20.10 ポリシーの設計

AWS CLIにアクセス許可を与える方法として、IAMロールを使用する方法とIAMユーザを使用する方法があります。

IAMロールは、AWSリソースへのアクセス/操作権限を付与させるものです。各サーバにIAMユーザのアクセスキーを保存しないため、セキュアにアクセス制御を行うことができます。

IAMロールを使用できない場合は、IAMユーザにポリシーを付与してアクセス許可を与えることもできます。

参照

ポリシー、IAMロールの詳細については、AWSの公式ドキュメントを参照してください。

IAMロール、または、IAMユーザに割り当てるポリシーとして、“20.2.1 ネットワークの引継ぎ”で選択したアーキテクチャパターンに基づき、以下のActionに対して、アクセス許可を付与するようにポリシーを設計してください。

仮想ルータによるネットワーク引継ぎの場合: ec2:DescribeInstances
ec2:DescribeInstanceStatus
ec2:SendDiagnosticInterrupt
ec2:StopInstances
ec2:DescribeRouteTables
ec2:CreateRoute
ec2:ReplaceRoute
ec2:DescribeNetworkInterfaces

Elastic IPアドレス付替えによるネットワーク引継ぎの場合: ec2:DescribeInstances
ec2:DescribeInstanceStatus
ec2:SendDiagnosticInterrupt
ec2:StopInstances
ec2:AssociateAddress
ec2:DescribeAddresses
ec2:DescribeNetworkInterfaces

DNSレコード書換えによるネットワーク引継ぎの場合: ec2:DescribeInstances
ec2:DescribeInstanceStatus
ec2:SendDiagnosticInterrupt
ec2:StopInstances
route53:ChangeResourceRecordSets
route53:GetChange
route53:ListResourceRecordSets
route53:GetHostedZone