Amazon IoT 的操作、资源和条件键 - 服务授权参考
操作资源类型条件键
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

Amazon IoT 的操作、资源和条件键

Amazon IoT（服务前缀：iot）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

Amazon IoT 定义的操作

您可以在 IAM policy 语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

有关下表中各列的详细信息，请参阅操作表。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
AcceptCertificateTransfer 授予接受待处理证书传输的权限 Write

cert*

AddThingToBillingGroup 授予向指定账单组添加事物的权限 Write

billinggroup*

thing*

AddThingToThingGroup 授予向指定事物组添加事物的权限 Write

thing*

thinggroup*

AssociateTargetsWithJob 授予将组与连续作业关联的权限 Write

job*

thing*

thinggroup*

AttachPolicy 授予将策略附加到指定目标的权限 权限管理

cert

thinggroup

AttachPrincipalPolicy 授予将指定的策略附加到指定的委托人（证书或其他凭证）的权限 权限管理

cert

AttachSecurityProfile 授予将 Device Defender 安全配置文件与事物组或此账户关联的权限 Write

securityprofile*

custommetric

dimension

thinggroup

AttachThingPrincipal 授予将指定委托人附加到指定事物的权限 Write
CancelAuditMitigationActionsTask 授予取消正在进行的缓解操作任务的权限 Write
CancelAuditTask 授予权限以取消正在进行的审计。审核可能是计划审核，也可能是按需审核 Write
CancelCertificateTransfer 授予取消指定证书的待处理传输的权限 Write

cert*

CancelDetectMitigationActionsTask 授予取消 Device Defender ML Detect 缓解操作的权限 Write
CancelJob 授予取消作业的权限 Write

job*

CancelJobExecution 授予在特定设备上取消作业执行的权限 Write

job*

thing*

ClearDefaultAuthorizer 授予清除默认授权者的权限 Write
CloseTunnel 授予关闭隧道的权限 Write

tunnel*

iot:Delete

ConfirmTopicRuleDestination 授予确认 http url TopicRuleDestinationDestination 的权限 Write

destination*

Connect 授予作为指定客户端进行连接的权限 Write

client*

CreateAuditSuppression 授予创建 Device Defender 审核抑制的权限 Write
CreateAuthorizer 授予创建授权方的权限 Write

authorizer*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateBillingGroup 授予创建账单组的权限 Write

billinggroup*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCertificateFromCsr 授予使用指定的证书签名请求创建 X.509 证书的权限 Write
CreateCustomMetric 授予创建用于设备端指标报告和监控的自定义指标的权限 Write

custommetric*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDimension 授予权限以定义一个维度，该维度可用于限制安全配置文件中使用的指标的范围 Write

dimension*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDomainConfiguration 授予创建域配置的权限 Write

domainconfiguration*

aws:RequestTag/${TagKey}

aws:TagKeys

iot:DomainName

CreateDynamicThingGroup 授予创建动态事物组的权限 Write

dynamicthinggroup*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFleetMetric 授予创建队列指标的权限 Write

fleetmetric*

index*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateJob 授予权限以创建作业 Write

job*

thing*

thinggroup*

jobtemplate

aws:RequestTag/${TagKey}

aws:TagKeys

CreateJobTemplate 授予创建作业模板的权限 Write

jobtemplate*

job

aws:RequestTag/${TagKey}

aws:TagKeys

CreateKeysAndCertificate 授予权限以创建 2048 位 RSA 密钥对，并使用已发布公有密钥颁发 X.509 证书 Write
CreateMitigationAction 授予权限以通过使用 StartAuditMitigationActionsTask 定义可应用于审核结果的操作 Write

mitigationaction*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateOTAUpdate 授予创建 OTA 更新作业的权限 Write

otaupdate*

aws:RequestTag/${TagKey}

aws:TagKeys

CreatePolicy 授予创建 Amazon IoT 策略的权限 Write

policy*

aws:RequestTag/${TagKey}

aws:TagKeys

CreatePolicyVersion 授予权限以创建指定 Amazon IoT 策略的新版本 Write

policy*

CreateProvisioningClaim 授予创建预置要求的权限 Write

provisioningtemplate*

CreateProvisioningTemplate 授予创建队列预置模板的权限 Write

provisioningtemplate*

iam:PassRole

aws:RequestTag/${TagKey}

aws:TagKeys

CreateProvisioningTemplateVersion 授予创建队列预置模板新版本的权限 Write

provisioningtemplate*

CreateRoleAlias 授予创建角色别名的权限 Write

rolealias*

iam:PassRole

aws:RequestTag/${TagKey}

aws:TagKeys

CreateScheduledAudit 授予权限以创建计划审核，使之按指定的时间间隔运行 Write

scheduledaudit*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSecurityProfile 授予创建 Device Defender 安全配置文件的权限 Write

securityprofile*

custommetric

dimension

aws:RequestTag/${TagKey}

aws:TagKeys

CreateStream 授予创建新 Amazon IoT 流的权限 Write

stream*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateThing 授予在事物注册表中创建事物的权限 Write

thing*

billinggroup

CreateThingGroup 授予权限以创建事物组 Write

thinggroup*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateThingType 授予权限以创建新的事物类型 Write

thingtype*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTopicRule 授予权限以创建规则 Write

rule*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTopicRuleDestination 授予创建 TopicRuleDestination 的权限 Write

destination*

DeleteAccountAuditConfiguration 授予删除与账户关联的审核配置的权限 Write
DeleteAuditSuppression 授予删除 Device Defender 审核抑制的权限 Write
DeleteAuthorizer 授予删除指定授权方的权限 Write

authorizer*

DeleteBillingGroup 授予权限以删除指定的账单组 Write

billinggroup*

DeleteCACertificate 授予删除已注册 CA 证书的权限 Write

cacert*

DeleteCertificate 授予删除指定证书的权限 Write

cert*

DeleteCustomMetric 授予从 Amazon Web Services 账户 中删除指定的自定义指标的权限。 Write

custommetric*

DeleteDimension 授予从您的 Amazon Web Services 账户 中删除指定维度的权限。 Write

dimension*

DeleteDomainConfiguration 授予权限以删除域配置 Write

domainconfiguration*

DeleteDynamicThingGroup 授予删除指定动态事物组的权限 Write

dynamicthinggroup*

DeleteFleetMetric 授予删除指定队列指标的权限 Write

fleetmetric*

DeleteJob 授予删除作业及其相关作业执行的权限 Write

job*

DeleteJobExecution 授予删除作业执行的权限 Write

job*

thing*

DeleteJobTemplate 授予删除作业模板的权限 Write

jobtemplate*

DeleteMitigationAction 授予从您的 Amazon Web Services 账户 中删除定义的缓解操作的权限。 Write

mitigationaction*

DeleteOTAUpdate 授予删除 OTA 更新作业的权限 Write

otaupdate*

DeletePolicy 授予删除指定策略的权限 Write

policy*

DeletePolicyVersion 授予删除指定策略的指定版本的权限 Write

policy*

DeleteProvisioningTemplate 授予删除队列预置模板的权限 Write

provisioningtemplate*

DeleteProvisioningTemplateVersion 授予删除队列预置模板版本的权限 Write

provisioningtemplate*

DeleteRegistrationCode 授予删除 CA 证书注册代码的权限 Write
DeleteRoleAlias 授予删除指定的角色别名的权限 Write

rolealias*

DeleteScheduledAudit 授予删除计划审核的权限 Write

scheduledaudit*

DeleteSecurityProfile 授予删除 Device Defender 安全配置文件的权限 Write

securityprofile*

custommetric

dimension

DeleteStream 授予删除指定流的权限 Write

stream*

DeleteThing 授予删除指定事物的权限 Write

thing*

DeleteThingGroup 授予删除指定事物组的权限 Write

thinggroup*

DeleteThingShadow 授予删除指定事物影子的权限 Write

thing*

DeleteThingType 授予删除指定事物类型的权限 Write

thingtype*

DeleteTopicRule 授予删除指定规则的权限 Write

rule*

DeleteTopicRuleDestination 授予删除 TopicRuleDestination 的权限 Write

destination*

DeleteV2LoggingLevel 授予删除指定的 v2 日志记录级别的权限 Write
DeprecateThingType 授予弃用指定事物类型的权限 Write

thingtype*

DescribeAccountAuditConfiguration 授予获取有关账户审核配置信息的权限 Read
DescribeAuditFinding 授予权限以获取有关单个审计发现的信息。属性包括不合规的原因、问题的严重性以及返回该结果的审核的开始时间 Read
DescribeAuditMitigationActionsTask 授予权限以获取有关审核缓解任务的信息，该任务用于向一组审核结果应用缓解操作 Read
DescribeAuditSuppression 授予获取有关 Device Defender 审核抑制的信息的权限 Read
DescribeAuditTask 授予获取有关 Device Defender 审核的信息的权限 Read
DescribeAuthorizer 授予描述授权者的权限 Read

authorizer*

DescribeBillingGroup 授予获取有关指定账单组的信息的权限 Read

billinggroup*

DescribeCACertificate 授予描述已注册 CA 证书的权限 Read

cacert*

DescribeCertificate 授予获取有关指定证书信息的权限 Read

cert*

DescribeCustomMetric 授予描述您的 Amazon Web Services 账户 中定义的自定义指标的权限。 Read

custommetric*

DescribeDefaultAuthorizer 授予描述默认授权方的权限 Read
DescribeDetectMitigationActionsTask 授予描述 Device Defender ML Detect 缓解操作的权限 Read
DescribeDimension 授予获取有关您的 Amazon Web Services 账户 中定义的维度的详细信息的权限。 Read

dimension*

DescribeDomainConfiguration 授予获取有关域配置信息的权限 Read

domainconfiguration*

DescribeEndpoint 授予获取特定于进行调用的 Amazon Web Services 账户 的唯一终端节点的权限 Read
DescribeEventConfigurations 授予获取账户事件配置的权限 Read
DescribeFleetMetric 授予获取有关指定队列指标信息的权限 Read

fleetmetric*

DescribeIndex 授予获取有关指定索引信息的权限 Read

index*

DescribeJob 授予描述作业的权限 Read

job*

DescribeJobExecution 授予描述作业执行的权限 Read

job

thing

DescribeJobTemplate 授予描述作业模板的权限 Read

jobtemplate*

DescribeManagedJobTemplate 授予描述托管任务模板的权限 Read

jobtemplate*

DescribeMitigationAction 授予获取有关缓解操作的信息的权限 Read

mitigationaction*

DescribeProvisioningTemplate 授予获取有关队列预置模板信息的权限 Read

provisioningtemplate*

DescribeProvisioningTemplateVersion 授予获取有关队列预置模板版本信息的权限 Read

provisioningtemplate*

DescribeRoleAlias 授予描述角色别名的权限 Read

rolealias*

DescribeScheduledAudit 授予获取有关计划审核信息的权限 Read

scheduledaudit*

DescribeSecurityProfile 授予获取有关 Device Defender 安全配置文件信息的权限 Read

securityprofile*

DescribeStream 授予获取有关指定流信息的权限 Read

stream*

DescribeThing 授予获取有关指定事物信息的权限 Read

thing*

DescribeThingGroup 授予权限以获取有关指定事物组的信息 Read

thinggroup*

DescribeThingRegistrationTask 授予获取有关批量事物注册任务信息的权限 Read
DescribeThingType 授予获取有关指定事物类型信息的权限 Read

thingtype*

DescribeTunnel 授予描述隧道的权限 Read

tunnel*

DetachPolicy 授予权限以将策略从指定的目标中分离 权限管理

cert

thinggroup

DetachPrincipalPolicy 授予从指定证书中删除指定策略的权限 权限管理

cert

DetachSecurityProfile 授予取消 Device Defender 安全配置文件与事物组或此账户的关联的权限 Write

securityprofile*

custommetric

dimension

thinggroup

DetachThingPrincipal 授予将指定委托人与指定事物分离的权限 Write
DisableTopicRule 授予禁用指定规则的权限 Write

rule*

EnableTopicRule 授予启用指定规则的权限 Write

rule*

GetBehaviorModelTrainingSummaries 授予获取 Device Defender ML Detect 安全配置文件训练模型状态的权限 List

securityprofile

GetBucketsAggregation 授予获取 IoT 队列索引的存储桶聚合的权限 Read

index*

GetCardinality 授予获取 IoT 队列索引基数的权限 Read

index*

GetEffectivePolicies 授予获取有效策略的权限 Read

cert

GetIndexingConfiguration 授予获取当前队列索引配置的权限 Read
GetJobDocument 授予获取作业文档的权限 Read

job*

GetLoggingOptions 授予获取日志记录选项的权限 Read
GetOTAUpdate 授予获取 OTA 更新作业信息的权限 Read

otaupdate*

GetPercentiles 授予获取 IoT 队列索引百分位数的权限 Read

index*

GetPolicy 授予权限以获取具有默认版本策略文档的指定策略的相关信息 Read

policy*

GetPolicyVersion 授予获取有关指定策略版本的信息的权限 Read

policy*

GetRegistrationCode 授予获取用于向 Amazon IoT 注册 CA 证书的注册代码的权限 Read
GetRetainedMessage 授予权限以获取指定主题上的保留邮件 Read

topic*

GetStatistics 授予获取 IoT 队列索引统计数据的权限 Read

index*

GetThingShadow 授予获取事物影子的权限 Read

thing*

GetTopicRule 授予获取有关指定规则的信息的权限 Read

rule*

GetTopicRuleDestination 授予获取 TopicRuleDestination 的权限 Read

destination*

GetV2LoggingOptions 授予获取 v2 日志记录选项的权限 Read
ListActiveViolations 授予权限以列出给定 Device Defender 安全配置文件或事物的活动违规 List

securityprofile

thing

ListAttachedPolicies 授予列出附加到指定事物组的策略的权限 List
ListAuditFindings 授予权限以列出 Device Defender 审核的结果或在指定时间段内审核执行的结果 List
ListAuditMitigationActionsExecutions 授予获取已执行审核缓解操作任务状态的权限 List
ListAuditMitigationActionsTasks 授予获取与指定的筛选条件匹配的审核缓解操作任务的列表 List
ListAuditSuppressions 授予列出 Device Defender 审核抑制的权限 List
ListAuditTasks 授予列出已在指定时间段内执行的 Device Defender 审核的权限 List
ListAuthorizers 授予列出在您的账户中注册的授权方的权限 List
ListBillingGroups 授予列出所有账单组的权限 List
ListCACertificates 授予列出为您的 Amazon Web Services 账户 注册的 CA 证书的权限。 List
ListCertificates 授予列出证书的权限 List
ListCertificatesByCA 授予列出由指定 CA 证书签名的设备证书的权限 List
ListCustomMetrics 授予列出 Amazon Web Services 账户 中自定义指标的权限。 List
ListDetectMitigationActionsExecutions 授予列出 Device Defender ML Detect 安全配置文件的缓解操作执行的权限 List

thing

ListDetectMitigationActionsTasks 授予列出 Device Defender ML Detect 缓解操作任务的权限 List
ListDimensions 授予列出为您的 Amazon Web Services 账户 定义的维度的权限。 List
ListDomainConfigurations 授予列出您的 Amazon Web Services 账户 创建的域配置的权限。 List
ListFleetMetrics 授予在您的账户中列出队列指标的权限 List
ListIndices 授予列出队列索引的所有索引的权限 List
ListJobExecutionsForJob 授予列出作业的作业执行的权限 List

job*

ListJobExecutionsForThing 授予列出指定事物的作业执行的权限 List

thing*

ListJobTemplates 授予列出作业模板的权限 List
ListJobs 授予列出作业的权限 List
ListManagedJobTemplates 授予列出托管任务模板的权限 List
ListMetricValues 增加对列出为 IoT 设备收集的指标数据点的支持 List

thing*

ListMitigationActions 授予权限以获取与指定筛选条件匹配的所有缓解操作的列表 List
ListNamedShadowsForThing 授予列出给定事物的所有已命名影子的权限 List

thing*

ListOTAUpdates 授予在账户中列出 OTA 更新作业的权限 List
ListOutgoingCertificates 授予列出正在传输但尚未接受的证书的权限 List
ListPolicies 授予列出策略的权限 List
ListPolicyPrincipals 授予列出与指定策略关联的委托人的权限 List
ListPolicyVersions 授予列出指定策略版本的权限，并标识默认版本 List

policy*

ListPrincipalPolicies 授予权限以列出附加到指定委托人的策略。如果您使用 Amazon Cognito 身份，ID 需要使用 Amazon Cognito 身份格式 List
ListPrincipalThings 授予列出与指定委托人关联的事物的权限 List
ListProvisioningTemplateVersions 授予获取队列预置模板版本列表的权限 List

provisioningtemplate*

ListProvisioningTemplates 授予在您的 Amazon Web Services 账户 中列出队列预置模板的权限。 List
ListRelatedResourcesForAuditFinding 授予权限以列出单个审计查找结果的相关项目 List
ListRetainedMessages 授予权限以列出账户保留的邮件 List
ListRoleAliases 授予列出角色别名的权限 List
ListScheduledAudits 授予列出所有计划审核的权限 List
ListSecurityProfiles 授予列出您创建的 Device Defender 安全配置文件的权限 List

custommetric

dimension

ListSecurityProfilesForTarget 授予列出附加到目标的 Device Defender 安全配置文件的权限 List

thinggroup

ListStreams 授予列出您的账户中的流的权限 List
ListTagsForResource 授予权限以列出给定资源的所有标签 Read

authorizer

billinggroup

cacert

custommetric

dimension

domainconfiguration

dynamicthinggroup

fleetmetric

job

jobtemplate

mitigationaction

otaupdate

policy

provisioningtemplate

rolealias

rule

scheduledaudit

securityprofile

stream

thinggroup

thingtype

ListTargetsForPolicy 授予列出指定策略的目标的权限 List

policy*

ListTargetsForSecurityProfile 授予列出与给定 Device Defender 安全配置文件关联的目标的权限 List

securityprofile*

ListThingGroups 授予列出所有事物组的权限 List
ListThingGroupsForThing 授予列出指定事物所属的事物组的权限 List

thing*

ListThingPrincipals 授予列出与指定事物关联的委托人的权限 List
ListThingRegistrationTaskReports 授予列出有关批量事物注册任务的信息的权限 List
ListThingRegistrationTasks 授予列出批量事物注册任务的权限 List
ListThingTypes 授予列出所有事物类型的权限 List
ListThings 授予列出所有事物的权限 List
ListThingsInBillingGroup 授予列出指定账单组中所有事物的权限 List

billinggroup*

ListThingsInThingGroup 授予列出指定事物组中所有事物的权限 List

thinggroup*

ListTopicRuleDestinations 授予列出所有 TopicRuleDestinations 的权限 List
ListTopicRules 授予列出特定主题的规则的权限 List
ListTunnels 授予列出隧道的权限 List
ListV2LoggingLevels 授予列出 v2 日志记录级别的权限 List
ListViolationEvents 授予权限以列出在指定时间段内发现的 Device Defender 安全配置文件违规事件 List

securityprofile

thing

OpenTunnel 授予打开隧道的权限 Write

aws:RequestTag/${TagKey}

aws:TagKeys

iot:ThingGroupArn

iot:TunnelDestinationService

Publish 授予发布到指定主题的权限 Write

topic*

PutVerificationStateOnViolation 授予将违规置于验证状态的权限 Write
Receive 授予从指定主题接收的权限 Write

topic*

RegisterCACertificate 授予向 Amazon IoT 注册 CA 证书的权限。 Write

aws:RequestTag/${TagKey}

aws:TagKeys

iam:PassRole

RegisterCertificate 授予向 Amazon IoT 注册设备证书的权限。 Write
RegisterCertificateWithoutCA 授予权限以在没有已注册的 CA（证书颁发机构）的情况下向 Amazon IoT 注册设备证书。 Write
RegisterThing 授予注册您的事物的权限 Write
RejectCertificateTransfer 授予拒绝待处理证书传输的权限 Write

cert*

RemoveThingFromBillingGroup 授予从指定账单组中删除事物的权限 Write

billinggroup*

thing*

RemoveThingFromThingGroup 授予从指定事物组中删除事物的权限 Write

thing*

thinggroup*

ReplaceTopicRule 授予替换指定规则的权限 Write

rule*

RetainPublish 授予将保留邮件发布到指定主题的权限 Write

topic*

RotateTunnelAccessToken 授予轮换隧道访问令牌的权限 Write

tunnel*

iot:ThingGroupArn

iot:TunnelDestinationService

iot:ClientMode

SearchIndex 授予搜索 IoT 队列索引的权限 Read

index*

SetDefaultAuthorizer 授予权限以设置默认授权方。如果在没有指定授权方的情况下进行 websocket 连接，则将使用此项 权限管理

authorizer*

SetDefaultPolicyVersion 授予权限以将指定策略的指定版本设置为策略的默认（有效）版本 权限管理

policy*

SetLoggingOptions 授予设置日志记录选项的权限 Write
SetV2LoggingLevel 授予设置 v2 日志记录级别的权限 Write
SetV2LoggingOptions 授予设置 v2 日志记录选项的权限 Write
StartAuditMitigationActionsTask 授予启动将一组缓解操作应用于指定目标的任务的权限 Write
StartDetectMitigationActionsTask 授予启动 Device Defender ML Detect 缓解操作任务的权限 Write

securityprofile

StartOnDemandAuditTask 授予启动按需 Device Defender 审核的权限 Write
StartThingRegistrationTask 授予启动批量事物注册任务的权限 Write
StopThingRegistrationTask 授予停止批量事物注册任务的权限 Write
Subscribe 授予订阅指定 TopicFilter 的权限 Write

topicfilter*

TagResource 授予标记指定资源的权限 Tagging

authorizer

billinggroup

cacert

custommetric

dimension

domainconfiguration

dynamicthinggroup

fleetmetric

job

jobtemplate

mitigationaction

otaupdate

policy

provisioningtemplate

rolealias

rule

scheduledaudit

securityprofile

stream

thinggroup

thingtype

aws:RequestTag/${TagKey}

aws:TagKeys

TestAuthorization 授予测试组策略的策略评估的权限 Read

cert

TestInvokeAuthorizer 授予测试调用指定的自定义授权方以用于测试目的的权限 Read

authorizer*

TransferCertificate 授予将指定证书传输到指定 Amazon Web Services 账户 的权限。 Write

cert*

UntagResource 授予取消标记指定资源的权限 Tagging

authorizer

billinggroup

cacert

custommetric

dimension

domainconfiguration

dynamicthinggroup

fleetmetric

job

jobtemplate

mitigationaction

otaupdate

policy

provisioningtemplate

rolealias

rule

scheduledaudit

securityprofile

stream

thinggroup

thingtype

aws:TagKeys

UpdateAccountAuditConfiguration 授予配置或重新配置此账户的 Device Defender 审核设置的权限 Write
UpdateAuditSuppression 授予更新 Device Defender 审核抑制的权限 Write
UpdateAuthorizer 授予更新授权方的权限 Write

authorizer*

UpdateBillingGroup 授予更新与指定账单组关联的信息的权限 Write

billinggroup*

UpdateCACertificate 授予更新已注册 CA 证书的权限 Write

cacert*

iam:PassRole

UpdateCertificate 授予权限以更新指定证书的状态。此操作是幂等的 Write

cert*

UpdateCustomMetric 授予更新指定自定义指标的权限 Write

custommetric*

UpdateDimension 授予更新维度定义的权限 Write

dimension*

UpdateDomainConfiguration 授予权限以更新域配置 Write

domainconfiguration*

UpdateDynamicThingGroup 授予更新动态事物组的权限 Write

dynamicthinggroup*

UpdateEventConfigurations 授予更新事件配置的权限 Write
UpdateFleetMetric 授予更新队列指标的权限 Write

fleetmetric*

index*

UpdateIndexingConfiguration 授予更新队列索引配置的权限 Write
UpdateJob 授予权限以更新作业 Write

job*

UpdateMitigationAction 授予更新指定缓解操作的定义的权限 Write

mitigationaction*

UpdateProvisioningTemplate 授予更新队列预置模板的权限 Write

provisioningtemplate*

iam:PassRole

UpdateRoleAlias 授予更新角色别名的权限 Write

rolealias*

iam:PassRole

UpdateScheduledAudit 授予权限以更新计划审核，包括执行的检查和审核执行的频率 Write

scheduledaudit*

UpdateSecurityProfile 授予更新 Device Defender 安全配置文件的权限 Write

securityprofile*

custommetric

dimension

UpdateStream 授予更新流数据的权限 Write

stream*

UpdateThing 授予更新与指定事物关联的信息的权限 Write

thing*

UpdateThingGroup 授予更新与指定事物组关联的信息的权限 Write

thinggroup*

UpdateThingGroupsForThing 授予更新事物所属的事物组的权限 Write

thing*

thinggroup

UpdateThingShadow 授予更新事物影子的权限 Write

thing*

UpdateTopicRuleDestination 授予更新 TopicRuleDestination 的权限 Write

destination*

ValidateSecurityProfileBehaviors 授予验证 Device Defender 安全配置文件行为规范的权限 Read

Amazon IoT 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
client arn:${Partition}:iot:${Region}:${Account}:client/${ClientId}
index arn:${Partition}:iot:${Region}:${Account}:index/${IndexName}
fleetmetric arn:${Partition}:iot:${Region}:${Account}:fleetmetric/${FleetMetricName}

aws:ResourceTag/${TagKey}

job arn:${Partition}:iot:${Region}:${Account}:job/${JobId}

aws:ResourceTag/${TagKey}

jobtemplate arn:${Partition}:iot:${Region}:${Account}:jobtemplate/${JobTemplateId}

aws:ResourceTag/${TagKey}

tunnel arn:${Partition}:iot:${Region}:${Account}:tunnel/${TunnelId}

aws:ResourceTag/${TagKey}

thing arn:${Partition}:iot:${Region}:${Account}:thing/${ThingName}
thinggroup arn:${Partition}:iot:${Region}:${Account}:thinggroup/${ThingGroupName}

aws:ResourceTag/${TagKey}

billinggroup arn:${Partition}:iot:${Region}:${Account}:billinggroup/${BillingGroupName}

aws:ResourceTag/${TagKey}

dynamicthinggroup arn:${Partition}:iot:${Region}:${Account}:thinggroup/${ThingGroupName}

aws:ResourceTag/${TagKey}

thingtype arn:${Partition}:iot:${Region}:${Account}:thingtype/${ThingTypeName}

aws:ResourceTag/${TagKey}

topic arn:${Partition}:iot:${Region}:${Account}:topic/${TopicName}
topicfilter arn:${Partition}:iot:${Region}:${Account}:topicfilter/${TopicFilter}
rolealias arn:${Partition}:iot:${Region}:${Account}:rolealias/${RoleAlias}

aws:ResourceTag/${TagKey}

authorizer arn:${Partition}:iot:${Region}:${Account}:authorizer/${AuthorizerName}

aws:ResourceTag/${TagKey}

policy arn:${Partition}:iot:${Region}:${Account}:policy/${PolicyName}

aws:ResourceTag/${TagKey}

cert arn:${Partition}:iot:${Region}:${Account}:cert/${Certificate}
cacert arn:${Partition}:iot:${Region}:${Account}:cacert/${CACertificate}

aws:ResourceTag/${TagKey}

stream arn:${Partition}:iot:${Region}:${Account}:stream/${StreamId}

aws:ResourceTag/${TagKey}

otaupdate arn:${Partition}:iot:${Region}:${Account}:otaupdate/${OtaUpdateId}

aws:ResourceTag/${TagKey}

scheduledaudit arn:${Partition}:iot:${Region}:${Account}:scheduledaudit/${ScheduleName}

aws:ResourceTag/${TagKey}

mitigationaction arn:${Partition}:iot:${Region}:${Account}:mitigationaction/${MitigationActionName}

aws:ResourceTag/${TagKey}

securityprofile arn:${Partition}:iot:${Region}:${Account}:securityprofile/${SecurityProfileName}

aws:ResourceTag/${TagKey}

custommetric arn:${Partition}:iot:${Region}:${Account}:custommetric/${MetricName}

aws:ResourceTag/${TagKey}

dimension arn:${Partition}:iot:${Region}:${Account}:dimension/${DimensionName}

aws:ResourceTag/${TagKey}

rule arn:${Partition}:iot:${Region}:${Account}:rule/${RuleName}

aws:ResourceTag/${TagKey}

destination arn:${Partition}:iot:${Region}:${Account}:destination/${DestinationType}/${Uuid}
provisioningtemplate arn:${Partition}:iot:${Region}:${Account}:provisioningtemplate/${ProvisioningTemplate}

aws:ResourceTag/${TagKey}

domainconfiguration arn:${Partition}:iot:${Region}:${Account}:domainconfiguration/${DomainConfigurationName}/${Id}

aws:ResourceTag/${TagKey}

Amazon IoT 的条件键

Amazon IoT 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键 描述 类型
aws:RequestTag/${TagKey} 按请求中包含的标签键筛选访问 字符串
aws:ResourceTag/${TagKey} 按与请求中的 IoT 资源关联的标签的标签键组成筛选访问 字符串
aws:TagKeys 按请求中与 IoT 资源关联的标签键的列表筛选访问 字符串数组
iot:ClientMode 按客户端模式对 IoT 隧道的访问权限进行筛选 字符串
iot:Delete 通过标记筛选访问，该标记指示在进行 iot:CloseTunnel 请求时是否也要立即删除 IoT 隧道 Bool
iot:DomainName 根据 IoT DomainConfiguration 的域名筛选访问 字符串
iot:ThingGroupArn 按照 IoT 隧道的 IoT 事物组 ARN（拥有目标 IoT 事物）的列表筛选访问 字符串数组
iot:TunnelDestinationService 按 IoT 隧道的目标服务列表筛选访问 字符串数组