Amazon Route 53 Resolver のアクション、リソース、および条件キー

Amazon Route 53 Resolver (サービスプレフィックス: route53resolver) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

参照:

このサービスを設定する方法について説明します。
このサービスで使用可能な API オペレーションのリストを表示します。
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。

トピック

Amazon Route 53 Resolver で定義されるリソース
Amazon Route 53 Resolver で定義されるリソースタイプ
Amazon Route 53 Resolver の条件キー

Amazon Route 53 Resolver で定義されるリソース

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource 要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
AssociateFirewallRuleGroup	Amazon VPC を指定されたファイアウォールのルールグループに関連付けるアクセス許可を付与します。	Write	firewall-rule-group-association*		ec2:DescribeVpcs
AssociateFirewallRuleGroup	Amazon VPC を指定されたファイアウォールのルールグループに関連付けるアクセス許可を付与します。	Write		aws:RequestTag/${TagKey} aws:TagKeys
AssociateResolverEndpointIpAddress	指定した IP アドレスを Resolver エンドポイントに関連付けるアクセス許可を付与します。これは、DNS クエリがネットワーク (アウトバウンド) または VPC (インバウンド) に到達するまでに経由する IP アドレスです。	Write	resolver-endpoint*		ec2:CreateNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSubnets
AssociateResolverQueryLogConfig	指定されたクエリログ設定に Amazon VPC を関連付けるアクセス許可を付与します	Write	resolver-query-log-config*		ec2:DescribeVpcs
AssociateResolverRule	指定した Resolver ルールを、指定した VPC に関連付けるアクセス許可を付与します	Write	resolver-rule*		ec2:DescribeVpcs
CreateFirewallDomainList	ファイアウォールのドメインリストを作成するためのアクセス許可を付与します	Write	firewall-domain-list*
CreateFirewallDomainList	ファイアウォールのドメインリストを作成するためのアクセス許可を付与します	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateFirewallRule	ファイアウォールルールグループ内にファイアウォールルールを作成するためのアクセス許可を付与します	Write	firewall-domain-list*
CreateFirewallRule	ファイアウォールルールグループ内にファイアウォールルールを作成するためのアクセス許可を付与します	Write	firewall-rule-group*
CreateFirewallRuleGroup	ファイアウォールルールグループを作成するためのアクセス許可を付与します	書き込み	firewall-rule-group*
CreateFirewallRuleGroup	ファイアウォールルールグループを作成するためのアクセス許可を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateOutpostResolver	Route 53 Resolver on Outposts を作成するための許可を付与します	書き込み	outpost-resolver*		outposts:GetOutpost
CreateOutpostResolver	Route 53 Resolver on Outposts を作成するための許可を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverEndpoint	Resolver エンドポイントを作成する許可を付与。Resolver エンドポイントには、インバウンドとアウトバウンドの 2 つのタイプがあります	Write	resolver-endpoint*		ec2:CreateNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSecurityGroups ec2:DescribeSubnets ec2:DescribeVpcs
CreateResolverEndpoint		Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverQueryLogConfig	Resolver クエリログ設定を作成する許可を付与。これは、Resolver が VPC から生成される DNS クエリログを保存する場所を定義します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverRule	VPC で作成された DNS クエリについて、VPC からクエリをルーティングする方法を定義する許可を付与	書き込み	resolver-rule*
CreateResolverRule	VPC で作成された DNS クエリについて、VPC からクエリをルーティングする方法を定義する許可を付与	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
DeleteFirewallDomainList	ファイアウォールのドメインリストを削除するためのアクセス許可を付与します	Write	firewall-domain-list*
DeleteFirewallRule	ファイアウォールルールグループ内のファイアウォールルールを削除するためのアクセス許可を付与します	Write	firewall-domain-list*
DeleteFirewallRule	ファイアウォールルールグループ内のファイアウォールルールを削除するためのアクセス許可を付与します	Write	firewall-rule-group*
DeleteFirewallRuleGroup	ファイアウォールルールグループを削除するためのアクセス許可を付与します	書き込み	firewall-rule-group*
DeleteOutpostResolver	Route 53 Resolver on Outposts を削除するための許可を付与します	書き込み	outpost-resolver*
DeleteResolverEndpoint	Resolver エンドポイントを削除する許可を付与。Resolver エンドポイントを削除する効果は、エンドポイントがインバウンドであるかアウトバウンドであるかによって異なります	Write	resolver-endpoint*		ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces
DeleteResolverQueryLogConfig	Resolver クエリログ設定を削除する許可を付与	Write	resolver-query-log-config*
DeleteResolverRule	Resolver ルールを削除する許可を付与	Write	resolver-rule*
DisassociateFirewallRuleGroup	指定したファイアウォールのルールグループと指定した VPC の関連付けを削除する許可を付与。	Write	firewall-rule-group-association*
DisassociateResolverEndpointIpAddress	指定した IP アドレスを Resolver エンドポイントから削除する許可を付与。これは、DNS クエリがネットワーク (アウトバウンド) または VPC (インバウンド) に到達するまでに経由する IP アドレスです。	Write	resolver-endpoint*		ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces
DisassociateResolverQueryLogConfig	指定した Resolver クエリログ設定と指定した VPC との関連付けを削除する許可を付与	Write	resolver-query-log-config*
DisassociateResolverRule	指定した Resolver ルールと指定した VPC の関連付けを削除する許可を付与	Write	resolver-rule*
GetFirewallConfig	指定されたファイアウォール設定に関する情報を取得するためのアクセス許可を付与します	Read	firewall-config*		ec2:DescribeVpcs
GetFirewallDomainList	指定されたファイアウォールドメインリストに関する情報を取得するためのアクセス許可を付与します	Read	firewall-domain-list*
GetFirewallRuleGroup	指定したファイアウォールルールグループに関する情報を取得するためのアクセス許可を付与します	Read	firewall-rule-group*
GetFirewallRuleGroupAssociation	指定したファイアウォールのルールグループと VPC の間の関連付けに関する情報を取得する許可を付与。	読み取り	firewall-rule-group-association*
GetFirewallRuleGroupPolicy	別のが AWS アカウント使用できるようにするファイアウォールルールグループのオペレーションとリソースを指定する、指定されたファイアウォールルールグループポリシーに関する情報を取得する許可を付与	読み取り	firewall-rule-group*
GetOutpostResolver	指定された Route 53 Resolver on Outposts に関する情報を取得するための許可を付与します	読み取り	outpost-resolver*
GetResolverConfig	指定されたリソース内のResolver Config ステータスを取得するアクセス許可を付与します	読み取り	resolver-config*		ec2:DescribeVpcs
GetResolverDnssecConfig	指定されたリソース内の DNS クエリの DNSSEC 検証サポートステータスを取得する権利を付与します。	Read	resolver-dnssec-config*
GetResolverEndpoint	指定した Resolver エンドポイントに関する情報 (エンドポイントがインバウンドであるかアウトバウンドであるか、および DNS クエリが VPC への送受信の過程で転送される VPC 内の IP アドレスなど) を取得するためのアクセス許可を付与します	Read	resolver-endpoint*
GetResolverQueryLogConfig	指定した Resolver クエリのログ設定に関する情報を取得するためのアクセス許可を付与します (設定がクエリをログに記録している VPC の数や、ログの送信先など)	Read	resolver-query-log-config*		ec2:DescribeVpcs
GetResolverQueryLogConfigAssociation	Resolver クエリのログ設定と Amazon VPC の間の、指定された関連付けに関する情報を取得する許可を付与。VPC をクエリのログ設定に関連付けると、Resolver はその VPC で生成された DNS クエリをログに記録します	読み取り
GetResolverQueryLogConfigPolicy	指定された Resolver クエリログ記録ポリシーに関する情報を取得するアクセス許可を付与します。このポリシーは、別のが AWS アカウント使用できるようにする Resolver クエリログ記録オペレーションとリソースを指定します。	読み取り	resolver-query-log-config*
GetResolverRule	指定した Resolver ルールに関する情報 (ルールが DNS クエリを転送するドメイン名、クエリの転送先 IP アドレスなど) を取得するためのアクセス許可を付与します	Read	resolver-rule*
GetResolverRuleAssociation	指定した Resolver ルールと VPC の間の関連付けに関する情報を取得する許可を付与	読み取り	resolver-rule*
GetResolverRulePolicy	Resolver ルールポリシーに関する情報を取得するアクセス許可を付与します。このポリシーは、別のが AWS アカウント使用できるようにする Resolver オペレーションとリソースを指定します。	読み取り	resolver-rule*
ImportFirewallDomains	ファイアウォールドメインの一覧にファイアウォールドメインを追加、削除、または置換するためのアクセス許可を付与します	書き込み	firewall-domain-list*
ListFirewallConfigs	現在の AWS アカウントがチェックできるすべてのファイアウォール設定を一覧表示する許可を付与	リスト			ec2:DescribeVpcs
ListFirewallDomainLists	現在使用できるすべてのファイアウォールドメインリストを一覧表示 AWS アカウントする許可を付与	リスト
ListFirewallDomains	指定されたファイアウォールドメインリストのすべてのファイアウォールドメインを一覧表示する許可を付与	リスト	firewall-domain-list*
ListFirewallRuleGroupAssociations	Amazon VPC とファイアウォールルールグループ間の関連付けに関する情報を一覧表示するためのアクセス許可を付与します	リスト
ListFirewallRuleGroups	現在使用できるすべてのファイアウォールルールグループを一覧表示 AWS アカウントする許可を付与	リスト
ListFirewallRules	指定されたファイアウォールルールグループのすべてのファイアウォールルールを一覧表示する許可を付与	リスト	firewall-rule-group*
ListOutpostResolvers	現在のを使用して作成された Route 53 Resolver on Outposts のすべてのインスタンスを一覧表示する許可を付与 AWS アカウント	リスト
ListResolverConfigs	リゾルバConfig ステータスを一覧表示するアクセス許可を付与します	リスト	resolver-config*		ec2:DescribeVpcs
ListResolverDnssecConfigs	DNS クエリの DNSSEC 検証サポートステータスを一覧表示する許可を付与。	リスト	resolver-dnssec-config*
ListResolverEndpointIpAddresses	指定した Resolver エンドポイントについて、DNS クエリがネットワーク (アウトバウンド) または VPC (インバウンド) に到達するまでに経由する IP アドレスを一覧表示する許可を付与	リスト	resolver-endpoint*
ListResolverEndpoints	現在のを使用して作成されたすべての Resolver エンドポイントを一覧表示する許可を付与 AWS アカウント	リスト
ListResolverQueryLogConfigAssociations	Amazon VPC とクエリログ設定の間の関連付けに関する情報を一覧表示する許可を付与	リスト			ec2:DescribeVpcs
ListResolverQueryLogConfigs	指定したクエリログ設定に関する情報を一覧表示する許可を付与。この設定は、Resolver が DNS クエリログを保存する場所を定義し、クエリをログに記録する VPC を指定します	リスト			ec2:DescribeVpcs
ListResolverRuleAssociations	現在のを使用して Resolver ルールと VPCs の間で作成された関連付けを一覧表示する許可を付与 AWS アカウント	リスト			ec2:DescribeVpcs
ListResolverRules	現在のを使用して作成された Resolver ルールを一覧表示する許可を付与 AWS アカウント	リスト
ListTagsForResource	指定したリソースに関連付けたタグを一覧表示する許可を付与	読み取り	firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
PutFirewallRuleGroupPolicy	Firewall ルールグループ AWS アカウントを共有する、共有する Firewall ルールグループ、およびアカウントが設定で実行できるオペレーションを指定する許可を付与	権限の管理	firewall-rule-group*
PutResolverQueryLogConfigPolicy	クエリログ記録設定 AWS アカウントを共有する、共有するクエリログ記録設定、およびアカウントが設定に対して実行できるオペレーションを指定する許可を付与	権限の管理	resolver-query-log-config*
PutResolverRulePolicy	ルール AWS アカウントを共有する、共有する Resolver ルール、およびアカウントがそれらのルールに対して実行できるオペレーションを指定する許可を付与	権限の管理	resolver-rule*
TagResource	指定したリソースに 1 つ以上のタグを追加する許可を付与	タグ付け	firewall-config
			firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-dnssec-config
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	指定したリソースから 1 つ以上のタグを削除する許可を付与	タグ付け	firewall-config
			firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-dnssec-config
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
				aws:TagKeys
UpdateFirewallConfig	ファイアウォール設定の選択した設定を更新するためのアクセス許可を付与します	Write	firewall-config*		ec2:DescribeVpcs
UpdateFirewallDomains	ファイアウォールドメインの一覧にファイアウォールドメインを追加、削除、または置換するためのアクセス許可を付与します	Write	firewall-domain-list*
UpdateFirewallRule	ファイアウォールルールグループのファイアウォールルールについて選択した設定を更新するためのアクセス許可を付与します	Write	firewall-domain-list*
UpdateFirewallRule	ファイアウォールルールグループのファイアウォールルールについて選択した設定を更新するためのアクセス許可を付与します	Write	firewall-rule-group*
UpdateFirewallRuleGroupAssociation	ファイアウォールルールグループの関連付けについて選択した設定を更新するためのアクセス許可を付与します	書き込み	firewall-rule-group-association*
UpdateOutpostResolver	指定された Route 53 Resolver on Outposts 用に選択された設定を更新するための許可を付与します	書き込み	outpost-resolver*
UpdateResolverConfig	指定されたリソース内のResolver Config ステータスを更新するアクセス許可を付与します	書き込み	resolver-config*		ec2:DescribeVpcs
UpdateResolverDnssecConfig	指定されたリソース内の DNS クエリの DNSSEC 検証サポートステータスを更新する権利を付与します。	Write	resolver-dnssec-config*
UpdateResolverEndpoint	インバウンドまたはアウトバウンドの Resolver エンドポイントの選択した設定を更新する許可を付与	Write	resolver-endpoint*		ec2:AssignIpv6Addresses ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:ModifyNetworkInterfaceAttribute ec2:UnassignIpv6Addresses
UpdateResolverRule	指定した Resolver ルールの設定を更新する許可を付与	Write	resolver-rule*

Amazon Route 53 Resolver で定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
resolver-dnssec-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-dnssec-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-query-log-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-query-log-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-rule	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-rule/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-endpoint	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-endpoint/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-rule-group	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-rule-group-association	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group-association/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-domain-list	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-domain-list/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-config	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-config/${ResourceId}`
outpost-resolver	`arn:${Partition}:route53resolver:${Region}:${Account}:outpost-resolver/${ResourceId}`	aws:ResourceTag/${TagKey}

Amazon Route 53 Resolver の条件キー

Amazon Route 53 Resolver は、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	[Type] (タイプ)
aws:RequestTag/${TagKey}	リクエスト内のタグキーと値のペアが存在するかどうかでアクションをフィルタリングします	String
aws:ResourceTag/${TagKey}	リソースにアタッチされているタグのキーと値のペアによってアクセスをフィルタリングする	String
aws:TagKeys	リクエスト内のタグキーが存在するかどうかでアクセスをフィルタリングします	ArrayOfString

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

Amazon Route 53 Recovery Readiness

Amazon S3