本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
Amazon Direct Connect 的操作、资源和条件键
Amazon Direct Connect(服务前缀:directconnect
)提供以下特定于服务的资源、操作和条件上下文密钥,供在 IAM 权限策略中使用。
参考:
Amazon Direct Connect 定义的操作
您可以在 IAM 策略语句的 Action
元素中指定以下操作。可以使用策略授予在 Amazon中执行操作的权限。您在策略中使用一项操作时,通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下,单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值,您必须在策略语句的 Resource
元素中指定策略应用的所有资源(“*”)。通过在 IAM policy 中使用条件来筛选访问权限,以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源,则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource
元素限制资源访问权限,则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的(未指示为必需),则可以选择使用一种可选资源类型。
操作表的条件键列包括可以在策略语句的 Condition
元素中指定的键。有关与服务资源关联的条件键的更多信息,请参阅资源类型表的条件键列。
注意
资源条件键在资源类型表中列出。您可以在操作表的资源类型(* 为必需)列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列,这是应用于操作表中操作的资源条件键。
有关下表中各列的详细信息,请参阅操作表。
操作 | 描述 | 访问级别 | 资源类型(* 为必需) | 条件键 | 相关操作 |
---|---|---|---|---|---|
AcceptDirectConnectGatewayAssociationProposal | 授予权限以接受提议请求以将虚拟私有网关连接到 Direct Connect 网关 | 写入 | |||
AllocateConnectionOnInterconnect | 授予权限以在互连上创建托管连接 | 写入 | |||
AllocateHostedConnection | 授予在 Di Amazon rect Connect 合作伙伴的网络和特定 Amazon 的 Direct Connect 位置之间创建新的托管连接的权限 | 写入 | |||
AllocatePrivateVirtualInterface | 授予权限以预置将由不同客户拥有的私有虚拟接口 | 写入 | |||
AllocatePublicVirtualInterface | 授予权限以预置将由不同客户拥有的公有虚拟接口 | 写入 | |||
AllocateTransitVirtualInterface | 授予权限以预置将由不同客户拥有的中转虚拟接口 | 写入 | |||
AssociateConnectionWithLag | 授予将连接与 LAG 关联的权限 | 写入 | |||
AssociateHostedConnection | 授予权限以将托管的连接及其虚拟接口与链路聚合组 (LAG) 或互连相关联 | 写入 | |||
AssociateMacSecKey | 授予将 MAC 安全 (MACsec) 连接密钥名称 (CKN) /连接关联密钥 (CAK) 对与 Di Amazon rect Connect 专用连接关联的权限 | 写入 | |||
AssociateVirtualInterface | 授予权限以将虚拟接口与指定的链路聚合组 (LAG) 或连接相关联 | 写入 | |||
ConfirmConnection | 授予权限以确认在互连上创建托管连接 | 写入 | |||
ConfirmCustomerAgreement | 授予权限以在创建连接或链路聚合组 (LAG) 时确认协议条款 | 写入 | |||
ConfirmPrivateVirtualInterface | 授予权限以接受其他客户创建的私有虚拟接口的所有权 | 写入 | |||
ConfirmPublicVirtualInterface | 授予权限以接受其他客户创建的公有虚拟接口的所有权 | 写入 | |||
ConfirmTransitVirtualInterface | 授予权限以接受其他客户创建的中转虚拟接口的所有权 | 写入 | |||
CreateBGPPeer | 授予权限以在指定的虚拟接口上创建 BGP 对等体 | 写入 | |||
CreateConnection | 授予在客户网络和特定的 Di Amazon rect Connect 位置之间创建新连接的权限 | 写入 | |||
CreateDirectConnectGateway | 授予权限以创建一个 Direct Connect 网关,它是可用于连接一组虚拟接口和虚拟专用网关的中间对象 | 写入 | |||
CreateDirectConnectGatewayAssociation | 授予权限以在 Direct Connect 网关和虚拟私有网关之间创建关联 | 写入 | |||
CreateDirectConnectGatewayAssociationProposal | 授予创建提议以将指定的虚拟私有网关与指定的 Direct Connect 网关相关联的权限 | 写入 | |||
CreateInterconnect | 授予在 Direct Connect 合作伙伴的网络和特定 Amazon 的 Di Amazon rect Connect 位置之间创建新互连的权限 | 写入 | |||
CreateLag | 授予在客户网络和特定 Dire Amazon ct Connect 位置之间使用指定数量的捆绑物理连接创建链路聚合组 (LAG) 的权限 | 写入 | |||
CreatePrivateVirtualInterface | 授予权限以创建新的私有虚拟接口 | 写入 | |||
CreatePublicVirtualInterface | 授予权限以创建新的公有虚拟接口 | 写入 | |||
CreateTransitVirtualInterface | 授予权限以创建新的中转虚拟接口 | 写入 | |||
DeleteBGPPeer | 授予权限以删除具有指定客户地址和 ASN 的指定虚拟接口上的指定 BGP 对等体 | 写入 | |||
DeleteConnection | 授予权限以删除连接 | 写入 | |||
DeleteDirectConnectGateway | 授予删除指定 Direct Connect 网关的权限 | 写入 | |||
DeleteDirectConnectGatewayAssociation | 授予权限以删除指定的 Direct Connect 网关和虚拟私有网关之间的关联 | 写入 | |||
DeleteDirectConnectGatewayAssociationProposal | 授予权限以删除指定的 Direct Connect 网关和虚拟私有网关之间的关联提议请求 | 写入 | |||
DeleteInterconnect | 授予删除指定互连的权限 | 写入 | |||
DeleteLag | 授予删除指定的链接聚合组 (LAG) 的权限 | 写入 | |||
DeleteVirtualInterface | 授予删除虚拟接口的权限 | 写入 | |||
DescribeConnectionLoa | 授予权限以描述连接的 LOA-CFA | 读取 | |||
DescribeConnections | 授予权限以描述此区域中的所有连接 | 读取 | |||
DescribeConnectionsOnInterconnect | 授予权限以描述给定互连中已预置的连接的列表。 | 读取 | |||
DescribeCustomerMetadata | 授予查看客户协议列表的权限,以及其签署状态以及客户是 NNIPartner V2 还是非合作伙伴 NNIPartner | 读取 | |||
DescribeDirectConnectGatewayAssociationProposals | 授予权限以描述虚拟私有网关和 Direct Connect 网关之间的连接的一个或多个关联提议。 | 读取 | |||
DescribeDirectConnectGatewayAssociations | 授予权限以描述 Direct Connect 网关和虚拟私有网关之间的关联 | 读取 | |||
DescribeDirectConnectGatewayAttachments | 授予权限以描述 Direct Connect 网关和虚拟接口之间的连接 | 读取 | |||
DescribeDirectConnectGateways | 授予权限以描述所有 Direct Connect 网关,或仅描述指定的 Direct Connect 网关 | 读取 | |||
DescribeHostedConnections | 授予权限以描述已在指定互连或链路聚合组上预置的托管连接 | 读取 | |||
DescribeInterconnectLoa | 授予权限以描述互连的 LOA-CFA | 读取 | |||
DescribeInterconnects | 授予描述所拥有的互连列表的权限 Amazon Web Services 账户 | 读取 | |||
DescribeLags | 授予权限以描述所有的链接聚合组 (LAG) 或指定的 LAG | 读取 | |||
DescribeLoa | 授予权限以描述连接、互连或链路聚合组 (LAG) 的 LOA-CFA | 读取 | |||
DescribeLocations | 授予描述当前 Amazon 区域中 Di Amazon rect Connect 位置列表的权限 | 读取 | |||
DescribeRouterConfiguration | 授予权限以描述虚拟接口路由器的详细信息 | 读取 | |||
DescribeTags | 授予描述与指定 Di Amazon rect Connect 资源关联的标签的权限 | 读取 | |||
DescribeVirtualGateways | 授予描述拥有的虚拟专用网关列表的权限 Amazon Web Services 账户 | 读取 | |||
DescribeVirtualInterfaces | 授予描述所有虚拟接口的权限 Amazon Web Services 账户 | 读取 | |||
DisassociateConnectionFromLag | 授予权限以取消连接与链路聚合组 (LAG) 的关联 | 写入 | |||
DisassociateMacSecKey | 授予移除 MAC 安全 (MACsec) 安全密钥和 Di Amazon rect Connect 专用连接之间关联的权限 | 写入 | |||
ListVirtualInterfaceTestHistory | 授予权限以列出虚拟接口故障转移测试历史记录 | 列表 | |||
StartBgpFailoverTest | 授予权限以启动虚拟接口故障转移测试,此测试通过将 BGP 对等会话置于“关闭”状态,验证您的配置是否符合弹性要求。然后,您可以发送流量以便验证是否出现中断情况 | 写入 | |||
StopBgpFailoverTest | 授予权限以停止虚拟接口故障转移测试 | 写入 | |||
TagResource | 授予向指定的 Di Amazon rect Connect 资源添加指定标签的权限。每个资源最多可以有 50 个标签 | 标记 | |||
UntagResource | 授予从指定的 Di Amazon rect Connect 资源中移除一个或多个标签的权限 | 标记 | |||
UpdateConnection | 授予更新 Di Amazon rect Connect 专用连接配置的权限。您可以更新连接的以下参数:连接名称或连接的 MAC Security (MACsec) 加密模式 | 写入 | |||
UpdateDirectConnectGateway | 授予权限以更新 Direct Connect 网关的名称 | 写入 | |||
UpdateDirectConnectGatewayAssociation | 授予权限以更新 Direct Connect 网关关联的指定属性 | 写入 | |||
UpdateLag | 授予权限以更新指定链路聚合组 (LAG) 的属性 | 写入 | |||
UpdateVirtualInterfaceAttributes | 授予权限以更新指定虚拟私有接口的指定属性 | 写入 |
Amazon Direct Connect 定义的资源类型
以下资源类型是由该服务定义的,可以在 IAM 权限策略语句的 Resource
元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键,从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息,请参阅资源类型表。
资源类型 | ARN | 条件键 |
---|---|---|
dxcon |
arn:${Partition}:directconnect:${Region}:${Account}:dxcon/${ConnectionId}
|
|
dxlag |
arn:${Partition}:directconnect:${Region}:${Account}:dxlag/${LagId}
|
|
dxvif |
arn:${Partition}:directconnect:${Region}:${Account}:dxvif/${VirtualInterfaceId}
|
|
dx-gateway |
arn:${Partition}:directconnect::${Account}:dx-gateway/${DirectConnectGatewayId}
|
Amazon Direct Connect 的条件键
Amazon Direct Connect 定义了以下可以在 IAM 策略Condition
元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息,请参阅条件键表。
要查看适用于所有服务的全局条件键,请参阅可用的全局条件键。
条件键 | 描述 | 类型 |
---|---|---|
aws:RequestTag/${TagKey} | 根据在请求中是否具有标签键值对来按照操作筛选访问权限 | 字符串 |
aws:ResourceTag/${TagKey} | 根据附加到资源的标签键值对来按操作筛选访问权限 | 字符串 |
aws:TagKeys | 根据在请求中是否具有标签键来按操作筛选访问权限 | ArrayOfString |