アマゾン ウェブ サービスの認証

前提条件

以下の表を使用して、ユース ケースに基づいた認証方法を選択します。

メソッド	最適な用途	制限事項
アクセス キー	既存の IAM 認証情報を使用したクイック接続とテスト	セッション トークンの有効期限が切れる (15 分から 12 時間)。トークンの有効期限が切れたら、コネクションを更新する必要があります
アクセス キーの AssumeRole	IAM ロールがアタッチされた AWS EC2 インスタンスで実行されているロボット	Robot は EC2 インスタンスにデプロイする必要があります。セッション トークンの有効期限が切れる
UiPath が管理するクロスアカウントの AssumeRole	運用環境における IAM 資格情報の長期使用不可	UiPath のサポート リクエストが必要

コネクションを作成するには、次の資格情報が必要です。

• アクセス キー認証方法の場合は次のとおりです。
  • アクセス キー ID (アマゾン ウェブ サービスとの接続に使用するアクセス キー)
  • シークレット アクセス キー (アマゾン ウェブ サービスとの接続に使用するシークレット キー) と
  • 一時セッショントークン (AWS クライアント セッションの作成に使用)
  • リージョン (接続先の AWS リージョンを指定)
• アクセス キーの AssumeRole 認証メソッドの場合は次のとおりです。
  • アクセス キー ID (アマゾン ウェブ サービスとの接続に使用するアクセス キー)
  • シークレット アクセス キー (アマゾン ウェブ サービスとの接続に使用するシークレット キー) と
  • IAM ロール (IAM ロールの名前を指定)
  • 一時セッショントークン (AWS クライアント セッションの作成に使用)
  • リージョン (接続先の AWS リージョンを指定)
• UiPath が管理するクロスアカウントの AssumeRole 認証方法の場合:
  • IAM ロール ARN
  • 外部 ID
  • リージョン (接続先の AWS リージョンを指定)

注:

一時セッショントークンは AWS Security Token Service (STS) によって発行され、有効期間が制限されています (デフォルトでは 15 分から 12 時間)。トークンの有効期限が切れると接続が失敗し、手動で更新する必要があります。セッション トークンの有効期間よりも長い実行時間を超えるオートメーションの場合は、代わりに、セッション トークンを必要としない [UiPath Managed Cross-Account Assume Role ] メソッドの使用を検討してください。

アクセス キーの AssumeRole のコネクションを作成する

アクセス キーの AssumeRole のコネクションを作成するには、次の手順に従います。

注:

認証情報を提供する IAM ユーザーは、独自の IAM ポリシーでターゲットロールに対して sts:AssumeRole アクセス許可を持っている必要があります。

1. AWS コンソール> [IAM] > [Role] に移動します。

2. [Create Role] を選択します。

3. [Custome Trust Policy] を選択します。

4. 次のコード セクションに示すように、カスタム信頼ポリシーをアタッチします。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<user ARN>"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

5. ユーザーに割り当てる必要がある権限を追加します。

6. 必要な詳細をすべて入力し、[Create] を選択します。

7. オートメーションを実行する UiPath ロボットは、こちらに記載されるように、指定した IAM ロールがアタッチされた AWS EC2 インスタンスにデプロイする必要があります。

UiPath が管理するクロスアカウントの AssumeRole コネクションを作成する

この種類の接続では、長期的な IAM キーの代わりに一時的な STS 認証情報を使用して、AWS リソース (S3、EC2、DynamoDB、Bedrock) に安全にアクセスします。最小限の入力を指定し、1 回限りの AWS アカウントのセットアップを完了するだけで、IAM アクセスキーやシークレットは必要ありません。

警告:

この認証の種類を使用する場合は、まず UiPath サポートにリクエストを提出する必要があります。要求が提出されると、UiPath から IAM ユーザー ARN が提供されます。この ARN は、コネクションを作成する前に IAM ロールの信頼関係ポリシーに追加する必要があります。必要なIAMロールのホワイトリスト登録と信頼ポリシーの更新が両側で完了すると、接続を作成してすぐに活用できます。

UiPath は、顧客ごとに異なる IAM ユーザーを作成および管理します。これにより、AWS へのアクセスは UiPath の組織レベルで分離されます。

注:

ロールの引き受けにより、この種類のコネクションが確立されているテナント内の、アタッチされているすべての権限がロールに付与されます。

コネクションを作成するには、以下の手順を実行します。

1. UiPath が引き受ける IAM ロールの ARN を指定します。このロール ARN は、IAM ユーザーのアクセス許可ポリシーに組み込まれます。IAM ユーザーは UiPath によって特別に作成および管理され、顧客ごとに分離されます。

2. IAM ロールの信頼ポリシーを設定します。IAM ロールの信頼ポリシーを更新して、UiPath の IAM ユーザーが引き受けられるようにします。

   • UiPath は、お客様の顧客アカウント専用に作成された IAM ユーザーの ARN を共有します。

   • UiPath IAM ユーザー ARN をロールの信頼ポリシーの Principal 要素に追加する必要があります。

   • 外部 ID は、サードパーティによるアクセスのシナリオにおける追加の安全対策として、また混乱した代理の問題を防ぐために必要です。これは、任意の文字列にすることができます。これを構成するには、以下の例のように sts:ExternalId で条件を追加します。外部 ID は、Integration Service のコネクションを実際に作成するときに UiPath に渡されます。ポリシーの形式の例:

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "<UiPath IAM user ARN>"
                 },
                 "Action": "sts:AssumeRole",
                 "Condition": {
                     "StringEquals": {
                         "sts:ExternalId": "<your External Id>"
                     }
                 }
             }
         ]
     }
     

3. IAM ロールの権限ポリシーを設定します。例えば：

   • S3: 特定のバケットの一覧表示/取得/配置。
   • Bedrock: InvokeModel、InvokeModelWithResponseStream。
   警告:

   IAM ロールには、特定のユース ケースに必要な最小限のアクセス許可セットを付与する必要があります。たとえば、ユースケースで S3 バケットからオブジェクトを読み取る場合、ロールはその特定のバケットへの読み取り専用アクセス権のみを持つ必要があります。このようなユース ケースのサンプル ポリシーは次のようになります。

       {
           "Version": "2012-10-17",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "s3:GetObject",
                       "s3:ListBucket"
                   ],
                   "Resource": [
                       "arn:aws:s3:::your-bucket-name",
                       "arn:aws:s3:::your-bucket-name/*"
                   ]
               }
           ]
       }
   

4. Integration Service にアマゾン ウェブ サービスのコネクションを追加します。

コネクションを追加する

お使いの アマゾン ウェブ サービス インスタンスへのコネクションを作成するには、次の手順を実行する必要があります。

1. 製品ランチャーから [Orchestrator] を選択します。

2. フォルダーを選択して [ コネクション ] タブに移動します。

3. [ コネクションを追加] を選択します。

4. コネクション作成ページを開くには、リストからコネクタを選択します。検索バーを使用してコネクタを検索できます。

5. [ 認証の種類 ] フィールドで、[アクセス キー]、[アクセス キーの AssumeRole]、または [UiPath Managed Cross Account AssumeRole] の 3 つのオプションのいずれかを選択します。既定では、[アクセス キー] が選択されています。

   

6. 使用する認証方法に必要な資格情報を入力します。[HTTP 要求] アクティビティを使用する場合は、 AWS HTTP サービス名として、 s3、 ec2、 workspaces、または bedrock-runtime のいずれかを選択します。

   どのような種類のシークレット フィールドでも、値を直接入力する代わりに、フィールドの横にあるメニューを選択して [ 資格情報アセット を使用] を選択し、外部コンテナーにリンクされている Orchestrator 資格情報アセットを参照できます。詳細については、「 コネクションに資格情報アセットを使用する」をご覧ください。

7. 使用する認証方法に必要な資格情報を入力します。[ AWS のサービス名 ] フィールドで、接続先の AWS サービス ( s3、 ec2、 workspaces、または bedrock-runtime) を選択します。

   注:

   このコネクションを Amazon Bedrock で使用する (AI モデルを呼び出す場合など) は、[ bedrock-runtime] を選択する必要があります。別のサービス名を選択すると、Bedrock 要求は失敗します。

8. [接続] を選択します。