AWS IAM ポリシー

AWS IAM のポリシーは、特定の AWS リソースに対する一連の権限を宣言します。ポリシーを作成した後、それを IAM ロールまたはユーザーにアタッチする必要があります。これにより、IAM ロールまたはユーザーは、ポリシーで宣言された権限を割り当てられ、指定された AWS リソースにアクセスできます。

PhoenixAI のさまざまな操作には、異なる AWS リソースへのアクセス権限が必要であり、そのためには異なるポリシーを設定する必要があります。

このトピックでは、インスタンスプロファイル、アサインされたロール、または IAM ユーザーに基づく認証方法を選択した場合に、PhoenixAI がさまざまなビジネスシナリオで異なる AWS リソースと統合するために設定する必要がある IAM ポリシーを提供します。

AWS S3 からのバッチロードデータ

S3 バケットからデータをロードしたい場合は、次の IAM ポリシーを設定してください。

注意

次の JSON ポリシーテンプレートの <bucket_name> を、データファイルを保存する S3 バケットの名前に置き換えてください。

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Sid": "s3",
          "Effect": "Allow",
          "Action": [
              "s3:GetObject"
          ],
          "Resource": [
              "arn:aws:s3:::<bucket_name>/*"
          ]
      },
      {
          "Sid": "s3list",
          "Effect": "Allow",
          "Action": [
              "s3:ListBucket"
          ],
          "Resource": [
              "arn:aws:s3:::<bucket_name>"
          ]
      }
  ]
}

AWS S3 の読み書き

S3 バケットからデータをクエリしたい場合は、次の IAM ポリシーを設定してください。

注意

次の JSON ポリシーテンプレートの <bucket_name> を、データファイルを保存する S3 バケットの名前に置き換えてください。

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Sid": "s3",
          "Effect": "Allow",
          "Action": [
              "s3:GetObject", 
              "s3:PutObject",
              "s3:DeleteObject"
          ],
          "Resource": [
              "arn:aws:s3:::<bucket_name>/*"
          ]
      },
      {
          "Sid": "s3list",
          "Effect": "Allow",
          "Action": [
              "s3:ListBucket"
          ],
          "Resource": [
              "arn:aws:s3:::<bucket_name>"
          ]
      }
  ]
}

AWS Glue との統合

AWS Glue Data Catalog と統合したい場合は、次の IAM ポリシーを設定してください。

{
    "Version": "2012-10-17",
    "Statement": [
      {
          "Effect": "Allow",
          "Action": [
                "glue:BatchCreatePartition",
                "glue:UpdateDatabase",
                "glue:GetConnections",
                "glue:CreateTable",
                "glue:DeleteDatabase",
                "glue:BatchUpdatePartition",
                "glue:GetTables",
                "glue:GetTableVersions",
                "glue:GetPartitions",
                "glue:UpdateTable",
                "glue:BatchGetPartition",
                "glue:DeleteTable",
                "glue:GetDatabases",
                "glue:GetDevEndpoint",
                "glue:GetTable",
                "glue:GetDatabase",
                "glue:GetPartition",
                "glue:GetDevEndpoints",
                "glue:GetConnection",
                "glue:CreateDatabase",
                "glue:CreatePartition",
                "glue:DeletePartition",
                "glue:UpdatePartition"
          ],
          "Resource": [
              "*"
            ]
        }
    ]
}

データクレデンシャルの作成

PhoenixAI クラスターを作成する際、次の IAM ポリシーをデータクレデンシャルロールにアタッチする必要があります。Data credential セクションの IAM policy information フィールドからポリシーを直接コピーできます。

注意

次の JSON ポリシーテンプレートの <s3-bucket-name> を、クエリプロファイルを保存するために使用する S3 バケットの名前に置き換えてください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutBucketCORS",
        "s3:ListBucket"
      ],
      "Resource": "arn:aws:s3:::<s3-bucket-name>"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::<s3-bucket-name>/*"
    }
  ]
}

デプロイメントクレデンシャルの作成

PhoenixAI クラスターを作成する際、次の IAM ポリシーをデプロイメントクレデンシャルロールにアタッチする必要があります。Deployment credential セクションで Generate policy をクリックした後、IAM policy information フィールドからポリシーを直接コピーできます。

注意

次の JSON ポリシーテンプレートでは、<Storage Role ARN> をデータクレデンシャルロールの ARN に、<s3-bucket-name> をデータクレデンシャルバケットの名前に置き換えてください。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:TerminateInstances",
                "ec2:StopInstances",
                "ec2:StartInstances",
                "ec2:ModifyInstanceAttribute",
                "ec2:ModifyVolume",
                "ec2:DetachVolume",
                "ec2:AttachVolume",
                "ec2:DeleteVolume",
                "ec2:GetConsoleOutput"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:volume/*",
                "arn:aws:ec2:*:*:instance/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/CelerdataManaged": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:RunInstances"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:volume/*",
                "arn:aws:ec2:*:*:instance/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/CelerdataManaged": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:RunInstances",
            "Resource": [
                "arn:aws:ec2:*::image/*",
                "arn:aws:ec2:*:*:network-interface/*",
                "arn:aws:ec2:*:*:security-group/*",
                "arn:aws:ec2:*:*:subnet/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:RunInstances"
            ],
            "Resource": "arn:aws:ec2:*:*:placement-group/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/CelerdataManaged": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": [
                "arn:aws:ec2:*:*:instance/*",
                "arn:aws:ec2:*:*:volume/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "RunInstances"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": "arn:aws:ec2:*:*:placement-group/*",
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "CreatePlacementGroup"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": [
                "arn:aws:ec2:*:*:instance/*",
                "arn:aws:ec2:*:*:volume/*",
                "arn:aws:ec2:*:*:placement-group/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/CelerdataManaged": "true"
                },
                "ForAllValues:StringNotEquals": {
                    "aws:TagKeys": "CelerdataManaged"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:DeleteTags",
            "Resource": [
                "arn:aws:ec2:*:*:instance/*",
                "arn:aws:ec2:*:*:volume/*",
                "arn:aws:ec2:*:*:placement-group/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/CelerdataManaged": "true"
                },
                "ForAllValues:StringNotEquals": {
                    "aws:TagKeys": "CelerdataManaged"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:DeletePlacementGroup",
            "Resource": "arn:aws:ec2:*:*:placement-group/*",
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/CelerdataManaged": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:CreatePlacementGroup",
            "Resource": "arn:aws:ec2:*:*:placement-group/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/CelerdataManaged": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:CreateListener",
                "elasticloadbalancing:CreateLoadBalancer",
                "elasticloadbalancing:CreateTargetGroup"
            ],
            "Resource": [
                "arn:aws:elasticloadbalancing:*:*:listener/app/*/*/*",
                "arn:aws:elasticloadbalancing:*:*:listener/net/*/*/*",
                "arn:aws:elasticloadbalancing:*:*:targetgroup/*/*",
                "arn:aws:elasticloadbalancing:*:*:loadbalancer/app/*/*",
                "arn:aws:elasticloadbalancing:*:*:loadbalancer/net/*/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/CelerdataManaged": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:RegisterTargets",
                "elasticloadbalancing:DeleteLoadBalancer",
                "elasticloadbalancing:ModifyTargetGroupAttributes",
                "elasticloadbalancing:DeregisterTargets",
                "elasticloadbalancing:DeleteTargetGroup",
                "elasticloadbalancing:ModifyLoadBalancerAttributes",
                "elasticloadbalancing:DeleteListener",
                "elasticloadbalancing:ModifyListenerAttributes",
                "elasticloadbalancing:ModifyTargetGroup",
                "elasticloadbalancing:ModifyListener"
            ],
            "Resource": [
                "arn:aws:elasticloadbalancing:*:*:listener/app/*/*/*",
                "arn:aws:elasticloadbalancing:*:*:listener/net/*/*/*",
                "arn:aws:elasticloadbalancing:*:*:loadbalancer/app/*/*",
                "arn:aws:elasticloadbalancing:*:*:loadbalancer/net/*/*",
                "arn:aws:elasticloadbalancing:*:*:targetgroup/*/*"
            ],
            "Condition": {
                "StringEquals": {
                    "elasticloadbalancing:ResourceTag/CelerdataManaged": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:AddTags",
            "Resource": [
                "arn:aws:elasticloadbalancing:*:*:listener/app/*/*/*",
                "arn:aws:elasticloadbalancing:*:*:listener/net/*/*/*",
                "arn:aws:elasticloadbalancing:*:*:targetgroup/*/*",
                "arn:aws:elasticloadbalancing:*:*:loadbalancer/app/*/*",
                "arn:aws:elasticloadbalancing:*:*:loadbalancer/net/*/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:AddTags",
            "Resource": [
                "arn:aws:elasticloadbalancing:*:*:listener/app/*/*/*",
                "arn:aws:elasticloadbalancing:*:*:listener/net/*/*/*",
                "arn:aws:elasticloadbalancing:*:*:targetgroup/*/*",
                "arn:aws:elasticloadbalancing:*:*:loadbalancer/app/*/*",
                "arn:aws:elasticloadbalancing:*:*:loadbalancer/net/*/*"
            ],
            "Condition": {
                "StringEquals": {
                    "elasticloadbalancing:ResourceTag/CelerdataManaged": "true"
                },
                "ForAllValues:StringNotEquals": {
                    "aws:TagKeys": "CelerdataManaged"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:RemoveTags",
            "Resource": [
                "arn:aws:elasticloadbalancing:*:*:listener/app/*/*/*",
                "arn:aws:elasticloadbalancing:*:*:listener/net/*/*/*",
                "arn:aws:elasticloadbalancing:*:*:targetgroup/*/*",
                "arn:aws:elasticloadbalancing:*:*:loadbalancer/app/*/*",
                "arn:aws:elasticloadbalancing:*:*:loadbalancer/net/*/*"
            ],
            "Condition": {
                "StringEquals": {
                    "elasticloadbalancing:ResourceTag/CelerdataManaged": "true"
                },
                "ForAllValues:StringNotEquals": {
                    "aws:TagKeys": "CelerdataManaged"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/elasticloadbalancing.amazonaws.com/AWSServiceRoleForElasticLoadBalancing",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "elasticloadbalancing.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeTags",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceTypes",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInstanceAttribute",
                "ec2:DescribeInstanceCreditSpecifications",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeNetworkInterfaceAttribute",
                "ec2:DescribePlacementGroups",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeVolumes",
                "ec2:DescribeVolumesModifications",
                "ec2:DescribePrefixLists",
                "ec2:DescribeRouteTables",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeAddresses",
                "ec2:DescribeAccountAttributes",
                "elasticloadbalancing:DescribeLoadBalancers",
                "elasticloadbalancing:DescribeListeners",
                "elasticloadbalancing:DescribeLoadBalancerAttributes",
                "elasticloadbalancing:DescribeTargetGroupAttributes",
                "elasticloadbalancing:DescribeTags",
                "elasticloadbalancing:DescribeTargetHealth",
                "elasticloadbalancing:DescribeTargetGroups"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "<Storage Role ARN>"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::<s3-bucket-name>"
        }
    ]
}