Amazon Web Servicesアダプタ IAMアクセス権限

Amazon Web Servicesアダプタを使用する際に、各Amazon Web Servicesのサービスへの接続に使用するアカウントに対して、適切な権限が必要になります。
各アダプタの機能別に必要になるIAMアクセス権限については、以下を参照してください。

Amazon DynamoDBアダプタ
Amazon EC2アダプタ
Amazon S3アダプタ
Amazon SQSアダプタ
Amazon SimpleDBアダプタ
Amazon Redshiftアダプタ
AWS Lambdaアダプタ
ScriptRunner for Amazon SQS
Amazon Kinesisトリガー

Amazon DynamoDBアダプタ

Amazon DynamoDBアダプタが必要とするIAMアクセス権限は以下の通りです。

グローバルリソース

アクション名	備考
dynamodb:ListTables	[接続テスト]の実行時に必要になります。

オペレーション

項目取得(スキャン)

アクション名	備考
dynamodb:ListTables	[テーブル名一覧の更新]の実行時に必要になります。
dynamodb:DescribeTable	[インデックス名一覧の更新]の実行時と、[スキーマ定義の更新]の実行時に必要になります。
dynamodb:Scan

項目取得(クエリ)

アクション名	備考
dynamodb:ListTables	[テーブル名一覧の更新]の実行時に必要になります。
dynamodb:DescribeTable	[インデックス名一覧の更新]の実行時と、[属性一覧の更新]の実行時に必要になります。
dynamodb:Scan	[属性一覧の更新]の実行時に必要になります。
dynamodb:Query

項目追加/置換

アクション名	備考
dynamodb:ListTables	[テーブル名一覧の更新]の実行時に必要になります。
dynamodb:DescribeTable	[属性一覧の更新]の実行時に必要になります。
dynamodb:Scan	[属性一覧の更新]の実行時に必要になります。
dynamodb:PutItem

項目削除

アクション名	備考
dynamodb:ListTables	[テーブル名一覧の更新]の実行時に必要になります。
dynamodb:DescribeTable	[プライマリキー一覧の更新]の実行時に必要になります。
dynamodb:Scan	[プライマリキー一覧の更新]の実行時に必要になります。
dynamodb:DeleteItem

Amazon EC2アダプタ

Amazon EC2アダプタが必要とするIAMアクセス権限は以下の通りです。

グローバルリソース

アクション名	備考
ec2:DescribeAvailabilityZones	[接続テスト]の実行時に必要になります。

オペレーション

インスタンス起動

アクション名	備考
ec2:DescribeAddresses	[インスタンス一覧]のリスト取得時に必要になります。
ec2:DescribeInstances
ec2:StartInstances

インスタンス停止

アクション名	備考
ec2:DescribeInstances
ec2:StopInstances

インスタンス情報取得

アクション名	備考
ec2:DescribeImages
ec2:DescribeInstances

Amazon S3アダプタ

Amazon S3アダプタが必要とするIAMアクセス権限は以下の通りです。

グローバルリソース

アクション名	備考
s3:ListAllMyBuckets	[接続テスト]の実行時に必要になります。

オペレーション

Bucket一覧取得

アクション名	備考
s3:ListBucket	使用可能なResourceに対象Bucketが含まれている必要があります。
s3:ListAllMyBuckets

ファイル/フォルダ一覧取得

アクション名	備考
s3:GetObjectAcl
s3:ListBucket	使用可能なResourceに対象Bucketが含まれている必要があります。
s3:ListAllMyBuckets

ファイル/フォルダ読み取り

アクション名	備考
s3:GetObject
s3:GetObjectAcl	[アクセス権の情報を結果に含める]にチェックを入れた場合、必要になります。
s3:ListBucket	使用可能なResourceに対象Bucketが含まれている必要があります。
s3:ListAllMyBuckets

ファイル/フォルダ書き込み

アクション名	備考
s3:PutObject
s3:GetObjectAcl	[アクセス権の情報を結果に含める]にチェックを入れた場合、必要になります。
s3:PutObjectAcl	[アクセス権]で「公開」を選択した場合、必要になります。
s3:CreateBucket	[Bucketが存在しない場合は作成する]にチェックを入れた場合、必要になります。
s3:ListBucket	使用可能なResourceに対象Bucketが含まれている必要があります。
s3:ListAllMyBuckets

ファイル/フォルダコピー

アクション名	備考
s3:GetObject
s3:GetObjectAcl
s3:GetObjectTagging
s3:PutObject
s3:PutObjectAcl
s3:PutObjectTagging
s3:CreateBucket	[コピー先Bucketが存在しない場合は作成する]にチェックを入れた場合、必要になります。
s3:ListBucket	使用可能なResourceに対象Bucketが含まれている必要があります。
s3:ListAllMyBuckets

ファイル/フォルダ削除

アクション名	備考
s3:GetObject
s3:DeleteObject
s3:DeleteBucket	[Bucketを削除する]にチェックを入れた場合、必要になります。
s3:ListBucket	使用可能なResourceに対象Bucketが含まれている必要があります。
s3:ListAllMyBuckets

データ読み取り

アクション名	備考
s3:GetObject
s3:GetObjectAcl	[アクセス権の情報を結果に含める]にチェックを入れた場合、必要になります。
s3:ListAllMyBuckets

データ書き込み

アクション名	備考
s3:PutObject
s3:GetObjectAcl	[アクセス権の情報を結果に含める]にチェックを入れた場合、必要になります。
s3:CreateBucket	[Bucketが存在しない場合は作成する]にチェックを入れた場合、必要になります。
s3:ListBucket	使用可能なResourceに対象Bucketが含まれている必要があります。
s3:ListAllMyBuckets

Amazon SQSアダプタ

Amazon SQSアダプタが必要とするIAMアクセス権限は以下の通りです。

グローバルリソース

アクション名	備考
sqs:ListQueues	[接続テスト]の実行時に必要になります。

オペレーション

メッセージ受信

アクション名	備考
sqs:GetQueueUrl
sqs:ReceiveMessage

メッセージ送信

アクション名	備考
sqs:GetQueueUrl
sqs:ListQueues	[キュー名]のリスト取得時に必要になります。
sqs:SendMessage

メッセージ削除

アクション名	備考
sqs:DeleteMessage
sqs:GetQueueUrl
sqs:ListQueues	[キュー名]のリスト取得時に必要になります。

Amazon SimpleDBアダプタ

Amazon SimpleDBアダプタが必要とするIAMアクセス権限は以下の通りです。

グローバルリソース

アクション名	備考
sdb:ListDomains	[接続テスト]の実行時に必要になります。

オペレーション

アイテム読み取り

アクション名	備考
sdb:ListDomains
sdb:Select

クエリ実行

アクション名	備考
sdb:ListDomains
sdb:Select

アイテム書き込み

アクション名	備考
sdb:BatchPutAttributes
sdb:ListDomains	[ドメイン名]のリスト取得時に必要になります。

アイテム削除

アクション名	備考
sdb:BatchDeleteAttributes
sdb:ListDomains	[ドメイン名]のリスト取得時に必要になります。

ドメイン作成

アクション名	備考
sdb:CreateDomain
sdb:ListDomains

ドメイン削除

アクション名	備考
sdb:DeleteDomain
sdb:ListDomains

Amazon Redshiftアダプタ

Amazon Redshiftアダプタが使用するCOPYコマンドの仕様として必要となるアクセス権限については、「Amazon Redshiftドキュメント-開発者ガイド（日本語）- COPY」(http://docs.aws.amazon.com/ja_jp/redshift/latest/dg/r_COPY.html)を参照してください。

AWS Lambdaアダプタ

AWS Lambdaアダプタが必要とするIAMアクセス権限は以下の通りです。

グローバルリソース

アクション名	備考
lambda:ListFunctions	[接続テスト]の実行時に必要になります。

オペレーション

Lambda関数呼び出し

アクション名	備考
lambda:GetFunctionConfiguration
lambda:InvokeFunction
lambda:ListAliases	[別名]のリスト取得時に必要になります。
lambda:ListFunctions	[関数名]のリスト取得時に必要になります。
lambda:ListVersionsByFunction	[バージョン]のリスト取得時に必要になります。

ScriptRunner for Amazon SQS

ScriptRunner for Amazon SQSが必要とするIAMアクセス権限は以下の通りです。

ScriptRunner for Amazon SQS設定

アクション名	備考
sqs:GetQueueUrl	[接続テスト]の実行時に必要になります。

ScriptRunner for Amazon SQSマネージャ

アクション名	備考
sqs:GetQueueUrl	スクリプト実行要求格納キュー・スクリプト実行結果格納キューに対して必要になります。
sqs:ReceiveMessage	スクリプト実行要求格納キューに対して必要になります。
sqs:SendMessage	スクリプト実行結果格納キューに対して必要になります。
sqs:DeleteMessage	スクリプト実行要求格納キューに対して必要になります。

ScriptRunner AmazonSQSクライアント

アクション名	備考
sqs:GetQueueUrl	スクリプト実行要求格納キュー・スクリプト実行結果格納キューに対して必要になります。
sqs:ReceiveMessage	スクリプト実行結果格納キューに対して必要になります。
sqs:SendMessage	スクリプト実行要求格納キューに対して必要になります。
sqs:DeleteMessage	スクリプト実行結果格納キューに対して必要になります。

Amazon Kinesisトリガーが使用に必要となるアクセス権限については、「Amazon Kinesis Client Library を使用した Amazon Kinesis コンシューマーの開発」(http://docs.aws.amazon.com/ja_jp/kinesis/latest/dev/developing-consumers-with-kcl.html)を参照してください。