Actions Tipos de recurso Claves de condición

Acciones, recursos y claves de condición para AWS WAF V2

AWS WAF V2 (prefijo de servicio: wafv2) proporciona los siguientes recursos, acciones y claves de contexto de condición específicos del servicio para su uso en las políticas de permisos de IAM.

Referencias:

Obtenga información para configurar este servicio.
Vea una lista de las operaciones de API disponibles para este servicio.
Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.

Temas

Acciones definidas por AWS WAF V2
Tipos de recursos definidos por AWS WAF V2
Claves de condición para AWS WAF V2

Acciones definidas por AWS WAF V2

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
AssociateWebACL	Concede permiso para asociar una WebACL a un recurso	Write	webacl*		apigateway:SetWebACL apprunner:AssociateWebAcl appsync:SetWebACL cognito-idp:AssociateWebACL ec2:AssociateVerifiedAccessInstanceWebAcl elasticloadbalancing:SetWebAcl
			apigateway
			apprunner
			appsync
			loadbalancer/app/
			userpool
			verified-access-instance
CheckCapacity	Concede permiso para calcular los requisitos de la unidad de capacidad de ACL web (WCU) para un ámbito y un conjunto de reglas especificados	Leer
CreateAPIKey	Concede permiso para crear una clave de API para su uso en la integración de la API de CAPTCHA en las aplicaciones cliente de JavaScript	Escritura
CreateIPSet	Concede permiso para crear un IPSet	Write	ipset*
CreateIPSet	Concede permiso para crear un IPSet	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateRegexPatternSet	Concede permiso para crear un RegexPatternSet	Write	regexpatternset*
CreateRegexPatternSet	Concede permiso para crear un RegexPatternSet	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateRuleGroup	Concede permiso para crear un RuleGroup	Write	rulegroup*
			ipset
			regexpatternset
				aws:RequestTag/${TagKey} aws:TagKeys
CreateWebACL	Concede permiso para crear una WebACL	Escritura	webacl*
			ipset
			managedruleset
			regexpatternset
			rulegroup
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAPIKey	Otorga permiso para eliminar una clave API	Escritura
DeleteFirewallManagerRuleGroups	Concede permiso para eliminar FirewallManagedRulesGroups de una WebACL, si ya no los administra Firewall Manager	Write	webacl*
DeleteIPSet	Concede permiso para eliminar un IPSet	Write	ipset*
DeleteLoggingConfiguration	Concede permiso para eliminar la LoggingConfiguration de una WebACL	Write	webacl*
DeleteLoggingConfiguration		Write		wafv2:LogScope
DeletePermissionPolicy	Concede permiso para eliminar la PermissionPolicy en un RuleGroup	Permissions management	rulegroup*
DeleteRegexPatternSet	Concede permiso para eliminar un RegexPatternSet	Write	regexpatternset*
DeleteRuleGroup	Concede permiso para eliminar una RuleGroup	Write	rulegroup*
DeleteWebACL	Concede permiso para eliminar una WebACL	Escritura	webacl*
DescribeAllManagedProducts	Concede permiso para recuperar información de producto para un grupo de reglas administrado	Leer
DescribeManagedProductsByVendor	Concede permiso para recuperar información de producto para un grupo de reglas administrado por un proveedor determinado	Leer
DescribeManagedRuleGroup	Concede permiso para recuperar información de alto nivel para un grupo de reglas administrado	Leer
DisassociateFirewallManager [solo permiso]	Concede permiso para desasociar Firewall Manager de una WebACL	Escritura	webacl*
DisassociateWebACL	Concede permiso para desasociar una WebACL de un recurso de aplicación	Escritura	apigateway		apigateway:SetWebACL apprunner:DisassociateWebAcl appsync:SetWebACL cognito-idp:DisassociateWebACL ec2:DisassociateVerifiedAccessInstanceWebAcl elasticloadbalancing:SetWebAcl
			apprunner
			appsync
			loadbalancer/app/
			userpool
			verified-access-instance
GenerateMobileSdkReleaseUrl	Concede permiso para generar una URL de descarga prefirmada para la versión especificada del SDK móvil	Leer
GetDecryptedAPIKey	Concede permiso para devolver la clave de API de manera descifrada Utilice esta opción para comprobar los dominios de token que ha definido para la clave	Leer
GetIPSet	Concede permiso para recuperar los detalles de un IPSet	Read	ipset*
GetIPSet	Concede permiso para recuperar los detalles de un IPSet	Read		aws:ResourceTag/${TagKey}
GetLoggingConfiguration	Concede permiso para recuperar LoggingConfiguration para una WebACL	Leer	webacl*
GetLoggingConfiguration		Leer		aws:ResourceTag/${TagKey} wafv2:LogScope
GetManagedRuleSet	Concede permiso para recuperar los detalles de un ManagedRuleSet	Leer	managedruleset*
GetMobileSdkRelease	Concede permiso para recuperar información de la versión del SDK móvil especificada, incluidas las notas y etiquetas de la versión	Leer
GetPermissionPolicy	Concede permiso para recuperar una PermissionPolicy para un RuleGroup	Read	rulegroup*
GetRateBasedStatementManagedKeys	Concede permiso para recuperar las claves que actualmente están bloqueadas por una regla basada en frecuencia	Read	webacl*
GetRateBasedStatementManagedKeys		Read		aws:ResourceTag/${TagKey}
GetRegexPatternSet	Concede permiso para recuperar los detalles de un RegexPatternSet	Read	regexpatternset*
GetRegexPatternSet		Read		aws:ResourceTag/${TagKey}
GetRuleGroup	Concede permiso para recuperar los detalles de un RuleGroup	Read	rulegroup*
GetRuleGroup	Concede permiso para recuperar los detalles de un RuleGroup	Read		aws:ResourceTag/${TagKey}
GetSampledRequests	Concede permiso para recuperar información detallada sobre un muestreo de solicitudes web	Read	webacl*
GetWebACL	Concede permiso para recuperar los detalles de una WebACL	Read	webacl*
GetWebACL	Concede permiso para recuperar los detalles de una WebACL	Read		aws:ResourceTag/${TagKey}
GetWebACLForResource	Concede permiso para recuperar la WebACL asociada a un recurso	Leer	webacl*		apprunner:DescribeWebAclForService cognito-idp:GetWebACLForResource ec2:GetVerifiedAccessInstanceWebAcl wafv2:GetWebACL
			apigateway
			apprunner
			appsync
			loadbalancer/app/
			userpool
			verified-access-instance
ListAPIKeys	Concede permiso para recuperar una lista de las claves de API que ha definido para el ámbito especificado	Enumeración
ListAvailableManagedRuleGroupVersions	Concede permiso para recuperar una matriz de versiones de grupos de reglas administrados que están disponibles para su uso	Enumeración
ListAvailableManagedRuleGroups	Concede permiso para recuperar una matriz de grupos de reglas administrados que están disponibles para su uso	List
ListIPSets	Concede permiso para recuperar una matriz de objetos IPSetSummary para los conjuntos de IP que administra	List
ListLoggingConfigurations	Concede permiso para recuperar una matriz de los objetos LoggingConfiguration	Enumeración		wafv2:LogScope
ListManagedRuleSets	Concede permiso para recuperar una matriz de objetos de ManagedRuleSet	Enumeración
ListMobileSdkReleases	Concede permiso para recuperar una lista de las versiones disponibles para el SDK móvil y la plataforma de dispositivos especificada	Enumeración
ListRegexPatternSets	Concede permiso para recuperar una matriz de objetos RegexPatternSetSummary para los conjuntos de patrones de expresiones regulares que administra	List
ListResourcesForWebACL	Concede permiso para recuperar una matriz de nombres de recursos de Amazon (ARN) para los recursos asociados a la ACL web especificada	List	webacl*		apprunner:ListAssociatedServicesForWebAcl cognito-idp:ListResourcesForWebACL ec2:DescribeVerifiedAccessInstanceWebAclAssociations
			apprunner
			userpool
			verified-access-instance
ListRuleGroups	Concede permiso para recuperar una matriz de objetos RuleGroupSummary para los grupos de reglas que administra	List
ListTagsForResource	Concede permiso para enumerar las etiquetas de un recurso	Read	ipset
			regexpatternset
			rulegroup
			webacl
				aws:ResourceTag/${TagKey}
ListWebACLs	Concede permiso para recuperar una matriz de objetos WebACLSummary para las ACL web que administra	List
PutFirewallManagerRuleGroups [solo permiso]	Concede permiso para crear FirewallManagedRulesGroups en una WebACL	Write	webacl*
PutLoggingConfiguration	Concede permiso para habilitar una LoggingConfiguration, para iniciar el registro de una ACL web	Escritura	webacl*		iam:CreateServiceLinkedRole
PutLoggingConfiguration		Escritura		wafv2:LogScope wafv2:LogDestinationResource
PutManagedRuleSetVersions	Concede permiso para habilitar la creación de una nueva o actualizar una versión existente de un conjunto de reglas administradas	Escritura	managedruleset*
PutManagedRuleSetVersions		Escritura	rulegroup*
PutPermissionPolicy	Concede permiso para adjuntar una política de IAM a un recurso, que se utiliza para compartir grupos de reglas entre cuentas	Permissions management	rulegroup*
TagResource	Concede permiso para asociar etiquetas a un recurso de AWS	Etiquetado	ipset
			regexpatternset
			rulegroup
			webacl
				aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
UntagResource	Concede permiso para desvincular etiquetas de un recurso de AWS	Etiquetado	ipset
			regexpatternset
			rulegroup
			webacl
				aws:TagKeys
UpdateIPSet	Concede permiso para actualizar un IPSet	Escritura	ipset*
UpdateIPSet	Concede permiso para actualizar un IPSet	Escritura		aws:ResourceTag/${TagKey}
UpdateManagedRuleSetVersionExpiryDate	Concede permiso para actualizar la fecha de caducidad de una versión en ManagedRuleset	Escritura	managedruleset*
UpdateRegexPatternSet	Concede permiso para actualizar un RegexPatternSet	Write	regexpatternset*
UpdateRegexPatternSet	Concede permiso para actualizar un RegexPatternSet	Write		aws:ResourceTag/${TagKey}
UpdateRuleGroup	Concede permiso para actualizar un RuleGroup	Write	rulegroup*
			ipset
			regexpatternset
				aws:ResourceTag/${TagKey}
UpdateWebACL	Concede permiso para actualizar una WebACL	Escritura	webacl*
			ipset
			managedruleset
			regexpatternset
			rulegroup
				aws:ResourceTag/${TagKey}

Tipos de recursos definidos por AWS WAF V2

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso	ARN	Claves de condición
webacl	`arn:${Partition}:wafv2:${Region}:${Account}:${Scope}/webacl/${Name}/${Id}`	aws:ResourceTag/${TagKey}
ipset	`arn:${Partition}:wafv2:${Region}:${Account}:${Scope}/ipset/${Name}/${Id}`	aws:ResourceTag/${TagKey}
managedruleset	`arn:${Partition}:wafv2:${Region}:${Account}:${Scope}/managedruleset/${Name}/${Id}`
rulegroup	`arn:${Partition}:wafv2:${Region}:${Account}:${Scope}/rulegroup/${Name}/${Id}`	aws:ResourceTag/${TagKey}
regexpatternset	`arn:${Partition}:wafv2:${Region}:${Account}:${Scope}/regexpatternset/${Name}/${Id}`	aws:ResourceTag/${TagKey}
loadbalancer/app/	`arn:${Partition}:elasticloadbalancing:${Region}:${Account}:loadbalancer/app/${LoadBalancerName}/${LoadBalancerId}`
apigateway	`arn:${Partition}:apigateway:${Region}::/restapis/${ApiId}/stages/${StageName}`
appsync	`arn:${Partition}:appsync:${Region}:${Account}:apis/${GraphQLAPIId}`
userpool	`arn:${Partition}:cognito-idp:${Region}:${Account}:userpool/${UserPoolId}`
apprunner	`arn:${Partition}:apprunner:${Region}:${Account}:service/${ServiceName}/${ServiceId}`
verified-access-instance	`arn:${Partition}:ec2:${Region}:${Account}:verified-access-instance/${VerifiedAccessInstanceId}`

Claves de condición para AWS WAF V2

AWS WAF V2 define las siguientes claves de condición que pueden utilizarse en el elemento Condition de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso por el conjunto de valores permitidos para cada una de las etiquetas.	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso según el valor-etiqueta asociado con el recurso	Cadena
aws:TagKeys	Filtra el acceso por la presencia de etiquetas obligatorias en la solicitud	ArrayOfString
wafv2:LogDestinationResource	Filtra el acceso por ARN de destino de registro para la API PutLoggingConfiguration	ARN
wafv2:LogScope	Filtra el acceso por el ámbito de registro para la API de configuración de registro	Cadena

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

AWS WAF Regional

AWS Well-Architected Tool