> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Amazon DynamoDB
> クロスアカウント IAM ロールを使用して Amazon DynamoDB を Iru Compliance に接続し、テーブルのインベントリ、暗号化の設定、コントロールプレーンのメタデータを収集します。
### Amazon DynamoDB について
**Amazon DynamoDB** コネクタは、コンプライアンスのマッピングのために、**テーブル**、**キャパシティの設定**、**インデックス**、および関連リソースのインベントリを作成します。Iru はお客様のアカウント内の **IAM ロール**を(**`sts:AssumeRole`** + **外部 ID**)で引き受けます。項目のペイロードを証跡として一括エクスポートすることは**ありません**。対象は設定とインベントリの API に限られます。
### 仕組み
Iru は独自の AWS アカウントで稼働しています。お客様のアカウントの **DynamoDB** のテーブルとインデックスのメタデータを読み取るには、**`sts:AssumeRole`** の信頼(ウィザードの **External ID**)と、インベントリに適した読み取り専用の **`dynamodb:`** 権限(該当するアクションを追加しない限り、項目の一括エクスポートは含まない)を持つ **IAM ロール**を作成します。ロールの **ARN** を Iru に貼り付けます。
**`AmazonDynamoDBReadOnlyAccess`** を使用するか、アクションを明示したい場合は以下のインラインポリシーを使用します(マネージドポリシーのセットに含まれる **`PartiQLSelect`** / **`Query`** / **`Scan`** の読み取りパスを含みます。セキュリティレビューに合わせて調整してください)。
| 項目 | 値 |
| - | - |
| **カテゴリ** | データベース |
| **認証** | クロスアカウント IAM ロール |
参考資料: [AmazonDynamoDBReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonDynamoDBReadOnlyAccess.html)、[Security and IAM](https://docs.aws.amazon.com/amazondynamodb/latest/developerguide/security-iam.html)。
### 前提条件
* **ロール**と**インラインポリシー**を作成できる IAM 権限。
* Iru から取得したコネクタの**プリンシパル**と**外部 ID**。
### AWS DynamoDB を Iru に接続する
まずここから始めます。ソースのウィザードを開き、**信頼ポリシー**をコピーします(**外部 ID** も控えておきます)。AWS でロールを作成する準備ができたら、[**AWS**](#aws) タブに切り替えて [**AWS で IAM ロールを作成する**](#create-the-iam-role-in-aws)の手順に従います。**Role ARN** を取得したら、[**Iru Compliance**](#iru-compliance) タブに戻り、以下の [**Iru でロール ARN を送信する**](#submit-the-role-arn-in-iru)を完了します。
#### Iru から信頼ポリシーを取得する
Iru Compliance の左側のナビゲーションバーで **コンプライアンス** を展開し、**ソース** を選択します。
**AWS DynamoDB** を探します(**カテゴリ** または **名前または説明で検索** を使用します)。そのカードの**トグル**をオンにします。**Iru が外部サービスへのアクセスをリクエストしています** のウィザードのタブは開いたままにしておきます。
ウィザードには、IAM ロールで使用する必要がある**信頼ポリシー**の JSON(**Principal** と **sts:ExternalId**)が表示されます。以下は構造の**例**です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、**ウィザードに表示される最新の JSON をコピーしてください**。
```json copy=false lines theme={null}
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::753695775620:role/IruConnect"
},
"Condition": {
"StringEquals": {
"sts:ExternalId": "YOUR_EXTERNAL_ID"
}
},
"Action": "sts:AssumeRole"
}
]
}
```
参照用に Iru ウィザードのタブを開いたまま、[**AWS**](#aws) タブに切り替えて [**AWS で IAM ロールを作成する**](#create-the-iam-role-in-aws)の手順に従います。
#### Iru でロール ARN を送信する
新しいロールの **Role ARN** を取得するため、先に [**AWS**](#aws) タブ([**AWS で IAM ロールを作成する**](#create-the-iam-role-in-aws)まで)を完了してください。
Iru ウィザードのタブに戻ります。コネクタで求められる場所に **Role ARN** を貼り付けます。
**Submit Role** を選択します。接続が成功すると、ウィザードに **接続が構成されました** と表示されます。
**Iru が外部サービスへのアクセスをリクエストしています** のブラウザタブを閉じてから、**コンプライアンス** → **ソース** に戻り、**AWS DynamoDB** のカードが **有効** であることを確認します。
このロールを作成する前に、[**Iru Compliance**](#iru-compliance) タブの [**Iru から信頼ポリシーを取得する**](#get-the-trust-policy-from-iru)を完了してください。**Trusted entity** を設定する際は、最新のウィザードに表示される**外部 ID** と信頼ポリシーを使用します。
#### AWS で IAM ロールを作成する
**IAM** → **Roles** → **Create role** を開きます。
**AWS account** → **Another AWS account** を選択します。**`753695775620`**(または Iru に表示される ID)を入力します。**Require external ID** を有効にし、Iru からコピーした外部 ID を貼り付けます。
**`AmazonDynamoDBReadOnlyAccess`** をアタッチする**か**、次の**インラインポリシー**をアタッチします:
```json lines theme={null}
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"dynamodb:BatchGetItem",
"dynamodb:Describe*",
"dynamodb:Get*",
"dynamodb:List*",
"dynamodb:Query",
"dynamodb:Scan",
"dynamodb:PartiQLSelect"
],
"Resource": "*"
}
]
}
```
ロールに名前を付けて作成し、**Role ARN** をコピーします。[**Iru Compliance**](#iru-compliance) タブに戻り、[**Iru でロール ARN を送信する**](#submit-the-role-arn-in-iru)を完了します。
**Trust relationships** をウィザードの JSON と照合して検証します。
[**Iru Compliance**](#iru-compliance) タブに進み、**Role ARN** を貼り付けてウィザードを完了します([**Iru でロール ARN を送信する**](#submit-the-role-arn-in-iru))。
### トラブルシューティング
Iru サイトの**ポップアップブロッカー**の設定を確認してから、再試行してください。
外部 ID が一致していません。
テーブルは特定のリージョンに存在します。ロールのアカウントがアセットの所有者と一致していることを確認してください。
マネージドポリシーには DAX の読み取りが含まれます。カスタムポリシーでは **`dax:Describe*`** / **`dax:List*`** が必要になる場合があります。
### 考慮事項
グローバルテーブルと関連リソースは、レプリカのリージョンごとに表示される場合があります。
IAM の範囲は監査に本当に必要なものに限定してください。ポリシーを絞り込むことで、データプレーンの意図しない読み取りを減らせます。
### 関連記事
すべての Compliance ソースを参照して管理します。
フレームワーク、アクション、**アーティファクト**。
Endpoint、Compliance、Identity がどのように連携するか。
ソースとアクションからの証跡のアップロード、確認、整理。