Amazon Route 53 的操作、资源和条件键 - 服务授权参考
操作资源类型条件键
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Route 53 的操作、资源和条件键

Amazon Route 53（服务前缀：route53）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

Amazon Route 53 定义的操作

您可以在 IAM policy 语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
ActivateKeySigningKey 授予激活密钥签名密钥的权限，以使 DNSSEC 可以将其用于签名 Write

hostedzone*

AssociateVPCWithHostedZone 授予将其他 Amazon VPC 与私有托管区域相关联的权限 Write

hostedzone

ec2:DescribeVpcs

ChangeCidrCollection 授予在 CIDR 集合中创建或删除 CIDR 块的权限 Write

cidrcollection*

ChangeResourceRecordSets 授予创建、更新或删除记录的权限，其中包含指定域或子域名称的权威 DNS 信息 Write

hostedzone*

route53:ChangeResourceRecordSetsNormalizedRecordNames

route53:ChangeResourceRecordSetsRecordTypes

route53:ChangeResourceRecordSetsActions

ChangeTagsForResource 授予为运行状况检查或托管区域添加、编辑或删除标签的权限 Tagging

healthcheck*

hostedzone*

CreateCidrCollection 授予创建新的 CIDR 集合的权限 Write
CreateHealthCheck 授予创建新的运行状况检查的权限，该运行状况检查监控 Web 应用程序、Web 服务器以及其他资源的运行状况和性能 Write
CreateHostedZone 授予创建公有托管区域的权限，该托管区域用于指定域名系统 (DNS) 如何路由域（如 example.com）及其子域的 Internet 流量 Write

ec2:DescribeVpcs

CreateKeySigningKey 授予创建与托管区域关联的新密钥签名密钥的权限 Write

hostedzone*

CreateQueryLoggingConfig 授予为 DNS 查询日志记录创建配置的权限 Write

hostedzone*

CreateReusableDelegationSet 授予创建可供多个托管区域重用的委派集（一组四个名称服务器）的权限 Write
CreateTrafficPolicy 授予创建流量策略的权限，该流量策略用于为一个域名（如 example.com）或一个子域名（如 www.example.com）创建多个 DNS 记录 Write
CreateTrafficPolicyInstance 授予基于指定流量策略版本中的设置在指定托管区域中创建记录的权限 Write

hostedzone*

trafficpolicy*

CreateTrafficPolicyVersion 授予创建现有流量策略的新版本的权限 Write

trafficpolicy*

CreateVPCAssociationAuthorization 授予权限以授权创建了指定 VPC 的 Amazon Web Services 账户 提交 AssociateVPCWithHostedZone 请求，该请求使 VPC 与其他账户所创建的指定托管区域相关联 Write

hostedzone*

DeactivateKeySigningKey 授予停用密钥签名密钥的权限，以使 DNSSEC 不会将其用于签名 Write

hostedzone*

DeleteCidrCollection 授予删除 CIDR 集合的权限 Write

cidrcollection*

DeleteHealthCheck 授予删除运行状况检查的权限 Write

healthcheck*

DeleteHostedZone 授予删除托管区域的权限 Write

hostedzone*

DeleteKeySigningKey 授予删除密钥签名密钥的权限 Write

hostedzone*

DeleteQueryLoggingConfig 授予为 DNS 查询日志记录删除配置的权限 Write

queryloggingconfig*

DeleteReusableDelegationSet 授予删除可重用委派集的权限 Write

delegationset*

DeleteTrafficPolicy 授予删除流量策略的权限 Write

trafficpolicy*

DeleteTrafficPolicyInstance 授予删除流量策略实例以及 Route 53 在您创建该实例时创建的所有记录的权限 Write

trafficpolicyinstance*

DeleteVPCAssociationAuthorization 授予删除使 Amazon Virtual Private Cloud 与 Route 53 私有托管区域相关联的授权的权限 Write

hostedzone*

DisableHostedZoneDNSSEC 授予在特定托管区域中禁用 DNSSEC 签名的权限 Write

hostedzone*

DisassociateVPCFromHostedZone 授予取消 Amazon Virtual Private Cloud 与 Route 53 私有托管区域的关联的权限 Write

hostedzone

ec2:DescribeVpcs

EnableHostedZoneDNSSEC 授予在特定托管区域中启用 DNSSEC 签名的权限 Write

hostedzone*

GetAccountLimit 授予获取当前账户的指定限制（例如，您使用账户可创建的运行状况检查的最大数量）的权限 Read
GetChange 授予获取创建、更新或删除一个或多个记录的请求的当前状态的权限 List

change*

GetCheckerIpRanges 授予获取 Route 53 运行状况检查程序用于检查资源运行状况的 IP 范围列表的权限 List
GetDNSSEC 授予获取特定托管区域 DNSSEC 信息的权限，包括托管区域中的密钥签名密钥 Read

hostedzone*

GetGeoLocation 授予获取有关 Route 53 地理位置记录是否支持指定地理位置的信息的权限 List
GetHealthCheck 授予获取有关指定运行状况检查的信息的权限 Read

healthcheck*

GetHealthCheckCount 授予权限以获取与当前 Amazon Web Services 账户 关联的运行状况检查数 List
GetHealthCheckLastFailureReason 授予获取指定运行状况检查最近失败的原因的权限 List

healthcheck*

GetHealthCheckStatus 授予获取指定运行状况检查的状态的权限 List

healthcheck*

GetHostedZone 授予获取有关指定托管区域（包括 Route 53 分配给托管区域的四个名称服务器）的信息的权限 List

hostedzone*

GetHostedZoneCount 授予权限以获取与当前 Amazon Web Services 账户 关联的托管区域数 List
GetHostedZoneLimit 授予获取指定托管区域的指定限制的权限 Read

hostedzone*

GetQueryLoggingConfig 授予获取有关 DNS 查询日志记录的指定配置的信息的权限 Read

queryloggingconfig*

GetReusableDelegationSet 授予获取有关指定可重用委派集（包括分配给委派集的四个名称服务器）的信息的权限 List

delegationset*

GetReusableDelegationSetLimit 授予获取可与指定可重用委派集关联的托管区域的最大数量的权限 Read

delegationset*

GetTrafficPolicy 授予获取有关指定流量策略版本的信息的权限 Read

trafficpolicy*

GetTrafficPolicyInstance 授予获取有关指定流量策略实例的信息的权限 Read

trafficpolicyinstance*

GetTrafficPolicyInstanceCount 授予权限以获取与当前 Amazon Web Services 账户 关联的流量策略实例数 Read
ListCidrBlocks 授予获取指定 CIDR 集合中 CIDR 块列表的权限 List

cidrcollection*

ListCidrCollections 授予获取与当前 Amazon Web Services 账户关联的 CIDR 集合列表的权限 List
ListCidrLocations 授予获取属于指定 CIDR 集合的 CIDR 位置列表的权限 List

cidrcollection*

ListGeoLocations 授予获取对于地理位置 Route 53 支持的地理位置列表的权限 Read
ListHealthChecks 授予权限以获取与当前 Amazon Web Services 账户 关联的运行状况检查列表 Read
ListHostedZones 授予权限以获取与当前 Amazon Web Services 账户 关联的公有和私有托管区域列表 List
ListHostedZonesByName 授予获取按词典顺序排列的您的托管区域列表的权限。托管区域按名称进行排序并颠倒了标签，例如 com.example.www。 List
ListHostedZonesByVPC 授予权限以获取与指定的 VPC 关联的所有私有托管区域的列表 List

ec2:DescribeVpcs

ListQueryLoggingConfigs 授予权限以列出与当前Amazon Web Services 账户关联的 DNS 查询日志记录的配置或与指定托管区域关联的配置 List

hostedzone

ListResourceRecordSets 授予列出指定托管区域中的记录的权限 List

hostedzone*

ListReusableDelegationSets 授予权限以列出与当前 Amazon Web Services 账户 关联的可重用委派集。 Read
ListTagsForResource 授予列出一个运行状况检查或托管区域的标签的权限 Read

healthcheck

hostedzone

ListTagsForResources 授予列出最多 10 个运行状况检查或托管区域的标签的权限 Read

healthcheck

hostedzone

ListTrafficPolicies 授予权限以获取有关与当前 Amazon Web Services 账户 关联的每个流量策略的最新版本的信息。策略按创建顺序列出 List
ListTrafficPolicyInstances 授予权限以获取有关您使用当前 Amazon Web Services 账户 创建的流量策略实例的信息 Read
ListTrafficPolicyInstancesByHostedZone 授予获取有关您在指定托管区域中创建的流量策略实例的信息的权限 List

hostedzone*

ListTrafficPolicyInstancesByPolicy 授予获取有关您使用指定流量策略版本创建的流量策略实例的信息的权限 List

trafficpolicy*

ListTrafficPolicyVersions 授予获取有关指定流量策略的所有版本的信息的权限 List

trafficpolicy*

ListVPCAssociationAuthorizations 授予获取由其他账户创建并可与指定托管区域关联的 VPC 列表的权限 List

hostedzone*

TestDNSAnswer 授予获取 Route 53 为响应指定记录名称和类型的 DNS 查询而返回的值的权限 Read
UpdateHealthCheck 授予更新现有运行状况检查的权限 Write

healthcheck*

UpdateHostedZoneComment 授予更新指定托管区域的注释的权限 Write

hostedzone*

UpdateTrafficPolicyComment 授予更新指定流量策略版本的注释的权限 Write

trafficpolicy*

UpdateTrafficPolicyInstance 授予更新指定托管区域中基于指定流量策略版本中的设置创建的记录的权限 Write

trafficpolicyinstance*

Amazon Route 53 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
cidrcollection arn:${Partition}:route53:::cidrcollection/${Id}
change arn:${Partition}:route53:::change/${Id}
delegationset arn:${Partition}:route53:::delegationset/${Id}
healthcheck arn:${Partition}:route53:::healthcheck/${Id}
hostedzone arn:${Partition}:route53:::hostedzone/${Id}
trafficpolicy arn:${Partition}:route53:::trafficpolicy/${Id}
trafficpolicyinstance arn:${Partition}:route53:::trafficpolicyinstance/${Id}
queryloggingconfig arn:${Partition}:route53:::queryloggingconfig/${Id}
vpc arn:${Partition}:ec2:${Region}:${Account}:vpc/${VpcId}

Amazon Route 53 的条件键

Amazon Route 53 定义以下可在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键 描述 类型
route53:ChangeResourceRecordSetsActions 在 ChangeResourceRecordSets 请求中按 CREATE、UPSERT 或 DELETE 等更改操作筛选访问权限 字符串数组
route53:ChangeResourceRecordSetsNormalizedRecordNames 在 ChangeResourceRecordSets 请求中按标准化 DNS 记录名称筛选访问权限 字符串数组
route53:ChangeResourceRecordSetsRecordTypes 在 ChangeResourceRecordSets 请求中按 DNS 记录类型筛选访问权限 字符串数组