Amazon IoT Greengrass 的操作、资源和条件键 - 服务授权参考
操作资源类型条件键
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon IoT Greengrass 的操作、资源和条件键

Amazon IoT Greengrass（服务前缀：greengrass）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

Amazon IoT Greengrass 定义的操作

您可以在 IAM policy 语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
AssociateRoleToGroup 授予权限以将角色与组相关联。角色的权限必须允许 Greengrass 核心 Lambda 函数和连接器在其他Amazon服务中执行操作。 Write

group*

AssociateServiceRoleToAccount 授予权限以将角色与您的账户相关联。AmazonIoT Greengrass 使用该角色访问您的 Lambda 函数和 Amazon IoT 资源 Permissions management
CreateConnectorDefinition 授予权限以创建连接器定义 Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateConnectorDefinitionVersion 授予权限以创建现有连接器定义的版本 Write

connectorDefinition*

CreateCoreDefinition 授予权限以创建核心定义 Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCoreDefinitionVersion 授予权限以创建现有核心定义的版本。每个 Greengrass 组必须恰好包含 1 个 Greengrass 核心 Write

coreDefinition*

CreateDeployment 授予创建部署的权限 Write

group*

CreateDeviceDefinition 授予权限以创建设备定义 Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDeviceDefinitionVersion 授予权限以创建现有设备定义的版本 Write

deviceDefinition*

CreateFunctionDefinition 授予权限以创建在组中使用的 Lambda 函数定义，其中包含 Lambda 函数及其配置列表 Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFunctionDefinitionVersion 授予权限以创建现有 Lambda 函数定义的版本 Write

functionDefinition*

CreateGroup 授予权限以创建组 Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateGroupCertificateAuthority 授予权限以创建组的 CA 或轮换现有的 CA Write

group*

CreateGroupVersion 授予权限以创建已定义的组的版本 Write

group*

CreateLoggerDefinition 授予权限以创建记录器定义 Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateLoggerDefinitionVersion 授予权限以创建现有记录器定义的版本 Write

loggerDefinition*

CreateResourceDefinition 授予权限以创建资源定义，其中包含要在组中使用的资源列表 Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateResourceDefinitionVersion 授予权限以创建现有资源定义的版本 Write

resourceDefinition*

CreateSoftwareUpdateJob 授予权限以创建 Amazon IoT 作业，它触发 Greengrass 核心更新它们运行的软件 Write
CreateSubscriptionDefinition 授予权限以创建订阅定义 Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSubscriptionDefinitionVersion 授予权限以创建现有订阅定义的版本 Write

subscriptionDefinition*

DeleteConnectorDefinition 授予权限以删除连接器定义 Write

connectorDefinition*

DeleteCoreDefinition 授予权限以删除核心定义。删除当前在部署中使用的定义将会影响将来的部署 Write

coreDefinition*

DeleteDeviceDefinition 授予权限以删除设备定义。删除当前在部署中使用的定义将会影响将来的部署 Write

deviceDefinition*

DeleteFunctionDefinition 授予权限以删除 Lambda 函数定义。删除当前在部署中使用的定义将会影响将来的部署 Write

functionDefinition*

DeleteGroup 授予权限以删除当前在部署中未使用的组 Write

group*

DeleteLoggerDefinition 授予权限以删除记录器定义。删除当前在部署中使用的定义将会影响将来的部署 Write

loggerDefinition*

DeleteResourceDefinition 授予权限以删除资源定义 Write

resourceDefinition*

DeleteSubscriptionDefinition 授予权限以删除订阅定义。删除当前在部署中使用的定义将会影响将来的部署 Write

subscriptionDefinition*

DisassociateRoleFromGroup 授予权限以将角色与组取消关联 Write

group*

DisassociateServiceRoleFromAccount 授予权限以将服务角色与账户取消关联。如果没有服务角色，部署将不起作用 Write
Discover 授予权限以检索连接到 Greengrass 核心所需的信息 Read

thing*

GetAssociatedRole 授予权限以检索与组关联的角色 Read

group*

GetBulkDeploymentStatus 授予权限以返回批量部署的状态 Read

bulkDeployment*

GetConnectivityInfo 授予权限以检索核心的连接信息 Read

connectivityInfo*

GetConnectorDefinition 授予权限以检索有关连接器定义的信息 Read

connectorDefinition*

GetConnectorDefinitionVersion 授予权限以检索有关连接器定义版本的信息 Read

connectorDefinition*

connectorDefinitionVersion*

GetCoreDefinition 授予权限以检索有关核心定义的信息 Read

coreDefinition*

GetCoreDefinitionVersion 授予权限以检索有关核心定义版本的信息 Read

coreDefinition*

coreDefinitionVersion*

GetDeploymentStatus 授予权限以返回部署的状态 Read

deployment*

group*

GetDeviceDefinition 授予权限以检索有关设备定义的信息 Read

deviceDefinition*

GetDeviceDefinitionVersion 授予权限以检索有关设备定义版本的信息 Read

deviceDefinition*

deviceDefinitionVersion*

GetFunctionDefinition 授予权限以检索有关 Lambda 函数定义的信息，例如其创建时间和最新版本 Read

functionDefinition*

GetFunctionDefinitionVersion 授予权限以检索有关 Lambda 函数定义版本的信息，例如在版本中包含的 Lambda 函数及其配置 Read

functionDefinition*

functionDefinitionVersion*

GetGroup 授予权限以检索有关组的信息 Read

group*

GetGroupCertificateAuthority 授予权限以返回与组关联的 CA 的公有密钥 Read

certificateAuthority*

group*

GetGroupCertificateConfiguration 授予权限以检索组使用的 CA 的当前配置 Read

group*

GetGroupVersion 授予权限以检索有关组版本的信息 Read

group*

groupVersion*

GetLoggerDefinition 授予权限以检索有关记录器定义的信息 Read

loggerDefinition*

GetLoggerDefinitionVersion 授予权限以检索有关记录器定义版本的信息 Read

loggerDefinition*

loggerDefinitionVersion*

GetResourceDefinition 授予权限以检索有关资源定义的信息，例如其创建时间和最新版本 Read

resourceDefinition*

GetResourceDefinitionVersion 授予权限以检索有关资源定义版本的信息，例如在版本中包含的资源 Read

resourceDefinition*

resourceDefinitionVersion*

GetServiceRoleForAccount 授予权限以检索附加到账户的服务角色 Read
GetSubscriptionDefinition 授予权限以检索有关订阅定义的信息 Read

subscriptionDefinition*

GetSubscriptionDefinitionVersion 授予权限以检索有关订阅定义版本的信息 Read

subscriptionDefinition*

subscriptionDefinitionVersion*

GetThingRuntimeConfiguration 授予权限以检索事物的运行时配置 Read

thingRuntimeConfig*

ListBulkDeploymentDetailedReports 授予权限以检索已在批量部署操作中启动的部署及其当前部署状态的分页列表 Read

bulkDeployment*

ListBulkDeployments 授予权限以检索批量部署列表 List
ListConnectorDefinitionVersions 授予权限以列出连接器定义版本 List

connectorDefinition*

ListConnectorDefinitions 授予权限以检索连接器定义列表 List
ListCoreDefinitionVersions 授予权限以列出核心定义版本 List

coreDefinition*

ListCoreDefinitions 授予权限以检索核心定义列表 List
ListDeployments 授予权限以检索组的所有部署的列表 List

group*

ListDeviceDefinitionVersions 授予权限以列出设备定义版本 List

deviceDefinition*

ListDeviceDefinitions 授予权限以检索设备定义列表 List
ListFunctionDefinitionVersions 授予权限以列出 Lambda 函数定义版本 List

functionDefinition*

ListFunctionDefinitions 授予权限以检索 Lambda 函数定义列表 List
ListGroupCertificateAuthorities 授予权限以检索组的当前 CA 列表 List

group*

ListGroupVersions 授予权限以列出组版本 List

group*

ListGroups 授予权限以检索组列表 List
ListLoggerDefinitionVersions 授予权限以列出记录器定义版本 List

loggerDefinition*

ListLoggerDefinitions 授予权限以检索记录器定义列表 List
ListResourceDefinitionVersions 授予权限以列出资源定义版本 List

resourceDefinition*

ListResourceDefinitions 授予权限以检索资源定义列表 List
ListSubscriptionDefinitionVersions 授予权限以列出订阅定义版本 List

subscriptionDefinition*

ListSubscriptionDefinitions 授予权限以检索订阅定义列表 List
ListTagsForResource 授予列出资源标签的权限 Read

bulkDeployment

connectorDefinition

coreDefinition

deviceDefinition

functionDefinition

group

loggerDefinition

resourceDefinition

subscriptionDefinition

aws:RequestTag/${TagKey}

aws:TagKeys

ResetDeployments 授予权限以重置组的部署 Write

group*

StartBulkDeployment 授予权限以在一个操作中部署多个组 Write

aws:RequestTag/${TagKey}

aws:TagKeys

StopBulkDeployment 授予权限以停止执行批量部署 Write

bulkDeployment*

TagResource 授予权限以将标签添加到资源中 Tagging

bulkDeployment

connectorDefinition

coreDefinition

deviceDefinition

functionDefinition

group

loggerDefinition

resourceDefinition

subscriptionDefinition

aws:RequestTag/${TagKey}

aws:TagKeys

UntagResource 授予权限以从资源中删除标签 Tagging

bulkDeployment

connectorDefinition

coreDefinition

deviceDefinition

functionDefinition

group

loggerDefinition

resourceDefinition

subscriptionDefinition

aws:TagKeys

UpdateConnectivityInfo 授予权限以更新 Greengrass 核心的连接信息。属于具有该核心的组的任何设备都会收到该信息，以便查找该核心的位置并连接到该核心 Write

connectivityInfo*

UpdateConnectorDefinition 授予权限以更新连接器定义 Write

connectorDefinition*

UpdateCoreDefinition 授予权限以更新核心定义 Write

coreDefinition*

UpdateDeviceDefinition 授予权限以更新设备定义 Write

deviceDefinition*

UpdateFunctionDefinition 授予权限以更新 Lambda 函数定义 Write

functionDefinition*

UpdateGroup 授予权限以更新组 Write

group*

UpdateGroupCertificateConfiguration 授予权限以更新组的证书到期时间 Write

group*

UpdateLoggerDefinition 授予权限以更新记录器定义 Write

loggerDefinition*

UpdateResourceDefinition 授予权限以更新资源定义 Write

resourceDefinition*

UpdateSubscriptionDefinition 授予权限以更新订阅定义 Write

subscriptionDefinition*

UpdateThingRuntimeConfiguration 授予权限以更新事物的运行时配置 Write

thingRuntimeConfig*

Amazon IoT Greengrass 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
connectivityInfo arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/things/${ThingName}/connectivityInfo
certificateAuthority arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}/certificateauthorities/${CertificateAuthorityId}
deployment arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}/deployments/${DeploymentId}
bulkDeployment arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/bulk/deployments/${BulkDeploymentId}

aws:ResourceTag/${TagKey}

group arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}

aws:ResourceTag/${TagKey}

groupVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}/versions/${VersionId}
coreDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/cores/${CoreDefinitionId}

aws:ResourceTag/${TagKey}

coreDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/cores/${CoreDefinitionId}/versions/${VersionId}
deviceDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/devices/${DeviceDefinitionId}

aws:ResourceTag/${TagKey}

deviceDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/devices/${DeviceDefinitionId}/versions/${VersionId}
functionDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/functions/${FunctionDefinitionId}

aws:ResourceTag/${TagKey}

functionDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/functions/${FunctionDefinitionId}/versions/${VersionId}
subscriptionDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/subscriptions/${SubscriptionDefinitionId}

aws:ResourceTag/${TagKey}

subscriptionDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/subscriptions/${SubscriptionDefinitionId}/versions/${VersionId}
loggerDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/loggers/${LoggerDefinitionId}

aws:ResourceTag/${TagKey}

loggerDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/loggers/${LoggerDefinitionId}/versions/${VersionId}
resourceDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/resources/${ResourceDefinitionId}

aws:ResourceTag/${TagKey}

resourceDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/resources/${ResourceDefinitionId}/versions/${VersionId}
connectorDefinition arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/connectors/${ConnectorDefinitionId}

aws:ResourceTag/${TagKey}

connectorDefinitionVersion arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/connectors/${ConnectorDefinitionId}/versions/${VersionId}
thing arn:${Partition}:iot:${Region}:${Account}:thing/${ThingName}
thingRuntimeConfig arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/things/${ThingName}/runtimeconfig

Amazon IoT Greengrass 的条件键

Amazon IoT Greengrass 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键 描述 类型
aws:RequestTag/${TagKey} 按每个必需标签的允许值集筛选访问权限 字符串
aws:ResourceTag/${TagKey} 按与资源关联的标签值筛选访问权限 字符串
aws:TagKeys 按请求中是否具有必需标签来筛选访问 字符串数组