します。組織構造が表示されます。

  3. 組織ツリー内で、この接続がアクセスできる AWS アカウントと OU を選択します。

  4. 選択したアカウントと OU が管理アカウントの組織ツリー上の位置をカバーしている場合 (たとえば、組織の root、または管理アカウントがメンバーとして含まれている OU を選択した場合)、この接続のスコープに管理アカウントを明示的に含めるかどうかの確認が求められます。管理アカウントは常に組織の一部ですが、root の直下、または子 OU 内に配置されている可能性があります。アカウントが存在する OU を選択した場合、そのアカウント内のリソースにフローからアクセスする必要がある場合は Include management account を選択してください。メンバーアカウントのみに限定し、この接続のスコープから管理アカウントを除外したい場合は Don't include を選択してください。

  5. (任意) 選択した OU から個々のアカウントを除外します。

    Edit scope

  6. Next を選択します。

ステップ 3: Policies and permissions​

フローの実行時にフローが引き受ける AWS IAM ロールの権限を定義します。

  1. まだ展開されていない場合は、矢印を選択して Policies and permissions を展開します。

  2. (任意) AWS managed policies で、この IAM ロールに追加したい AWS マネージドポリシーを選択します。

  3. Allowed action に、追加する権限 (例: S3:GetObject) を入力します。

  4. (任意) フローに追加の AWS Allowed action が必要な場合は、Add another allowed action を選択し、追加したい各 AWS Allowed action について同じ操作を繰り返します。

    Edit permissions

  5. Next を選択します。

ステップ 4: Deploy to AWS​

接続が AWS アカウントにアクセスできるようにするには、AWS CloudFormation StackSet デプロイまたは Terraform 設定のいずれかを適用する必要があります。AWS CloudFormation StackSet を実行すると、管理アカウントから Scope 内のすべてのアカウントと OU に接続が自動的にデプロイされます。Terraform は、Scope 内の各 AWS アカウントごとに個別に初期化し、適用する必要があります。

  1. まだ展開されていない場合は、矢印を選択して Deploy to AWS を展開します。

    1. AWS CloudFormation StackSet タブを選択します。
    2. AWS Organizations 管理アカウントにサインインした状態で、AWS CloudShell またはターミナルを開きます。
    3. 表示されている AWS CLI コマンドをコピーし、実行して StackSet を作成し、選択した OU とアカウントにデプロイします。
    4. スコープに管理アカウントが含まれている場合、ウィザードには管理アカウント IAM ロール用の追加コマンドが表示されます。そのコマンドも管理アカウントで実行してください。
    5. (任意) ウィザードが StackSet デプロイの完了をチェックする場合があります。この検証はフィードバックのみであり、チェックが実行されなかったり失敗したりしても Next を選択できます。

  2. Next を選択します。

ステップ 5: User access​

どの DoiT アカウントがこの接続へアクセスでき、フロー内で使用する権限を持つかを指定します。

  1. まだ展開されていない場合は、矢印を選択して User access を展開します。
  2. Email で、この接続を使用できる DoiT アカウントのメールアドレスを選択します。
  3. Connection access level で、その DoiT アカウントに付与するアクセスレベルを選択します。
  4. 別のアカウントを追加するには、Add another account を選択します。
  5. この接続を使用できる各 DoiT アカウントについて、同じ手順を繰り返します。
  6. Finish connection を選択します。接続の作成には数分かかる場合があります。接続が作成されたら、フロー内で使用 できます。

▶️ インタラクティブデモ​

インタラクティブデモを試して、実際に操作しながら手順を体験してください。

デモが正しく表示されない場合は、ブラウザウィンドウを最大化するか、新しいタブでデモを開いて みてください。

に最終更新