Quick Suite で発生する、AWS リソースへのアクセス許可に関するエラーをトラブルシューティングする方法を教えてください。

簡単な説明

AWS Identity and Access Management (IAM) コンソールで AWS リソースに対する Quick Suite のアクセス許可を編集した場合、次のエラーが発生する可能性があります。

• "The role used by Quick Suite for AWS resource access was modified to an un-recoverable state outside of Quick Suite, so you can no longer edit AWS resource permissions in Quick Suite."
• "We were unable to update Quick Suite permissions for AWS resources.Either you are not authorized to edit Quick Suite permissions on AWS resources, or the Quick Suite permissions were changed using the IAM console and are therefore no longer updateable through Quick Suite."
• "We cannot update the IAM Role"
• "Quick Suite has detected unknown policies attached to following roles please detach them and retry"
• "Something went wrong For more information see Set IAM policy"

AWS リソースに対する Quick Suite のアクセス許可を編集するには、Quick Suite コンソールの使用をおすすめします。

解決策

Quick Suite が他の AWS サービスと通信する際、Quick Suite はサービスロール aws-quicksight-service-role-v0 および aws-quicksight-s3-consumers-role-v0 を引き受け、ロールにマネージドポリシーをアタッチします。これらのサービスロールを削除してから、アタッチされたマネージドポリシーを削除します。最後に、AWS サービスへの Quick Suite のアクセスを復元します。

重要: IAM ポリシーを削除する前に、必ずバックアップしてください。バックアップを使用すると、過去にアクセス権があった Amazon Simple Storage Service (Amazon S3) アカウントのリソースを参照できます。

Quick Suite と IAM のアクセス許可を確認し、サービスロールとポリシーを削除する

次の手順を実行します。

1. Quick Suite のユーザーアカウントを参照し、ADMIN ロールを持つユーザーが存在することを確認します。

2. IAM コンソールを開きます。

3. (オプション) まだ作成済みではない場合は、IAM ユーザー管理者を作成します。

4. IAM ポリシーで Quick Sight サービスとロールの作成と削除が許可されていることを確認します。 
   IAM ポリシーの例:

   {  
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "VisualEditor0",
         "Effect": "Allow",
         "Action": [
           "iam:GetRole",
           "iam:DetachRolePolicy",
           "iam:DeleteRole",
           "iam:AttachRolePolicy",
           "iam:CreateRole"
         ],
         "Resource":[
            "arn:aws:iam::Account-id:role/service-role/aws-quicksight-service-role-v0"
            "arn:aws:iam::Account-id:role/service-role/aws-quicksight-s3-consumers-role-v0"
         ]
       },
       {
         "Sid": "VisualEditor1",
         "Effect": "Allow",
         "Action": [
           "iam:ListPolicies",
           "iam:GetPolicyVersion",
           "iam:GetRole",
           "iam:GetPolicy",
           "iam:ListPolicyVersions",
           "iam:ListAttachedRolePolicies",
           "iam:GenerateServiceLastAccessedDetails",
           "iam:ListEntitiesForPolicy",
           "iam:ListPoliciesGrantingServiceAccess",
           "iam:ListRoles",
           "iam:GetServiceLastAccessedDetails",
           "iam:ListAccountAliases",
           "iam:ListRolePolicies",
           "s3:ListAllMyBuckets"
         ],
         "Resource": "*"
       },
       {
         "Sid": "VisualEditor2",
         "Effect": "Allow",
         "Action": [
           "iam:DeletePolicy",
           "iam:CreatePolicy",
           "iam:CreatePolicyVersion",
           "iam:DeletePolicyVersion"
         ],
         "Resource": [
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightIAMPolicy",
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightRDSPolicy",
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightS3Policy",
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightRedshiftPolicy"
           "arn:aws:iam::Account-id:policy/service-role/AWSQuickSightS3ConsumersPolicy"
         ]
       }
     ]
   }

5. ナビゲーションペインで [ロール] を選択します。

6. ロール検索ペインで、IAM ロール aws-quicksight-service-role-v0 および aws-quicksight-s3-consumers-role-v0 を見つけて削除します。
   注: Quick Suite でアクセス許可を設定すると、Quick Suite はこれらのサービスロールを自動的に作成します。aws-quicksight-s3-consumers-role-v0 ロールが Quick Suite により作成されなかった場合は、aws-quicksight-service-role-v0 ロールを削除してから続行します。

7. ナビゲーションペインで [ポリシー] を選択します。

8. ポリシー検索ペインでカスタマーマネージド IAM ポリシーを特定し、削除します。例えば、ステップ 4 の IAM ポリシー例では、次のカスタマーマネージドポリシーを削除します。
   AWSQuickSightRedshiftPolicy
   AWSQuickSightRDSPolicy
   AWSQuickSightIAMPolicy
   AWSQuickSightS3Policy
   AWSQuickSightS3ConsumersPolicy
   注: 上記のポリシーは、Quick Suite に関連する限られた数のサービスを対象としています。IAM ポリシーの競合を完全に解決するには、IAM を通じて直接追加された Quick Suite にリンクされているカスタマーマネージドポリシーをすべて削除してください。

AWS サービスへの Quick Suite のアクセスを復元する

次の手順を実行します。

1. Quick Suite コンソールを開きます。
2. アプリケーションバーでユーザー名を選択し、[Quick Suite の管理] を選択します。
3. ナビゲーションペインの [アクセス許可] で [AWS リソース] をクリックします。
4. [Quick Suite から AWS サービスへのアクセス] で、復元したい AWS サービスを選択します。
5. [保存] を選択します。

注: Quick Suite に AWS リソースへのアクセスを許可すると、Quick Suite は AWS マネージドポリシーを使用します。例えば、Quick Suite は AWSQuicksightAthenaAccess ポリシーを使用して特定の AWS リソースへのアクセスを制御します。AWS マネージドポリシーを削除することはできません。

Quick Sight 用に他の AWS サービスのリソースへのアクセスを設定する方法の詳細については、「Configuring Amazon Quick Sight access to AWS data sources」(AWS データソースへの Amazon Quick Sight アクセスの設定) を参照してください。