ロールとポリシー

次の表では、CloudFormation テンプレートが作成する IAM ロールとポリシーについて説明します。

表 1. IAM ロール

ロール	アクション
CopyRole このロールは S3 バケット間でオブジェクトをコピーするために使用されます。AWS クイックスタートで最初に使用される AWS リポジトリ https://github.com/aws-quickstart/lambda-copyzips のコピーです。 ファイル: copy-zips.template.yaml	s3:GetObject s3:PutObject s3:DeleteObject
ACMCertificateRole このロールの目的は、DNS 検証と Route 53 を使用して ACM 証明書を作成および検証することです。AWS クイックスタートで使用される AWS リポジトリ https://github.com/aws-quickstart/quickstart-aws-acm-certificate のコピーです。 ファイル: quickstart-aws-acm-certificate.template.yml	acm:RequestCertificate acm:DescribeCertificate acm:DeleteCertificate route53:ChangeResourceRecordSets
VPCFlowLogsRole このロールは、AWS::EC2::FlowLog のリソースの DeliverLogsPermissionArn パラメーターの値として機能します。https://github.com/aws-quickstart/quickstart-aws-vpc クイック スタート リポジトリのコピーです。 ファイル: aws-vpc.template.yaml	logs:CreateLogStream logs:PutLogEvents logs:DescribeLogGroups logs:DescribeLogStreams
AutomationAssumeRole このロールはさまざまな SSM ドキュメント (AWS::SSM::Document) に使用されます。目的は次のとおりです。 AgentRemoveInstanceDocument: クラスターからエージェント インスタンスを削除します。 ServerRemoveInstanceDocument: クラスターからサーバー インスタンスを削除します。 RegisterAiCenter: AI Center サービスを Orchestrator に登録します。 OnDemandBackup: Automation Suite クラスターのスナップショットを作成します。 OnDemandRestoreDocument: 指定したスナップショットから Automation Suite クラスターを復元します。 GetBackupList: Automation Suite クラスターの利用可能なスナップショットのリストを取得します。 UpdateAMIDocument: Scaling グループの AMI を更新します。 注: AutomationAssumeRole は、Amazon SSN へのフル アクセスを許可します。詳しくは、「AmazonSSMFullAccess」をご覧ください。 ファイル: ec2-management.template.yaml	autoscaling:CompleteLifecycleAction autoscaling:RecordLifecycleActionHeartbeat autoscaling:UpdateAutoScalingGroup ssm:SendCommand autoscaling:DescribeAutoScalingGroups ssm:PutParameter ssm:GetParameter logs:PutLogEvents logs:DescribeLogStreams logs:DescribeLogGroups logs:CreateLogStream logs:CreateLogGroup ec2:DescribeImages ec2:DescribeLaunchTemplates ec2:DescribeLaunchTemplateVersions iam:PassRole ec2:CreateLaunchTemplateVersion ec2:RunInstances states:StartExecution states:DescribeExecution
StateMachinesAssumeRole このロールは OnDemandRestoreStateMachine リソース (AWS::StepFunctions::StateMachine) に使用されます。このリソースは復元操作に使用されます。 注: StateMachinesAssumeRole は、Amazon SSN へのフル アクセスを許可します。詳しくは、「AmazonSSMFullAccess」をご覧ください。 ファイル: ec2-management.template.yaml	AmazonSSMFullAccess の管理ポリシーを使用します。
EventsBridgeAssumeRole このロールは次のイベント ルール (AWS::Events::Rule) に使用されます。 AsRobotsTerminateEventRule AgentTerminateEventRule ServerTerminateEventRule ルールはライフサイクルの終了アクション用です。 ファイル: ec2-management.template.yaml	ssm:StartautomationExecution iam:PassRole
ObjectStorageBucketsCleanupLambdaRole このロールは ObjectStorageBucketsCleanupFunction ラムダ関数に使用され、オブジェクト ストレージのユーティリティを提供します。 ファイル: external-storage.template.yaml	s3:GetAccelerateConfiguration s3:GetBucketLocation s3:GetBucketVersioning s3:ListBucket s3:ListBucketVersions s3:ListBucketMultipartUploads s3:DeleteObject s3:DeleteObjectVersion logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments
ServiceFabricIamRole このロールは次のリソースで参照されています。 ServiceFabricInstanceProfile (AWS::IAM::InstanceProfile) 次のポリシー (AWS::IAM::Policy): LogsAccessPolicy、LifecycleHookActionsPolicy、Ec2QueryPolicy、QuickstartS3IAMPolicy、InputJsonSecretPolicy、KubeconfigSecretPolicy、InstallerDownloadUrlParameterPolicy、ExternalStorageAccessPolicy ファイル: uipath-sf.template.yaml	AmazonSSMManagedInstanceCore の管理ポリシーを使用します。
AsgProcessModificationRole このロールは、CF スタックの作成時に ASG プロセスを変更するために使用されます。 ファイル: uipath-sf.template.yaml	autoscaling:ResumeProcesses autoscaling:SuspendProcesses logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents
FindAmiLambdaRole このロールは、ラムダ関数 FindAMIFunction に使用されます。 ファイル: uipath-sf.template.yaml	ec2:DescribeImages logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments
CreateInputJsonLambdaRole このロールは、ラムダ関数 CreateInputJsonFunction に使用されます。この関数は Automation Suite インストール用の構成ファイルを作成します。 ファイル: uipath-sf.template.yaml	secretsmanager:GetSecretValue secretsmanager:PutSecretValue autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments ec2:DescribeImages ec2:DescribeInstanceTypes ec2:DescribeInstanceTypeOfferings
ComputeResourceSizeLambdaRole このロールは、ラムダ関数 ComputeResourceSizeFunction に使用されます。この関数は、リソースの入力がハードウェア要件に従っていることを検証します。 ファイル: uipath-sf.template.yaml	autoscaling:DescribeAutoScalingGroups autoscaling:DescribeAutoScalingInstances ec2:DescribeInstances ec2:DescribeInstanceTypeOfferings ec2:DescribeInstanceTypes ec2:DescribeImages ec2:RunInstances ec2:CreateTags cloudformation:DescribeStacks logs:CreateLogGroup logs:CreateLogStream logs:PutLogEvents xray:PutTraceSegments

表 2. IAM ポリシー

ポリシー	アクション
LogsAccessPolicy ログ アクセスのポリシーです。	logs:PutLogEvents logs:DescribeLogStreams logs:DescribeLogGroups logs:CreateLogStream logs:CreateLogGroup cloudwatch:PutMetricData xray:PutTraceSegments
LifecycleHookActionsPolicy ライフサイクル フック アクセスのポリシーです。	autoscaling:CompleteLifecycleAction
Ec2QueryPolicy EC2 および ASG へのアクセスのポリシーです。	ec2:DescribeVolumes ec2:DescribeTags ec2:DescribeInstances autoscaling:DescribeAutoScalingInstances autoscaling:DescribeAutoScalingGroups ec2:DescribeImages ec2:DescribeInstanceTypes ec2:DescribeInstanceTypeOfferings
QuickstartS3IAMPolicy QS S3 バケットへのアクセス権を取得するためのポリシーです。	s3:GetObject
InputJsonSecretPolicy シークレット マネージャーへのアクセスを許可するためのポリシーです。	secretsmanager:GetSecretValue secretsmanager:PutSecretValue
KubeconfigSecretPolicy シークレット マネージャーへのアクセスを許可するためのポリシーです。	secretsmanager:GetSecretValue secretsmanager:PutSecretValue
InstallerDownloadUrlParameterPolicy SSM パラメーターへのアクセスを許可するためのポリシーです。	ssm:GetParameter
ExternalStorageAccessPolicy 外部ストレージへのアクセスを許可するためのポリシーです。	s3:GetBucketAcl s3:GetBucketCORS s3:GetBucketLocation s3:GetBucketNotification s3:GetBucketPolicy s3:PutBucketPolicy s3:DeleteBucketPolicy s3:GetBucketVersioning s3:ListBucket s3:ListBucketMultipartUploads s3:PutBucketAcl s3:PutBucketCORS s3:*Object s3:*ObjectAcl s3:*ObjectAttributes s3:*ObjectVersion s3:*ObjectVersionTagging s3:AbortMultipartUpload s3:ListMultipartUploadParts s3:ListAllMyBuckets