AWSインスタンスの設定または再付与中に、インスタンスの設定が失敗し、次のエラーメッセージが表示される可能性があります（このエラーメッセージはすべてのAWSリージョンで発生します）。
 |
関連するエラーメッセージは、AWS管理コンソールでも確認できます。Netskope for IaaSで設定した AWS アカウントのクレデンシャルを使用して AWS マネジメント コンソールにログインし、 Services > CloudFormationに移動します。 次に、 Stacksをクリックします。スタックに移動して、 Eventsタブを確認してください。CloudWatchEventTopicNskp論理 ID に対して、以下のエラーメッセージが表示されます。
Status reason エラーメッセージをプレーンテキストで表示:
...User: arn:aws:sts::<account_id>:assumed-role/Netskope_Role/NetskopeSession1 is not authorized to perform: SNS:TagResource on resource: arn:aws:sns:us-west-2:<account_id>:CloudWatchEventNskp because no identity-based policy allows the SNS:TagResource action...
このエラーメッセージは、AWSが最近の変更により、CloudFormation Template(CFT)で作成されたリソースにスタックレベルのタグが自動割り当てされるためです。 詳細については、読むこのAWS の記事をご覧ください。 しかし、既存のNetskope_Roleには、リソースにタグを追加するために必要な権限、特にsns:TagResourceがありません。この問題を解決するには、CFTにsns:TagResource権限を追加する必要があります。
以下の手順に従って、既存のクロスアカウントロールにsns:TagResource権限を追加してください。
- IaaSのために設定したAWSアカウントの管理コンソールにログインし、NetskopeServices > CloudFormationに移動します。次に、 Stacksをクリックします。
- NetskopeスタックSelect 、 Updateをクリックします。
- 次のページで、 Edit template in designerを選択してView in Designerをクリックしてください。
AWS CloudFormation Designerが開きます。
- テンプレート言語がYAMLに設定されていることを確認してください。
- YAML テンプレート定義で、[リソース] > [CloudFormationPolicy] > [プロパティ] > [ポリシードキュメント] > [ステートメント] セクションに移動し、[SNS アクション] リストに項目「sns:TagResource」を追加します。
- ページの左上隅にあるCreate stackをクリックして、修正したCFTをアップロードしてください。
- Update stackページに戻り、デフォルト設定のまま、 Reviewページに到達するまでNextをクリックし続けます。スタックの詳細を確認し、 Submitをクリックしてください。
- スタックの更新が正常に完了したら、Netskopeテナントにログインし、AWSインスタンスへのアクセス許可を再度付与してください。そのためには、AWSインスタンスを編集してSaveをクリックします。