Acciones, recursos y claves de condición de Amazon CloudFront - Referencia de autorizaciones de servicio
AccionesTipos de recursoClaves de condición

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Acciones, recursos y claves de condición de Amazon CloudFront

Amazon CloudFront (prefijo de servicio:cloudfront) proporciona los siguientes recursos, acciones y claves de contexto de condición específicos del servicio para su uso en IAM las políticas de permisos.

Referencias:

Acciones definidas por Amazon CloudFront

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utilizas una acción en una política, normalmente permites o deniegas el acceso a la API operación o CLI comando con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar uno ARN de ese tipo en una declaración con esa acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el Resource elemento de una IAM política, debe incluir un patrón ARN o para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones Descripción Nivel de acceso Tipos de recursos (*necesarios) Claves de condición Acciones dependientes
AllowVendedLogDeliveryForResource [solo permiso] Otorga permiso para configurar la entrega vendida de registros para una distribución Administración de permisos

distribution

AssociateAlias Otorga permiso para asociar un alias a una distribución CloudFront Escritura

distribution*

CopyDistribution Otorga permiso para copiar una distribución existente y crear una nueva distribución web Escritura

distribution*

cloudfront:CopyDistribution

cloudfront:CreateDistribution

cloudfront:GetDistribution

CreateAnycastIpList Otorga permiso para crear una lista de IP estáticas de Anycast Escritura

anycast-ip-list*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCachePolicy Otorga permiso para añadir una nueva política de caché a CloudFront Escritura

cache-policy*

CreateCloudFrontOriginAccessIdentity Otorga permiso para crear una nueva identidad de acceso al CloudFront origen Escritura

origin-access-identity*

CreateContinuousDeploymentPolicy Otorga permiso para añadir una nueva política de despliegue continuo a CloudFront Escritura

continuous-deployment-policy*

CreateDistribution Concede permiso para crear una nueva distribución web Escritura

distribution*

CreateFieldLevelEncryptionConfig Concede permiso para crear una nueva configuración de cifrado en el nivel de campo Write
CreateFieldLevelEncryptionProfile Concede permiso para crear un perfil de cifrado en el nivel de campo Escritura
CreateFunction Otorga permiso para crear una función CloudFront Escritura

function*

CreateInvalidation Concede permiso para crear una nueva solicitud de lote de invalidación Escritura

distribution*

CreateKeyGroup Otorga permiso para añadir un nuevo grupo de claves a CloudFront Escritura
CreateKeyValueStore Otorga permiso para crear un CloudFront KeyValueStore Escritura

key-value-store*

CreateMonitoringSubscription Otorga permiso para habilitar CloudWatch métricas adicionales para la CloudFront distribución especificada. Las métricas adicionales incurren en un costo adicional Escritura
CreateOriginAccessControl Concede permiso para crear un nuevo control de acceso de origen Escritura
CreateOriginRequestPolicy Otorga permiso para añadir una nueva política de solicitudes de origen a CloudFront Escritura

origin-request-policy*

CreatePublicKey Otorga permiso para añadir una nueva clave pública a CloudFront Escritura
CreateRealtimeLogConfig Concede permiso para crear una configuración de registro en tiempo real Escritura

realtime-log-config*

CreateResponseHeadersPolicy Otorga permiso para añadir una nueva política de encabezados de respuesta a CloudFront Escritura

response-headers-policy*

CreateSavingsPlan [solo permiso] Concede permiso para crear un nuevo Savings Plan Escritura
CreateStreamingDistribution Otorga permiso para crear una nueva distribución RTMP Escritura

streaming-distribution*

CreateStreamingDistributionWithTags Otorga permiso para crear una nueva RTMP distribución con etiquetas Escritura

streaming-distribution*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateVpcOrigin Otorga permiso para crear un VPC origen Escritura

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAnycastIpList Otorga permiso para eliminar una lista de IP estáticas de Anycast Escritura

anycast-ip-list*

DeleteCachePolicy Concede permiso para eliminar una política de caché Escritura

cache-policy*

DeleteCloudFrontOriginAccessIdentity Otorga permiso para eliminar una identidad de acceso de CloudFront origen Escritura

origin-access-identity*

DeleteContinuousDeploymentPolicy Otorga permiso para eliminar una política de implementación continua Escritura

continuous-deployment-policy*

DeleteDistribution Concede permiso para eliminar una distribución web Write

distribution*

DeleteFieldLevelEncryptionConfig Concede permiso para eliminar una configuración de cifrado en el nivel de campo Write

field-level-encryption-config*

DeleteFieldLevelEncryptionProfile Concede permiso para eliminar un perfil de cifrado en el nivel de campo Escritura

field-level-encryption-profile*

DeleteFunction Otorga permiso para eliminar una CloudFront función Escritura

function*

DeleteKeyGroup Concede permiso para eliminar un grupo de claves Escritura
DeleteKeyValueStore Otorga permiso para eliminar una CloudFront KeyValueStore Escritura

key-value-store*

DeleteMonitoringSubscription Otorga permiso para deshabilitar CloudWatch métricas adicionales para la CloudFront distribución especificada Escritura
DeleteOriginAccessControl Concede permiso para eliminar un control de acceso de origen Escritura

origin-access-control*

DeleteOriginRequestPolicy Concede permiso para eliminar una política de solicitud de origen Escritura

origin-request-policy*

DeletePublicKey Otorga permiso para eliminar una clave pública de CloudFront Escritura
DeleteRealtimeLogConfig Concede permiso para eliminar una configuración de registro en tiempo real Escritura

realtime-log-config*

DeleteResponseHeadersPolicy Concede permiso para eliminar una política de encabezados de respuesta. Escritura

response-headers-policy*

DeleteStreamingDistribution Otorga permiso para eliminar una RTMP distribución Escritura

streaming-distribution*

DeleteVpcOrigin Otorga permiso para eliminar un VPC origen Escritura

vpcorigin*

DescribeFunction Otorga permiso para obtener un resumen de CloudFront funciones Lectura

function*

DescribeKeyValueStore Otorga permiso para obtener un CloudFront KeyValueStore resumen Lectura

key-value-store*

GetAnycastIpList Otorga permiso para obtener una lista de IP estáticas de Anycast Lectura

anycast-ip-list*

GetCachePolicy Concede permiso para obtener la política de caché Read

cache-policy*

GetCachePolicyConfig Concede permiso para obtener la configuración de la política de caché Lectura

cache-policy*

GetCloudFrontOriginAccessIdentity Otorga permiso para obtener la información sobre una identidad de acceso de CloudFront origen Lectura

origin-access-identity*

GetCloudFrontOriginAccessIdentityConfig Concede permiso para obtener información de configuración sobre una identidad de acceso de origen de CloudFront Lectura

origin-access-identity*

GetContinuousDeploymentPolicy Otorga permiso para obtener la política de implementación continua Lectura

continuous-deployment-policy*

GetContinuousDeploymentPolicyConfig Otorga permiso para obtener la configuración de la política de implementación continua Lectura

continuous-deployment-policy*

GetDistribution Concede permiso para obtener información acerca de la distribución web Read

distribution*

GetDistributionConfig Concede permiso para obtener información de configuración acerca de una distribución Read

distribution*

GetFieldLevelEncryption Concede permiso para obtener la información de configuración de cifrado en el nivel de campo Read

field-level-encryption-config*

GetFieldLevelEncryptionConfig Concede permiso para obtener la información de configuración de cifrado en el nivel de campo Read

field-level-encryption-config*

GetFieldLevelEncryptionProfile Concede permiso para obtener la información de configuración de cifrado en el nivel de campo Read

field-level-encryption-profile*

GetFieldLevelEncryptionProfileConfig Concede permiso para obtener la información de configuración del perfil de cifrado en el nivel de campo Lectura

field-level-encryption-profile*

GetFunction Otorga permiso para obtener el código de una CloudFront función Lectura

function*

GetInvalidation Concede permiso para obtener información sobre una invalidación Read

distribution*

GetKeyGroup Concede permiso para obtener un grupo de claves Read
GetKeyGroupConfig Concede permiso para obtener una configuración de grupo de claves Lectura
GetMonitoringSubscription Otorga permiso para obtener información sobre si están habilitadas CloudWatch métricas adicionales para la CloudFront distribución especificada Lectura
GetOriginAccessControl Concede permiso para obtener el control de acceso de origen Lectura

origin-access-control*

GetOriginAccessControlConfig Concede permiso para obtener la configuración del control de acceso de origen Lectura

origin-access-control*

GetOriginRequestPolicy Concede permiso para obtener la política de solicitud de origen Read

origin-request-policy*

GetOriginRequestPolicyConfig Concede permiso para obtener la configuración de la política de solicitud de origen Read

origin-request-policy*

GetPublicKey Concede permiso para obtener la información de clave pública Read
GetPublicKeyConfig Concede permiso para obtener la información de la configuración de clave pública Read
GetRealtimeLogConfig Concede permiso para obtener una configuración de registro en tiempo real Lectura

realtime-log-config*

GetResponseHeadersPolicy Concede permiso para obtener la política de encabezados de respuesta. Lectura

response-headers-policy*

GetResponseHeadersPolicyConfig Concede permiso para obtener la configuración de la política de encabezados de respuesta. Lectura

response-headers-policy*

GetSavingsPlan [solo permiso] Concede permiso para obtener un Savings Plan Lectura
GetStreamingDistribution Otorga permiso para obtener la información sobre una RTMP distribución Lectura

streaming-distribution*

GetStreamingDistributionConfig Concede permiso para obtener información de configuración acerca de una distribución de streaming Lectura

streaming-distribution*

GetVpcOrigin Otorga permiso para obtener la información sobre un VPC origen Lectura

vpcorigin*

ListAnycastIpLists Otorga permiso para publicar sus listas de IP estáticas de Anycast Enumeración
ListCachePolicies Otorga permiso para enumerar todas las políticas de caché que se han creado CloudFront para esta cuenta Enumeración
ListCloudFrontOriginAccessIdentities Otorga permiso para enumerar tus identidades de acceso a CloudFront origen Enumeración
ListConflictingAliases Otorga permiso para enumerar todos los alias que entran en conflicto con el alias indicado en CloudFront Enumeración

distribution*

ListContinuousDeploymentPolicies Otorga permiso para enumerar todas las políticas de implementación continua de la cuenta Enumeración
ListDistributions Otorga permiso para enumerar las distribuciones asociadas a su Cuenta de AWS Enumeración
ListDistributionsByAnycastIpListId Otorga permiso para incluir en su cuenta las distribuciones asociadas a la especificada AnycastIpListId Enumeración
ListDistributionsByCachePolicyId Otorga permiso IDs para incluir en la lista la distribución de las distribuciones que tienen un comportamiento de caché asociado a la política de caché especificada Enumeración
ListDistributionsByKeyGroup Otorga permiso IDs para publicar la distribución de las distribuciones que tienen un comportamiento de caché asociado al grupo de claves especificado Enumeración
ListDistributionsByLambdaFunction [solo permiso] Concede permiso para enumerar las distribuciones asociadas a la función de Lambda Enumeración
ListDistributionsByOriginRequestPolicyId Otorga permiso IDs para publicar la distribución de las distribuciones que tienen un comportamiento de caché asociado a la política de solicitudes de origen especificada Enumeración
ListDistributionsByRealtimeLogConfig Concede permiso para obtener una lista de distribuciones que tienen un comportamiento de memoria en caché asociado a la configuración de registro en tiempo real especificada Enumeración
ListDistributionsByResponseHeadersPolicyId Otorga permiso IDs para publicar la distribución de las distribuciones que tienen un comportamiento de caché asociado a la política de encabezados de respuesta especificada Enumeración
ListDistributionsByVpcOriginId Otorga permiso IDs para publicar distribuciones asociadas al origen especificado VPC Enumeración
ListDistributionsByWebACLId Otorga permiso para publicar las distribuciones asociadas a su sitio Cuenta de AWS web AWS WAF ACL Enumeración
ListFieldLevelEncryptionConfigs Otorga permiso para enumerar todas las configuraciones de cifrado a nivel de campo que se han creado para esta cuenta CloudFront Enumeración
ListFieldLevelEncryptionProfiles Otorga permiso para enumerar todos los perfiles de cifrado a nivel de campo que se han creado para esta cuenta CloudFront Enumeración
ListFunctions Otorga permiso para obtener una lista de funciones CloudFront Enumeración
ListInvalidations Concede permiso para enumerar los lotes de invalidación Enumeración

distribution*

ListKeyGroups Otorga permiso para enumerar todos los grupos clave que se han creado CloudFront para esta cuenta Enumeración
ListKeyValueStores Otorga permiso para obtener una lista de CloudFront KeyValueStores Enumeración
ListOriginAccessControls Concede permiso para enumerar todos los controles de acceso de origen de la cuenta Enumeración
ListOriginRequestPolicies Otorga permiso para enumerar todas las políticas de solicitudes de origen que se han creado CloudFront para esta cuenta Enumeración
ListPublicKeys Otorga permiso para enumerar todas las claves públicas que se han agregado CloudFront a esta cuenta Enumeración
ListRateCards [solo permiso] Otorga permiso para incluir las tarjetas CloudFront de tarifas de la cuenta Enumeración
ListRealtimeLogConfigs Concede permiso para obtener una lista de configuraciones de registro en tiempo real Enumeración
ListResponseHeadersPolicies Otorga permiso para enumerar todas las políticas de encabezados de respuesta que se han creado CloudFront para esta cuenta Enumeración
ListSavingsPlans [solo permiso] Concede permiso para enumerar los Savings Plans de la cuenta Enumeración
ListStreamingDistributions Otorga permiso para incluir tus distribuciones RTMP Enumeración
ListTagsForResource Otorga permiso para enumerar las etiquetas de un recurso CloudFront Lectura

anycast-ip-list

distribution

vpcorigin

ListUsages [solo permiso] Otorga permiso para enumerar CloudFront el uso Enumeración
ListVpcOrigins Otorga permiso para enumerar VPC los orígenes Enumeración
PublishFunction Otorga permiso para publicar una CloudFront función Escritura

function*

TagResource Otorga permiso para añadir etiquetas a un CloudFront recurso Etiquetado

anycast-ip-list

distribution

streaming-distribution

vpcorigin

aws:RequestTag/${TagKey}

aws:TagKeys

TestFunction Otorga permiso para probar una CloudFront función Escritura

function*

UntagResource Otorga permiso para eliminar etiquetas de un CloudFront recurso Etiquetado

anycast-ip-list

distribution

streaming-distribution

vpcorigin

aws:TagKeys

UpdateCachePolicy Concede permiso para actualizar una política de caché Escritura

cache-policy*

UpdateCloudFrontOriginAccessIdentity Otorga permiso para establecer la configuración de una identidad de acceso de CloudFront origen Escritura

origin-access-identity*

UpdateContinuousDeploymentPolicy Otorga permiso para actualizar una política de implementación continua Escritura

continuous-deployment-policy*

UpdateDistribution Concede permiso para actualizar la configuración de una distribución web Escritura

distribution*

UpdateDistributionWithStagingConfig Concede permiso para copiar la configuración de una distribución web de ensayo a su correspondiente distribución web principal Escritura

distribution*

UpdateFieldLevelEncryptionConfig Concede permiso para actualizar la configuración de cifrado en el nivel de campo Write
UpdateFieldLevelEncryptionProfile Concede permiso para actualizar un perfil de cifrado en el nivel de campo Escritura

field-level-encryption-profile*

UpdateFunction Otorga permiso para actualizar una CloudFront función Escritura

function*

UpdateKeyGroup Concede permiso para actualizar un grupo de claves Escritura
UpdateKeyValueStore Otorga permiso para actualizar una CloudFront KeyValueStore Escritura

key-value-store*

UpdateOriginAccessControl Concede permiso para actualizar un control de acceso de origen Escritura

origin-access-control*

UpdateOriginRequestPolicy Concede permiso para actualizar una política de solicitud de origen Write

origin-request-policy*

UpdatePublicKey Concede permiso para actualizar la información de clave pública Write
UpdateRealtimeLogConfig Concede permiso para actualizar una configuración de registro en tiempo real Escritura

realtime-log-config*

UpdateResponseHeadersPolicy Concede permiso para actualizar una política de encabezados de respuesta. Escritura

response-headers-policy*

UpdateSavingsPlan [solo permiso] Concede permiso para actualizar un Savings Plan Escritura
UpdateStreamingDistribution Otorga permiso para actualizar la configuración de una RTMP distribución Escritura

streaming-distribution*

UpdateVpcOrigin Otorga permiso para actualizar un VPC origen Escritura

vpcorigin*

Tipos de recursos definidos por Amazon CloudFront

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso ARN Claves de condición
distribution arn:${Partition}:cloudfront::${Account}:distribution/${DistributionId}

aws:ResourceTag/${TagKey}

streaming-distribution arn:${Partition}:cloudfront::${Account}:streaming-distribution/${DistributionId}

aws:ResourceTag/${TagKey}

origin-access-identity arn:${Partition}:cloudfront::${Account}:origin-access-identity/${Id}
field-level-encryption-config arn:${Partition}:cloudfront::${Account}:field-level-encryption-config/${Id}
field-level-encryption-profile arn:${Partition}:cloudfront::${Account}:field-level-encryption-profile/${Id}
cache-policy arn:${Partition}:cloudfront::${Account}:cache-policy/${Id}
origin-request-policy arn:${Partition}:cloudfront::${Account}:origin-request-policy/${Id}
realtime-log-config arn:${Partition}:cloudfront::${Account}:realtime-log-config/${Name}
function arn:${Partition}:cloudfront::${Account}:function/${Name}
key-value-store arn:${Partition}:cloudfront::${Account}:key-value-store/${Name}
response-headers-policy arn:${Partition}:cloudfront::${Account}:response-headers-policy/${Id}
origin-access-control arn:${Partition}:cloudfront::${Account}:origin-access-control/${Id}
continuous-deployment-policy arn:${Partition}:cloudfront::${Account}:continuous-deployment-policy/${Id}
anycast-ip-list arn:${Partition}:cloudfront::${Account}:anycast-ip-list/${Id}

aws:ResourceTag/${TagKey}

vpcorigin arn:${Partition}:cloudfront::${Account}:vpcorigin/${Id}

aws:ResourceTag/${TagKey}

Claves de estado de Amazon CloudFront

Amazon CloudFront define las siguientes claves de condición que se pueden utilizar en el Condition elemento de una IAM política. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición Descripción Tipo
aws:RequestTag/${TagKey} Filtra el acceso según si hay pares de clave-valor de etiqueta en la solicitud. Cadena
aws:ResourceTag/${TagKey} Filtra el acceso por los pares de clave-valor de etiqueta adjuntados al recurso Cadena
aws:TagKeys Filtra el acceso en función de la presencia de claves de etiqueta en la solicitud ArrayOfString