--- sourceDocument: Yokohama IT Operations Management sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/ja-JP/yokohama/it-operations-management Release : - yokohama ft:locale : - ja-JP ft:publication_title : - Yokohama IT Operations Management ft:clusterId : - itom bundleId : - itom workflow : - Technology --- # AWS サービスアカウントのアクセスセットアップ # AWS サービスアカウントのアクセスセットアップ {#ariaid-title1} * リリースバージョン: Yokohama * * 更新日 2025年09月03日 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 所要時間：9分 クラウドディスカバリー および クラウドプロビジョニングとガバナンス では、Amazon Web Services (AWS) サービスアカウントのリソースにアクセスする必要があります。このようなアクセスを設定するためのさまざまな方法について説明します。 クラウドディスカバリー および クラウドプロビジョニングとガバナンス は、MID サーバー を通じて AWS サービスアカウントのリソースにアクセスします。初期通信を設定するには、MID サーバーから EC2 インスタンスをAmazonする受信トラフィックを許可する必要があります。詳細については、「[AWS Management Console を使用してセキュリティグループのインバウンドルールを設定](https://docs.aws.amazon.com/amazondynamodb/latest/developerguide/DAX.create-cluster.console.configure-inbound-rules.html)」を参照してください。 ## AWS 認証情報のタイプ {#access-aws-accounts__section_uzm_dgl_mpb} AWS サービスアカウントへのアクセスを構成するために使用できる AWS 認証情報には、永続的な認証情報と一時的な認証情報があります。 終身 : 永続的な認証情報は、Now Platform の 接続情報と認証情報 モジュールに追加するサービスアカウントに対する実際の AWS 認証情報です。Now Platformで認証情報を管理するのは時間がかかるかもしれませんが、一時的な認証情報の使用に伴う複雑な構成を回避できます。 非正社員 : 一時的な認証情報は 、IAM ロールの AWS Security Token Service (AWS STS) によって生成されます。AWS アカウントの IAM ロールを構成すると、MID サーバー はこれらの一時的な認証情報を使用して AWS リソースにアクセスします。デフォルトの IAM ロール、OrganizationAccountAccessRole を使用することも、カスタム IAM ロールを作成することもできます。 大規模な AWS 組織で IAM ロールを担うほうが、すべての AWS アカウントに永続的な認証情報を大量に使用するよりも便利で、かつ優れたセキュリティを提供できます。一時的な認証情報は、サービスアカウント \[cmdb_ci_cloud_service_account\] テーブルに、そのサービスアカウントに対して永続的な認証情報が指定されていない場合にのみ、サービスアカウントの代わりに取得されます。 MID サーバー は、[AWS Security Token Service API](https://docs.aws.amazon.com/STS/latest/APIReference/Welcome.html) の [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) アクションを使用して、メンバーアカウントのロールを想定します。この API に渡されるパラメーターによって、AWS リソースへのアクセス時にロールに適用される追加のセキュリティ制限が決定されます。 デフォルトで、MID サーバー はプライマリアカウントのすべてのメンバーに一時的な認証情報を付与する OrganizationAccountAccessRole を担うように構成されます。このアクションは、メンバーアカウントに永続的な認証情報が存在しない場合に自動的に実行されます。この構成では追加のセキュリティは適用されず、メンバーアカウントのリソースに対するアクセスは制限されません。 デフォルトで、ServiceNow インスタンスはメンバーアカウントの一時的な認証情報を 60 分間キャッシュします。この間隔により、各ディスカバリー中に新しい認証情報を生成せずに水平ディスカバリープロセスを複数回実行できます。認証情報のキャッシュを回避したり、 [MID サーバーのプロパティ](https://www.servicenow.com/docs/access?context=r_MIDServerProperties&version=yokohama&pubname=yokohama-servicenow-platform&ft:locale=en-US)を使用してキャッシュ期間を変更したりすることができます。 ## IAM ロールと権限 {#access-aws-accounts__section_vch_wyh_nkb} デフォルトの AWS OrganizationAccountAccessRole ロールによって提供されるセキュリティを強化するために、メンバーアカウントの一時的な認証情報を受け取るためにMID サーバー担うことができるAWSロールをカスタマイズできます。追加の権限を設定してセキュリティを強化し、クラウドリソースを検出するときにメンバーアカウントのロールを引き受ける方法をカスタマイズできます。 ## アクセスを許可する方法 {#access-aws-accounts__section_oyq_md5_kpb} AWS アカウントのアクセスを構成する際に、次のような用語を使用します。 トラスティングアカウント : トラスティングアカウントには、永続的な AWS 認証情報がありません。これらのアカウントの IAM ロールが他のアカウントに依存してアクセスするための信頼関係を構成します。 トラステッドアカウント : トラステッドアカウントは、トラスティングアカウントによってアクセスに使用されます。ServiceNow UI では、トラステッドアカウントが「アクセサーアカウント」という名称になっています。 通常、組織内の AWS アカウントへのアクセスを設定するには、次の方法を使用します。 単一アカウントのアクセス権の設定 : * IAM ロールの作成と設定の複雑さを回避するには、Now Platform でAWS認証情報を構成します。詳細については、「[永続的な AWS 認証情報を使用した AWS アカウントへのアクセス構成](https://servicenow-prod.fluidtopics.net/Ni_J7zSqTZ0ZS8EeSYHivw "プロバイダーアカウントのデータに安全にアクセスするために、ディスカバリー プロセスで適切な認証情報を提供する必要があります。ディスカバリー と クラウドプロビジョニングとガバナンス で認証情報を利用できるようにするには、最初に AWS マネジメントコンソール でプログラムによるアクセス権を持つユーザーを作成します。次に、Now Platform でサービスアカウントに認証情報を安全に保存します。")」を参照してください。 * Now Platform にAWSサービスアカウントを作成します。詳細については、「[AWSサービスアカウントの作成](https://servicenow-prod.fluidtopics.net/XdDQtlxoBnGIqEfcolC3MQ "ディスカバリー中に AWS アカウントにアクセスするために、Now Platform にAWSサービスアカウントを作成しますAWS。")」を参照してください。 {#access-aws-accounts__ul_lrx_kht_zfc} AWS認証情報を持つアクセサーアカウントを信頼するアカウントのアクセスを構成する : 図 : 1. 任意の AWS アカウントを AWS 認証情報を備えたトラステッドアカウントに依存させる設定 : * 任意のタイプのアカウント (個別 (独立)、管理アカウント、メンバーアカウントなど) を、 AWS 認証情報を持つトラステッドアカウントに依存してアクセスするように構成します。 * トラスティングアカウントに属する IAM ロールをトラステッドアカウントのユーザーを信頼するように構成すると、複数の AWS アカウントへのアクセスを提供するために 1 セットの AWS 認証情報のみを使用できます。 {#access-aws-accounts__ul_rc5_mht_zfc} 詳細については、「[AWS 認証情報を持つトラステッド AWS アカウントに基づく一時的な認証情報を使用したアクセス構成](https://servicenow-prod.fluidtopics.net/lxxiQ6LpvpwY_rbicsbZHA "アクセスが必要なリソースを持つトラスティングアカウントを、Identity and Access Management (IAM) ロールを使用してトラステッドアカウントに依存するように構成します。")」を参照してください。 AWS認証情報なしでアクセサーアカウントを信頼するアカウントのアクセスを構成する : 図 : 2. 任意の AWS アカウントを AWS 認証情報のないトラステッドアカウントに依存させる設定 : * 任意のタイプのアカウント (個別 (独立)、管理アカウント、メンバーアカウントなど) を、 AWS 認証情報なしで信頼できるアカウントに依存してアクセスするように構成します。 * IAM ロールと、トラスティングサービスアカウントにアクセスするための権限を使用して、 AWS 認証情報なしでアカウントを設定します。 * トラスティングアカウントの IAM ロールを設定して、トラステッドアカウントの IAM ロールへのアクセス権を付与します。 {#access-aws-accounts__ul_bhf_pht_zfc}詳細については、「[AWS 認証情報を持たないトラステッド AWS アカウントに基づく一時的な認証情報を使用したアクセス構成](https://servicenow-prod.fluidtopics.net/ZuXwiW9XNn0fWuVSnnsiEw "他の AWS アカウントがアクセスのために依存できるような、認証情報を持たないトラステッドアカウントを設定します。")」を参照してください。 アクセサーから管理アカウントを介してトラストチェーンを使用して、 AWS メンバーアカウントのアクセスを構成します。 : 図 : 3. アクセスに管理アカウントを使用するメンバーアカウントの設定 : * 管理アカウントの IAM ロールを信頼するように、メンバーアカウントの IAM ロールを構成します。詳細については、「[管理アクセサートラストチェーン内の AWS メンバーアカウントを信頼するための一時的な認証情報を使用したアクセス構成](https://servicenow-prod.fluidtopics.net/WLhH7OGlftTqCxOn0RSG3A "アクセサーから管理アカウントを介してトラストチェーンを使用して、 AWS メンバーアカウントのアクセスを構成します。")」を参照してください。 * AWS認証情報の有無にかかわらず、アクセサーアカウントを信頼するように管理アカウントを設定します。詳細については、以下を参照してください。 * [AWS 認証情報を持つトラステッド AWS アカウントに基づく一時的な認証情報を使用したアクセス構成](https://servicenow-prod.fluidtopics.net/lxxiQ6LpvpwY_rbicsbZHA "アクセスが必要なリソースを持つトラスティングアカウントを、Identity and Access Management (IAM) ロールを使用してトラステッドアカウントに依存するように構成します。")に展開したカスタムモバイルアプリケーションを使用して管理しました。 * [AWS 認証情報を持たないトラステッド AWS アカウントに基づく一時的な認証情報を使用したアクセス構成](https://servicenow-prod.fluidtopics.net/ZuXwiW9XNn0fWuVSnnsiEw "他の AWS アカウントがアクセスのために依存できるような、認証情報を持たないトラステッドアカウントを設定します。")に展開したカスタムモバイルアプリケーションを使用して管理しました。 {#access-aws-accounts__ul_erm_5ft_zfc} {#access-aws-accounts__ul_yz2_yht_zfc} ## クラウドディスカバリー が使用する認証情報の決定方法 {#access-aws-accounts__section_vqm_mbn_phb} メンバーアカウント信託管理アカウント : クラウドディスカバリー は次のロジックを使用して、メンバーアカウントの AWS クラウドリソースを検出するために使用する認証情報を決定します。 1. 永続的な認証情報がクラウドサービスアカウント \[cmdb_ci_cloud_service_account\] テーブルのメンバーアカウントに対して定義されている場合、ディスカバリー はその認証情報を使用します。クラウドサービスアカウントの \[cmdb_ci_cloud_service_account\] テーブルには、サービスアカウントのタイプ (管理/メンバー) とその認証情報に関する情報が含まれています。 2. メンバーアカウントに永続的な認証情報が定義されていない場合、ディスカバリー はメンバーアカウントに関連付けられた特別なパラメーターについてクラウドサービスアカウント AWS 組織想定ロールパラメーター \[cloud_service_account_aws_org_assume_role_params\] テーブルをチェックします。そのテーブルにパラメーターが存在する場合、ディスカバリー は AWS Security Token Service API AssumeRole アクションでロールとそのパラメーターを指定することによって取得された一時的な認証情報を使用します。 3. \[cloud_service_account_aws_org_assume_role_params\] テーブルでメンバーアカウントに特別なパラメーターが関連付けられていない場合、ディスカバリー はそのテーブルで、管理アカウントに関連付けられたパラメーターをチェックします。管理アカウントのロールを定義するパラメーターが存在する場合、ディスカバリー はそのロールで提供される一時的な認証情報を使用します。 4. 管理アカウントまたはメンバーアカウントのいずれかに対して \[cloud_service_account_aws_org_assume_role_params\] テーブルに特別なパラメーターが存在しない場合、ディスカバリー は OrganizationAccountAccessRole ロールに定義されているデフォルトを使用します。 {#access-aws-accounts__ol_onb_5bn_phb} メンバーまたは管理アカウント信頼アクセサーアカウント : 1. クラウドサービスアカウント \[cmdb_ci_cloud_service_account\] テーブルのメンバーまたは管理アカウントに永続的な認証情報が定義されている場合、 ディスカバリー はそれらの認証情報を使用します。クラウドサービスアカウントの \[cmdb_ci_cloud_service_account\] テーブルには、サービスアカウントのタイプ (管理/メンバー) とその認証情報に関する情報が含まれています。 2. アカウントに永続的な認証情報が定義されていない場合、 ディスカバリー はクラウドサービスアカウント AWS クロス想定ロールパラメーター \[cloud_service_account_aws_cross_assume_role_params\] テーブルで、アカウントに関連付けられた特別なパラメーターがないか確認します。そのテーブルにパラメーターが存在する場合、ディスカバリー は AWS Security Token Service API AssumeRole アクションでロールとそのパラメーターを指定することによって取得された一時的な認証情報を使用します。 {#access-aws-accounts__ol_ovp_pvl_bgc} **関連情報** * [パターンを使用して ServiceNow で AWS クラウドディスカバリーを構成するためのステップバイステップガイド \[KB2184482\]](https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB2184482) * [AWS クラウドディスカバリーのセットアップ:CloudFormation テンプレートを使用したユースケースガイド \[KB2221157\]](https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB2221157)