Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Route 53 Resolver - Service-Authorization-Referenz

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Route 53 Resolver

Amazon Route 53 Resolver (Servicepräfix: route53resolver) stellt die folgenden servicespezifischen Ressourcen, Aktionen und Bedingungskontextschlüssel für die Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Von Amazon Route 53 Resolver definierte Aktionen

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Die Spalte Resource types (Ressourcentypen) der Aktionstabelle gibt an, ob die Aktion Berechtigungen auf Ressourcenebene unterstützt. Wenn es keinen Wert für diese Spalte gibt, müssen Sie alle Ressourcen ("*") im Element Resource Ihrer Richtlinienanweisung angeben. Wenn die Spalte einen Ressourcentyp enthält, können Sie einen ARN dieses Typs in einer Anweisung mit dieser Aktion angeben. Wenn für die Aktion eine oder mehrere Ressourcen erforderlich sind, muss der Aufrufer die Erlaubnis haben, die Aktion mit diesen Ressourcen zu verwenden. Erforderliche Ressourcen sind in der Tabelle mit einem Sternchen (*) gekennzeichnet. Wenn Sie den Ressourcenzugriff mit dem Element Resource in einer IAM-Richtlinie einschränken, müssen Sie für jeden erforderlichen Ressourcentyp einen ARN oder ein Muster angeben. Einige Aktionen unterstützen mehrere Ressourcentypen. Wenn der Ressourcentyp optional ist (nicht als erforderlich angegeben), können Sie sich für einen der optionalen Ressourcentypen entscheiden.

Die Spalte Bedingungsschlüssel der Tabelle der Aktionen enthält Schlüssel, die Sie im Element Condition einer Richtlinienanweisung angeben können. Weitere Informationen zu den Bedingungsschlüsseln, die den Ressourcen für den Service zugeordnet sind, finden Sie in der Spalte Bedingungsschlüssel der Tabelle der Ressourcentypen.

Anmerkung

Die Ressourcenbedingungsschlüssel sind in der Tabelle Ressourcentypen enthalten. Sie finden einen Link zu dem Ressourcentyp, der für eine Aktion gilt, in der Spalte Ressourcentypen (*erforderlich) der Tabelle „Aktionen“. Der Ressourcentyp in der Tabelle „Ressourcentypen“ enthält die Spalte Bedingungsschlüssel. Das sind die Ressourcenbedingungsschlüssel, die für eine Aktion in der Tabelle „Aktionen“ gelten.

Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Aktionen

Aktionen Beschreibung Zugriffsebene Ressourcentypen (*erforderlich) Bedingungsschlüssel Abhängige Aktionen
AssociateFirewallRuleGroup Gewährt die Berechtigung zum Verknüpfen einer Amazon VPC mit einer bestimmten Firewall-Regelgruppe Write

firewall-rule-group-association*

ec2:DescribeVpcs

aws:RequestTag/${TagKey}

aws:TagKeys

AssociateResolverEndpointIpAddress Gewährt die Berechtigung zum Verknüpfen einer angegebenen IP-Adresse mit einem Resolver-Endpunkt. Hierbei handelt es sich um eine IP-Adresse, die DNS-Abfragen an Ihr Netzwerk (ausgehend) oder Ihre VPCs (eingehend) weiterleitet. Write

resolver-endpoint*

ec2:CreateNetworkInterface

ec2:DescribeNetworkInterfaces

ec2:DescribeSubnets

AssociateResolverQueryLogConfig Gewährt die Berechtigung, eine Amazon VPC mit einer angegebenen Konfiguration für die Abfrageprotokollierung zuzuordnen Write

resolver-query-log-config*

ec2:DescribeVpcs

AssociateResolverRule Gewährt die Berechtigung zum Verknüpfen einer angegebenen Resolver-Regel mit einer bestimmten VPC Write

resolver-rule*

ec2:DescribeVpcs

CreateFirewallDomainList Gewährt die Berechtigung zum Erstellen einer Firewall-Domain-Liste Write

firewall-domain-list*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFirewallRule Gewährt die Berechtigung zum Erstellen einer Firewall-Regel innerhalb einer Firewall-Regelgruppe. Write

firewall-domain-list*

firewall-rule-group*

CreateFirewallRuleGroup Gewährt die Berechtigung zum Erstellen einer Firewall-Regelgruppe. Schreiben

firewall-rule-group*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateOutpostResolver Gewährt die Berechtigung zum Erstellen eines Route-53-Resolvers in Outposts Schreiben

outpost-resolver*

outposts:GetOutpost

aws:RequestTag/${TagKey}

aws:TagKeys

CreateResolverEndpoint Gewährt die Berechtigung zum Erstellen eines Resolver-Endpunkts. Es gibt zwei Arten von Resolver-Endpunkten, eingehend und ausgehend Write

resolver-endpoint*

ec2:CreateNetworkInterface

ec2:DescribeNetworkInterfaces

ec2:DescribeSecurityGroups

ec2:DescribeSubnets

ec2:DescribeVpcs

aws:RequestTag/${TagKey}

aws:TagKeys

CreateResolverQueryLogConfig Gewährt die Berechtigung zum Erstellen einer Resolver-Abfrageprotokollierungskonfiguration, die definiert, wo Resolver DNS-Abfrageprotokolle speichern soll, die aus Ihren VPCs stammen Schreiben

aws:RequestTag/${TagKey}

aws:TagKeys

CreateResolverRule Gewährt die Berechtigung zum Definieren, wie bei Abfragen, die ihren Ursprung in Ihrer VPC haben, die Weiterleitung aus der VPC erfolgt Schreiben

resolver-rule*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteFirewallDomainList Gewährt die Berechtigung zum Löschen einer Firewall-Domain-Liste Write

firewall-domain-list*

DeleteFirewallRule Gewährt die Berechtigung zum Löschen einer Firewall-Regel innerhalb einer Firewall-Regelgruppe. Write

firewall-domain-list*

firewall-rule-group*

DeleteFirewallRuleGroup Gewährt die Berechtigung zum Löschen einer Firewall-Regelgruppe Schreiben

firewall-rule-group*

DeleteOutpostResolver Gewährt die Berechtigung zum Löschen eines Route-53-Resolvers in Outposts Schreiben

outpost-resolver*

DeleteResolverEndpoint Gewährt die Berechtigung zum Löschen eines Resolver-Endpunkts. Welche Auswirkungen das Löschen eines Resolver-Endpunkts hat, hängt davon ab, ob es sich um einen eingehenden oder ausgehenden Endpunkt handelt. Write

resolver-endpoint*

ec2:DeleteNetworkInterface

ec2:DescribeNetworkInterfaces

DeleteResolverQueryLogConfig Gewährt die Berechtigung zum Löschen einer Konfiguration für die Protokollierung einer Resolver-Abfrage Write

resolver-query-log-config*

DeleteResolverRule Gewährt die Berechtigung zum Löschen einer Resolver-Regel Write

resolver-rule*

DisassociateFirewallRuleGroup Gewährt die Berechtigung zum Entfernen der Verknüpfung zwischen einer angegebenen Firewall-Regelgruppe und einer angegebenen VPC Write

firewall-rule-group-association*

DisassociateResolverEndpointIpAddress Gewährt die Berechtigung zum Entfernen einer angegebenen IP-Adresse aus einem Resolver-Endpunkt. Hierbei handelt es sich um eine IP-Adresse, die DNS-Abfragen an Ihr Netzwerk (ausgehend) oder Ihre VPCs (eingehend) weiterleitet. Write

resolver-endpoint*

ec2:DeleteNetworkInterface

ec2:DescribeNetworkInterfaces

DisassociateResolverQueryLogConfig Gewährt die Berechtigung zum Aufheben der Mapping von einer angegebenen Resolver-Abfrageprotokollierungskonfiguration zu einer angegebenen VPC Write

resolver-query-log-config*

DisassociateResolverRule Gewährt die Berechtigung zum Entfernen der Verknüpfung zwischen einer angegebenen Resolver-Regel und einer angegebenen VPC Write

resolver-rule*

GetFirewallConfig Gewährt die Berechtigung zum Abrufen von Informationen zu einer bestimmten Firewall-Konfig. Read

firewall-config*

ec2:DescribeVpcs

GetFirewallDomainList Gewährt die Berechtigung zum Abrufen von Informationen über eine bestimmte Firewall-Domain-Liste Read

firewall-domain-list*

GetFirewallRuleGroup Gewährt die Berechtigung zum Abrufen von Informationen über eine bestimmte Firewall-Regelgruppe. Read

firewall-rule-group*

GetFirewallRuleGroupAssociation Gewährt die Berechtigung zum Abrufen von Informationen über eine Verknüpfung zwischen einer angegebenen Firewall-Regelgruppe und einer VPC Read

firewall-rule-group-association*

GetFirewallRuleGroupPolicy Gewährt die Berechtigung zum Abrufen von Informationen über eine bestimmte Firewall-Regelgruppenrichtlinie, die die Vorgänge und Ressourcen der Firewall-Regelgruppe angibt, die Sie einem anderen AWS-Konto erlauben möchten. Lesen

firewall-rule-group*

GetOutpostResolver Gewährt die Berechtigung zum Abrufen von Informationen über einen bestimmten Route-53-Resolver in Outposts Lesen

outpost-resolver*

GetResolverConfig Gewährt die Berechtigung zum Abrufen des Resolver-Config-Status innerhalb der angegebenen Ressource Lesen

resolver-config*

ec2:DescribeVpcs

GetResolverDnssecConfig Gewährt die Berechtigung zum Abrufen des Status der DNSSEC-Validierungsunterstützung für DNS-Abfragen innerhalb der angegebenen Ressource Read

resolver-dnssec-config*

GetResolverEndpoint Gewährt die Berechtigung zum Abrufen von Informationen zu einem bestimmten Resolver-Endpunkt, wie z. B. ob es sich um einen eingehenden oder ausgehenden Resolver-Endpunkt handelt, und der IP-Adressen in Ihrer VPC, an die DNS-Abfragen auf dem Weg in oder aus Ihrer VPC weitergeleitet werden Read

resolver-endpoint*

GetResolverQueryLogConfig Gewährt die Berechtigung zum Abrufen von Informationen über eine angegebene Konfiguration der Resolver-Abfrageprotokollierung, z. B. die Anzahl der VPCs, für die die Konfiguration Abfragen protokolliert, und den Speicherort, an den die Protokolle gesendet werden Read

resolver-query-log-config*

ec2:DescribeVpcs

GetResolverQueryLogConfigAssociation Gewährt die Berechtigung zum Abrufen von Informationen über eine angegebene Mapping einer Resolver-Abfrageprotokollierungskonfiguration zu einer Amazon VPC. Wenn Sie eine VPC mit einer Abfrageprotokollierungskonfiguration verknüpfen, protokolliert Resolver DNS-Abfragen, die aus dieser VPC stammen Read
GetResolverQueryLogConfigPolicy Gewährt die Berechtigung zum Abrufen von Informationen zu einer angegebenen Richtlinie für die Protokollierung von Resolver-Abfragen, die die Vorgänge und Ressourcen angibt, deren Verwendung durch ein anderes AWS-Konto Sie zulassen möchten Read

resolver-query-log-config*

GetResolverRule Gewährt die Berechtigung zum Abrufen von Informationen zu einer bestimmten Resolver-Regel, z. B. den Domain-Namen, für den die Regel DNS-Abfragen weiterleitet, und die IP-Adresse, an die Abfragen weitergeleitet werden Read

resolver-rule*

GetResolverRuleAssociation Gewährt die Berechtigung zum Abrufen von Informationen über eine Verknüpfung zwischen einer angegebenen Resolver-Regel und einer VPC Read

resolver-rule*

GetResolverRulePolicy Gewährt die Berechtigung zum Abrufen von Informationen über eine Resolver-Regelrichtlinie, die die Auflösungsvorgänge und -ressourcen angibt, die Sie für ein anderes AWS-Konto zulassen möchten Read

resolver-rule*

ImportFirewallDomains Gewährt die Berechtigung zum Hinzufügen, Entfernen oder Ersetzen von Firewall-Domains in einer Firewall-Domain-Liste Write

firewall-domain-list*

ListFirewallConfigs Gewährt die Berechtigung zum Auflisten aller Firewall-Konfigurationen, die das aktuelle AWS-Konto überprüfen kann. List

ec2:DescribeVpcs

ListFirewallDomainLists Gewährt die Berechtigung zum Auflisten aller Firewall-Domain-Liste, die das aktuelle AWS-Konto verwenden kann. List
ListFirewallDomains Gewährt die Berechtigung zum Auflisten der gesamten Firewall-Domain unter einer angegebenen Firewall-Domain-Liste List

firewall-domain-list*

ListFirewallRuleGroupAssociations Gewährt die Berechtigung zum Auflisten von Informationen über Verknüpfungen zwischen Amazon VPCs und der Firewall-Regelgruppe. List
ListFirewallRuleGroups Gewährt die Berechtigung zum Auflisten aller Firewall-Regelgruppen, die das aktuelle AWS-Konto verwenden kann. List
ListFirewallRules Gewährt die Berechtigung zum Auflisten aller Firewall-Regeln unter einer angegebenen Firewall-Regelgruppe. Auflisten

firewall-rule-group*

ListOutpostResolvers Gewährt die Berechtigung zum Auflisten aller Route-53-Resolvers in Outposts, die mit dem aktuellen AWS-Konto erstellt wurden Auflisten
ListResolverConfigs Gewährt die Berechtigung zum Auflisten der Resolver-Config-Status Auflisten

resolver-config*

ec2:DescribeVpcs

ListResolverDnssecConfigs Gewährt die Berechtigung zum Auflisten des Status der DNSSEC-Validierungsunterstützung für DNS-Abfragen Auflisten

resolver-dnssec-config*

ListResolverEndpointIpAddresses Gewährt die Berechtigung zum Auflisten der IP-Adressen, die DNS-Abfragen auf dem Weg zu Ihrem Netzwerk (ausgehend) oder Ihrer VPCs (eingehend) durchlaufen, für einen angegebenen Resolver-Endpunkt Auflisten

resolver-endpoint*

ListResolverEndpoints Gewährt die Berechtigung zum Auflisten aller Resolver-Endpunkte, die mit dem aktuellen AWS-Konto erstellt wurden List
ListResolverQueryLogConfigAssociations Gewährt die Berechtigung, Informationen über Mappings von Amazon VPCs und Konfigurationen für die Abfrageprotokollierung aufzulisten List

ec2:DescribeVpcs

ListResolverQueryLogConfigs Gewährt die Berechtigung zum Auflisten von Informationen zu den angegebenen Abfrageprotokollierkonfigurationen, die definieren, wo Resolver DNS-Abfrageprotokolle speichern soll, und zur Angabe der VPCs, für die Sie Abfragen protokollieren möchten List

ec2:DescribeVpcs

ListResolverRuleAssociations Gewährt die Berechtigung zum Auflisten der Verknüpfungen, die zwischen Resolver-Regeln und VPCs mit dem aktuellen AWS-Konto erstellt wurden List

ec2:DescribeVpcs

ListResolverRules Gewährt die Berechtigung zum Auflisten der Resolver-Regeln, die mit dem aktuellen AWS-Konto erstellt wurden List
ListTagsForResource Gewährt die Berechtigung zum Auflisten der Tags, die Sie mit der angegebenen Ressource verknüpft haben Read

firewall-domain-list

firewall-rule-group

firewall-rule-group-association

outpost-resolver

resolver-endpoint

resolver-query-log-config

resolver-rule

PutFirewallRuleGroupPolicy Gewährt die Berechtigung zum Angeben eines AWS-Kontos, für das Sie eine Firewall-Regelgruppe freigeben möchten, der Firewall-Regelgruppe, die Sie freigeben möchten, und der Vorgänge, die das Konto für die Konfiguration ausführen soll Berechtigungsverwaltung

firewall-rule-group*

PutResolverQueryLogConfigPolicy Gewährt die Berechtigung zum Angeben eines AWS-Kontos, für das Sie eine Abfrageprotokollierungskonfiguration freigeben möchten, der Konfiguration der Abfrageprotokollierung, die Sie freigeben möchten, und der Vorgänge, die das Konto für die Konfiguration ausführen soll Berechtigungsverwaltung

resolver-query-log-config*

PutResolverRulePolicy Gewährt die Berechtigung zur Angabe eines AWS-Kontos, für das Sie Regeln freigeben möchten, der Resolver-Regeln, die Sie freigeben möchten, und der Vorgänge, die das Konto für diese Regeln ausführen soll Berechtigungsverwaltung

resolver-rule*

TagResource Gewährt die Berechtigung zum Hinzufügen eines oder mehrerer Tags zu einer bestimmten Ressource Markieren

firewall-config

firewall-domain-list

firewall-rule-group

firewall-rule-group-association

outpost-resolver

resolver-dnssec-config

resolver-endpoint

resolver-query-log-config

resolver-rule

aws:RequestTag/${TagKey}

aws:TagKeys

UntagResource Gewährt die Berechtigung zum Entfernen eines oder mehrerer Tags von einer bestimmten Ressource Markieren

firewall-config

firewall-domain-list

firewall-rule-group

firewall-rule-group-association

outpost-resolver

resolver-dnssec-config

resolver-endpoint

resolver-query-log-config

resolver-rule

aws:TagKeys

UpdateFirewallConfig Gewährt die Berechtigung zum Aktualisieren ausgewählter Einstellungen für eine Firewall-Konfiguration. Write

firewall-config*

ec2:DescribeVpcs

UpdateFirewallDomains Gewährt die Berechtigung zum Hinzufügen, Entfernen oder Ersetzen von Firewall-Domains in einer Firewall-Domain-Liste Write

firewall-domain-list*

UpdateFirewallRule Gewährt die Berechtigung zum Aktualisieren ausgewählter Einstellungen für eine Firewall-Regel in einer Firewall-Regelgruppe. Write

firewall-domain-list*

firewall-rule-group*

UpdateFirewallRuleGroupAssociation Gewährt die Berechtigung zum Aktualisieren ausgewählter Einstellungen für eine Firewall-Regelgruppenmapping. Schreiben

firewall-rule-group-association*

UpdateOutpostResolver Gewährt die Berechtigung zum Aktualisieren der Einstellungen für einen bestimmten Route-53-Resolver in Outposts Schreiben

outpost-resolver*

UpdateResolverConfig Gewährt die Berechtigung zum Aktualisieren des Resolver-Config-Status innerhalb der angegebenen Ressource Schreiben

resolver-config*

ec2:DescribeVpcs

UpdateResolverDnssecConfig Gewährt die Berechtigung zum Aktualisieren des Status der DNSSEC-Validierungsunterstützung für DNS-Abfragen innerhalb der angegebenen Ressource Write

resolver-dnssec-config*

UpdateResolverEndpoint Gewährt die Berechtigung zum Aktualisieren von ausgewählten Einstellungen für einen eingehenden oder ausgehenden Resolver-Endpunkt Write

resolver-endpoint*

ec2:AssignIpv6Addresses

ec2:DescribeNetworkInterfaces

ec2:DescribeSubnets

ec2:ModifyNetworkInterfaceAttribute

ec2:UnassignIpv6Addresses

UpdateResolverRule Gewährt die Berechtigung zum Aktualisieren der Einstellungen für eine angegebene Resolver-Regel Write

resolver-rule*

Von Amazon Route 53 Resolver definierte Ressourcentypen

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden. Jede Aktion in der Tabelle "Actions" (Aktionen) identifiziert die Ressourcentypen, die mit der Aktion angegeben werden können. Ein Ressourcentyp kann auch definieren, welche Bedingungsschlüssel Sie in einer Richtlinie einschließen können. Diese Schlüssel werden in der letzten Spalte der Tabelle der Ressourcentypen angezeigt. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Resource types.

Ressourcentypen ARN Bedingungsschlüssel
resolver-dnssec-config arn:${Partition}:route53resolver:${Region}:${Account}:resolver-dnssec-config/${ResourceId}

aws:ResourceTag/${TagKey}

resolver-query-log-config arn:${Partition}:route53resolver:${Region}:${Account}:resolver-query-log-config/${ResourceId}

aws:ResourceTag/${TagKey}

resolver-rule arn:${Partition}:route53resolver:${Region}:${Account}:resolver-rule/${ResourceId}

aws:ResourceTag/${TagKey}

resolver-endpoint arn:${Partition}:route53resolver:${Region}:${Account}:resolver-endpoint/${ResourceId}

aws:ResourceTag/${TagKey}

firewall-rule-group arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group/${ResourceId}

aws:ResourceTag/${TagKey}

firewall-rule-group-association arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group-association/${ResourceId}

aws:ResourceTag/${TagKey}

firewall-domain-list arn:${Partition}:route53resolver:${Region}:${Account}:firewall-domain-list/${ResourceId}

aws:ResourceTag/${TagKey}

firewall-config arn:${Partition}:route53resolver:${Region}:${Account}:firewall-config/${ResourceId}

aws:ResourceTag/${TagKey}

resolver-config arn:${Partition}:route53resolver:${Region}:${Account}:resolver-config/${ResourceId}
outpost-resolver arn:${Partition}:route53resolver:${Region}:${Account}:outpost-resolver/${ResourceId}

aws:ResourceTag/${TagKey}

Bedingungsschlüssel für Amazon Route 53 Resolver

Amazon Route 53 Resolver definiert die folgenden Bedingungsschlüssel, die im Element Condition einer IAM-Richtlinie verwendet werden können. Diese Schlüssel können Sie verwenden, um die Bedingungen zu verfeinern, unter denen die Richtlinienanweisung angewendet wird. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Condition keys (Bedingungsschlüssel).

Eine Liste der globalen Bedingungsschlüssel, die für alle Services verfügbar sind, finden Sie unter Verfügbare globale Bedingungsschlüssel.

Bedingungsschlüssel Beschreibung Typ
aws:RequestTag/${TagKey} Filtert den Zugriff nach dem Vorhandensein von Tag-Schlüssel-Wert-Paaren in der Anforderung Zeichenfolge
aws:ResourceTag/${TagKey} Filtert den Zugriff nach dem Vorhandensein von Tag-Schlüsselwertpaaren, die der Ressource angefügt sind Zeichenfolge
aws:TagKeys Filtert den Zugriff durch das Vorhandensein von Tag-Schlüsseln in der Anforderung. ArrayOfString