Amazon Route 53 的操作、资源和条件键

Amazon Route 53（服务前缀:route53）提供以下特定于服务的资源、操作和条件上下文密钥，用于IAM权限策略。

参考：

了解如何配置该服务。
查看此服务可用的API操作列表。
了解如何使用IAM权限策略保护此服务及其资源。

主题

Amazon Route 53 定义的操作
Amazon Route 53 定义的资源类型
Amazon Route 53 的条件键

Amazon Route 53 定义的操作

您可以在IAM策略声明的Action元素中指定以下操作。可以使用策略授予在 Amazon中执行操作的权限。当您在策略中使用操作时，通常会允许或拒绝访问具有相同名称的API操作或CLI命令。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。如果该列包含资源类型，则可以在带有该操作ARN的语句中指定该类型的资源类型。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您使用IAM策略中的Resource元素限制资源访问权限，则必须为每种必需的资源类型包含ARN或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
ActivateKeySigningKey	授予激活密钥签名密钥的权限，以便该密钥可用于签名 DNSSEC	写入	hostedzone*
AssociateVPCWithHostedZone	授予将另一个 Amazon VPC 与私有托管区域关联的权限	写入	hostedzone		ec2:DescribeVpcs
ChangeCidrCollection	授予在CIDR集合中创建或删除CIDR方块的权限	写入	cidrcollection*
ChangeResourceRecordSets	授予创建、更新或删除记录的权限，该记录包含指定域名或子域名的权威DNS信息	写入	hostedzone*
ChangeResourceRecordSets	授予创建、更新或删除记录的权限，该记录包含指定域名或子域名的权威DNS信息	写入		route53:ChangeResourceRecordSetsNormalizedRecordNames route53:ChangeResourceRecordSetsRecordTypes route53:ChangeResourceRecordSetsActions
ChangeTagsForResource	授予为运行状况检查或托管区域添加、编辑或删除标签的权限	标记	healthcheck*
ChangeTagsForResource	授予为运行状况检查或托管区域添加、编辑或删除标签的权限	标记	hostedzone*
CreateCidrCollection	授予创建新CIDR收藏的权限	写入
CreateHealthCheck	授予创建新的运行状况检查的权限，该运行状况检查监控 Web 应用程序、Web 服务器以及其他资源的运行状况和性能	写入
CreateHostedZone	授予创建公共托管区域的权限，用于指定域名系统 (DNS) 如何在互联网上为某个域（例如 example.com）及其子域路由流量	写入			ec2:DescribeVpcs
CreateKeySigningKey	授予创建与托管区域关联的新密钥签名密钥的权限	写入	hostedzone*
CreateQueryLoggingConfig	授予创建DNS查询日志配置的权限	写入	hostedzone*
CreateReusableDelegationSet	授予创建可供多个托管区域重用的委派集（一组四个名称服务器）的权限	写入
CreateTrafficPolicy	授予创建流量策略的权限，您可以使用该策略为一个域名（例如 example.com）或一个子域名（例如 www.example.com）创建多DNS条记录	写入
CreateTrafficPolicyInstance	授予基于指定流量策略版本中的设置在指定托管区域中创建记录的权限	Write	hostedzone*
CreateTrafficPolicyInstance	授予基于指定流量策略版本中的设置在指定托管区域中创建记录的权限	Write	trafficpolicy*
CreateTrafficPolicyVersion	授予创建现有流量策略的新版本的权限	写入	trafficpolicy*
CreateVPCAssociationAuthorization	授予权限以授权创建指定VPC的人提交 A ssociateVPCWith HostedZone 请求，该请求将VPC与由其他账户创建的指定托管区域相关联 Amazon Web Services 账户	写入	hostedzone*
DeactivateKeySigningKey	授予停用密钥签名密钥的权限，这样该密钥就不会被用于签名 DNSSEC	写入	hostedzone*
DeleteCidrCollection	授予删除CIDR收藏夹的权限	写入	cidrcollection*
DeleteHealthCheck	授予删除运行状况检查的权限	Write	healthcheck*
DeleteHostedZone	授予删除托管区域的权限	Write	hostedzone*
DeleteKeySigningKey	授予删除密钥签名密钥的权限	写入	hostedzone*
DeleteQueryLoggingConfig	授予删除DNS查询日志配置的权限	写入	queryloggingconfig*
DeleteReusableDelegationSet	授予删除可重用委派集的权限	Write	delegationset*
DeleteTrafficPolicy	授予删除流量策略的权限	Write	trafficpolicy*
DeleteTrafficPolicyInstance	授予删除流量策略实例以及 Route 53 在您创建该实例时创建的所有记录的权限	Write	trafficpolicyinstance*
DeleteVPCAssociationAuthorization	授予删除使 Amazon Virtual Private Cloud 与 Route 53 私有托管区域相关联的授权的权限	写入	hostedzone*
DisableHostedZoneDNSSEC	授予在特定托管区域中禁用DNSSEC登录的权限	写入	hostedzone*
DisassociateVPCFromHostedZone	授予取消 Amazon Virtual Private Cloud 与 Route 53 私有托管区域的关联的权限	写入	hostedzone		ec2:DescribeVpcs
EnableHostedZoneDNSSEC	授予允许在特定托管区域中进行DNSSEC登录的权限	写入	hostedzone*
GetAccountLimit	授予获取当前账户的指定限制（例如，您使用账户可创建的运行状况检查的最大数量）的权限	Read
GetChange	授予获取创建、更新或删除一个或多个记录的请求的当前状态的权限	List	change*
GetCheckerIpRanges	授予获取 Route 53 运行状况检查程序用于检查资源运行状况的 IP 范围列表的权限	列出
GetDNSSEC	授予获取DNSSEC有关特定托管区域信息的权限，包括托管区域中的密钥签名密钥	读取	hostedzone*
GetGeoLocation	授予获取有关 Route 53 地理位置记录是否支持指定地理位置的信息的权限	List
GetHealthCheck	授予获取有关指定运行状况检查的信息的权限	读取	healthcheck*
GetHealthCheckCount	授予获取与当前关联的运行状况检查数量的权限 Amazon Web Services 账户	列出
GetHealthCheckLastFailureReason	授予获取指定运行状况检查最近失败的原因的权限	List	healthcheck*
GetHealthCheckStatus	授予获取指定运行状况检查的状态的权限	List	healthcheck*
GetHostedZone	授予获取有关指定托管区域（包括 Route 53 分配给托管区域的四个名称服务器）的信息的权限	列出	hostedzone*
GetHostedZoneCount	授予获取与当前区域关联的托管区域数量的权限 Amazon Web Services 账户	列出
GetHostedZoneLimit	授予获取指定托管区域的指定限制的权限	读取	hostedzone*
GetQueryLoggingConfig	授予获取有关DNS查询日志记录的指定配置信息的权限	读取	queryloggingconfig*
GetReusableDelegationSet	授予获取有关指定可重用委派集（包括分配给委派集的四个名称服务器）的信息的权限	List	delegationset*
GetReusableDelegationSetLimit	授予获取可与指定可重用委派集关联的托管区域的最大数量的权限	Read	delegationset*
GetTrafficPolicy	授予获取有关指定流量策略版本的信息的权限	Read	trafficpolicy*
GetTrafficPolicyInstance	授予获取有关指定流量策略实例的信息的权限	读取	trafficpolicyinstance*
GetTrafficPolicyInstanceCount	授予获取与当前流量策略关联的流量策略实例数量的权限 Amazon Web Services 账户	读取
ListCidrBlocks	授予获取指定CIDR集合中CIDR方块列表的权限	列出	cidrcollection*
ListCidrCollections	授予获取与当前集合关联的CIDR集合列表的权限 Amazon Web Services 账户	列出
ListCidrLocations	授予获取属于指定CIDR集合CIDR的地点列表的权限	列出	cidrcollection*
ListGeoLocations	授予获取对于地理位置 Route 53 支持的地理位置列表的权限	读取
ListHealthChecks	授予获取与当前状态关联的运行状况检查列表的权限 Amazon Web Services 账户	读取
ListHostedZones	授予获取与当前托管区域关联的公共和私有托管区域列表的权限 Amazon Web Services 账户	列出
ListHostedZonesByName	授予获取按词典顺序排列的您的托管区域列表的权限。托管区域按名称进行排序并颠倒了标签，例如 com.example.www。	列出
ListHostedZonesByVPC	授予获取与指定VPC关联的所有私有托管区域列表的权限	列出			ec2:DescribeVpcs
ListQueryLoggingConfigs	授予列出与当前 Amazon Web Services 账户或与指定托管区域关联的配置关联的DNS查询日志配置的权限	列出	hostedzone
ListResourceRecordSets	授予列出指定托管区域中的记录的权限	列出	hostedzone*
ListReusableDelegationSets	授予权限以列出与当前 Amazon Web Services 账户关联的可重用委派集。	读取
ListTagsForResource	授予列出一个运行状况检查或托管区域的标签的权限	读取	healthcheck
ListTagsForResource	授予列出一个运行状况检查或托管区域的标签的权限	读取	hostedzone
ListTagsForResources	授予列出最多 10 个运行状况检查或托管区域的标签的权限	读取	healthcheck
ListTagsForResources	授予列出最多 10 个运行状况检查或托管区域的标签的权限	读取	hostedzone
ListTrafficPolicies	授予权限以获取有关与当前 Amazon Web Services 账户关联的每个流量策略的最新版本的信息。策略按创建顺序列出	列出
ListTrafficPolicyInstances	授予权限以获取有关您使用当前流量策略创建的流量策略实例的信息 Amazon Web Services 账户	读取
ListTrafficPolicyInstancesByHostedZone	授予获取有关您在指定托管区域中创建的流量策略实例的信息的权限	List	hostedzone*
ListTrafficPolicyInstancesByPolicy	授予获取有关您使用指定流量策略版本创建的流量策略实例的信息的权限	List	trafficpolicy*
ListTrafficPolicyVersions	授予获取有关指定流量策略的所有版本的信息的权限	列出	trafficpolicy*
ListVPCAssociationAuthorizations	授予权限以获取由其他账户创建VPCs的、可以与指定托管区域关联的列表	列出	hostedzone*
TestDNSAnswer	授予获取 Route 53 在响应DNS查询指定记录名称和类型时返回的值的权限	读取
UpdateHealthCheck	授予更新现有运行状况检查的权限	Write	healthcheck*
UpdateHostedZoneComment	授予更新指定托管区域的注释的权限	Write	hostedzone*
UpdateTrafficPolicyComment	授予更新指定流量策略版本的注释的权限	Write	trafficpolicy*
UpdateTrafficPolicyInstance	授予更新指定托管区域中基于指定流量策略版本中的设置创建的记录的权限	Write	trafficpolicyinstance*

Amazon Route 53 定义的资源类型

以下资源类型由此服务定义，可以在IAM权限策略语句的Resource元素中使用。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
cidrcollection	`arn:${Partition}:route53:::cidrcollection/${Id}`
change	`arn:${Partition}:route53:::change/${Id}`
delegationset	`arn:${Partition}:route53:::delegationset/${Id}`
healthcheck	`arn:${Partition}:route53:::healthcheck/${Id}`
hostedzone	`arn:${Partition}:route53:::hostedzone/${Id}`
trafficpolicy	`arn:${Partition}:route53:::trafficpolicy/${Id}`
trafficpolicyinstance	`arn:${Partition}:route53:::trafficpolicyinstance/${Id}`
queryloggingconfig	`arn:${Partition}:route53:::queryloggingconfig/${Id}`
vpc	`arn:${Partition}:ec2:${Region}:${Account}:vpc/${VpcId}`

Amazon Route 53 的条件键

Amazon Route 53 定义了以下可在IAM策略Condition元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
route53:ChangeResourceRecordSetsActions	按 ChangeResourceRecordSets 请求中的更改操作CREATE、UPSERTDELETE、或筛选访问权限	ArrayOfString
route53:ChangeResourceRecordSetsNormalizedRecordNames	按 ChangeResourceRecordSets 请求中的标准化DNS记录名称筛选访问权限	ArrayOfString
route53:ChangeResourceRecordSetsRecordTypes	按 ChangeResourceRecordSets 请求中的DNS记录类型筛选访问权限	ArrayOfString

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon 资源 Groups

Amazon Route 53 Application Recovery Controller - Zonal Shift