[アップデート] Amazon Quick のカスタムアクセス許可管理が刷新されてプロファイル割り当てまでコンソールで完結するようになっていた

いわさです。

Amazon Quick にはカスタムアクセス許可という機能があります。
標準のロール（管理者・作成者・閲覧者）で許可されている操作の一部を追加で制限したい場合に、カスタムアクセス許可プロファイルを作成して適用する仕組みです。

https://dev.classmethod.jp/articles/quick-custompermission-202603/

カスタムアクセス許可プロファイルの作成自体はコンソールから出来たものの、ロールやユーザーへの割り当ては AWS CLI/API でしか行えない状態でした。
割り当て状況を確認するにも CLI で describe-role-custom-permission などを叩く必要があり、ちょっと管理しづらかったです。

先日 Amazon Quick の管理コンソールを見ていたら、このカスタムアクセス許可の管理画面が刷新されていることに気づきました。
プロファイルの作成から割り当てまでコンソール上で完結するようになっており、スコープ別の優先順位も可視化されています。
アナウンスやドキュメント更新履歴は特に見当たりませんでした。

今回こちらを確認してみたので紹介します。

実際に確認してみる

Amazon Quick の管理コンソールからカスタムアクセス許可を開いてみます。

左ナビゲーションの「アクセス許可」セクション配下にある「カスタムアクセス許可」を開くと、以前とは異なる画面構成になっています。

以前のプロファイル作成画面はこんな感じでした。

新しい画面では、上部に「スコープ別のアクティブなプロファイル」というセクションがあり、以下の3つのスコープごとにプロファイルの割り当て状況が確認できるようになっています。

• ユーザープロファイル：個人ユーザーに適用される
• ロールプロファイル：特定の役割を持つユーザーに適用される
• アカウントのデフォルト：すべてのユーザーに適用される

各セクションの間に「ユーザープロファイルはロールプロファイルよりも優先されます」「役割プロファイルはアカウントのデフォルト設定よりも優先されます」という説明が表示されており、優先順位の関係が視覚的にわかるようになっていますね。

プロファイルを作成してみる

では実際にプロファイルを作成してみます。
右上の「プロファイルを作成する」ボタンを押すと、プロファイルの作成から割り当てまでを続けて行える画面に遷移します。

以前はプロファイルの作成まではコンソールで出来ましたが、ロールやユーザーへの割り当ては CLI が必要でした。
今回は左のステップ表示にもある通り、作成後にそのまま割り当て画面に進めるようになっています。

プロファイル作成画面は「機能を制限」と「機能と特徴」の2つのセクションに分かれています。
「機能を制限」はアセットメニュー自体を非表示にする制限（以前の上段に相当）、「機能と特徴」はメニューは表示されたままだけどその中の個別操作を制限するもの（以前の下段に相当）ですね。

「機能を制限」セクションには「AI 機能を制限」というトグルが追加されています。
これをオンにすると AI 関連の機能カテゴリをまとめて制限できます。

トグルをオンにしようとすると確認ダイアログが表示されます。
すべての AI 機能を一括で制限するか、個別に選択した状態を維持するか選べます。

AI 機能を制限するとすべての AI 機能が「制限対象」になりました。
画面上の説明によると、制限対象カテゴリでは現在の機能がすべて無効になるだけでなく、そのカテゴリの今後のリリースも自動的にブロックされるとのこと。

制限対象カテゴリでは、現在の機能がすべて無効になり、そのカテゴリの今後のリリースも自動的にブロックされます。明示的に許可したカテゴリは、今後追加される新機能を含め、引き続き利用できます。

逆に明示的に許可したカテゴリは、今後追加される新機能を含め引き続き利用できるみたいです。

「機能と特徴」セクションでは個別の機能を細かく制御できます。
以前と同様に親子構造になっていて、親をオフにすれば子も全部制限、子だけオフにすれば細かい制御ができます。

BI 機能カテゴリには従来からある SPICE やエクスポート関連の項目に加え、以前のアップデートで追加されたシナリオやストーリーなどが並んでいます。

コネクタセクションでは、個々のアクションコネクタごとに「作成および更新」「共有」「使用する」の3つの権限を制御できます。

ナレッジベースのコネクタも別途用意されていますね。

右サイドパネルにはプロファイルの制限内容がリアルタイムで表示されます。
チェックを外すとすぐに「制限対象」のカウントが更新されるので、設定中に今何を制限しているか把握しやすいですね。

いくつかの機能を制限した状態です。
右パネルに「制限対象 40 の機能の 7」のように表示され、具体的にどの機能が制限されているかも一覧で確認できます。

プロファイルの割り当て

プロファイルの内容を設定したら、ステップ2の「プロフィールを割り当て」に進みます。

割り当て画面ではユーザーを名前で検索して追加したり、ロール（閲覧者、閲覧者プロなど）をドロップダウンで選択したり、アカウントのデフォルトとして設定したりできます。

ユーザーとロールの両方に同時に割り当てることもできます。
以前は update-role-custom-permission と update-user-custom-permission を別々に実行する必要がありましたが、1画面でまとめて設定できるようになっています。

「割り当てて完了」ボタンを押すと、プロファイルの作成と割り当てが完了します。

割り当て後の一覧表示

割り当てが完了すると、カスタムアクセス許可の一覧画面に戻ります。

ユーザープロファイルとロールプロファイルにそれぞれ割り当てたプロファイルが表示されています。
ロールプロファイルの「適用先:」列には「閲覧者, 閲覧者プロ」のように割り当てたロールが表示されるので、どのロールに何が適用されているかが一目でわかりますね。

プロファイルを選択すると、右サイドパネルに詳細情報が表示されます。

「割り当て先」セクションにユーザー名とロール名が表示されます。
制限対象の機能一覧や「今後の制限事項」（AI 機能を制限トグルをオンにした場合は「すべての AI 機能を制限」と表示）も確認できます。

なお、別の既存プロファイル（以前 CLI で作成したもの）を選択するとそちらの詳細も表示されます。
「削除」ボタンや「プロファイルを編集」ボタンも右パネルにあり、実際に削除操作もコンソール上から簡単にできました。

さいごに

本日は Amazon Quick のカスタムアクセス許可の管理画面が刷新されていたので確認してみました。

以前は CLI でしかできなかったプロファイルの割り当てがコンソールから直接行えるようになっており、作成後にそのまま割り当てまで進められます。
スコープ別の優先順位表示やサイドパネルでの割り当て先確認など、運用時に「今どうなっているか」を把握しやすい画面になっています。
これまで CLI を行ったり来たりしていた運用から比べると、コンソールで完結するのはだいぶ楽になったと思います。