Tindakan, sumber daya, dan kunci kondisi untuk AWS WAF

AWS WAF(awalan layanan:waf) menyediakan kunci konteks sumber daya, tindakan, dan kondisi khusus layanan berikut untuk digunakan dalam IAM kebijakan izin.

Referensi:

Pelajari cara mengonfigurasi layanan ini.
Lihat daftar APIoperasi yang tersedia untuk layanan ini.
Pelajari cara mengamankan layanan ini dan sumber dayanya dengan menggunakan kebijakan IAM izin.

Topik

Tindakan yang didefinisikan oleh AWS WAF
Jenis sumber daya didefinisikan oleh AWS WAF
Kunci kondisi untuk AWS WAF

Tindakan yang didefinisikan oleh AWS WAF

Anda dapat menentukan tindakan berikut dalam Action elemen pernyataan IAM kebijakan. Gunakan kebijakan untuk memberikan izin untuk melaksanakan operasi dalam AWS. Ketika Anda menggunakan tindakan dalam kebijakan, Anda biasanya mengizinkan atau menolak akses ke API operasi atau CLI perintah dengan nama yang sama. Namun, dalam beberapa kasus, satu tindakan tunggal mengontrol akses ke lebih dari satu operasi. Atau, beberapa operasi memerlukan beberapa tindakan yang berbeda.

Kolom tipe sumber daya pada tabel Tindakan menunjukkan apakah setiap tindakan mendukung izin tingkat sumber daya. Jika tidak ada nilai untuk kolom ini, Anda harus menentukan semua sumber daya (“*”) yang berlaku kebijakan dalam Resource elemen pernyataan kebijakan Anda. Jika kolom menyertakan jenis sumber daya, maka Anda dapat menentukan ARN jenis itu dalam pernyataan dengan tindakan tersebut. Jika tindakan memiliki satu atau lebih sumber daya yang diperlukan, pemanggil harus memiliki izin untuk menggunakan tindakan dengan sumber daya tersebut. Sumber daya yang diperlukan ditunjukkan dalam tabel dengan tanda bintang (*). Jika Anda membatasi akses sumber daya dengan Resource elemen dalam IAM kebijakan, Anda harus menyertakan pola ARN atau untuk setiap jenis sumber daya yang diperlukan. Beberapa tindakan mendukung berbagai jenis sumber daya. Jika jenis sumber daya opsional (tidak ditunjukkan sesuai kebutuhan), maka Anda dapat memilih untuk menggunakan salah satu jenis sumber daya opsional.

Kolom Condition keys pada tabel Actions menyertakan kunci yang dapat Anda tentukan dalam Condition elemen pernyataan kebijakan. Untuk informasi selengkapnya tentang kunci kondisi yang terkait dengan sumber daya untuk layanan, lihat kolom Kunci kondisi pada tabel Jenis sumber daya.

catatan

Kunci kondisi sumber daya tercantum dalam tabel Jenis sumber daya. Anda dapat menemukan tautan ke jenis sumber daya yang berlaku untuk tindakan di kolom Jenis sumber daya (*wajib) pada tabel Tindakan. Jenis sumber daya dalam tabel Jenis sumber daya menyertakan kolom Kunci kondisi, yang merupakan kunci kondisi sumber daya yang berlaku untuk tindakan dalam tabel Tindakan.

Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tindakan.

Tindakan	Deskripsi	Tingkat akses	Jenis sumber daya (*diperlukan)	Kunci syarat	Tindakan bergantung
CreateByteMatchSet	Memberikan izin untuk membuat ByteMatchSet	Tulis	bytematchset*
CreateGeoMatchSet	Memberikan izin untuk membuat GeoMatchSet	Tulis	geomatchset*
CreateIPSet	Memberikan izin untuk membuat IPSet	Tulis	ipset*
CreateRateBasedRule	Memberikan izin untuk membuat RateBasedRule untuk membatasi volume permintaan dari satu alamat IP	Tulis	ratebasedrule*
CreateRateBasedRule		Tulis		aws:RequestTag/${TagKey} aws:TagKeys
CreateRegexMatchSet	Memberikan izin untuk membuat RegexMatchSet	Tulis	regexmatchset*
CreateRegexPatternSet	Memberikan izin untuk membuat RegexPatternSet	Tulis	regexpatternset*
CreateRule	Memberikan izin untuk membuat Aturan untuk memfilter permintaan web	Tulis	rule*
CreateRule		Tulis		aws:RequestTag/${TagKey} aws:TagKeys
CreateRuleGroup	Memberikan izin untuk membuat RuleGroup, yang merupakan kumpulan aturan standar yang dapat Anda gunakan di Web ACL	Tulis	rulegroup*
CreateRuleGroup		Tulis		aws:RequestTag/${TagKey} aws:TagKeys
CreateSizeConstraintSet	Memberikan izin untuk membuat SizeConstraintSet	Tulis	sizeconstraintset*
CreateSqlInjectionMatchSet	Memberikan izin untuk membuat SqlInjectionMatchSet	Tulis	sqlinjectionmatchset*
CreateWebACL	Memberikan izin untuk membuat WebACL, yang berisi aturan untuk memfilter permintaan web	Manajemen izin	webacl*
CreateWebACL		Manajemen izin		aws:RequestTag/${TagKey} aws:TagKeys
CreateWebACLMigrationStack	Memberikan izin untuk membuat ACL template CloudFormation web di bucket S3 untuk tujuan migrasi web ACL dari AWS WAF Classic ke v2 AWS WAF	Tulis	webacl*		s3:PutObject
CreateXssMatchSet	Memberikan izin untuk membuat XssMatchSet, yang Anda gunakan untuk mendeteksi permintaan yang berisi serangan skrip lintas situs	Tulis	xssmatchset*
DeleteByteMatchSet	Memberikan izin untuk menghapus ByteMatchSet	Tulis	bytematchset*
DeleteGeoMatchSet	Memberikan izin untuk menghapus GeoMatchSet	Tulis	geomatchset*
DeleteIPSet	Memberikan izin untuk menghapus IPSet	Tulis	ipset*
DeleteLoggingConfiguration	Memberikan izin untuk menghapus LoggingConfiguration dari web ACL	Tulis	webacl*
DeletePermissionPolicy	Memberikan izin untuk menghapus IAM kebijakan dari grup aturan	Manajemen izin	rulegroup*
DeleteRateBasedRule	Memberikan izin untuk menghapus RateBasedRule	Tulis	ratebasedrule*
DeleteRegexMatchSet	Memberikan izin untuk menghapus RegexMatchSet	Tulis	regexmatchset*
DeleteRegexPatternSet	Memberikan izin untuk menghapus RegexPatternSet	Tulis	regexpatternset*
DeleteRule	Memberikan izin untuk menghapus Aturan	Tulis	rule*
DeleteRuleGroup	Memberikan izin untuk menghapus RuleGroup	Tulis	rulegroup*
DeleteSizeConstraintSet	Memberikan izin untuk menghapus SizeConstraintSet	Tulis	sizeconstraintset*
DeleteSqlInjectionMatchSet	Memberikan izin untuk menghapus SqlInjectionMatchSet	Tulis	sqlinjectionmatchset*
DeleteWebACL	Memberikan izin untuk menghapus Web ACL	Manajemen izin	webacl*
DeleteXssMatchSet	Memberikan izin untuk menghapus XssMatchSet	Tulis	xssmatchset*
GetByteMatchSet	Memberikan izin untuk mengambil ByteMatchSet	Baca	bytematchset*
GetChangeToken	Memberikan izin untuk mengambil token perubahan untuk digunakan dalam membuat, memperbarui, dan menghapus permintaan	Baca
GetChangeTokenStatus	Memberikan izin untuk mengambil status token perubahan	Baca
GetGeoMatchSet	Memberikan izin untuk mengambil GeoMatchSet	Baca	geomatchset*
GetIPSet	Memberikan izin untuk mengambil IPSet	Baca	ipset*
GetLoggingConfiguration	Memberikan izin untuk mengambil LoggingConfiguration untuk web ACL	Baca	webacl*
GetPermissionPolicy	Memberikan izin untuk mengambil IAM kebijakan untuk grup aturan	Baca	rulegroup*
GetRateBasedRule	Memberikan izin untuk mengambil RateBasedRule	Baca	ratebasedrule*
GetRateBasedRuleManagedKeys	Memberikan izin untuk mengambil array alamat IP yang saat ini sedang diblokir oleh RateBasedRule	Baca	ratebasedrule*
GetRegexMatchSet	Memberikan izin untuk mengambil RegexMatchSet	Baca	regexmatchset*
GetRegexPatternSet	Memberikan izin untuk mengambil RegexPatternSet	Baca	regexpatternset*
GetRule	Memberikan izin untuk mengambil Aturan	Baca	rule*
GetRuleGroup	Memberikan izin untuk mengambil RuleGroup	Baca	rulegroup*
GetSampledRequests	Memberikan izin untuk mengambil informasi rinci tentang kumpulan sampel permintaan web	Baca	webacl
GetSizeConstraintSet	Memberikan izin untuk mengambil SizeConstraintSet	Baca	sizeconstraintset*
GetSqlInjectionMatchSet	Memberikan izin untuk mengambil SqlInjectionMatchSet	Baca	sqlinjectionmatchset*
GetWebACL	Memberikan izin untuk mengambil Web ACL	Baca	webacl*
GetXssMatchSet	Memberikan izin untuk mengambil XssMatchSet	Baca	xssmatchset*
ListActivatedRulesInRuleGroup	Memberikan izin untuk mengambil array objek ActivatedRule	Daftar
ListByteMatchSets	Memberikan izin untuk mengambil array objek ByteMatchSetSummary	Daftar
ListGeoMatchSets	Memberikan izin untuk mengambil array objek GeoMatchSetSummary	Daftar
ListIPSets	Memberikan izin untuk mengambil array objek IPSetSummary	Daftar
ListLoggingConfigurations	Memberikan izin untuk mengambil array objek LoggingConfiguration	Daftar
ListRateBasedRules	Memberikan izin untuk mengambil array objek RuleSummary	Daftar
ListRegexMatchSets	Memberikan izin untuk mengambil array objek RegexMatchSetSummary	Daftar
ListRegexPatternSets	Memberikan izin untuk mengambil array objek RegexPatternSetSummary	Daftar
ListRuleGroups	Memberikan izin untuk mengambil array objek RuleGroup	Daftar
ListRules	Memberikan izin untuk mengambil array objek RuleSummary	Daftar
ListSizeConstraintSets	Memberikan izin untuk mengambil array objek SizeConstraintSetSummary	Daftar
ListSqlInjectionMatchSets	Memberikan izin untuk mengambil array objek SqlInjectionMatchSet	Daftar
ListSubscribedRuleGroups	Memberikan izin untuk mengambil array RuleGroup objek yang Anda berlangganan	Daftar
ListTagsForResource	Memberikan izin untuk mengambil tag untuk sumber daya	Baca	ratebasedrule
			rule
			rulegroup
			webacl
ListWebACLs	Memberikan izin untuk mengambil array objek W ebACLSummary	Daftar
ListXssMatchSets	Memberikan izin untuk mengambil array objek XssMatchSet	Daftar
PutLoggingConfiguration	Memberikan izin untuk mengaitkan LoggingConfiguration dengan web tertentu ACL	Tulis	webacl*		iam:CreateServiceLinkedRole
PutPermissionPolicy	Memberikan izin untuk melampirkan IAM kebijakan ke grup aturan, untuk berbagi grup aturan antar akun	Manajemen izin	rulegroup*
TagResource	Memberikan izin untuk menambahkan Tag ke sumber daya	Penandaan	ratebasedrule
			rule
			rulegroup
			webacl
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Memberikan izin untuk menghapus Tag dari sumber daya	Penandaan	ratebasedrule
			rule
			rulegroup
			webacl
				aws:TagKeys
UpdateByteMatchSet	Memberikan izin untuk menyisipkan atau menghapus ByteMatchTuple objek dalam ByteMatchSet	Tulis	bytematchset*
UpdateGeoMatchSet	Memberikan izin untuk menyisipkan atau menghapus GeoMatchConstraint objek dalam GeoMatchSet	Tulis	geomatchset*
UpdateIPSet	Memberikan izin untuk menyisipkan atau menghapus IPSetDescriptor objek dalam IPSet	Tulis	ipset*
UpdateRateBasedRule	Memberikan izin untuk memodifikasi aturan berdasarkan tarif	Tulis	ratebasedrule*
UpdateRegexMatchSet	Memberikan izin untuk menyisipkan atau menghapus RegexMatchTuple objek dalam RegexMatchSet	Tulis	regexmatchset*
UpdateRegexPatternSet	Memberikan izin untuk menyisipkan atau menghapus RegexPatternStrings RegexPatternSet	Tulis	regexpatternset*
UpdateRule	Memberikan izin untuk memodifikasi Aturan	Tulis	rule*
UpdateRuleGroup	Memberikan izin untuk menyisipkan atau menghapus ActivatedRule objek dalam RuleGroup	Tulis	rulegroup*
UpdateSizeConstraintSet	Memberikan izin untuk menyisipkan atau menghapus SizeConstraint objek dalam SizeConstraintSet	Tulis	sizeconstraintset*
UpdateSqlInjectionMatchSet	Memberikan izin untuk menyisipkan atau menghapus SqlInjectionMatchTuple objek dalam SqlInjectionMatchSet	Tulis	sqlinjectionmatchset*
UpdateWebACL	Memberikan izin untuk menyisipkan atau menghapus ActivatedRule objek di Web ACL	Manajemen izin	webacl*
UpdateXssMatchSet	Memberikan izin untuk menyisipkan atau menghapus XssMatchTuple objek dalam XssMatchSet	Tulis	xssmatchset*

Jenis sumber daya didefinisikan oleh AWS WAF

Jenis sumber daya berikut ditentukan oleh layanan ini dan dapat digunakan dalam Resource elemen pernyataan kebijakan IAM izin. Setiap tindakan dalam Tabel tindakan mengidentifikasi jenis sumber daya yang dapat ditentukan dengan tindakan tersebut. Jenis sumber daya juga dapat menentukan kunci kondisi mana yang dapat Anda sertakan dalam kebijakan. Tombol ini ditampilkan di kolom terakhir dari tabel Jenis sumber daya. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tipe sumber daya.

Jenis sumber daya	ARN	Kunci syarat
bytematchset	`arn:${Partition}:waf::${Account}:bytematchset/${Id}`
ipset	`arn:${Partition}:waf::${Account}:ipset/${Id}`
ratebasedrule	`arn:${Partition}:waf::${Account}:ratebasedrule/${Id}`	aws:ResourceTag/${TagKey}
rule	`arn:${Partition}:waf::${Account}:rule/${Id}`	aws:ResourceTag/${TagKey}
sizeconstraintset	`arn:${Partition}:waf::${Account}:sizeconstraintset/${Id}`
sqlinjectionmatchset	`arn:${Partition}:waf::${Account}:sqlinjectionset/${Id}`
webacl	`arn:${Partition}:waf::${Account}:webacl/${Id}`	aws:ResourceTag/${TagKey}
xssmatchset	`arn:${Partition}:waf::${Account}:xssmatchset/${Id}`
regexmatchset	`arn:${Partition}:waf::${Account}:regexmatch/${Id}`
regexpatternset	`arn:${Partition}:waf::${Account}:regexpatternset/${Id}`
geomatchset	`arn:${Partition}:waf::${Account}:geomatchset/${Id}`
rulegroup	`arn:${Partition}:waf::${Account}:rulegroup/${Id}`	aws:ResourceTag/${TagKey}

Kunci kondisi untuk AWS WAF

AWS WAFmendefinisikan kunci kondisi berikut yang dapat digunakan dalam Condition elemen IAM kebijakan. Anda dapat menggunakan kunci ini untuk menyempurnakan syarat lebih lanjut saat pernyataan kebijakan berlaku. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tombol kondisi.

Untuk melihat kunci kondisi global yang tersedia untuk semua layanan, lihat Kunci kondisi global yang tersedia.

Kunci syarat	Deskripsi	Jenis
aws:RequestTag/${TagKey}	Menyaring tindakan berdasarkan kumpulan nilai yang diizinkan untuk masing-masing tag	String
aws:ResourceTag/${TagKey}	Memfilter tindakan berdasarkan nilai tag yang terkait dengan sumber daya	String
aws:TagKeys	Menyaring tindakan berdasarkan keberadaan tag wajib dalam permintaan	ArrayOfString

Awas Javascript dinonaktifkan atau tidak tersedia di browser Anda.

Untuk menggunakan Dokumentasi AWS, Javascript harus diaktifkan. Lihat halaman Bantuan browser Anda untuk petunjuk.

Konvensi Dokumen

Layanan Amazon VPC Lattice

AWS WAFRegional