Amazon Route 53 Resolver 的操作、资源和条件键 - 服务授权参考
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Amazon Route 53 Resolver 的操作、资源和条件键

Amazon Route 53 Resolver(服务前缀:route53resolver)提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考:

Amazon Route 53 Resolver 定义的操作

您可以在 Action 策略语句的 IAM 元素中指定以下操作。可以使用策略授予在 AWS 中执行操作的权限。您在策略中使用一项操作时,通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下,单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值,您必须在策略语句的 Resource 元素中指定所有资源(“*”)。如果该列包含一种资源类型,则可以在含有该操作的语句中指定该类型的 ARN。必需资源在表中以星号 (*) 表示。如果在使用该操作的语句中指定资源级权限 ARN,则它必须属于该类型。某些操作支持多种资源类型。如果资源类型是可选的(未指示为必需),则可以选择使用一种类型而不使用其他类型。

有关下表中各列的详细信息,请参阅 操作表

操作 描述 访问级别 资源类型(* 为必需) 条件键 相关操作
AssociateFirewallRuleGroup 授予将 Amazon VPC 与指定的防火墙规则组关联的权限 写入

firewall-rule-group-association*

ec2:DescribeVpcs

AssociateResolverEndpointIpAddress 授予权限以将指定的 IP 地址与解析程序终端节点相关联。这是 DNS 查询传递到您的网络(出站)或您的 VPC(入站)时经过的 IP 地址 写入

resolver-endpoint*

AssociateResolverQueryLogConfig 授予权限以将 Amazon VPC 与指定查询日志记录配置关联 写入

resolver-query-log-config*

AssociateResolverRule 授予权限以将指定的解析程序规则与指定的 VPC 相关联 写入

resolver-rule*

CreateFirewallDomainList 授予创建防火墙域列表的权限 写入

firewall-domain-list*

CreateFirewallRule 授予在防火墙规则组中创建防火墙规则的权限 写入

firewall-rule-group*

CreateFirewallRuleGroup 授予创建防火墙规则组的权限 写入

firewall-rule-group*

CreateResolverEndpoint 授予权限以创建解析程序终端节点共有两种类型的解析程序终端节点:入站和出站。 写入

resolver-endpoint*

CreateResolverQueryLogConfig 授予权限以创建解析程序查询日志记录配置,该配置定义您是否希望解析程序保存源自您 VPC 的 DNS 查询日志 写入

resolver-query-log-config*

CreateResolverRule 对于来自您的 VPC 的 DNS 查询,授予权限以定义如何从 VPC 中路由查询 写入

resolver-rule*

DeleteFirewallDomainList 授予删除防火墙域列表的权限 写入

firewall-domain-list*

DeleteFirewallRule 授予删除防火墙规则组中的防火墙规则的权限 写入

firewall-rule-group*

DeleteFirewallRuleGroup 授予删除防火墙规则组的权限 写入

firewall-rule-group*

DeleteResolverEndpoint 授予权限以删除解析程序终端节点。删除解析程序终端节点的效果取决于它是入站还是出站终端节点 写入

resolver-endpoint*

DeleteResolverQueryLogConfig 授予权限以删除解析程序查询日志记录配置 写入

resolver-query-log-config*

DeleteResolverRule 授予权限以删除解析程序规则 写入

resolver-rule*

DisassociateFirewallRuleGroup 授予删除指定防火墙规则组与指定 VPC 之间的关联的权限 写入

firewall-rule-group-association*

DisassociateResolverEndpointIpAddress 授予权限以从解析程序终端节点中删除指定的 IP 地址。这是 DNS 查询传递到您的网络(出站)或您的 VPC(入站)时经过的 IP 地址 写入

resolver-endpoint*

DisassociateResolverQueryLogConfig 授予权限以删除指定解析程序查询日志记录配置与指定 VPC 之间的关联 写入

resolver-query-log-config*

DisassociateResolverRule 授予权限以删除指定解析程序规则与指定 VPC 之间的关联 写入

resolver-rule*

GetFirewallConfig 授予获取有关指定防火墙配置信息的权限 Read

firewall-config*

ec2:DescribeVpcs

GetFirewallDomainList 授予获取有关指定防火墙域列表信息的权限 Read

firewall-domain-list*

GetFirewallRuleGroup 授予获取有关指定防火墙规则组信息的权限 Read

firewall-rule-group*

GetFirewallRuleGroupAssociation 授予获取有关指定防火墙规则组与 VPC 之间关联的信息的权限 Read

firewall-rule-group-association*

GetFirewallRuleGroupPolicy 授予获取有关指定防火墙规则组策略信息的权限,该策略指定您希望允许其他 AWS 账户使用的防火墙规则组操作和资源 Read

firewall-rule-group*

GetResolverDnssecConfig 授予获取指定资源内 DNS 查询的 DNSSEC 验证支持状态的权限 Read

resolver-dnssec-config*

GetResolverEndpoint 授予权限以获取有关指定解析程序终端节点的信息,例如,它是入站还是出站终端节点,DNS 查询转发到您的 VPC 时经过的 IP 地址以及从您的 VPC 转发时经过的 IP 地址 Read

resolver-endpoint*

GetResolverQueryLogConfig 授予权限以获取有关指定解析程序查询日志记录配置的信息,例如配置为其记录查询的 VPC 数量,以及日志发送到的位置 Read

resolver-query-log-config*

GetResolverQueryLogConfigAssociation 授予权限以获取解析程序查询日志记录配置与 VPC 之间指定关联的信息当您将 VPC 与查询日志记录配置相关联时,解析程序会记录源自该 VPC 的 DNS 查询 Read

resolver-query-log-config*

GetResolverQueryLogConfigPolicy 授予权限以获取有关指定解析程序查询日志记录策略的信息,该策略指定了您希望允许其他 AWS 账户使用的解析程序查询日志记录操作和资源 Read

resolver-query-log-config*

GetResolverRule 授予权限以获取有关指定解析程序规则的信息,例如,规则为其转发 DNS 查询的域名以及将查询转发到的 IP 地址 Read

resolver-rule*

GetResolverRuleAssociation 授予权限以获取有关指定解析程序规则与 VPC 之间的关联的信息 Read

resolver-rule*

GetResolverRulePolicy 授予权限以获取有关解析程序规则策略的信息,该策略指定了您希望允许其他 AWS 账户使用的解析程序操作和资源 Read

resolver-rule*

ImportFirewallDomains 授予在防火墙域列表中添加、删除或替换防火墙域的权限 写入

firewall-domain-list*

ListFirewallConfigs 授予列出当前 AWS 账户能够检查的所有防火墙配置的权限 List

firewall-config*

ec2:DescribeVpcs

ListFirewallDomainLists 授予列出当前 AWS 账户能够使用的所有防火墙域列表的权限 List
ListFirewallDomains 授予在指定防火墙域列表下列出所有防火墙域的权限 List

firewall-domain-list*

ListFirewallRuleGroupAssociations 授予列出有关 Amazon VPC 和防火墙规则组之间关联的信息的权限 List
ListFirewallRuleGroups 授予列出当前 AWS 账户能够使用的所有防火墙规则组的权限 List
ListFirewallRules 授予在指定防火墙规则组下列出所有防火墙规则的权限 List

firewall-rule-group*

ListResolverDnssecConfigs 授予列出 DNS 查询的 DNSSEC 验证支持状态的权限 List

resolver-dnssec-config*

ListResolverEndpointIpAddresses 对于指定的解析程序终端节点,授予权限以列出 DNS 查询传送到您的网络(出站)或您的 VPC(入站)时经过的 IP 地址 List

resolver-endpoint*

ListResolverEndpoints 授予权限以列出使用当前 AWS 账户创建的所有解析程序终端节点 List
ListResolverQueryLogConfigAssociations 授予权限以列出有关 Amazon VPC 与查询日志记录配置之间关联的信息 List

resolver-query-log-config*

ListResolverQueryLogConfigs 授予权限以列出有关指定查询日志记录配置的信息,这些配置定义了解析程序在何处保存 DNS 查询日志,并指定要记录其查询的 VPC List

resolver-query-log-config*

ListResolverRuleAssociations 授予权限以列出使用当前 AWS 账户在解析程序规则和 VPC 之间创建的关联 List
ListResolverRules 授予权限以列出使用当前 AWS 账户创建的解析程序规则 List
ListTagsForResource 授予权限以列出与指定资源关联的标签 Read

resolver-endpoint

resolver-rule

PutFirewallRuleGroupPolicy 授予指定要与之共享防火墙规则组的 AWS 账户、要共享的防火墙规则组,以及您希望该账户能够对配置执行的操作的权限 写入

firewall-rule-group*

PutResolverQueryLogConfigPolicy 授予权限以指定要与其共享查询日志记录配置的 AWS 账户、要共享的查询日志记录配置以及您希望账户能够对配置执行的操作 写入

resolver-query-log-config*

PutResolverRulePolicy 授予权限以指定要与其共享规则的 AWS 账户、要共享的解析程序规则以及您希望账户能够对这些规则执行的操作 写入

resolver-rule*

TagResource 授予权限以将一个或多个标签添加到指定的资源中 标记

resolver-endpoint

resolver-rule

UntagResource 授予权限以从指定的资源中删除一个或多个标签 标记

resolver-endpoint

resolver-rule

UpdateFirewallConfig 授予更新防火墙配置的选定设置的权限 写入

firewall-config*

ec2:DescribeVpcs

UpdateFirewallDomains 授予在防火墙域列表中添加、删除或替换防火墙域的权限 写入

firewall-domain-list*

UpdateFirewallRule 授予更新防火墙规则组中防火墙规则的选定设置的权限 写入

firewall-rule-group*

UpdateFirewallRuleGroupAssociation 授予更新防火墙规则组关联的选定设置的权限 写入

firewall-rule-group-association*

UpdateResolverDnssecConfig 授予更新指定资源内 DNS 查询的 DNSSEC 验证支持状态的权限 写入

resolver-dnssec-config*

UpdateResolverEndpoint 授予权限以更新为入站或出站解析程序终端节点选择的设置 写入

resolver-endpoint*

UpdateResolverRule 授予权限以更新指定解析程序规则的设置 写入

resolver-rule*

Amazon Route 53 Resolver 定义的资源类型

以下资源类型是由该服务定义的,可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作都标识了可以使用该操作指定的资源类型。您也可以在策略中包含条件键,从而定义资源类型。这些键显示在表的最后一列。有关下表中各列的详细信息,请参阅 资源类型表

资源类型 ARN 条件键
resolver-dnssec-config arn:${Partition}:route53resolver:${Region}:${Account}:resolver-dnssec-config/${ResourceId}

aws:ResourceTag/${TagKey}

resolver-query-log-config arn:${Partition}:route53resolver:${Region}:${Account}:resolver-query-log-config/${ResourceId}

aws:ResourceTag/${TagKey}

resolver-rule arn:${Partition}:route53resolver:${Region}:${Account}:resolver-rule/${ResourceId}

aws:ResourceTag/${TagKey}

resolver-endpoint arn:${Partition}:route53resolver:${Region}:${Account}:resolver-endpoint/${ResourceId}

aws:ResourceTag/${TagKey}

firewall-rule-group arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group/${ResourceId}

aws:ResourceTag/${TagKey}

firewall-rule-group-association arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group-association/${ResourceId}

aws:ResourceTag/${TagKey}

firewall-domain-list arn:${Partition}:route53resolver:${Region}:${Account}:firewall-domain-list/${ResourceId}

aws:ResourceTag/${TagKey}

firewall-config arn:${Partition}:route53resolver:${Region}:${Account}:firewall-config/${ResourceId}

aws:ResourceTag/${TagKey}

Amazon Route 53 Resolver 的条件键

Amazon Route 53 Resolver 定义以下可在 IAM 策略的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息,请参阅 条件键表

要查看适用于所有服务的全局条件键,请参阅可用的全局条件键

条件键 描述 类型
aws:RequestTag/${TagKey} 根据在请求中是否具有标签键值对以筛选操作 字符串
aws:ResourceTag/${TagKey} 根据附加到资源的标签键值对筛选操作 字符串
aws:TagKeys 根据在请求中是否具有标签键以筛选操作 字符串