メインコンテンツへスキップ

AWS へのサポートアクセス

DoiT に問い合わせを開いた際、効果的に支援するために、お客様の AWS メンバーアカウントへのアクセスが必要になる場合があります。DoiT は、お客様の Amazon Web Services（AWS）アカウントへアクセスする際の完全な透明性を提供します。

重要なポイント​

  • 一時的な読み取り専用アクセスのために、AWS user federation broker mechanism を活用します。

    • 契約上の義務に基づきテクニカルサポートを提供する目的でのみ、お客様の AWS アカウントにアクセスします。その他の理由でアクセスすることはありません。

    • サポートエンジニアはお客様の AWS アカウントに対する書き込み権限を持ちません。唯一の例外として、お客様に代わって AWS サポートケースの起票およびサービスクォータ引き上げのリクエストが可能です。

  • 当社プラットフォーム上でのお客様環境へのアクセスログの保持期間は 30 日です。お客様のアカウント上で当社が実行したすべてのアクションの完全なログについては、AWS CloudTrail を利用できます。

  • 暗号学的手法によりコードレベルでアクセスのトラストドメインの境界を確立し、既知で安全なエントリポイントから DoiT のみがお客様の環境にアクセスできるようにしています。

アクセスの付与​

DoiT のサポートエンジニアにフェデレーティッドアクセスを付与するには、各 AWS メンバーアカウント に以下のリソースを設定してください。

  • DoiT が管理するアイデンティティをフェデレーションするための 2 つの AWS IAM アイデンティティプロバイダ
  • 上記アイデンティティからのアクセスを許可する、DoiT-Support-Gateway という名前の AWS IAM サポートロール 1 つ

これらのリソースはグローバルであるため、任意の AWS リージョンに作成できます。

必要な権限​

上記の技術的前提条件を作成するには、以下の IAM ポリシーで定義された IAM 権限を 少なくとも 持つ IAM ユーザーでログインするか、または IAM ロールを引き受けてください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:CreateRole",
        "iam:DeleteRole",
        "iam:GetRole",
        "iam:ListRoles",
        "iam:UpdateRole",
        "iam:TagRole",
        "iam:UntagRole",
        "iam:CreateOpenIDConnectProvider",
        "iam:UpdateOpenIDConnectProviderThumbprint",
        "iam:GetOpenIDConnectProvider",
        "iam:ListAttachedRolePolicies",
        "iam:ListOpenIDConnectProviders",
        "iam:AttachRolePolicy",
        "iam:DetachRolePolicy",
        "iam:PutRolePolicy",
        "iam:GetRolePolicy",
        "iam:ListRolePolicies",
        "iam:DeleteRolePolicy",
        "iam:UpdateAssumeRolePolicy"
      ],
      "Resource": [
        "arn:aws:iam::CUSTOMER_AWS_ACCOUNT_ID:role/*",
        "arn:aws:iam::CUSTOMER_AWS_ACCOUNT_ID:oidc-provider/*"
      ]
    }
  ]
}

リソースの作成​

注意

必要なリソースは 各 AWS メンバーアカウント に作成し、Management Account には作成しないでください。

当社が提供する AWS Cloud Formation のクイック作成リンク を使用して作成することを推奨します。

または、次のいずれかの方法で手動作成することもできます。

手順に従って AWS Cloud Formation Stack の作成手順 を実行し、最後の画面で Named IAM resources の警告を承認してください。

ヒント

任意機能のためのパラメータ提供を除き、Optional Capabilities のセクションを確認してください。手順の途中で提供された値を変更しないでください。変更すると処理が失敗する可能性があります。