Amazon IAM 身份中心的操作、资源和条件密钥

Amazon IAM Identity Center（服务前缀:sso）提供以下特定于服务的资源、操作和条件上下文密钥，供在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

由 Amazon IAM 身份中心定义的操作
由 Amazon IAM 身份中心定义的资源类型
Amazon IAM 身份中心的条件密钥

由 Amazon IAM 身份中心定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

“操作” 表的 “访问级别” 列描述了如何对操作进行分类（列出、读取、权限管理或标记）。此分类可以帮助您了解当您在策略中使用操作时，相应操作授予的访问级别。有关访问级别的更多信息，请参阅策略摘要中的访问级别。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

“操作” 表格的 “依赖操作” 列显示成功调用操作可能需要的其他权限。除了操作本身的权限外，可能还需要这些权限。当操作指定依赖操作时，这些依赖关系可能适用于为该操作定义的其他资源，而不仅仅是表格中列出的第一个资源。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
AssociateDirectory	授予连接 Amazon IAM 身份中心使用的目录的权限	写入			ds:AuthorizeApplication identitystore:CreateIdentityStore kms:Decrypt
AssociateProfile	授予权限以在目录用户或组与配置文件之间创建关联	写入			kms:Decrypt
AttachCustomerManagedPolicyReferenceToPermissionSet	授予权限以将客户管理型策略参考附加到权限集	权限管理	Instance*		kms:Decrypt
AttachCustomerManagedPolicyReferenceToPermissionSet	授予权限以将客户管理型策略参考附加到权限集	权限管理	PermissionSet*
AttachManagedPolicyToPermissionSet	授予将 Amazon 托管策略附加到权限集的权限	权限管理	Instance*		kms:Decrypt
AttachManagedPolicyToPermissionSet	授予将 Amazon 托管策略附加到权限集的权限	权限管理	PermissionSet*
CreateAccountAssignment	授予 Amazon Web Services 账户使用指定权限集向指定委托人分配访问权限的权限	写入	Account*		kms:Decrypt
			Instance*
			PermissionSet*
CreateApplication	授予创建应用程序的权限	写入	ApplicationProvider*		kms:Decrypt
			Instance*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateApplicationAssignment	授予创建应用程序分配的权限	写入	Application*		kms:Decrypt
CreateApplicationAssignment	授予创建应用程序分配的权限	写入		sso:ApplicationAccount
CreateApplicationInstance	授予向 Amazon IAM 身份中心添加应用程序实例的权限	写入			kms:Decrypt
CreateApplicationInstanceCertificate	授予权限以为应用程序实例添加新证书	写入			kms:Decrypt
CreateInstance	授予创建 Identity Center 实例的权限	写入	Instance*		iam:CreateServiceLinkedRole identitystore:CreateIdentityStore organizations:DescribeOrganization
CreateInstance	授予创建 Identity Center 实例的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateInstanceAccessControlAttributeConfiguration	授予为 ABAC 启用实例并指定属性的权限	写入	Instance*		iam:AttachRolePolicy iam:CreateRole iam:DeleteRole iam:DeleteRolePolicy iam:DetachRolePolicy iam:GetRole iam:ListAttachedRolePolicies iam:ListRolePolicies iam:PutRolePolicy iam:UpdateAssumeRolePolicy kms:Decrypt
CreateManagedApplicationInstance	授予向 Amazon IAM 身份中心添加托管应用程序实例的权限	写入			kms:Decrypt
CreatePermissionSet	授予权限以创建权限集	Write	Instance*		kms:Decrypt
			PermissionSet*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateProfile	授予权限以为应用程序实例创建配置文件	Write			kms:Decrypt
CreateTrust	授予权限以在目标账户中创建联合信任	写入			kms:Decrypt
CreateTrustedTokenIssuer	授予为实例创建可信令牌颁发机构的权限	写入	Instance*		kms:Decrypt
CreateTrustedTokenIssuer	授予为实例创建可信令牌颁发机构的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
DeleteAccountAssignment	授予 Amazon Web Services 账户使用指定权限集删除委托人访问权限的权限	写入	Account*		kms:Decrypt
			Instance*
			PermissionSet*
DeleteApplication	授予删除应用程序的权限	写入	Application*		kms:Decrypt
DeleteApplication	授予删除应用程序的权限	写入		sso:ApplicationAccount
DeleteApplicationAccessScope	授予删除应用程序的访问范围的权限	写入	Application*		kms:Decrypt
DeleteApplicationAccessScope	授予删除应用程序的访问范围的权限	写入		sso:ApplicationAccount
DeleteApplicationAssignment	授予删除应用程序分配的权限	写入	Application*		kms:Decrypt
DeleteApplicationAssignment	授予删除应用程序分配的权限	写入		sso:ApplicationAccount
DeleteApplicationAuthenticationMethod	授予删除应用程序的身份验证方法的权限	写入	Application*		kms:Decrypt
DeleteApplicationAuthenticationMethod	授予删除应用程序的身份验证方法的权限	写入		sso:ApplicationAccount
DeleteApplicationGrant	授予删除来自应用程序的授权的权限	写入	Application*		kms:Decrypt
DeleteApplicationGrant	授予删除来自应用程序的授权的权限	写入		sso:ApplicationAccount
DeleteApplicationInstance	授予权限以删除应用程序实例	Write			kms:Decrypt
DeleteApplicationInstanceCertificate	授予权限以删除应用程序实例的停用或过期证书	写入			kms:Decrypt
DeleteInlinePolicyFromPermissionSet	授予权限以从指定权限集中删除内联策略	写入	Instance*		kms:Decrypt
DeleteInlinePolicyFromPermissionSet	授予权限以从指定权限集中删除内联策略	写入	PermissionSet*
DeleteInstance	授予删除 Identity Center 实例的权限	写入	Instance*		identitystore:DeleteIdentityStore
DeleteInstanceAccessControlAttributeConfiguration	授予禁用 ABAC 并删除实例属性列表的权限	Write	Instance*		kms:Decrypt
DeleteManagedApplicationInstance	授予权限以删除托管应用程序实例	Write			kms:Decrypt
DeletePermissionSet	授予权限以删除权限集	写入	Instance*		kms:Decrypt
DeletePermissionSet	授予权限以删除权限集	写入	PermissionSet*
DeletePermissionsBoundaryFromPermissionSet	授予权限以从权限集中删除权限边界	权限管理	Instance*		kms:Decrypt
DeletePermissionsBoundaryFromPermissionSet	授予权限以从权限集中删除权限边界	权限管理	PermissionSet*
DeleteProfile	授予权限以删除应用程序实例的配置文件	写入			kms:Decrypt
DeleteTrustedTokenIssuer	授予删除实例的可信令牌颁发机构的权限	写入	TrustedTokenIssuer*		kms:Decrypt
DescribeAccountAssignmentCreationStatus	授予权限以描述分配创建请求的状态	读取	Instance*		kms:Decrypt
DescribeAccountAssignmentDeletionStatus	授予权限以描述分配删除请求的状态	读取	Instance*		kms:Decrypt
DescribeApplication	授予获取应用程序信息的权限	读取	Application*		kms:Decrypt
DescribeApplication	授予获取应用程序信息的权限	读取		sso:ApplicationAccount
DescribeApplicationAssignment	授予检索应用程序分配的权限	读取	Application*		kms:Decrypt
DescribeApplicationAssignment	授予检索应用程序分配的权限	读取		sso:ApplicationAccount
DescribeApplicationProvider	授予描述应用程序提供者的权限	读取	ApplicationProvider*
DescribeInstance	授予获取 Identity Center 实例信息的权限	读取	Instance*
DescribeInstanceAccessControlAttributeConfiguration	授予获取用于 ABAC 实例的属性列表的权限	Read	Instance*		kms:Decrypt
DescribePermissionSet	授予权限以描述权限集	读取	Instance*		kms:Decrypt
DescribePermissionSet	授予权限以描述权限集	读取	PermissionSet*
DescribePermissionSetProvisioningStatus	授予权限以描述给定权限集预置请求的状态	读取	Instance*		kms:Decrypt
DescribeRegisteredRegions	授予权限以获取您的组织已启用 Amazon IAM 身份中心的区域	读取
DescribeTrustedTokenIssuer	授予描述实例的可信令牌颁发机构的权限	读取	TrustedTokenIssuer*		kms:Decrypt
DetachCustomerManagedPolicyReferenceFromPermissionSet	授予权限以将客户管理型策略参考从权限集分离	权限管理	Instance*		kms:Decrypt
DetachCustomerManagedPolicyReferenceFromPermissionSet	授予权限以将客户管理型策略参考从权限集分离	权限管理	PermissionSet*
DetachManagedPolicyFromPermissionSet	授予将附加的 Amazon 托管策略与指定权限集分开的权限	权限管理	Instance*		kms:Decrypt
DetachManagedPolicyFromPermissionSet	授予将附加的 Amazon 托管策略与指定权限集分开的权限	权限管理	PermissionSet*
DisassociateDirectory	授予解除与 Amazon IAM 身份中心使用的目录关联的权限	写入			ds:UnauthorizeApplication identitystore:DeleteIdentityStore kms:Decrypt
DisassociateProfile	授予权限以取消目录用户或组与配置文件的关联	写入			kms:Decrypt
GetApplicationAccessScope	授予获取应用程序的访问范围的权限	读取	Application*		kms:Decrypt
GetApplicationAccessScope	授予获取应用程序的访问范围的权限	读取		sso:ApplicationAccount
GetApplicationAssignmentConfiguration	授予读取应用程序的分配配置的权限	读取	Application*		kms:Decrypt
GetApplicationAssignmentConfiguration	授予读取应用程序的分配配置的权限	读取		sso:ApplicationAccount
GetApplicationAuthenticationMethod	授予获取应用程序的身份验证方法的权限	读取	Application*		kms:Decrypt
GetApplicationAuthenticationMethod	授予获取应用程序的身份验证方法的权限	读取		sso:ApplicationAccount
GetApplicationGrant	授予获取属于应用程序的授权的详细信息的权限	读取	Application*		kms:Decrypt
GetApplicationGrant	授予获取属于应用程序的授权的详细信息的权限	读取		sso:ApplicationAccount
GetApplicationInstance	授予权限以检索应用程序实例的详细信息	读取			kms:Decrypt
GetApplicationSessionConfiguration	授予获取应用程序会话配置的权限	读取	Application*		kms:Decrypt
GetApplicationSessionConfiguration	授予获取应用程序会话配置的权限	读取		sso:ApplicationAccount
GetApplicationTemplate	授予权限以检索应用程序模板详细信息	读取
GetInlinePolicyForPermissionSet	授予权限以获取分配给权限集的内联策略	读取	Instance*		kms:Decrypt
GetInlinePolicyForPermissionSet	授予权限以获取分配给权限集的内联策略	读取	PermissionSet*
GetManagedApplicationInstance	授予权限以检索应用程序实例的详细信息	Read			kms:Decrypt
GetMfaDeviceManagementForDirectory	授予权限以检索目录的 MFA 设备管理设置	Read			kms:Decrypt
GetPermissionSet	授予权限以检索权限集的详细信息	读取			kms:Decrypt
GetPermissionsBoundaryForPermissionSet	授予权限以获取权限集的权限边界	读取	Instance*		kms:Decrypt
GetPermissionsBoundaryForPermissionSet	授予权限以获取权限集的权限边界	读取	PermissionSet*
GetProfile	授予权限以检索应用程序实例的配置文件	读取			kms:Decrypt
GetSSOStatus	授予权限以检查是否已启用 Amazon IAM 身份中心	读取
GetSharedSsoConfiguration	授予权限以检索当前 SSO 实例的共享配置	Read			kms:Decrypt
GetSsoConfiguration	授予权限以检索当前 SSO 实例的配置	Read			kms:Decrypt
GetTrust	授予权限以检索目标账户中的联合信任	Read			kms:Decrypt
ImportApplicationInstanceServiceProviderMetadata	授予权限以上传服务提供商提供的应用程序 SAML 元数据文件，从而更新应用程序实例	写入			kms:Decrypt
ListAccountAssignmentCreationStatus	授予列出指定 SSO Amazon Web Services 账户实例的任务创建请求状态的权限	列表	Instance*		kms:Decrypt
ListAccountAssignmentDeletionStatus	授予列出指定 SSO Amazon Web Services 账户实例的任务删除请求状态的权限	列表	Instance*		kms:Decrypt
ListAccountAssignments	授予列出 Amazon Web Services 账户具有指定权限集的指定受让人的权限	列表	Account*		kms:Decrypt
			Instance*
			PermissionSet*
ListAccountAssignmentsForPrincipal	授予列出分配给用户或组的账户的权限	列表	Instance*		kms:Decrypt
ListAccountsForProvisionedPermissionSet	授予列出所有配置了指定权限集的 Amazon 账户的权限	列表	Instance*		kms:Decrypt
ListAccountsForProvisionedPermissionSet	授予列出所有配置了指定权限集的 Amazon 账户的权限	列表	PermissionSet*
ListApplicationAccessScopes	授予列出应用程序的访问范围的权限	列表	Application*		kms:Decrypt
ListApplicationAccessScopes	授予列出应用程序的访问范围的权限	列表		sso:ApplicationAccount
ListApplicationAssignments	授予列出应用程序分配的权限	列表	Application*		kms:Decrypt
ListApplicationAssignments	授予列出应用程序分配的权限	列表		sso:ApplicationAccount
ListApplicationAssignmentsForPrincipal	授予列出分配给用户或组的应用程序的权限	列表	Instance*		kms:Decrypt
ListApplicationAssignmentsForPrincipal	授予列出分配给用户或组的应用程序的权限	列表		sso:ApplicationAccount
ListApplicationAuthenticationMethods	授予列出应用程序的身份验证方法的权限	列表	Application*		kms:Decrypt
ListApplicationAuthenticationMethods	授予列出应用程序的身份验证方法的权限	列表		sso:ApplicationAccount
ListApplicationGrants	授予列出来自应用程序的授权的权限	列表	Application*		kms:Decrypt
ListApplicationGrants	授予列出来自应用程序的授权的权限	列表		sso:ApplicationAccount
ListApplicationInstanceCertificates	授予权限以检索给定应用程序实例的所有证书	Read			kms:Decrypt
ListApplicationInstances	授权权限以检索所有应用程序实例	列表			kms:Decrypt sso:GetApplicationInstance
ListApplicationProviders	授予列出应用程序提供者的权限	列表	ApplicationProvider*
ListApplicationTemplates	授予权限以检索所有支持的应用程序模板	列表			sso:GetApplicationTemplate
ListApplications	授予检索与 IAM Identity Center 实例关联的所有应用程序的权限	列表			kms:Decrypt
ListCustomerManagedPolicyReferencesInPermissionSet	授予权限以列出附加到权限集的客户管理型策略参考	列表	Instance*		kms:Decrypt
ListCustomerManagedPolicyReferencesInPermissionSet	授予权限以列出附加到权限集的客户管理型策略参考	列表	PermissionSet*
ListDirectoryAssociations	授予权限以检索与 Amazon IAM 身份中心连接的目录的详细信息	读取			kms:Decrypt
ListInstances	授予权限以列出发起人有权访问的 SSO 实例	列表
ListManagedPoliciesInPermissionSet	授予列出附加到指定权限集的 Amazon 托管策略的权限	列表	Instance*		kms:Decrypt
ListManagedPoliciesInPermissionSet	授予列出附加到指定权限集的 Amazon 托管策略的权限	列表	PermissionSet*
ListPermissionSetProvisioningStatus	授予权限以列出指定 SSO 实例的权限集预置请求的状态	列表	Instance*		kms:Decrypt
ListPermissionSets	授予权限以检索所有权限集	列表	Instance*		kms:Decrypt
ListPermissionSetsProvisionedToAccount	授予列出配置给指定的所有权限集的权限 Amazon Web Services 账户	列表	Account*		kms:Decrypt
ListPermissionSetsProvisionedToAccount	授予列出配置给指定的所有权限集的权限 Amazon Web Services 账户	列表	Instance*
ListProfileAssociations	授予权限以检索与配置文件关联的目录用户或组	Read			kms:Decrypt
ListProfiles	授予权限以检索应用程序实例的所有配置文件	列表			kms:Decrypt sso:GetProfile
ListTagsForResource	授予权限以列出附加到指定资源的标签	读取	Application		kms:Decrypt
			Instance
			PermissionSet
			TrustedTokenIssuer
ListTrustedTokenIssuers	授予列出实例的可信令牌颁发机构的权限	列表	Instance*		kms:Decrypt
ProvisionPermissionSet	授予权限以将指定权限集预置到指定目标	写入	Account*		kms:Decrypt
			Instance*
			PermissionSet*
PutApplicationAccessScope	向应用程序 create/update 的访问范围授予权限	写入	Application*		kms:Decrypt
PutApplicationAccessScope	向应用程序 create/update 的访问范围授予权限	写入		sso:ApplicationAccount
PutApplicationAssignmentConfiguration	授予向应用程序添加分配配置的权限	写入	Application*		kms:Decrypt
PutApplicationAssignmentConfiguration	授予向应用程序添加分配配置的权限	写入		sso:ApplicationAccount
PutApplicationAuthenticationMethod	向应用程序授予 create/update 身份验证方法的权限	写入	Application*		kms:Decrypt
PutApplicationAuthenticationMethod	向应用程序授予 create/update 身份验证方法的权限	写入		sso:ApplicationAccount
PutApplicationGrant	授予对应用程序 create/update 的授予权限	写入	Application*		kms:Decrypt
PutApplicationGrant	授予对应用程序 create/update 的授予权限	写入		sso:ApplicationAccount
PutApplicationSessionConfiguration	授予为应用程序放置会话配置的权限	写入	Application*		kms:Decrypt
PutApplicationSessionConfiguration	授予为应用程序放置会话配置的权限	写入		sso:ApplicationAccount
PutInlinePolicyToPermissionSet	授予权限以将 IAM 内联策略附加到权限集	写入	Instance*		kms:Decrypt
PutInlinePolicyToPermissionSet	授予权限以将 IAM 内联策略附加到权限集	写入	PermissionSet*
PutMfaDeviceManagementForDirectory	授予权限以为目录附加 MFA 设备管理设置	写入			kms:Decrypt
PutPermissionsBoundaryToPermissionSet	授予权限以将权限边界添加到权限集	权限管理	Instance*		kms:Decrypt
PutPermissionsBoundaryToPermissionSet	授予权限以将权限边界添加到权限集	权限管理	PermissionSet*
PutPermissionsPolicy	授予权限以将策略添加到权限集	Permissions management			kms:Decrypt
SearchGroups	授予权限以在关联的目录中搜索组	Read			ds:DescribeDirectories kms:Decrypt
SearchUsers	授予权限以在关联的目录中搜索用户	读取			ds:DescribeDirectories kms:Decrypt
StartSSO	授予初始化 Amazon IAM 身份中心的权限	写入			kms:Decrypt kms:DescribeKey kms:Encrypt kms:GenerateDataKeyWithoutPlaintext organizations:DescribeOrganization organizations:EnableAWSServiceAccess
TagResource	授予权限以将一组标签与指定资源关联	标记	Application		kms:Decrypt
			Instance
			PermissionSet
			TrustedTokenIssuer
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	授予权限以取消一组标签与指定资源的关联	标记	Application		kms:Decrypt
			Instance
			PermissionSet
			TrustedTokenIssuer
				aws:TagKeys
UpdateApplication	授予更新应用程序的权限	写入	Application*		kms:Decrypt
UpdateApplication	授予更新应用程序的权限	写入		sso:ApplicationAccount
UpdateApplicationInstanceActiveCertificate	授予权限以为此应用程序实例设置证书，作为活动证书	Write			kms:Decrypt
UpdateApplicationInstanceDisplayData	授予权限以更新应用程序实例的显示数据	Write			kms:Decrypt
UpdateApplicationInstanceResponseConfiguration	授予权限以更新应用程序实例的联合响应配置	Write			kms:Decrypt
UpdateApplicationInstanceResponseSchemaConfiguration	授予权限以更新应用程序实例的联合响应架构配置	Write			kms:Decrypt
UpdateApplicationInstanceSecurityConfiguration	授予权限以更新应用程序实例的安全详细信息	Write			kms:Decrypt
UpdateApplicationInstanceServiceProviderConfiguration	授予权限以更新应用程序实例的服务提供商关联配置	Write			kms:Decrypt
UpdateApplicationInstanceStatus	授予权限以更新应用程序实例的状态	写入			kms:Decrypt
UpdateInstance	授予更新 Identity Center 实例的权限	写入	Instance*		identitystore:UpdateIdentityStore kms:Decrypt kms:DescribeKey kms:Encrypt kms:GenerateDataKeyWithoutPlaintext
UpdateInstanceAccessControlAttributeConfiguration	授予更新用于 ABAC 实例的属性的权限	Write	Instance*		kms:Decrypt
UpdateManagedApplicationInstanceStatus	授予权限以更新托管应用程序的实例状态	写入			kms:Decrypt
UpdatePermissionSet	授予权限以更新权限集	权限管理	Instance*		kms:Decrypt
UpdatePermissionSet	授予权限以更新权限集	权限管理	PermissionSet*
UpdateProfile	授予权限以更新应用程序实例的配置文件	Write			kms:Decrypt
UpdateSSOConfiguration	授予权限以更新当前 SSO 实例的配置	Write			kms:Decrypt
UpdateTrust	授予权限以更新目标账户中的联合信任	写入			kms:Decrypt
UpdateTrustedTokenIssuer	授予更新实例的可信令牌颁发机构的权限	写入	TrustedTokenIssuer*		kms:Decrypt

由 Amazon IAM 身份中心定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
PermissionSet	`arn:${Partition}:sso:::permissionSet/${InstanceId}/${PermissionSetId}`	aws:ResourceTag/${TagKey}
Account	`arn:${Partition}:sso:::account/${AccountId}`
Instance	`arn:${Partition}:sso:::instance/${InstanceId}`	aws:ResourceTag/${TagKey}
Application	`arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}`	aws:ResourceTag/${TagKey} sso:ApplicationAccount
TrustedTokenIssuer	`arn:${Partition}:sso::${AccountId}:trustedTokenIssuer/${InstanceId}/${TrustedTokenIssuerId}`	aws:ResourceTag/${TagKey}
ApplicationProvider	`arn:${Partition}:sso::aws:applicationProvider/${ApplicationProviderId}`

Amazon IAM 身份中心的条件密钥

Amazon IAM Identity Center 定义了以下可以在 IAM 策略Condition元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件密钥，请参阅Amazon 全局条件上下文密钥。

条件键	描述	类型
aws:RequestTag/${TagKey}	按请求中传递的标签筛选访问权限	字符串
aws:ResourceTag/${TagKey}	按与资源关联的标签筛选访问权限	字符串
aws:TagKeys	按请求中传递的标签键筛选访问权限	ArrayOfString
sso:ApplicationAccount	按创建应用程序的账户筛选访问权限。客户管理的 SAML 应用程序不支持此条件密钥	字符串

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon IAM 访问分析器

Amazon IAM 身份中心目录