AWS IoT 的操作、资源和条件键 - 服务授权参考
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

AWS IoT 的操作、资源和条件键

AWS IoT(服务前缀:iot)提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考:

AWS IoT 定义的操作

您可以在 Action 策略语句的 IAM 元素中指定以下操作。可以使用策略授予在 AWS 中执行操作的权限。您在策略中使用一项操作时,通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下,单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值,您必须在策略语句的 Resource 元素中指定所有资源(“*”)。如果该列包含一种资源类型,则可以在含有该操作的语句中指定该类型的 ARN。必需资源在表中以星号 (*) 表示。如果在使用该操作的语句中指定资源级权限 ARN,则它必须属于该类型。某些操作支持多种资源类型。如果资源类型是可选的(未指示为必需),则可以选择使用一种类型而不使用其他类型。

有关下表中各列的详细信息,请参阅 操作表

操作 描述 访问级别 资源类型(* 为必需) 条件键 相关操作
AcceptCertificateTransfer 授予接受待处理证书传输的权限。 写入

cert*

AddThingToBillingGroup 授予向指定账单组添加事物的权限。 写入

billinggroup*

thing*

AddThingToThingGroup 授予向指定事物组添加事物的权限。 写入

thing*

thinggroup*

AssociateTargetsWithJob 授予将组与连续作业关联的权限。 写入

job*

thing*

thinggroup*

AttachPolicy 授予将策略附加到指定目标的权限。 权限管理

cert

thinggroup

AttachPrincipalPolicy 授予将指定的策略附加到指定的委托人(证书或其他凭证)的权限。 权限管理

cert

AttachSecurityProfile 授予将 Device Defender 安全配置文件与事物组或此账户关联的权限。 写入

securityprofile*

custommetric

dimension

thinggroup

AttachThingPrincipal 授予将指定委托人附加到指定事物的权限。 写入
CancelAuditMitigationActionsTask 授予取消正在进行的缓解操作任务的权限。 写入
CancelAuditTask 授予取消正在进行的审核的权限。审核可能是计划审核,也可能是按需审核。 写入
CancelCertificateTransfer 授予取消指定证书的待处理传输的权限。 写入

cert*

CancelDetectMitigationActionsTask 授予取消 Device Defender ML Detect 缓解操作的权限。 写入
CancelJob 授予取消作业的权限。 写入

job*

CancelJobExecution 授予在特定设备上取消作业执行的权限。 写入

job*

thing*

ClearDefaultAuthorizer 授予清除默认授权者的权限。 写入
CloseTunnel 授予关闭隧道的权限。 写入

tunnel*

iot:Delete

ConfirmTopicRuleDestination 授予确认 http url TopicRuleDestinationDestination 的权限。 写入

destination*

Connect 授予作为指定客户端进行连接的权限 写入

client*

CreateAuditSuppression 授予创建 Device Defender 审核抑制的权限。 写入
CreateAuthorizer 授予创建授权方的权限。 写入

authorizer*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateBillingGroup 授予创建账单组的权限。 写入

billinggroup*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCertificateFromCsr 授予使用指定的证书签名请求创建 X.509 证书的权限。 写入
CreateCustomMetric 授予创建用于设备端指标报告和监控的自定义指标的权限。 写入

custommetric*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDimension 授予权限以定义一个维度,该维度可用于限制安全配置文件中使用的指标的范围。 写入

dimension*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDomainConfiguration 授予创建域配置的权限。 写入

domainconfiguration*

aws:RequestTag/${TagKey}

aws:TagKeys

iot:DomainName

CreateDynamicThingGroup 授予创建动态事物组的权限 写入

dynamicthinggroup*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFleetMetric 授予创建队列指标的权限 写入

fleetmetric*

index*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateJob 授予创建作业的权限。 写入

job*

thing*

thinggroup*

jobtemplate

aws:RequestTag/${TagKey}

aws:TagKeys

CreateJobTemplate 授予创建作业模板的权限。 写入

jobtemplate*

job

aws:RequestTag/${TagKey}

aws:TagKeys

CreateKeysAndCertificate 授予权限以创建 2048 位 RSA 密钥对,并使用已发布公有密钥颁发 X.509 证书。 写入
CreateMitigationAction 授予权限以通过使用 StartAuditMitigationActionsTask 定义可应用于审核结果的操作。 写入

mitigationaction*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateOTAUpdate 授予创建 OTA 更新作业的权限。 写入

otaupdate*

aws:RequestTag/${TagKey}

aws:TagKeys

CreatePolicy 授予创建 AWS IoT 策略的权限。 写入

policy*

aws:RequestTag/${TagKey}

aws:TagKeys

CreatePolicyVersion 授予权限以创建指定 AWS IoT 策略的新版本。 写入

policy*

CreateProvisioningClaim 授予创建预置要求的权限。 写入

provisioningtemplate*

CreateProvisioningTemplate 授予创建队列预置模板的权限。 写入

provisioningtemplate*

iam:PassRole

aws:RequestTag/${TagKey}

aws:TagKeys

CreateProvisioningTemplateVersion 授予创建队列预置模板新版本的权限。 写入

provisioningtemplate*

CreateRoleAlias 授予创建角色别名的权限。 写入

rolealias*

iam:PassRole

aws:RequestTag/${TagKey}

aws:TagKeys

CreateScheduledAudit 授予权限以创建计划审核,使之按指定的时间间隔运行。 写入

scheduledaudit*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSecurityProfile 授予创建 Device Defender 安全配置文件的权限。 写入

securityprofile*

custommetric

dimension

aws:RequestTag/${TagKey}

aws:TagKeys

CreateStream 授予创建新 AWS IoT 流的权限 写入

stream*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateThing 授予在事物注册表中创建事物的权限。 写入

thing*

billinggroup

CreateThingGroup 授予权限以创建事物组。 写入

thinggroup*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateThingType 授予权限以创建新的事物类型。 写入

thingtype*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTopicRule 授予权限以创建规则。 写入

rule*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTopicRuleDestination 授予创建 TopicRuleDestination 的权限。 写入

destination*

DeleteAccountAuditConfiguration 授予删除与账户关联的审核配置的权限。 写入
DeleteAuditSuppression 授予删除 Device Defender 审核抑制的权限。 写入
DeleteAuthorizer 授予删除指定授权方的权限。 写入

authorizer*

DeleteBillingGroup 授予权限以删除指定的账单组。 写入

billinggroup*

DeleteCACertificate 授予删除已注册 CA 证书的权限。 写入

cacert*

DeleteCertificate 授予删除指定证书的权限。 写入

cert*

DeleteCustomMetric 授予从亚马逊云科技账户中删除指定的自定义指标的权限。 写入

custommetric*

DeleteDimension 授予从您的 AWS 账户中删除指定维度的权限。 写入

dimension*

DeleteDomainConfiguration 授予删除域配置的权限。 写入

domainconfiguration*

DeleteDynamicThingGroup 授予删除指定动态事物组的权限 写入

dynamicthinggroup*

DeleteFleetMetric 授予删除指定队列指标的权限 写入

fleetmetric*

DeleteJob 授予删除作业及其相关作业执行的权限。 写入

job*

DeleteJobExecution 授予删除作业执行的权限。 写入

job*

thing*

DeleteJobTemplate 授予删除作业模板的权限。 写入

jobtemplate*

DeleteMitigationAction 授予从您的 AWS 账户中删除定义的缓解操作的权限。 写入

mitigationaction*

DeleteOTAUpdate 授予删除 OTA 更新作业的权限。 写入

otaupdate*

DeletePolicy 授予删除指定策略的权限。 写入

policy*

DeletePolicyVersion 授予删除指定策略的指定版本的权限。 写入

policy*

DeleteProvisioningTemplate 授予删除队列预置模板的权限。 写入

provisioningtemplate*

DeleteProvisioningTemplateVersion 授予删除队列预置模板版本的权限。 写入

provisioningtemplate*

DeleteRegistrationCode 授予删除 CA 证书注册代码的权限。 写入
DeleteRoleAlias 授予删除指定的角色别名的权限。 写入

rolealias*

DeleteScheduledAudit 授予删除计划审核的权限。 写入

scheduledaudit*

DeleteSecurityProfile 授予删除 Device Defender 安全配置文件的权限。 写入

securityprofile*

custommetric

dimension

DeleteStream 授予删除指定流的权限。 写入

stream*

DeleteThing 授予删除指定事物的权限。 写入

thing*

DeleteThingGroup 授予删除指定事物组的权限。 写入

thinggroup*

DeleteThingShadow 授予删除指定事物影子的权限。 写入

thing*

DeleteThingType 授予删除指定事物类型的权限。 写入

thingtype*

DeleteTopicRule 授予删除指定规则的权限。 写入

rule*

DeleteTopicRuleDestination 授予删除 TopicRuleDestination 的权限。 写入

destination*

DeleteV2LoggingLevel 授予删除指定的 v2 日志记录级别的权限。 写入
DeprecateThingType 授予弃用指定事物类型的权限。 写入

thingtype*

DescribeAccountAuditConfiguration 授予获取有关账户审核配置信息的权限。 Read
DescribeAuditFinding 授予获取有关单个审核发现的信息的权限。属性包括不合规的原因、问题的严重性以及返回该结果的审核的开始时间。 Read
DescribeAuditMitigationActionsTask 授予权限以获取有关审核缓解任务的信息,该任务用于向一组审核结果应用缓解操作。 Read
DescribeAuditSuppression 授予获取有关 Device Defender 审核抑制的信息的权限。 Read
DescribeAuditTask 授予获取有关 Device Defender 审核的信息的权限。 Read
DescribeAuthorizer 授予描述授权者的权限。 Read

authorizer*

DescribeBillingGroup 授予获取有关指定账单组的信息的权限。 Read

billinggroup*

DescribeCACertificate 授予描述已注册 CA 证书的权限。 Read

cacert*

DescribeCertificate 授予获取有关指定证书信息的权限。 Read

cert*

DescribeCustomMetric 授予描述亚马逊云科技账户中定义的自定义指标的权限。 Read

custommetric*

DescribeDefaultAuthorizer 授予描述默认授权方的权限。 Read
DescribeDetectMitigationActionsTask 授予描述 Device Defender ML Detect 缓解操作的权限。 Read
DescribeDimension 授予权限以获取有关您的 AWS 账户中定义的维度的详细信息。 Read

dimension*

DescribeDomainConfiguration 授予获取有关域配置信息的权限。 Read

domainconfiguration*

DescribeEndpoint 授予获取特定于进行调用的 AWS 账户的唯一终端节点的权限。 Read
DescribeEventConfigurations 授予获取账户事件配置的权限。 Read
DescribeFleetMetric 授予获取有关指定队列指标信息的权限。 Read

fleetmetric*

DescribeIndex 授予获取有关指定索引信息的权限。 Read

index*

DescribeJob 授予描述作业的权限。 Read

job*

DescribeJobExecution 授予描述作业执行的权限。 Read

job

thing

DescribeJobTemplate 授予描述作业模板的权限。 Read

jobtemplate*

DescribeMitigationAction 授予获取有关缓解操作的信息的权限。 Read

mitigationaction*

DescribeProvisioningTemplate 授予获取有关队列预置模板信息的权限。 Read

provisioningtemplate*

DescribeProvisioningTemplateVersion 授予获取有关队列预置模板版本信息的权限。 Read

provisioningtemplate*

DescribeRoleAlias 授予描述角色别名的权限。 Read

rolealias*

DescribeScheduledAudit 授予获取有关计划审核信息的权限。 Read

scheduledaudit*

DescribeSecurityProfile 授予获取有关 Device Defender 安全配置文件信息的权限。 Read

securityprofile*

DescribeStream 授予获取有关指定流信息的权限。 Read

stream*

DescribeThing 授予获取有关指定事物信息的权限。 Read

thing*

DescribeThingGroup 授予权限以获取有关指定事物组的信息。 Read

thinggroup*

DescribeThingRegistrationTask 授予获取有关批量事物注册任务信息的权限。 Read
DescribeThingType 授予获取有关指定事物类型信息的权限。 Read

thingtype*

DescribeTunnel 授予描述隧道的权限。 Read

tunnel*

DetachPolicy 授予权限以将策略从指定的目标中分离。 权限管理

cert

thinggroup

DetachPrincipalPolicy 授予从指定证书中删除指定策略的权限。 权限管理

cert

DetachSecurityProfile 授予取消 Device Defender 安全配置文件与事物组或此账户的关联的权限。 写入

securityprofile*

custommetric

dimension

thinggroup

DetachThingPrincipal 授予将指定委托人与指定事物分离的权限。 写入
DisableTopicRule 授予禁用指定规则的权限。 写入

rule*

EnableTopicRule 授予启用指定规则的权限。 写入

rule*

GetBehaviorModelTrainingSummaries 授予获取 Device Defender ML Detect 安全配置文件训练模型状态的权限。 List

securityprofile

GetBucketsAggregation 授予获取 IoT 队列索引的存储桶聚合的权限 Read

index*

GetCardinality 授予获取 IoT 队列索引基数的权限 Read

index*

GetEffectivePolicies 授予获取有效策略的权限。 Read

cert

GetIndexingConfiguration 授予获取当前队列索引配置的权限 Read
GetJobDocument 授予获取作业文档的权限。 Read

job*

GetLoggingOptions 授予获取日志记录选项的权限。 Read
GetOTAUpdate 授予获取 OTA 更新作业信息的权限。 Read

otaupdate*

GetPendingJobExecutions 授予获取未处于终端状态的事物的所有作业列表的权限。 Read

thing*

GetPercentiles 授予获取 IoT 队列索引百分位数的权限 Read

index*

GetPolicy 授予权限以获取具有默认版本策略文档的指定策略的相关信息。 Read

policy*

GetPolicyVersion 授予获取有关指定策略版本的信息的权限。 Read

policy*

GetRegistrationCode 授予获取用于向 AWS IoT 注册 CA 证书的注册代码的权限。 Read
GetStatistics 授予获取 IoT 队列索引统计数据的权限 Read

index*

GetThingShadow 授予获取事物影子的权限。 Read

thing*

GetTopicRule 授予获取有关指定规则的信息的权限。 Read

rule*

GetTopicRuleDestination 授予获取 TopicRuleDestination 的权限。 Read

destination*

GetV2LoggingOptions 授予获取 v2 日志记录选项的权限。 Read
ListActiveViolations 授予权限以列出给定 Device Defender 安全配置文件或事物的活动违规。 List

securityprofile

thing

ListAttachedPolicies 授予列出附加到指定事物组的策略的权限。 List
ListAuditFindings 授予权限以列出 Device Defender 审核的结果或在指定时间段内审核执行的结果。 List
ListAuditMitigationActionsExecutions 授予获取已执行审核缓解操作任务状态的权限。 List
ListAuditMitigationActionsTasks 授予获取与指定的筛选条件匹配的审核缓解操作任务的列表。 List
ListAuditSuppressions 授予列出 Device Defender 审核抑制的权限。 List
ListAuditTasks 授予列出已在指定时间段内执行的 Device Defender 审核的权限。 List
ListAuthorizers 授予列出在您的账户中注册的授权方的权限。 List
ListBillingGroups 授予列出所有账单组的权限。 List
ListCACertificates 授予列出为您的 AWS 账户注册的 CA 证书的权限。 List
ListCertificates 授予列出证书的权限。 List
ListCertificatesByCA 授予列出由指定 CA 证书签名的设备证书的权限。 List
ListCustomMetrics 授予列出亚马逊云科技账户中自定义指标的权限。 List
ListDetectMitigationActionsExecutions 授予列出 Device Defender ML Detect 安全配置文件的缓解操作执行的权限。 List

thing

ListDetectMitigationActionsTasks 授予列出 Device Defender ML Detect 缓解操作任务的权限。 List
ListDimensions 授予列出为您的 AWS 账户定义的维度的权限。 List
ListDomainConfigurations 授予列出您的 AWS 账户创建的域配置的权限。 List
ListFleetMetrics 授予在您的账户中列出队列指标的权限。 List
ListIndices 授予列出队列索引的所有索引的权限 List
ListJobExecutionsForJob 授予列出作业的作业执行的权限。 List

job*

ListJobExecutionsForThing 授予列出指定事物的作业执行的权限。 List

thing*

ListJobTemplates 授予列出作业模板的权限。 List
ListJobs 授予列出作业的权限。 List
ListMitigationActions 授予权限以获取与指定筛选条件匹配的所有缓解操作的列表。 List
ListNamedShadowsForThing 授予列出给定事物的所有已命名影子的权限。 List

thing*

ListOTAUpdates 授予在账户中列出 OTA 更新作业的权限。 List
ListOutgoingCertificates 授予列出正在传输但尚未接受的证书的权限。 List
ListPolicies 授予列出策略的权限。 List
ListPolicyPrincipals 授予列出与指定策略关联的委托人的权限。 List
ListPolicyVersions 授予列出指定策略版本的权限,并标识默认版本。 List

policy*

ListPrincipalPolicies 授予列出附加到指定委托人的策略的权限。如果您使用 Amazon Cognito 身份,ID 需要使用 Amazon Cognito 身份格式。 List
ListPrincipalThings 授予列出与指定委托人关联的事物的权限。 List
ListProvisioningTemplateVersions 授予获取队列预置模板版本列表的权限。 List

provisioningtemplate*

ListProvisioningTemplates 授予在您的 AWS 账户中列出队列预置模板的权限。 List
ListRoleAliases 授予列出角色别名的权限。 List
ListScheduledAudits 授予列出所有计划审核的权限。 List
ListSecurityProfiles 授予列出您创建的 Device Defender 安全配置文件的权限。 List

custommetric

dimension

ListSecurityProfilesForTarget 授予列出附加到目标的 Device Defender 安全配置文件的权限。 List

thinggroup

ListStreams 授予列出您的账户中的流的权限。 List
ListTagsForResource 授予权限以列出给定资源的所有标签。 List

authorizer

billinggroup

cacert

custommetric

dimension

domainconfiguration

dynamicthinggroup

fleetmetric

job

jobtemplate

mitigationaction

otaupdate

policy

provisioningtemplate

rolealias

rule

scheduledaudit

securityprofile

stream

thinggroup

thingtype

ListTargetsForPolicy 授予列出指定策略的目标的权限。 List

policy*

ListTargetsForSecurityProfile 授予列出与给定 Device Defender 安全配置文件关联的目标的权限。 List

securityprofile*

ListThingGroups 授予列出所有事物组的权限。 List
ListThingGroupsForThing 授予列出指定事物所属的事物组的权限。 List

thing*

ListThingPrincipals 授予列出与指定事物关联的委托人的权限。 List
ListThingRegistrationTaskReports 授予列出有关批量事物注册任务的信息的权限。 List
ListThingRegistrationTasks 授予列出批量事物注册任务的权限。 List
ListThingTypes 授予列出所有事物类型的权限。 List
ListThings 授予列出所有事物的权限。 List
ListThingsInBillingGroup 授予列出指定账单组中所有事物的权限。 List

billinggroup*

ListThingsInThingGroup 授予列出指定事物组中所有事物的权限。 List

thinggroup*

ListTopicRuleDestinations 授予列出所有 TopicRuleDestinations 的权限。 List
ListTopicRules 授予列出特定主题的规则的权限。 List
ListTunnels 授予列出隧道的权限。 List
ListV2LoggingLevels 授予列出 v2 日志记录级别的权限。 List
ListViolationEvents 授予权限以列出在指定时间段内发现的 Device Defender 安全配置文件违规事件。 List

securityprofile

thing

OpenTunnel 授予打开隧道的权限。 写入

aws:RequestTag/${TagKey}

aws:TagKeys

iot:ThingGroupArn

iot:TunnelDestinationService

Publish 授予发布到指定主题的权限。 写入

topic*

Receive 授予从指定主题接收的权限。 写入

topic*

RegisterCACertificate 授予向 AWS IoT 注册 CA 证书的权限。 写入

aws:RequestTag/${TagKey}

aws:TagKeys

iam:PassRole

RegisterCertificate 授予向 AWS IoT 注册设备证书的权限。 写入
RegisterCertificateWithoutCA 授予权限以在没有已注册的 CA(证书颁发机构)的情况下向 AWS IoT 注册设备证书。 写入
RegisterThing 授予注册您的事物的权限。 写入
RejectCertificateTransfer 授予拒绝待处理证书传输的权限。 写入

cert*

RemoveThingFromBillingGroup 授予从指定账单组中删除事物的权限。 写入

billinggroup*

thing*

RemoveThingFromThingGroup 授予从指定事物组中删除事物的权限。 写入

thing*

thinggroup*

ReplaceTopicRule 授予替换指定规则的权限。 写入

rule*

SearchIndex 授予搜索 IoT 队列索引的权限 Read

index*

SetDefaultAuthorizer 授予设置默认授权方的权限。如果在没有指定授权方的情况下进行 websocket 连接,则将使用此项。 权限管理

authorizer*

SetDefaultPolicyVersion 授予权限以将指定策略的指定版本设置为策略的默认(有效)版本。 权限管理

policy*

SetLoggingOptions 授予设置日志记录选项的权限。 写入
SetV2LoggingLevel 授予设置 v2 日志记录级别的权限。 写入
SetV2LoggingOptions 授予设置 v2 日志记录选项的权限。 写入
StartAuditMitigationActionsTask 授予启动将一组缓解操作应用于指定目标的任务的权限。 写入
StartDetectMitigationActionsTask 授予启动 Device Defender ML Detect 缓解操作任务的权限。 写入

securityprofile

StartNextPendingJobExecution 授予权限,以为事物获取和启动下一个待处理作业执行。 写入

thing*

StartOnDemandAuditTask 授予启动按需 Device Defender 审核的权限。 写入
StartThingRegistrationTask 授予启动批量事物注册任务的权限。 写入
StopThingRegistrationTask 授予停止批量事物注册任务的权限。 写入
Subscribe 授予订阅指定 TopicFilter 的权限。 写入

topicfilter*

TagResource 授予标记指定资源的权限 标记

authorizer

billinggroup

cacert

custommetric

dimension

domainconfiguration

dynamicthinggroup

fleetmetric

job

jobtemplate

mitigationaction

otaupdate

policy

provisioningtemplate

rolealias

rule

scheduledaudit

securityprofile

stream

thinggroup

thingtype

aws:RequestTag/${TagKey}

aws:TagKeys

TestAuthorization 授予测试组策略的策略评估的权限 Read

cert

TestInvokeAuthorizer 授予测试调用指定的自定义授权方以用于测试目的的权限。 Read

authorizer*

TransferCertificate 授予将指定证书传输到指定 AWS 账户的权限。 写入

cert*

UntagResource 授予取消标记指定资源的权限 标记

authorizer

billinggroup

cacert

custommetric

dimension

domainconfiguration

dynamicthinggroup

fleetmetric

job

jobtemplate

mitigationaction

otaupdate

policy

provisioningtemplate

rolealias

rule

scheduledaudit

securityprofile

stream

thinggroup

thingtype

aws:TagKeys

UpdateAccountAuditConfiguration 授予配置或重新配置此账户的 Device Defender 审核设置的权限。 写入
UpdateAuditSuppression 授予更新 Device Defender 审核抑制的权限。 写入
UpdateAuthorizer 授予更新授权方的权限 写入

authorizer*

UpdateBillingGroup 授予更新与指定账单组关联的信息的权限。 写入

billinggroup*

UpdateCACertificate 授予更新已注册 CA 证书的权限。 写入

cacert*

iam:PassRole

UpdateCertificate 授予权限以更新指定证书的状态。此操作是幂等的。 写入

cert*

UpdateCustomMetric 授予更新指定自定义指标的权限。 写入

custommetric*

UpdateDimension 授予更新维度定义的权限。 写入

dimension*

UpdateDomainConfiguration 授予权限以更新域配置。 写入

domainconfiguration*

UpdateDynamicThingGroup 授予更新动态事物组的权限 写入

dynamicthinggroup*

UpdateEventConfigurations 授予更新事件配置的权限。 写入
UpdateFleetMetric 授予更新队列指标的权限 写入

fleetmetric*

index*

UpdateIndexingConfiguration 授予更新队列索引配置的权限 写入
UpdateJob 授予权限以更新作业。 写入

job*

UpdateJobExecution 授予更新作业执行的权限。 写入

thing*

UpdateMitigationAction 授予更新指定缓解操作的定义的权限。 写入

mitigationaction*

UpdateProvisioningTemplate 授予更新队列预置模板的权限。 写入

provisioningtemplate*

iam:PassRole

UpdateRoleAlias 授予更新角色别名的权限 写入

rolealias*

iam:PassRole

UpdateScheduledAudit 授予权限以更新计划审核,包括执行的检查和审核执行的频率。 写入

scheduledaudit*

UpdateSecurityProfile 授予更新 Device Defender 安全配置文件的权限。 写入

securityprofile*

custommetric

dimension

UpdateStream 授予更新流数据的权限。 写入

stream*

UpdateThing 授予更新与指定事物关联的信息的权限。 写入

thing*

UpdateThingGroup 授予更新与指定事物组关联的信息的权限。 写入

thinggroup*

UpdateThingGroupsForThing 授予更新事物所属的事物组的权限。 写入

thing*

thinggroup

UpdateThingShadow 授予更新事物影子的权限。 写入

thing*

UpdateTopicRuleDestination 授予更新 TopicRuleDestination 的权限。 写入

destination*

ValidateSecurityProfileBehaviors 授予验证 Device Defender 安全配置文件行为规范的权限。 Read

AWS IoT 定义的资源类型

以下资源类型是由该服务定义的,可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作标识了可以使用该操作指定的资源类型。您也可以在策略中包含条件键,从而定义资源类型。这些键显示在表的最后一列。有关下表中各列的详细信息,请参阅 资源类型表

资源类型 ARN 条件键
client arn:${Partition}:iot:${Region}:${Account}:client/${ClientId}
index arn:${Partition}:iot:${Region}:${Account}:index/${IndexName}
fleetmetric arn:${Partition}:iot:${Region}:${Account}:fleetmetric/${FleetMetricName}

aws:ResourceTag/${TagKey}

job arn:${Partition}:iot:${Region}:${Account}:job/${JobId}

aws:ResourceTag/${TagKey}

jobtemplate arn:${Partition}:iot:${Region}:${Account}:jobtemplate/${JobTemplateId}

aws:ResourceTag/${TagKey}

tunnel arn:${Partition}:iot:${Region}:${Account}:tunnel/${TunnelId}

aws:ResourceTag/${TagKey}

thing arn:${Partition}:iot:${Region}:${Account}:thing/${ThingName}
thinggroup arn:${Partition}:iot:${Region}:${Account}:thinggroup/${ThingGroupName}

aws:ResourceTag/${TagKey}

billinggroup arn:${Partition}:iot:${Region}:${Account}:billinggroup/${BillingGroupName}

aws:ResourceTag/${TagKey}

dynamicthinggroup arn:${Partition}:iot:${Region}:${Account}:thinggroup/${ThingGroupName}

aws:ResourceTag/${TagKey}

thingtype arn:${Partition}:iot:${Region}:${Account}:thingtype/${ThingTypeName}

aws:ResourceTag/${TagKey}

topic arn:${Partition}:iot:${Region}:${Account}:topic/${TopicName}
topicfilter arn:${Partition}:iot:${Region}:${Account}:topicfilter/${TopicFilter}
rolealias arn:${Partition}:iot:${Region}:${Account}:rolealias/${RoleAlias}

aws:ResourceTag/${TagKey}

authorizer arn:${Partition}:iot:${Region}:${Account}:authorizer/${AuthorizerName}

aws:ResourceTag/${TagKey}

policy arn:${Partition}:iot:${Region}:${Account}:policy/${PolicyName}

aws:ResourceTag/${TagKey}

cert arn:${Partition}:iot:${Region}:${Account}:cert/${Certificate}
cacert arn:${Partition}:iot:${Region}:${Account}:cacert/${CACertificate}

aws:ResourceTag/${TagKey}

stream arn:${Partition}:iot:${Region}:${Account}:stream/${streamId}

aws:ResourceTag/${TagKey}

otaupdate arn:${Partition}:iot:${Region}:${Account}:otaupdate/${otaUpdateId}

aws:ResourceTag/${TagKey}

scheduledaudit arn:${Partition}:iot:${Region}:${Account}:scheduledaudit/${ScheduleName}

aws:ResourceTag/${TagKey}

mitigationaction arn:${Partition}:iot:${Region}:${Account}:mitigationaction/${MitigationActionName}

aws:ResourceTag/${TagKey}

securityprofile arn:${Partition}:iot:${Region}:${Account}:securityprofile/${SecurityProfileName}

aws:ResourceTag/${TagKey}

custommetric arn:${Partition}:iot:${Region}:${Account}:custommetric/${MetricName}

aws:ResourceTag/${TagKey}

dimension arn:${Partition}:iot:${Region}:${Account}:dimension/${DimensionName}

aws:ResourceTag/${TagKey}

rule arn:${Partition}:iot:${Region}:${Account}:rule/${ruleName}

aws:ResourceTag/${TagKey}

destination arn:${Partition}:iot:${Region}:${Account}:destination/${destinationType}/${uuid}
provisioningtemplate arn:${Partition}:iot:${Region}:${Account}:provisioningtemplate/${provisioningTemplate}

aws:ResourceTag/${TagKey}

domainconfiguration arn:${Partition}:iot:${Region}:${Account}:domainconfiguration/${domainConfigurationName}

aws:ResourceTag/${TagKey}

AWS IoT 的条件键

AWS IoT 定义以下可以在 IAM 策略的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息,请参阅 条件键表

要查看适用于所有服务的全局条件键,请参阅可用的全局条件键

条件键 描述 类型
aws:RequestTag/${TagKey} 按请求中包含的标签键筛选访问。 字符串
aws:ResourceTag/${TagKey} 按与请求中的 IoT 资源关联的标签的标签键组成筛选访问。 字符串
aws:TagKeys 按请求中与 IoT 资源关联的标签键的列表筛选访问 字符串
iot:Delete 通过标记筛选访问,该标记指示在进行 iot:CloseTunnel 请求时是否也要立即删除 IoT 隧道 Bool
iot:DomainName 根据 IoT DomainConfiguration 的域名筛选访问 字符串
iot:ThingGroupArn 按照 IoT 隧道的 IoT 事物组 ARN(拥有目标 IoT 事物)的列表筛选访问 字符串
iot:TunnelDestinationService 按 IoT 隧道的目标服务列表筛选访问 字符串