AWS SSOで Control Tower 読み取り専用なユーザー割り当てを作成する

川原征大

2022.02.14

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

(2022/02/12 現在) デフォルトの読み取り権限、 ViewOnlyAccess や ReadOnlyAccess では Control Tower を読み取り権限で閲覧することができません。

追加で必要な権限は以下ブログに紹介しています。

【小ネタ】AWS Control Tower の読み取り専用(ReadOnly)に必要なアクセス権限 | DevelopersIO

今回は備忘録も兼ねて、この権限を持ったユーザー割り当てを AWS SSO 上に作ります。

1. アクセス権限セットの作成

[AWS SSO > AWS アカウント > アクセス権限セット] から [アクセス権限セットを作成] を選択します。

[カスタムアクセス権限セットを作成] を選択します。

名前は適当に指定します (例: ReadOnlyAccess_AWSControlTower )。

※リレーステートは https://ap-northeast-1.console.aws.amazon.com/console/home しておくと良いでしょう。

参考: AWS SSO経由でマネジメントコンソールにサインインするときに常に東京リージョンのホーム画面を表示する方法 | DevelopersIO

ポリシーの含め方については [AWS 管理ポリシーをアタッチ] および [カスタムアクセス権限ポリシーを作成] にチェックを入れてください。

まずAWS 管理ポリシーとして ReadOnlyAccess にチェックを入れます。

カスタムアクセス権限ポリシーには以下値を入れてください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "controltower:Get*",
        "controltower:List*",
        "controltower:Describe*",
        "sso:getpermissionset",
        "sso:DescribeRegisteredRegions",
        "sso:ListDirectoryAssociations",
        "sso-directory:DescribeDirectory"
      ],
      "Resource": "*"
    }
  ]
}