Amazon Cognito Identity 的操作、资源和条件键
Amazon Cognito Identity（服务前缀：cognito-identity）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。
参考：
Amazon Cognito Identity 定义的操作
您可以在 IAM policy 语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。
操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。
有关下表中各列的详细信息，请参阅操作表。
| 操作 | 描述 | 访问级别 | 资源类型（* 为必需） | 条件键 | 相关操作 |
|---|---|---|---|---|---|
| CreateIdentityPool | 授予权限以创建新的身份池 | Write | |||
| DeleteIdentities | 授予权限以从身份池中删除身份。您可以指定希望删除的 1-60 个身份的列表 | Write | |||
| DeleteIdentityPool | 授予权限以删除用户池。将池删除后，用户将无法使用该池进行身份验证 | Write | |||
| DescribeIdentity | 授予权限以返回与给定身份相关的元数据，包括创建身份的时间以及所有相关的关联登录名 | Read | |||
| DescribeIdentityPool | 授予权限以获得特定身份池的详细信息，包括池名称、ID 描述、创建日期和当前用户数量 | Read | |||
| GetCredentialsForIdentity | 授予权限以返回所提供身份 ID 的凭证 | Read | |||
| GetId | 授予权限以生成（或检索）Cognito ID 提供多个登录名将创建隐式关联的账户 | Write | |||
| GetIdentityPoolRoles | 授予权限以获取身份池的角色 | Read | |||
| GetOpenIdToken | 授予权限以使用已知 Cognito ID 获取 OpenID 令牌 | Read | |||
| GetOpenIdTokenForDeveloperIdentity | 授予权限以为使用后端身份验证流程进行身份验证的用户注册（或检索）一个 Cognito IdentityId 和一个 OpenID Connect 令牌 | Read | |||
| GetPrincipalTagAttributeMap | 授予权限以获取身份池和提供商的委托人标签 | Read | |||
| ListIdentities | 授予权限以在身份池中列出身份 | List | |||
| ListIdentityPools | 授予权限以列出为您的账户注册的所有 Cognito 身份池 | List | |||
| ListTagsForResource | 授予权限以列出分配给 Amazon Cognito 身份池的标签 | Read | |||
| LookupDeveloperIdentity | 授予权限以检索与 DeveloperUserIdentifier 关联的 IdentityID；或与现有身份的 IdentityId 关联的 DeveloperUserIdentifier 列表 | Read | |||
| MergeDeveloperIdentities | 授予权限以合并存在于同一身份池中、由相同的开发人员提供商标识、具有不同 IdentityId 的两个用户 | Write | |||
| SetIdentityPoolRoles | 授予权限以设置身份池的角色 在调用 GetCredentialsForIdentity 操作时会使用这些角色 | Write | |||
| SetPrincipalTagAttributeMap | 授予权限以设置身份池和提供商的委托人标签 在调用 GetOpenIdToken 操作时会使用这些标签 | Write | |||
| TagResource | 授予权限以将一组标签分配给 Amazon Cognito 身份池 | Tagging | |||
| UnlinkDeveloperIdentity | 授予权限以将 DeveloperUserIdentifier 与现有身份取消关联 | Write | |||
| UnlinkIdentity | 授予权限以将联合身份与现有账户取消关联 | Write | |||
| UntagResource | 授予权限以从 Amazon Cognito 身份池中删除指定的标签 | Tagging | |||
| UpdateIdentityPool | 授予权限以更新身份池 | Write |
Amazon Cognito Identity 定义的资源类型
以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。
| 资源类型 | ARN | 条件键 |
|---|---|---|
| identitypool |
arn:${Partition}:cognito-identity:${Region}:${Account}:identitypool/${IdentityPoolId}
|
Amazon Cognito Identity 的条件键
Amazon Cognito Identity 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。
要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。
| 条件键 | 描述 | 类型 |
|---|---|---|
| aws:RequestTag/${TagKey} | 根据在请求中是否具有标签键值对以筛选操作 | 字符串 |
| aws:ResourceTag/${TagKey} | 根据附加到资源的标签键值对筛选操作 | 字符串 |
| aws:TagKeys | 按请求中包含的键筛选访问 | 字符串数组 |