アマゾン ウェブ サービスの認証

前提条件

Use the following table to choose an authentication method based on your use case:

メソッド	最適な用途	制限事項
Access Key	Quick connections and testing with existing IAM credentials	Session token expires (15 minutes to 12 hours); connections must be renewed when the token expires
アクセス キーの AssumeRole	Robots running on AWS EC2 instances with an attached IAM role	Robot must be deployed on an EC2 instance; session token expires
UiPath Managed Cross-Account Assume Role	Production unattended automations without long-term IAM credentials	Requires a UiPath support request; provisioning takes approximately 3.5 weeks

コネクションを作成するには、次の資格情報が必要です。

• アクセス キー認証方法の場合は次のとおりです。
  • アクセス キー ID (アマゾン ウェブ サービスとの接続に使用するアクセス キー)
  • シークレット アクセス キー (アマゾン ウェブ サービスとの接続に使用するシークレット キー) と
  • 一時セッショントークン (AWS クライアント セッションの作成に使用)
  • リージョン (接続先の AWS リージョンを指定)
• アクセス キーの AssumeRole 認証メソッドの場合は次のとおりです。
  • アクセス キー ID (アマゾン ウェブ サービスとの接続に使用するアクセス キー)
  • シークレット アクセス キー (アマゾン ウェブ サービスとの接続に使用するシークレット キー) と
  • IAM ロール (IAM ロールの名前を指定)
  • 一時セッショントークン (AWS クライアント セッションの作成に使用)
  • リージョン (接続先の AWS リージョンを指定)
• UiPath が管理するクロスアカウントの AssumeRole 認証方法の場合:
  • IAM ロール ARN
  • 外部 ID
  • リージョン (接続先の AWS リージョンを指定)

注:

The Temporary session token is issued by the AWS Security Token Service (STS) and has a limited lifetime (15 minutes to 12 hours by default). When the token expires, the connection fails and must be manually renewed. For automations that run longer than the session token lifetime, consider using the UiPath Managed Cross-Account Assume Role method instead, which does not require session tokens.

アクセス キーの AssumeRole のコネクションを作成する

アクセス キーの AssumeRole のコネクションを作成するには、次の手順に従います。

注:

The IAM user whose credentials you provide must have the sts:AssumeRole permission for the target role in their own IAM policy.

1. AWS コンソール> [IAM] > [Role] に移動します。

2. [Create Role] を選択します。

3. [Custome Trust Policy] を選択します。

4. 次のコード セクションに示すように、カスタム信頼ポリシーをアタッチします。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<user ARN>"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

5. ユーザーに割り当てる必要がある権限を追加します。

6. 必要な詳細をすべて入力し、[Create] を選択します。

7. オートメーションを実行する UiPath ロボットは、こちらに記載されるように、指定した IAM ロールがアタッチされた AWS EC2 インスタンスにデプロイする必要があります。

UiPath が管理するクロスアカウントの AssumeRole コネクションを作成する

この種類の接続では、長期的な IAM キーの代わりに一時的な STS 認証情報を使用して、AWS リソース (S3、EC2、DynamoDB、Bedrock) に安全にアクセスします。最小限の入力を指定し、1 回限りの AWS アカウントのセットアップを完了するだけで、IAM アクセスキーやシークレットは必要ありません。

警告:

この認証の種類を使用する場合は、まず UiPath サポートにリクエストを提出する必要があります。要求を提出してから、この認証の種類を使用してコネクションを作成できるようになるまでに約 3 週間半かかる場合があります。

UiPath は、顧客ごとに異なる IAM ユーザーを作成および管理します。これにより、AWS へのアクセスは UiPath の組織レベルで分離されます。

注:

ロールの引き受けにより、この種類のコネクションが確立されているテナント内の、アタッチされているすべての権限がロールに付与されます。

コネクションを作成するには、以下の手順を実行します。

1. UiPath が引き受ける IAM ロールの ARN を指定します。このロール ARN は、IAM ユーザーのアクセス許可ポリシーに組み込まれます。IAM ユーザーは UiPath によって特別に作成および管理され、顧客ごとに分離されます。

2. IAM ロールの信頼ポリシーを設定します。IAM ロールの信頼ポリシーを更新して、UiPath の IAM ユーザーが引き受けられるようにします。

   • UiPath は、お客様の顧客アカウント専用に作成された IAM ユーザーの ARN を共有します。

   • UiPath IAM ユーザー ARN をロールの信頼ポリシーの Principal 要素に追加する必要があります。

   • 外部 ID は、サードパーティによるアクセスのシナリオにおける追加の安全対策として、また混乱した代理の問題を防ぐために必要です。これは、任意の文字列にすることができます。これを構成するには、以下の例のように sts:ExternalId で条件を追加します。外部 ID は、Integration Service のコネクションを実際に作成するときに UiPath に渡されます。ポリシーの形式の例:

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "<UiPath IAM user ARN>"
                 },
                 "Action": "sts:AssumeRole",
                 "Condition": {
                     "StringEquals": {
                         "sts:ExternalId": "<your External Id>"
                     }
                 }
             }
         ]
     }
     

3. IAM ロールの権限ポリシーを設定します。例えば：

   • S3: 特定のバケットの一覧表示/取得/配置。
   • Bedrock: InvokeModel、InvokeModelWithResponseStream。
   警告:

   IAM ロールには、特定のユース ケースに必要な最小限のアクセス許可セットを付与する必要があります。たとえば、ユースケースで S3 バケットからオブジェクトを読み取る場合、ロールはその特定のバケットへの読み取り専用アクセス権のみを持つ必要があります。このようなユース ケースのサンプル ポリシーは次のようになります。

       {
           "Version": "2012-10-17",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "s3:GetObject",
                       "s3:ListBucket"
                   ],
                   "Resource": [
                       "arn:aws:s3:::your-bucket-name",
                       "arn:aws:s3:::your-bucket-name/*"
                   ]
               }
           ]
       }
   

4. Integration Service にアマゾン ウェブ サービスのコネクションを追加します。

コネクションを追加する

お使いの アマゾン ウェブ サービス インスタンスへのコネクションを作成するには、次の手順を実行する必要があります。

1. 製品ランチャーから [Orchestrator] を選択します。

2. フォルダーを選択して [ コネクション ] タブに移動します。

3. [ コネクションを追加] を選択します。

4. コネクション作成ページを開くには、リストからコネクタを選択します。検索バーを使用してコネクタを検索できます。

5. [ 認証の種類 ] フィールドで、[アクセス キー]、[アクセス キーの AssumeRole]、または [UiPath Managed Cross Account AssumeRole] の 3 つのオプションのいずれかを選択します。既定では、[アクセス キー] が選択されています。

   

6. 使用する認証方法に必要な資格情報を入力します。[ AWS のサービス名 ] フィールドで、接続先の AWS サービス ( s3、 ec2、 workspaces、または bedrock-runtime) を選択します。

   注:

   このコネクションを Amazon Bedrock で使用する (AI モデルを呼び出す場合など) は、[ bedrock-runtime] を選択する必要があります。別のサービス名を選択すると、Bedrock 要求は失敗します。

7. [接続] を選択します。