CloudHSMクラスター作成時に"ec2:AuthorizeSecurityGroupIngress"権限エラーが発生する理由を教えてください

AWSテクニカルサポートノート

#AWS CloudHSM

#AWS

katsumata

2025.09.05

困っていた内容

CloudHSMクラスター作成時に"ec2:AuthorizeSecurityGroupIngress"権限エラーが発生する理由を教えてください。

どう対応すればいいの？

CloudHSMではクラスター作成時に、クラスター用セキュリティグループが存在しない場合、自動的に作成します。
このセキュリティグループには、クラスターセキュリティグループ内でポート2223～2225を介したインバウンドおよびアウトバウンド通信を許可する事前設定済みのTCPルールが含まれています。このセキュリティグループにより、EC2インスタンスはVPCを使用してクラスター内のHSMと通信できるようになります。

やってみた

以下ポリシーを持つIAMロールによりCloudHSMクラスター作成を試みます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudHSMClusterManagement",
            "Effect": "Allow",
            "Action": [
                "cloudhsm:CreateCluster",
                "cloudhsm:DescribeClusters",
                "cloudhsm:ListTags",
                "cloudhsm:TagResource"
            ],
            "Resource": "*"
        },
        {
            "Sid": "EC2ReadPermissions",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets"
            ],
            "Resource": "*"
        }
    ]
}

アカウントにCloudHSM用サービスリンクロールが存在しない場合(CloudHSMクラスターを初めて作成する場合)、上記ポリシーに以下のようなiam:CreateServiceLinkedRoleポリシーが必要となります。

{
            "Sid": "",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws:iam::*:role/aws-service-role/cloudhsm.amazonaws.com/AWSServiceRoleForCloudHSM",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "cloudhsm.amazonaws.com"
                }
            }
        }

作成手順の中でセキュリティグループを作成する場面の表示はありませんが、"ec2:AuthorizeSecurityGroupIngress"権限エラーが発生します。
以下ポリシーを上記ロールに追加して再度試みます。

        {
            "Sid": "EC2SecurityGroupCreation",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateSecurityGroup",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:RevokeSecurityGroupEgress",
            ],
            "Resource": "*"
        }