Documentation
ドキュメントの検索
karat

+

K

APIリファレンス ↗
管理と有効化エンロールメント設定クラウドアイデンティティの設定

注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。

クラウド ID を設定する

クラウド ID を使用すると、固定の資格情報を使用せずにクラウドプロバイダーのリソースに対して認証できます。

Control Panel のクラウド ID ページは、次の条件を満たす場合にのみ表示されます。

  • Foundry エンロールメントが AWS でホストされている。
  • Foundry エンロールメントが、Palantir の Kubernetes ベースのインフラストラクチャである Rubix 上で稼働している。

クラウド ID 認証により、Foundry は Amazon AWS、Microsoft Azure、Google Cloud Platform などのクラウドプロバイダーのリソースにアクセスできます。クラウド ID は、Control Panel でエンロールメントレベルで設定および管理され、Data Connection で個々のソース接続を設定する際にインポートする必要があります。

Foundry が生成したクラウド ID には、対象のクラウドプラットフォームのリソースへのアクセス権を付与する必要があります。利用可能な場合は、固定の資格情報に基づく認証よりもクラウド ID を推奨します。

AWS 用のクラウド ID

AWS リソースへのアクセスに使用するクラウド ID は、Foundry エンロールメントがホストされている AWS アカウントで生成された AWS Identity and Access Management (IAM) ロールを表します。

2024年4月時点では、Control Panel でエンロールメントごとに最大15個のクラウド ID を作成できます。追加のクラウド ID が必要な場合は、サポートチケットを提出し、お使いのエンロールメントで利用可能なオプションについてご相談ください。

クラウド ID の概要

エンロールメントで AWS クラウド ID を有効にする

エンロールメントのクラウド ID を生成するには、Control Panel のサイドバーでエンロールメントの設定 > クラウド IDに移動します。このページにアクセスするには、エンロールメント管理者および情報セキュリティ責任者のロールに付与されているクラウド ID 設定の管理ワークフローが必要です。

AWS クラウド ID を有効にする

ID を作成を選択すると、クラウド ID とそれに関連する IAM ロールが生成されます。ロールの Amazon Resource Number (ARN) ↗ が表示されます。

作成後のクラウド ID は削除できず、その名前も編集できません。複数のクラウド ID を使用するユーザーは、新しいクラウド ID が必要な理由を慎重に検討してください。

クラウド ID の IAM ロールが認証を行い、リソースにアクセスできるようにするには、AWS アカウントに別の IAM ロールを作成し、2個のポリシーを作成する必要があります。

ポリシー1： クラウド ID の IAM ロールが、AWS アカウントに作成した IAM ロールを引き受けることを許可する信頼ポリシーを作成する必要があります。

生成されたクラウド ID ロールの ARN に対して、AWS アカウントの IAM ロールにアタッチする信頼ポリシーの例を示します。

Copied!
1
2
3
4
5
6
7
8
9
10
11
12
13
{
   "Statement":
   [
      {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
            "AWS": "$GENERATED_CLOUD_IDENTITY_ARN",
         },
      }
   ],
   "Version": "2012-10-17"
}

$GENERATED_CLOUD_IDENTITY_ARN を完全な ARN 文字列に置き換えます。Control Panel でクリップボードにコピーを選択すると、ARN 文字列をコピーできます。

ARN をクリップボードにコピー

ポリシー2： AWS アカウントに作成した IAM ロールにアタッチするアクセス許可ポリシーを作成し、そのロールがリソースに対して目的のタスクを実行できるようにする必要があります。

以下は S3 アクセス許可ポリシーの例です。$BUCKET を目的のソース S3 バケットの名前に置き換えてください。

Copied!
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
{
   "Statement":
   [
      {
         "Action":
         [
            "s3:GetObject",
            "s3:ListBucket",
            "s3:DeleteObject",
            "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource":
         [
            "arn:aws:s3:::$BUCKET",
            "arn:aws:s3:::$BUCKET/*"
         ]
      }
   ],
   "Version": "2012-10-17"
}

これらのポリシーについて、詳しくはこちらの AWS ドキュメント ↗を参照してください。

これらのポリシーに加えて、Foundry と AWS アカウントを直接接続するには、ネットワーク設定が必要です。AWS ネットワークで必要な Foundry Rubix IP を許可リストに追加し、関連するエグレスポリシーが Foundry エンロールメントに適用されていることを確認してください。Control Panel のネットワークのエグレスオプションで、エンロールメントの Foundry Rubix IP を確認し、必要なエグレスポリシーを設定できます。

S3 バケットが Foundry インスタンスをホストしているリージョンと同じリージョンにある場合は、それらのバケットへのエグレスを許可するために別の手順を使用する必要があります。この場合、Foundry の Rubix からのネットワークトラフィックは、S3 への接続に使用する Amazon VPCE から送信されます。VPCE 識別子は、Control Panel のネットワークのエグレスセクションにある S3 バケットポリシータブで確認できます。S3 ソースの設定によっては、Data Connection アプリケーションでも VPCE 識別子が表示されます。同じリージョンの S3 バケットへの接続について、詳しくはこちらを参照してください。

Foundry から AWS アカウントにコピーして貼り付けられるように、文字列値がユーザーに表示されます

S3 ソースの設定時にクラウド ID を使用する

有効にすると、Data Connection の接続情報ページで、Foundry の S3 ソースに使用できる資格情報の選択肢としてクラウド ID が利用可能になります。

クラウド ID を使用する S3 ソース

クラウド ID 認証を使用すると、資格情報セクションにロール ARN が表示されます。クラウド IDの選択肢を選択すると、デフォルトのクラウド ID があらかじめ選択されます。エンロールメントに複数のクラウド ID が存在する場合は、ドロップダウンメニューのリストから1個を選択できます。クラウド ID を選択した後、次の設定も行う必要があります。

  1. 対象の Amazon AWS アカウントで Identity and Access Management (IAM) ロールを設定します。
  2. 接続する S3 バケットへのアクセス権を IAM ロールに付与します。通常は、バケットポリシー ↗を使用して行えます。
  3. S3 ソースの設定詳細で、Security Token Service (STS) ロール ↗の設定に IAM ロールを追加します。Foundry のクラウド ID の IAM ロールは、S3 にアクセスする際に AWS アカウントの IAM ロールを引き受けようとします ↗。
  4. クラウド ID の IAM ロールが対象の AWS アカウントの IAM ロールを引き受けられるように、対応する信頼ポリシーを設定します ↗。