Amazon Route 53 的操作、资源和条件键 - AWS Identity and Access Management
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

Amazon Route 53 的操作、资源和条件键

Amazon Route 53(服务前缀:route53)提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考:

Amazon Route 53 定义的操作

您可以在 Action 策略语句的 IAM 元素中指定以下操作。可以使用策略授予在 AWS 中执行操作的权限。您在策略中使用一项操作时,通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下,单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值,您必须在策略语句的 Resource 元素中指定所有资源(“*”)。如果该列包含一种资源类型,则可以在含有该操作的语句中指定该类型的 ARN。必需资源在表中以星号 (*) 表示。如果在使用该操作的语句中指定资源级权限 ARN,则它必须属于该类型。某些操作支持多种资源类型。如果资源类型是可选的(未指示为必需),则可以选择使用一种类型而不使用其他类型。

有关下表中各列的详细信息,请参阅 操作表

操作 描述 访问级别 资源类型(* 为必需) 条件键 相关操作
AssociateVPCWithHostedZone 授予将其他 Amazon VPC 与私有托管区域相关联的权限 写入

vpc*

ec2:DescribeVpcs

hostedzone

ChangeResourceRecordSets 授予创建、更新或删除记录的权限,其中包含指定域或子域名称的权威 DNS 信息 写入

hostedzone*

ChangeTagsForResource 授予为运行状况检查或托管区域添加、编辑或删除标签的权限 标记

healthcheck*

hostedzone*

CreateHealthCheck 授予创建新的运行状况检查的权限,该运行状况检查监控 Web 应用程序、Web 服务器以及其他资源的运行状况和性能 写入
CreateHostedZone 授予创建公有托管区域的权限,该托管区域用于指定域名系统 (DNS) 如何路由域(如 example.com)及其子域的 Internet 流量 写入

vpc

ec2:DescribeVpcs

CreateQueryLoggingConfig 授予为 DNS 查询日志记录创建配置的权限 写入

hostedzone*

CreateReusableDelegationSet 授予创建可供多个托管区域重用的委派集(一组四个名称服务器)的权限 写入
CreateTrafficPolicy 授予创建流量策略的权限,该流量策略用于为一个域名(如 example.com)或一个子域名(如 www.example.com)创建多个 DNS 记录 写入
CreateTrafficPolicyInstance 授予基于指定流量策略版本中的设置在指定托管区域中创建记录的权限 写入

hostedzone*

trafficpolicy*

CreateTrafficPolicyVersion 授予创建现有流量策略的新版本的权限 写入

trafficpolicy*

CreateVPCAssociationAuthorization 授权以许可创建了指定 VPC 的 AWS 账户提交 AssociateVPCWithHostedZone 请求,该请求使 VPC 与其他账户所创建的指定托管区域相关联 写入

hostedzone*

DeleteHealthCheck 授予删除运行状况检查的权限 写入

healthcheck*

DeleteHostedZone 授予删除托管区域的权限 写入

hostedzone*

DeleteQueryLoggingConfig 授予为 DNS 查询日志记录删除配置的权限 写入

queryloggingconfig*

DeleteReusableDelegationSet 授予删除可重用委派集的权限 写入

delegationset*

DeleteTrafficPolicy 授予删除流量策略的权限 写入

trafficpolicy*

DeleteTrafficPolicyInstance 授予删除流量策略实例以及 Route 53 在您创建该实例时创建的所有记录的权限 写入

trafficpolicyinstance*

DeleteVPCAssociationAuthorization 授予删除使 Amazon Virtual Private Cloud 与 Route 53 私有托管区域相关联的授权的权限 写入

hostedzone*

DisassociateVPCFromHostedZone 授予取消 Amazon Virtual Private Cloud 与 Route 53 私有托管区域的关联的权限 写入

hostedzone

ec2:DescribeVpcs

vpc

GetAccountLimit 授予获取当前账户的指定限制(例如,您使用账户可创建的运行状况检查的最大数量)的权限 Read
GetChange 授予获取创建、更新或删除一个或多个记录的请求的当前状态的权限 List

change*

GetCheckerIpRanges 授予获取 Route 53 运行状况检查程序用于检查资源运行状况的 IP 范围列表的权限 List
GetGeoLocation 授予获取有关 Route 53 地理位置记录是否支持指定地理位置的信息的权限 List
GetHealthCheck 授予获取有关指定运行状况检查的信息的权限 Read

healthcheck*

GetHealthCheckCount 授予获取与当前 AWS 账户关联的运行状况检查数的权限 List
GetHealthCheckLastFailureReason 授予获取指定运行状况检查最近失败的原因的权限 List

healthcheck*

GetHealthCheckStatus 授予获取指定运行状况检查的状态的权限 List

healthcheck*

GetHostedZone 授予获取有关指定托管区域(包括 Route 53 分配给托管区域的四个名称服务器)的信息的权限 List

hostedzone*

GetHostedZoneCount 授予获取与当前 AWS 账户关联的托管区域数的权限 List
GetHostedZoneLimit 授予获取指定托管区域的指定限制的权限 Read

hostedzone*

GetQueryLoggingConfig 授予获取有关 DNS 查询日志记录的指定配置的信息的权限 Read

queryloggingconfig*

GetReusableDelegationSet 授予获取有关指定可重用委派集(包括分配给委派集的四个名称服务器)的信息的权限 List

delegationset*

GetReusableDelegationSetLimit 授予获取可与指定可重用委派集关联的托管区域的最大数量的权限 Read

delegationset*

GetTrafficPolicy 授予获取有关指定流量策略版本的信息的权限 Read

trafficpolicy*

GetTrafficPolicyInstance 授予获取有关指定流量策略实例的信息的权限 Read

trafficpolicyinstance*

GetTrafficPolicyInstanceCount 授予获取与当前 AWS 账户关联的流量策略实例数的权限 Read
ListGeoLocations 授予获取对于地理位置 Route 53 支持的地理位置列表的权限 List
ListHealthChecks 授予获取与当前 AWS 账户关联的运行状况检查列表的权限 List
ListHostedZones 授予获取与当前 AWS 账户关联的公有和私有托管区域列表的权限 List
ListHostedZonesByName 授予获取按词典顺序排列的您的托管区域列表的权限。托管区域按名称进行排序并颠倒了标签,例如 com.example.www。 List
ListHostedZonesByVPC 授予权限以获取与指定的 VPC 关联的所有私有托管区域的列表 List

vpc*

ec2:DescribeVpcs

ListQueryLoggingConfigs 授予列出与当前 AWS 账户关联的 DNS 查询日志记录的配置或与指定托管区域关联的配置的权限。 List

hostedzone

ListResourceRecordSets 授予列出指定托管区域中的记录的权限 List

hostedzone*

ListReusableDelegationSets 授予列出与当前 AWS 账户关联的可重用委派集的权限。 List
ListTagsForResource 授予列出一个运行状况检查或托管区域的标签的权限 List

healthcheck

hostedzone

ListTagsForResources 授予列出最多 10 个运行状况检查或托管区域的标签的权限 List

healthcheck

hostedzone

ListTrafficPolicies 授予获取有关与当前 AWS 账户关联的每个流量策略的最新版本的信息的权限。策略按创建顺序列出。 List
ListTrafficPolicyInstances 授予获取有关您使用当前 AWS 账户创建的流量策略实例的信息的权限 List
ListTrafficPolicyInstancesByHostedZone 授予获取有关您在指定托管区域中创建的流量策略实例的信息的权限 List

hostedzone*

ListTrafficPolicyInstancesByPolicy 授予获取有关您使用指定流量策略版本创建的流量策略实例的信息的权限 List

trafficpolicy*

ListTrafficPolicyVersions 授予获取有关指定流量策略的所有版本的信息的权限 List

trafficpolicy*

ListVPCAssociationAuthorizations 授予获取由其他账户创建并可与指定托管区域关联的 VPC 列表的权限 List

hostedzone*

TestDNSAnswer 授予获取 Route 53 为响应指定记录名称和类型的 DNS 查询而返回的值的权限 Read
UpdateHealthCheck 授予更新现有运行状况检查的权限 写入

healthcheck*

UpdateHostedZoneComment 授予更新指定托管区域的注释的权限 写入

hostedzone*

UpdateTrafficPolicyComment 授予更新指定流量策略版本的注释的权限 写入

trafficpolicy*

UpdateTrafficPolicyInstance 授予更新指定托管区域中基于指定流量策略版本中的设置创建的记录的权限 写入

trafficpolicyinstance*

Amazon Route 53 定义的资源类型

以下资源类型是由该服务定义的,可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键,从而定义资源类型。这些键显示在表的最后一列。有关下表中各列的详细信息,请参阅 资源类型表

资源类型 ARN 条件键
change arn:${Partition}:route53:::change/${Id}
delegationset arn:${Partition}:route53:::delegationset/${Id}
healthcheck arn:${Partition}:route53:::healthcheck/${Id}
hostedzone arn:${Partition}:route53:::hostedzone/${Id}
trafficpolicy arn:${Partition}:route53:::trafficpolicy/${Id}
trafficpolicyinstance arn:${Partition}:route53:::trafficpolicyinstance/${Id}
queryloggingconfig arn:${Partition}:route53:::queryloggingconfig/${Id}
vpc arn:${Partition}:ec2:${Region}:${Account}:vpc/${VpcId}

Amazon Route 53 的条件键

Route 53 没有可以在策略语句的 Condition 元素中使用的服务特定上下文键。有关适用于所有服务的全局上下文键列表,请参阅可用的条件键