Amazon Redshiftの引き受けロールの設定

Amazon Redshiftの一時的なセキュリティ資格情報ポリシーの生成

IAMユーザー

IAMユーザーは、同じAWSアカウントまたは異なるAWSアカウントで一時的なセキュリティ資格情報を使用するために、sts:AssumeRoleポリシーを持っている必要があります。IAMユーザーの資格情報は、接続プロパティでRedshiftアクセスキーとRedshift秘密鍵を入力するために使用されます。

次のサンプルポリシーでは、IAMユーザーにAWSアカウントで一時的なセキュリティ資格情報を使用することを許可しています。

{
"Version":"2012-10-17",
"Statement":
{ "Effect":"Allow",
"Action":"sts:AssumeRole",
"Resource":"arn:aws:iam::<ACCOUNT-HYPHENS>:role/<REDSHIFT-IAM-ROLE-NAME>"
}
}

Redshift IAMロールの信頼ポリシー

Redshift IAMロールポリシーは、［Redshift IAMロールARN］で指定されたロールに関係します。IAMユーザーが一時的なセキュリティ資格情報を使用してRedshiftにアクセスできるようにするには、IAMロールに信頼ポリシーがアタッチされている必要があります。

次のポリシーは、サンプルの信頼ポリシーです。

{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Principal":{ "AWS":"arn:aws:iam::AWS-account-ID:<IAM-USER>" },
"Action":"sts:AssumeRole"
}
]
}
}

例えば、ロールまたはユーザーを次の形式で指定できます。

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::<AWS-account>:role/<name-of-the-role>"
},
"Action": "sts:AssumeRole"
}
]
}


{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": " arn:aws:iam::<AWS-account>:user/<name-of-the-user>"
},
"Action": "sts:AssumeRole"
}
]
}

詳細モードでのマッピングのRedshift IAMロール信頼ポリシー

ワーカーノードがRedshiftロールを引き受け、AssumeRoleを介してAmazon Redshiftにアクセスできるようにするには、IAMロールに信頼ポリシーがアタッチされている必要があります。

次のポリシーは、サンプルの信頼ポリシーです。

{
"Effect": "Allow",
"Principal": { "AWS": "arn:aws:iam::<ACCOUNT-ID>:role/<WORKER-NODE-ROLE-ARN>" },
"Action": "sts:AssumeRole"
}

Redshift IAMロールの最小限のアクセス許可ポリシー

次のポリシーは、Redshift IAMロールに必要なアクセス許可を示しています。これは、既存のAmazon Redshiftユーザーを使用してRedshiftデータベースに接続するためにIAMユーザーが引き受けます。

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"redshift:GetClusterCredentials",

"redshift:DescribeClusters"
],

"Resource": [
"arn:aws:redshift:<REGION>:<ACCOUNT-ID>:dbuser:<Cluster_Identifier>/<USER_NAME>",

"arn:aws:redshift:<REGION>:<ACCOUNT-ID>:dbname:<Cluster_Identifier>/<DATABASE_NAME>"

]

}
}
]
}
}

次のポリシーは、Redshift IAMロールにアタッチする必要があるアクセス許可を示しています。これは、［DBUserの自動作成］チェックボックスで新規作成されたユーザーがRedshiftデータベースに接続するために、IAMユーザーが引き受けます。

{

"Version": "2012-10-17",

"Statement": [

{

"Effect": "Allow",

"Action": [
"redshift:GetClusterCredentials",

"redshift:DescribeClusters",

"redshift:CreateClusterUser",

"redshift:JoinGroup"
],

"Resource": [
"arn:aws:redshift:<REGION>:<ACCOUNT-ID>:dbuser:<Cluster_Identifier>/<USER_NAME>",

"arn:aws:redshift:<REGION>:<ACCOUNT-ID>:dbname:<Cluster_Identifier>/<DATABASE_NAME>",

"arn:aws:redshift:<REGION>:<ACCOUNT-ID>:dbgroup:<Cluster_Identifier>/<GROUP_NAME>"
]
}

}

]

}

EC2にAssumeRoleを使用した一時的なセキュリティ資格情報の生成

• •AssumeRole for EC2を使用して一時的なセキュリティ資格情報を使用するには、Amazon EC2などのAWSサービスにSecure Agentをインストールします。
• •AWS EC2サービスにアタッチされたEC2ロールは、Amazon Redshiftへのアクセス権を持っていてはいけませんが、別のIAMロールを引き受ける権限が必要です。
• •EC2ロールが引き受ける必要のあるIAMロールには、アクセス許可ポリシーと信頼ポリシーがアタッチされている必要があります。

EC2サービスロールの信頼ポリシー

以下は、EC2インスタンスにアタッチされたEC2ロールの信頼関係で定義されている信頼ポリシーの例です。

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "ec2.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}