Amazon Simple Workflow Service 的操作、资源和条件键
Amazon Simple Workflow Service（服务前缀：swf）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。
参考：
主题
Amazon Simple Workflow Service 定义的操作
您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
操作表的访问级别列描述如何对操作进行分类（列出、读取、权限管理或标记）。此分类可以帮助您了解当您在策略中使用操作时，相应操作授予的访问级别。有关访问级别的更多信息，请参阅策略摘要中的访问级别。
操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。
操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。
操作表的依赖操作列显示成功调用操作可能需要的其他权限。除了操作本身的权限以外，可能还需要这些权限。若某个操作指定依赖操作，则这些依赖关系可能适用于为该操作定义的其他资源，而不仅仅是表中列出的第一个资源。
注意
资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。
有关下表中各列的详细信息，请参阅操作表。
| 操作 | 描述 | 访问级别 | 资源类型（* 为必需） | 条件键 | 相关操作 |
|---|---|---|---|---|---|
| CancelTimer [仅权限] | 授予权限以取消之前启动的计时器并在历史记录中记录 TimerCanceled 事件 | 写入 | |||
| CancelWorkflowExecution [仅权限] | 授予权限以关闭工作流程执行并在历史记录中记录 WorkflowExecutionCanceled 事件 | 写入 | |||
| CompleteWorkflowExecution [仅权限] | 授予权限以关闭工作流程执行并在历史记录中记录 WorkflowExecutionCompleted 事件 | 写入 | |||
| ContinueAsNewWorkflowExecution [仅权限] | 授予权限以关闭工作流程执行并使用相同工作流 ID 和唯一运行 ID 启动相同类型的新工作流程执行 | 写入 | |||
| CountClosedWorkflowExecutions | 授予权限以返回在给定域中满足指定筛选条件的已关闭工作流程执行数 | 读取 | |||
| CountOpenWorkflowExecutions | 授予权限以返回在给定域中满足指定筛选条件的已开启工作流程执行数 | 读取 | |||
| CountPendingActivityTasks | 授予权限以返回指定任务列表中的活动任务的估计数量 | 读取 | |||
| CountPendingDecisionTasks | 授予权限以返回指定任务列表中的决策任务的估计数量 | 读取 | |||
| DeleteActivityType | 授予权限以删除指定活动类型 | 写入 | |||
| DeleteWorkflowType | 授予权限以删除指定工作流类型 | 写入 | |||
| DeprecateActivityType | 授予权限以弃用指定活动类型 | 写入 | |||
| DeprecateDomain | 授予权限以弃用指定域 | 写入 | |||
| DeprecateWorkflowType | 授予权限以弃用指定工作流类型 | 写入 | |||
| DescribeActivityType | 授予权限以返回指定活动类型 | 读取 | |||
| DescribeDomain | 授予权限以返回有关指定域的信息，包括其描述和状态 | 读取 | |||
| DescribeWorkflowExecution | 授予权限以返回有关指定工作流程执行的信息，包括其类型和一些统计数据 | 读取 | |||
| DescribeWorkflowType | 授予权限以返回指定工作流类型 | 读取 | |||
| FailWorkflowExecution [仅权限] | 授予权限以关闭工作流执行并在历史记录中记录 WorkflowExecutionFailed 事 | 写入 | |||
| GetWorkflowExecutionHistory | 授予权限以返回指定工作流执行的历史记录 | 读取 | |||
| ListActivityTypes | 授予权限以返回在指定域中注册的与指定名称和注册状态匹配的所有活动的相关信息 | 列表 | |||
| ListClosedWorkflowExecutions | 授予权限以返回在指定域中满足筛选条件的已关闭工作流程执行的列表 | 列表 | |||
| ListDomains | 授予权限以返回当前账户中注册的域列表 | 列表 | |||
| ListOpenWorkflowExecutions | 授予权限以返回在指定域中满足筛选条件的已开启工作流执行的列表 | 列表 | |||
| ListTagsForResource | 授予权限以列出 Amazon SWF 资源标签 | 列表 | |||
| ListWorkflowTypes | 授予权限以返回指定域中工作流类型的信息 | 列表 | |||
| PollForActivityTask | 授予权限以供工件从指定活动 taskList 中获取 ActivityTask | 写入 | |||
| PollForDecisionTask | 授予权限以供决策程序从指定决策 taskList 中获取 DecisionTask | 写入 | |||
| RecordActivityTaskHeartbeat | 授予权限以供工件用于向服务报告，由指定的 taskToken 表示的 ActivityTask 仍在进行中 | 写入 | |||
| RecordMarker [仅权限] | 授予权限以在历史记录中记录 MarkerRecord 事件 | 写入 | |||
| RegisterActivityType | 授予权限以在指定域中注册新活动类型及其配置设置 | 写入 | |||
| RegisterDomain | 授予权限以注册新域 | 写入 | |||
| RegisterWorkflowType | 授予权限以在指定域中注册新工作流类型及其配置设置 | 写入 | |||
| RequestCancelActivityTask [仅权限] | 授予权限以尝试取消之前计划的活动任务 | 写入 | |||
| RequestCancelExternalWorkflowExecution [仅权限] | 授予权限以请求取消指定的外部工作流执行的请求 | 写入 | |||
| RequestCancelWorkflowExecution | 授予权限以记录由给定域、workflowId 和 runId 标识的当前正在运行的工作流执行中的 WorkflowExecutionCancelRequested 事件 | 写入 | |||
| RespondActivityTaskCanceled | 授予权限以供工件告知服务，已成功取消由 taskToken 标识的 ActivityTask | 写入 | |||
| RespondActivityTaskCompleted | 授予权限以供工件告知服务，由 taskToken 标识的 ActivityTask 已成功完成，并且有结果（如果提供） | 写入 | |||
| RespondActivityTaskFailed | 授予权限以供工件告知服务，由 taskToken 标识的 ActivityTask 失败，并提供原因（如果指定） | 写入 | |||
| RespondDecisionTaskCompleted | 授予权限以供决策程序告知服务，已成功完成由 taskToken 标识的 DecisionTask | 写入 | |||
| ScheduleActivityTask [仅权限] | 授予权限以安排活动任务 | 写入 | |||
| SignalExternalWorkflowExecution [仅权限] | 授予权限以请求使信号提交至指定外部工作流执行和记录 | 写入 | |||
| SignalWorkflowExecution | 授予权限以在工作流执行历史记录中记录 WorkflowExecutionSignaled 事件，并为给定域、workflowId 和 runId 标识的工作流执行创建决策任务 | 写入 | |||
| StartChildWorkflowExecution [仅权限] | 授予权限以请求启动子工作流执行 | 写入 | |||
| StartTimer [仅权限] | 授予权限以启动工作流执行的计时 | 写入 | |||
| StartWorkflowExecution | 授予权限以使用提供的 workflowId 和输入数据在指定域中启动工作流类型执行 | 写入 | |||
| TagResource | 授予权限以标记 Amazon SWF 资源 | 标记 | |||
| TerminateWorkflowExecution | 授予权限以记录 WorkflowExecutionTerminated 事件并强制关闭由给定域、runId 和 workflowId 标识的工作流程执行 | 写入 | |||
| UndeprecateActivityType | 授予权限以不建议使用先前已弃用的活动类型 | 写入 | |||
| UndeprecateDomain | 授予权限以不建议使用先前已弃用的域 | 写入 | |||
| UndeprecateWorkflowType | 授予权限以不建议使用先前已弃用的工作流类型 | 写入 | |||
| UntagResource | 授予权限以从 Amazon SWF 资源中删除标签 | 标记 | |||
Amazon Simple Workflow Service 定义的资源类型
以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。
| 资源类型 | ARN | 条件键 |
|---|---|---|
| domain |
arn:${Partition}:swf::${Account}:/domain/${DomainName}
|
Amazon Simple Workflow Service 的条件键
Amazon Simple Workflow Service 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。
要查看适用于所有服务的全局条件键，请参阅 Amazon 全局条件上下文键。
| 条件键 | 描述 | 类型 |
|---|---|---|
| aws:RequestTag/${TagKey} | 按请求的标签筛选访问权限 | 字符串 |
| aws:ResourceTag/${TagKey} | 按资源的标签筛选访问权限 | 字符串 |
| aws:TagKeys | 按键的标签筛选访问权限 | 字符串数组 |
| swf:activityType.name | 按活动类型的名称筛选访问权限 | 字符串 |
| swf:activityType.version | 按活动类型的版本筛选访问权限 | 字符串 |
| swf:defaultTaskList.name | 按默认任务列表的名称筛选访问权限 | 字符串 |
| swf:name | 按活动或工作流名称筛选访问 | 字符串 |
| swf:tagFilter.tag | 按 tagFilter.tag 值筛选访问权限 | 字符串 |
| swf:tagList.member.0 | 按指定的标签筛选访问权限 | 字符串 |
| swf:tagList.member.1 | 按指定的标签筛选访问权限 | 字符串 |
| swf:tagList.member.2 | 按指定的标签筛选访问权限 | 字符串 |
| swf:tagList.member.3 | 按指定的标签筛选访问权限 | 字符串 |
| swf:tagList.member.4 | 按指定的标签筛选访问权限 | 字符串 |
| swf:taskList.name | 按任务列表的名称筛选访问权限 | 字符串 |
| swf:typeFilter.name | 按类型筛选条件的名称筛选访问权限 | 字符串 |
| swf:typeFilter.version | 按类型筛选条件的版本筛选访问权限 | 字符串 |
| swf:version | 按活动或工作流名称筛选访问权限 | 字符串 |
| swf:workflowType.name | 按工作流类型的名称筛选访问权限 | 字符串 |
| swf:workflowType.version | 按工作流类型的版本筛选访问权限 | 字符串 |