Aktionen, Ressourcen und Bedingungsschlüssel für AWS Network Manager - Service-Authorization-Referenz
AktionenRessourcentypenBedingungsschlüssel

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aktionen, Ressourcen und Bedingungsschlüssel für AWS Network Manager

AWS Network Manager (Dienstpräfix:networkmanager) stellt die folgenden dienstspezifischen Ressourcen, Aktionen und Bedingungskontextschlüssel zur Verwendung in IAM Berechtigungsrichtlinien bereit.

Referenzen:

Von AWS Network Manager definierte Aktionen

Sie können die folgenden Aktionen im Action Element einer IAM Richtlinienerklärung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, gewähren oder verweigern Sie normalerweise den Zugriff auf den API Vorgang oder CLI Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Die Spalte Resource types (Ressourcentypen) der Aktionstabelle gibt an, ob die Aktion Berechtigungen auf Ressourcenebene unterstützt. Wenn es keinen Wert für diese Spalte gibt, müssen Sie alle Ressourcen ("*") im Element Resource Ihrer Richtlinienanweisung angeben. Wenn die Spalte einen Ressourcentyp enthält, können Sie in ARN einer Anweisung mit dieser Aktion einen Ressourcentyp angeben. Wenn für die Aktion eine oder mehrere Ressourcen erforderlich sind, muss der Aufrufer die Erlaubnis haben, die Aktion mit diesen Ressourcen zu verwenden. Erforderliche Ressourcen sind in der Tabelle mit einem Sternchen (*) gekennzeichnet. Wenn Sie den Ressourcenzugriff mit dem Resource Element in einer IAM Richtlinie einschränken, müssen Sie für jeden erforderlichen Ressourcentyp ein ARN Oder-Muster angeben. Einige Aktionen unterstützen mehrere Ressourcentypen. Wenn der Ressourcentyp optional ist (nicht als erforderlich angegeben), können Sie sich für einen der optionalen Ressourcentypen entscheiden.

Die Spalte Bedingungsschlüssel der Tabelle der Aktionen enthält Schlüssel, die Sie im Element Condition einer Richtlinienanweisung angeben können. Weitere Informationen zu den Bedingungsschlüsseln, die den Ressourcen für den Service zugeordnet sind, finden Sie in der Spalte Bedingungsschlüssel der Tabelle der Ressourcentypen.

Anmerkung

Die Ressourcenbedingungsschlüssel sind in der Tabelle Ressourcentypen enthalten. Sie finden einen Link zu dem Ressourcentyp, der für eine Aktion gilt, in der Spalte Ressourcentypen (*erforderlich) der Tabelle „Aktionen“. Der Ressourcentyp in der Tabelle „Ressourcentypen“ enthält die Spalte Bedingungsschlüssel. Das sind die Ressourcenbedingungsschlüssel, die für eine Aktion in der Tabelle „Aktionen“ gelten.

Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Aktionen

Aktionen Beschreibung Zugriffsebene Ressourcentypen (*erforderlich) Bedingungsschlüssel Abhängige Aktionen
AcceptAttachment Gewährt die Berechtigung, die Erstellung einer Anlage zwischen einer Quelle und einem Ziel in einem Kernnetzwerk zu akzeptieren Schreiben

attachment*

ec2:DescribeRegions

AssociateConnectPeer Gewährt die Berechtigung zum Zuordnen eines Connect-Peers Schreiben

device*

global-network*

AssociateCustomerGateway Gewährt die Berechtigung, ein Kunden-Gateway mit einem Gerät zu verbinden Write

device*

global-network*

link

networkmanager:cgwArn

Gewährt die Berechtigung, einen Link mit einem Gerät zu verbinden Write

device*

global-network*

link*

AssociateTransitGatewayConnectPeer Gewährt die Berechtigung, einen Transit-Gateway-Connect-Peer einem Gerät zuzuordnen Schreiben

device*

global-network*

link

networkmanager:tgwConnectPeerArn

CreateConnectAttachment Gewährt die Berechtigung zum Erstellen eines Connect-Anhangs Schreiben

attachment*

ec2:DescribeRegions

networkmanager:TagResource

core-network*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateConnectPeer Gewährt die Berechtigung zum Erstellen einer Connect-Peer-Verbindung Schreiben

attachment*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

CreateConnection Gewährt die Berechtigung zum Erstellen einer neuen Verbindung Schreiben

global-network*

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCoreNetwork Gewährt die Berechtigung zum Erstellen eines neuen Kern-Netzwerks Schreiben

global-network*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDevice Gewährt die Berechtigung zum Erstellen eines neuen Geräts Write

global-network*

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

CreateGlobalNetwork Gewährt die Berechtigung zum Erstellen eines neuen globalen Netzwerks Write

aws:RequestTag/${TagKey}

aws:TagKeys

iam:CreateServiceLinkedRole

networkmanager:TagResource

Gewährt die Berechtigung zum Erstellen eines neues Link. Write

global-network*

networkmanager:TagResource

site

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSite Gewährt die Berechtigung zum Erstellen einer neuen Site. Schreiben

global-network*

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSiteToSiteVpnAttachment Erteilt die Berechtigung zum Erstellen eines site-to-site VPN Anhangs Schreiben

core-network*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:vpnConnectionArn

CreateTransitGatewayPeering Gewährt die Berechtigung zum Erstellen eines Transit-Gateways Schreiben

core-network*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:tgwArn

CreateTransitGatewayRouteTableAttachment Erteilt die Berechtigung zum Erstellen eines TGW RTB Anhangs Schreiben

peering*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:tgwRtbArn

CreateVpcAttachment Erteilt die Berechtigung zum Erstellen eines VPC Anhangs Schreiben

core-network*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:vpcArn

networkmanager:subnetArns

DeleteAttachment Gewährt die Berechtigung zum Löschen eines Anhangs Schreiben

attachment*

ec2:DescribeRegions

DeleteConnectPeer Gewährt die Berechtigung zum Löschen eines Connect-Peers Schreiben

connect-peer*

ec2:DescribeRegions

DeleteConnection Gewährt die Berechtigung zum Löschen einer Verbindung. Schreiben

connection*

global-network*

DeleteCoreNetwork Gewährt die Berechtigung zum Löschen eines Kern-Netzwerks Schreiben

core-network*

ec2:DescribeRegions

DeleteCoreNetworkPolicyVersion Gewährt die Berechtigung zum Löschen der Richtlinienversion eines Kern-Netzwerks Schreiben

core-network*

DeleteDevice Gewährt die Berechtigung zum Löschen eines Geräts Write

device*

global-network*

DeleteGlobalNetwork Gewährt die Berechtigung zum Löschen eines globalen Netzwerks Write

global-network*

Gewährt die Berechtigung zum Löschen eines Links Schreiben

global-network*

link*

DeletePeering Gewährt die Berechtigung zum Löschen eines Connect-Peers Schreiben

peering*

ec2:DescribeRegions

DeleteResourcePolicy Gewährt die Berechtigung zum Löschen einer Ressource Schreiben

core-network*

DeleteSite Gewährt die Berechtigung zum Löschen einer Website Write

global-network*

site*

DeregisterTransitGateway Gewährt die Berechtigung zur Deregistrierung eines Transit-Gateways aus einem globalen Netzwerk Write

global-network*

networkmanager:tgwArn

DescribeGlobalNetworks Gewährt die Berechtigung zur Beschreibung globaler Netzwerke Auflisten

global-network

DisassociateConnectPeer Gewährt die Berechtigung zum Trennen eines Connect-Peers Schreiben

global-network*

DisassociateCustomerGateway Gewährt die Berechtigung, ein Kunden-Gateway von einem Gerät zu trennen Write

global-network*

networkmanager:cgwArn

Gewährt die Berechtigung, einen Link von einem Gerät zu trennen Write

device*

global-network*

link*

DisassociateTransitGatewayConnectPeer Gewährt die Berechtigung, die Mapping eines Transit-Gateway-Connect-Peer zu einem Gerät aufzuheben Schreiben

global-network*

networkmanager:tgwConnectPeerArn

ExecuteCoreNetworkChangeSet Gewährt die Berechtigung zum Anwenden von Änderungen auf das Kern-Netzwerk Schreiben

core-network*

ec2:DescribeRegions

GetConnectAttachment Gewährt die Berechtigung zum Abrufen eines Connect-Anhangs Lesen

attachment*

GetConnectPeer Gewährt die Berechtigung zum Abrufen eines Connect-Peers Lesen

connect-peer*

GetConnectPeerAssociations Gewährt die Berechtigung zum Beschreiben von Connect-Peer-Zuordnungen Lesen

global-network*

GetConnections Gewährt die Berechtigung zum Beschreiben von Verbindungen Auflisten

global-network*

connection

GetCoreNetwork Gewährt die Berechtigung zum Abrufen eines Kern-Netzwerks Lesen

core-network*

GetCoreNetworkChangeEvents Gewährt die Berechtigung zum Abrufen einer Liste der Kern-Netzwerk-Änderungssätze Lesen

core-network*

GetCoreNetworkChangeSet Gewährt die Berechtigung zum Abrufen einer Liste der Kern-Netzwerk-Änderungssätze Lesen

core-network*

GetCoreNetworkPolicy Gewährt die Berechtigung zum Abrufen von Kern-Netzwerk-Richtlinien Lesen

core-network*

GetCustomerGatewayAssociations Gewährt die Berechtigung, Kunden-Gateway-Mappings zu beschreiben List

global-network*

GetDevices Gewährt die Berechtigung, Geräte zu beschreiben List

global-network*

device

GetLinkAssociations Gewährt die Berechtigung, Link-Verknüpfungen zu beschreiben List

global-network*

device

link

Gewährt die Berechtigung, Links zu beschreiben Auflisten

global-network*

link

GetNetworkResourceCounts Gewährt die Berechtigung zum Zurückgeben der Anzahl der Ressourcen für ein globales Netzwerk, das nach Typ gruppiert ist Lesen

global-network*

GetNetworkResourceRelationships Gewährt die Berechtigung zum Abrufen verwandter Ressourcen für eine Ressource innerhalb des globalen Netzwerks Lesen

global-network*

GetNetworkResources Gewährt die Berechtigung zum Abrufen einer globalen Netzwerkressource Lesen

global-network*

GetNetworkRoutes Gewährt die Berechtigung zum Abrufen von Routen für eine Routing-Tabelle innerhalb des globalen Netzwerks Lesen

global-network*

GetNetworkTelemetry Gewährt die Berechtigung zum Abrufen von Netzwerk-Telemetrieobjekten für das globale Netzwerk Lesen

global-network*

GetResourcePolicy Gewährt die Berechtigung zum Abrufen einer Ressourcenrichtlinie. Lesen

core-network*

GetRouteAnalysis Gewährt die Berechtigung zum Abrufen einer Routenanalyse-Konfiguration und eines Ergebnisses Lesen

global-network*

GetSiteToSiteVpnAttachment Erteilt die Erlaubnis zum Abrufen eines site-to-site VPN Anhangs Lesen

attachment*

GetSites Gewährt die Berechtigung zur Beschreibung globaler Netzwerke List

global-network*

site

GetTransitGatewayConnectPeerAssociations Gewährt die Berechtigung zum Beschreiben von Transit-Gateway-Connect-Peer-Mappings Auflisten

global-network*

GetTransitGatewayPeering Gewährt die Berechtigung zum Abrufen eines Transit Gateway Lesen

peering*

GetTransitGatewayRegistrations Gewährt die Berechtigung, Transit-Gateway-Registrierungen zu beschreiben Auflisten

global-network*

GetTransitGatewayRouteTableAttachment Erteilt die Erlaubnis zum Abrufen eines TGW RTB Anhangs Lesen

attachment*

GetVpcAttachment Erteilt die Erlaubnis zum Abrufen einer VPC Anlage Lesen

attachment*

ListAttachments Erteilt die Berechtigung zum Beschreiben eines Anhangs Auflisten

attachment*

ListConnectPeers Gewährt die Berechtigung zum Beschreiben von Connect-Peers Auflisten

connect-peer*

ListCoreNetworkPolicyVersions Gewährt die Berechtigung zum Auflisten von Netzwerk-Richtlinienversionen Auflisten

core-network*

ListCoreNetworks Gewährt die Berechtigung zum Auflisten von Kern-Netzwerken Auflisten
ListOrganizationServiceAccessStatus Erteilt die Berechtigung, den Zugriffsstatus des Organisationsservices aufzulisten Auflisten
ListPeerings Gewährt die Berechtigung zum Beschreiben von Verbindungen Auflisten
ListTagsForResource Gewährt die Berechtigung zum Auflisten von Tags für eine Network Manager-Ressource Lesen

attachment

connect-peer

connection

core-network

device

global-network

link

peering

site

aws:ResourceTag/${TagKey}

PutCoreNetworkPolicy Gewährt die Berechtigung zum Erstellen einer neuen Kern-Netzwerk-Richtlinie Schreiben

core-network*

ec2:DescribeRegions

PutResourcePolicy Gewährt die Berechtigung zum Erstellen oder Aktualisieren einer Ressourcenrichtlinie Schreiben

core-network*

RegisterTransitGateway Gewährt die Berechtigung, ein Transit-Gateway in einem globalen Netzwerk zu registrieren Schreiben

global-network*

networkmanager:tgwArn

RejectAttachment Gewährt die Berechtigung zum Ablehnen von Anhangs-Anforderungen Schreiben

attachment*

RestoreCoreNetworkPolicyVersion Gewährt die Berechtigung zum Wiederherstellen der Kern-Netzwerk-Richtlinie auf eine frühere Version Schreiben

core-network*

ec2:DescribeRegions

StartOrganizationServiceAccessUpdate Erteilt die Berechtigung, die Aktualisierung des Organisationsservicezugriffs zu starten Schreiben
StartRouteAnalysis Gewährt die Berechtigung zum Starten einer Routenanalyse und speichert die Analysekonfiguration Schreiben

global-network*

TagResource Gewährt die Berechtigung zum Markieren einer Network Manager-Ressource Markieren

attachment

connect-peer

connection

core-network

device

global-network

link

peering

site

aws:TagKeys

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

UntagResource Gewährt die Berechtigung, die Markierung einer Network Manager-Ressource aufzuheben Markieren

attachment

connect-peer

connection

core-network

device

global-network

link

peering

site

aws:TagKeys

UpdateConnection Gewährt die Berechtigung zum Aktualisieren einer Verbindung. Schreiben

connection*

global-network*

UpdateCoreNetwork Gewährt die Berechtigung zum Aktualisieren eines Kern-Netzwerks Schreiben

core-network*

UpdateDevice Gewährt die Berechtigung, ein Gerät zu aktualisieren Write

device*

global-network*

UpdateGlobalNetwork Gewährt die Berechtigung, ein globales Netzwerk zu aktualisieren Write

global-network*

Gewährt die Berechtigung, einen Link zu aktualisieren Schreiben

global-network*

link*

UpdateNetworkResourceMetadata Gewährt die Berechtigung zum Hinzufügen oder Aktualisieren von Metadaten-Schlüssel-/Wert-Paaren auf der Netzwerkressource Schreiben

global-network*

UpdateSite Gewährt die Berechtigung, eine Website zu aktualisieren Schreiben

global-network*

site*

UpdateVpcAttachment Erteilt die Erlaubnis, einen VPC Anhang zu aktualisieren Schreiben

attachment*

ec2:DescribeRegions

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:subnetArns

Von AWS Network Manager definierte Ressourcentypen

Die folgenden Ressourcentypen werden von diesem Dienst definiert und können als Resource Element von IAM Berechtigungsrichtlinienerklärungen verwendet werden. Jede Aktion in der Tabelle Aktionen identifiziert die Ressourcentypen, die mit der Aktion angegeben werden können. Ein Ressourcentyp kann auch definieren, welche Bedingungsschlüssel Sie in einer Richtlinie einschließen können. Diese Schlüssel werden in der letzten Spalte der Tabelle der Ressourcentypen angezeigt. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Resource types.

Ressourcentypen ARN Bedingungsschlüssel
global-network arn:${Partition}:networkmanager::${Account}:global-network/${ResourceId}

aws:ResourceTag/${TagKey}

site arn:${Partition}:networkmanager::${Account}:site/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

arn:${Partition}:networkmanager::${Account}:link/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

device arn:${Partition}:networkmanager::${Account}:device/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

connection arn:${Partition}:networkmanager::${Account}:connection/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

core-network arn:${Partition}:networkmanager::${Account}:core-network/${ResourceId}

aws:ResourceTag/${TagKey}

attachment arn:${Partition}:networkmanager::${Account}:attachment/${ResourceId}

aws:ResourceTag/${TagKey}

connect-peer arn:${Partition}:networkmanager::${Account}:connect-peer/${ResourceId}

aws:ResourceTag/${TagKey}

peering arn:${Partition}:networkmanager::${Account}:peering/${ResourceId}

aws:ResourceTag/${TagKey}

Bedingungsschlüssel für AWS Network Manager

AWS Network Manager definiert die folgenden Bedingungsschlüssel, die im Condition Element einer IAM Richtlinie verwendet werden können. Diese Schlüssel können Sie verwenden, um die Bedingungen zu verfeinern, unter denen die Richtlinienanweisung angewendet wird. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Condition keys (Bedingungsschlüssel).

Eine Liste der globalen Bedingungsschlüssel, die für alle Services verfügbar sind, finden Sie unter Verfügbare globale Bedingungsschlüssel.

Bedingungsschlüssel Beschreibung Typ
aws:RequestTag/${TagKey} Filtert den Zugriff durch die Tags, die in der Anfrage übergeben werden Zeichenfolge
aws:ResourceTag/${TagKey} Filtert den Zugriff basierend auf den Tags, die der Ressource zugeordnet sind. Zeichenfolge
aws:TagKeys Filtert den Zugriff basierend auf den Tag-Schlüssel, die in der Anfrage übergeben werden ArrayOfString
networkmanager:cgwArn Filtert den Zugriff danach, welche Kunden-Gateways zugeordnet oder getrennt werden können ARN
networkmanager:subnetArns Filtert den Zugriff, anhand dessen VPC Subnetze einem VPC Anhang hinzugefügt oder daraus entfernt werden können ArrayOfARN
networkmanager:tgwArn Filtert den Zugriff danach, welche Transit-Gateways an- oder abgemeldet werden können ARN
networkmanager:tgwConnectPeerArn Filtert den Zugriff danach, welche Transit-Gateway-Connect-Peers zugeordnet oder getrennt werden können ARN
networkmanager:tgwRtbArn Filtert den Zugriff, über den die Transit Gateway Gateway-Routentabelle zum Erstellen einer Anlage verwendet werden kann ARN
networkmanager:vpcArn Filtert den Zugriff, anhand dessen ein Anhang erstellt/aktualisiert werden VPC kann ARN
networkmanager:vpnConnectionArn Filtert den Zugriff, anhand dessen ein Anhang erstellt/aktualisiert werden Site-to-Site VPN kann ARN