Amazon Route 53 Resolver のアクション、リソース、および条件キー

Amazon Route 53 リゾルバー (サービスプレフィックス: route53resolver) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

リファレンス:

このサービスを設定する方法について説明します。
API このサービスで使用できるオペレーションのリストを表示します。
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。

トピック

Amazon Route 53 Resolver で定義されるリソース
Amazon Route 53 Resolver で定義されるリソースタイプ
Amazon Route 53 Resolver の条件キー

Amazon Route 53 Resolver で定義されるリソース

IAM ポリシーステートメントの Action 要素では、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合、通常、同じ名前のAPIオペレーションまたはCLIコマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれている場合は、ARNそのアクションを含むステートメントでそのタイプのを指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource要素を使用してリソースアクセスを制限する場合は、必要なリソースタイプごとに ARNまたはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
AssociateFirewallRuleGroup	Amazon をVPC指定されたファイアウォールルールグループに関連付ける許可を付与	書き込み	firewall-rule-group-association*		ec2:DescribeVpcs
AssociateFirewallRuleGroup	Amazon をVPC指定されたファイアウォールルールグループに関連付ける許可を付与	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
AssociateResolverEndpointIpAddress	指定した IP アドレスを Resolver エンドポイントに関連付けるアクセス許可を付与します。これは、ネットワーク (アウトバウンド) または (インバウンド) への途中でDNSクエリが通過する IP アドレスですVPCs。	書き込み	resolver-endpoint*		ec2:CreateNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSubnets
AssociateResolverQueryLogConfig	Amazon をVPC指定されたクエリログ記録設定に関連付ける許可を付与	書き込み	resolver-query-log-config*		ec2:DescribeVpcs
AssociateResolverRule	指定された Resolver ルールを指定されたに関連付ける許可を付与 VPC	書き込み	resolver-rule*		ec2:DescribeVpcs
CreateFirewallDomainList	ファイアウォールのドメインリストを作成するためのアクセス許可を付与します	Write	firewall-domain-list*
CreateFirewallDomainList	ファイアウォールのドメインリストを作成するためのアクセス許可を付与します	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateFirewallRule	ファイアウォールルールグループ内にファイアウォールルールを作成するためのアクセス許可を付与します	Write	firewall-domain-list*
CreateFirewallRule	ファイアウォールルールグループ内にファイアウォールルールを作成するためのアクセス許可を付与します	Write	firewall-rule-group*
CreateFirewallRuleGroup	ファイアウォールルールグループを作成するためのアクセス許可を付与します	書き込み	firewall-rule-group*
CreateFirewallRuleGroup	ファイアウォールルールグループを作成するためのアクセス許可を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateOutpostResolver	Route 53 Resolver on Outposts を作成するための許可を付与します	書き込み	outpost-resolver*		outposts:GetOutpost
CreateOutpostResolver	Route 53 Resolver on Outposts を作成するための許可を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverEndpoint	Resolver エンドポイントを作成する許可を付与。Resolver エンドポイントには、インバウンドとアウトバウンドの 2 つのタイプがあります	書き込み	resolver-endpoint*		ec2:CreateNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSecurityGroups ec2:DescribeSubnets ec2:DescribeVpcs
CreateResolverEndpoint		書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverQueryLogConfig	Resolver クエリログ記録設定を作成する許可を付与。この設定は、Resolver がで発生したDNSクエリログを保存する場所を定義します。 VPCs	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverRule	から発信されたクエリを VPC からルーティングする方法を定義する許可を付与 VPC	書き込み	resolver-rule*
CreateResolverRule	から発信されたクエリを VPC からルーティングする方法を定義する許可を付与 VPC	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
DeleteFirewallDomainList	ファイアウォールのドメインリストを削除するためのアクセス許可を付与します	Write	firewall-domain-list*
DeleteFirewallRule	ファイアウォールルールグループ内のファイアウォールルールを削除するためのアクセス許可を付与します	Write	firewall-domain-list*
DeleteFirewallRule	ファイアウォールルールグループ内のファイアウォールルールを削除するためのアクセス許可を付与します	Write	firewall-rule-group*
DeleteFirewallRuleGroup	ファイアウォールルールグループを削除するためのアクセス許可を付与します	書き込み	firewall-rule-group*
DeleteOutpostResolver	Route 53 Resolver on Outposts を削除するための許可を付与します	書き込み	outpost-resolver*
DeleteResolverEndpoint	Resolver エンドポイントを削除する許可を付与。Resolver エンドポイントを削除する効果は、エンドポイントがインバウンドであるかアウトバウンドであるかによって異なります	Write	resolver-endpoint*		ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces
DeleteResolverQueryLogConfig	Resolver クエリログ設定を削除する許可を付与	Write	resolver-query-log-config*
DeleteResolverRule	Resolver ルールを削除する許可を付与	書き込み	resolver-rule*
DisassociateFirewallRuleGroup	指定されたファイアウォールルールグループと指定されたルールグループ間の関連付けを削除する許可を付与 VPC	書き込み	firewall-rule-group-association*
DisassociateResolverEndpointIpAddress	指定した IP アドレスを Resolver エンドポイントから削除する許可を付与。これは、ネットワーク (アウトバウンド) または (インバウンド) への途中でDNSクエリが通過する IP アドレスですVPCs。	書き込み	resolver-endpoint*		ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces
DisassociateResolverQueryLogConfig	指定された Resolver クエリログ記録設定と指定されたの間の関連付けを削除する許可を付与 VPC	書き込み	resolver-query-log-config*
DisassociateResolverRule	指定されたリゾルバールールと指定されたの間の関連付けを削除する許可を付与 VPC	書き込み	resolver-rule*
GetFirewallConfig	指定されたファイアウォール設定に関する情報を取得するためのアクセス許可を付与します	Read	firewall-config*		ec2:DescribeVpcs
GetFirewallDomainList	指定されたファイアウォールドメインリストに関する情報を取得するためのアクセス許可を付与します	Read	firewall-domain-list*
GetFirewallRuleGroup	指定したファイアウォールルールグループに関する情報を取得するためのアクセス許可を付与します	読み取り	firewall-rule-group*
GetFirewallRuleGroupAssociation	指定されたファイアウォールルールグループとの間の関連付けに関する情報を取得する許可を付与 VPC	読み取り	firewall-rule-group-association*
GetFirewallRuleGroupPolicy	別のが AWS アカウント使用できるようにするファイアウォールルールグループのオペレーションとリソースを指定する、指定されたファイアウォールルールグループポリシーに関する情報を取得する許可を付与	読み取り	firewall-rule-group*
GetOutpostResolver	指定された Route 53 Resolver on Outposts に関する情報を取得するための許可を付与します	読み取り	outpost-resolver*
GetResolverConfig	指定されたリソース内のResolver Config ステータスを取得するアクセス許可を付与します	読み取り	resolver-config*		ec2:DescribeVpcs
GetResolverDnssecConfig	指定されたリソース内のDNSクエリDNSSECの検証サポートステータスを取得する許可を付与	読み取り	resolver-dnssec-config*
GetResolverEndpoint	指定された Resolver エンドポイントに関する情報を取得するアクセス許可を付与します。たとえば、インバウンドエンドポイントかアウトバウンドエンドポイントか、DNSクエリVPCがに出入りする途中でに転送されるの IP アドレスなどです。 VPC	読み取り	resolver-endpoint*
GetResolverQueryLogConfig	指定された Resolver クエリログ記録設定に関する情報を取得するアクセス許可を付与します。たとえば、設定がクエリをログ記録VPCsするの数や、ログが送信される場所などです。	読み取り	resolver-query-log-config*		ec2:DescribeVpcs
GetResolverQueryLogConfigAssociation	Resolver クエリログ記録設定と Amazon の間の指定された関連付けに関する情報を取得する許可を付与VPC。をクエリログ記録設定に関連付けるVPCと、Resolver はそのDNSクエリをログに記録します。 VPC	読み取り
GetResolverQueryLogConfigPolicy	指定された Resolver クエリログ記録ポリシーに関する情報を取得するアクセス許可を付与します。このポリシーは、別のが AWS アカウント使用できるようにする Resolver クエリログ記録オペレーションとリソースを指定します。	読み取り	resolver-query-log-config*
GetResolverRule	ルールがDNSクエリを転送するドメイン名やクエリが転送される IP アドレスなど、指定された Resolver ルールに関する情報を取得する許可を付与	読み取り	resolver-rule*
GetResolverRuleAssociation	指定されたリゾルバールールとの間の関連付けに関する情報を取得する許可を付与 VPC	読み取り	resolver-rule*
GetResolverRulePolicy	Resolver ルールポリシーに関する情報を取得するアクセス許可を付与します。このポリシーは、別のに AWS アカウント使用を許可する Resolver オペレーションとリソースを指定します。	読み取り	resolver-rule*
ImportFirewallDomains	ファイアウォールドメインの一覧にファイアウォールドメインを追加、削除、または置換するためのアクセス許可を付与します	書き込み	firewall-domain-list*
ListFirewallConfigs	現在の AWS アカウントがチェックできるすべてのファイアウォール設定を一覧表示する許可を付与	リスト			ec2:DescribeVpcs
ListFirewallDomainLists	現在使用できるすべての Firewall AWS アカウントドメインリストを一覧表示する許可を付与	リスト
ListFirewallDomains	指定されたファイアウォールドメインリストの下のすべてのファイアウォールドメインを一覧表示するためのアクセス許可を付与します	リスト	firewall-domain-list*
ListFirewallRuleGroupAssociations	Amazon VPCsと Firewall ルールグループ間の関連付けに関する情報を一覧表示する許可を付与	リスト
ListFirewallRuleGroups	現在使用できるすべてのファイアウォールルールグループを一覧表示 AWS アカウントする許可を付与	リスト
ListFirewallRules	指定されたファイアウォールルールグループの下のすべてのファイアウォールルールを一覧表示するためのアクセス許可を付与します	リスト	firewall-rule-group*
ListOutpostResolvers	現在のを使用して作成された Route 53 Resolver on Outposts のすべてのインスタンスを一覧表示する許可を付与 AWS アカウント	リスト
ListResolverConfigs	リゾルバConfig ステータスを一覧表示するアクセス許可を付与します	リスト	resolver-config*		ec2:DescribeVpcs
ListResolverDnssecConfigs	DNS クエリDNSSECの検証サポートステータスを一覧表示する許可を付与	リスト	resolver-dnssec-config*
ListResolverEndpointIpAddresses	指定された Resolver エンドポイントのネットワーク (アウトバウンド) または VPCs (インバウンド) への途中でDNSクエリが通過する IP アドレスを一覧表示する許可を付与	リスト	resolver-endpoint*
ListResolverEndpoints	現在のを使用して作成されたすべての Resolver エンドポイントを一覧表示する許可を付与 AWS アカウント	リスト
ListResolverQueryLogConfigAssociations	Amazon VPCsとクエリログ記録設定間の関連付けに関する情報を一覧表示する許可を付与	リスト			ec2:DescribeVpcs
ListResolverQueryLogConfigs	Resolver でクエリログを保存する場所を定義し、DNSクエリをログVPCsに記録するを指定する、指定されたクエリログ記録設定に関する情報を一覧表示する許可を付与	リスト			ec2:DescribeVpcs
ListResolverRuleAssociations	Resolver ルールと現在の VPCsを使用して作成された関連付けを一覧表示する許可を付与 AWS アカウント	リスト			ec2:DescribeVpcs
ListResolverRules	現在のを使用して作成された Resolver ルールを一覧表示する許可を付与 AWS アカウント	リスト
ListTagsForResource	指定したリソースに関連付けたタグを一覧表示する許可を付与	読み取り	firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
PutFirewallRuleGroupPolicy	Firewall ルールグループ AWS アカウントを共有する、共有する Firewall ルールグループ、およびアカウントが設定で実行できるようにするオペレーションを指定する許可を付与	権限の管理	firewall-rule-group*
PutResolverQueryLogConfigPolicy	クエリログ記録設定 AWS アカウントを共有する、共有するクエリログ記録設定、およびアカウントが設定に対して実行できるオペレーションを指定する許可を付与	権限の管理	resolver-query-log-config*
PutResolverRulePolicy	ルール AWS アカウントを共有する、共有する Resolver ルール、およびアカウントがそれらのルールに対して実行できるようにするオペレーションを指定する許可を付与	権限の管理	resolver-rule*
TagResource	指定したリソースに 1 つ以上のタグを追加する許可を付与	タグ付け	firewall-config
			firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-dnssec-config
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	指定したリソースから 1 つ以上のタグを削除する許可を付与	タグ付け	firewall-config
			firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-dnssec-config
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
				aws:TagKeys
UpdateFirewallConfig	ファイアウォール設定の選択した設定を更新するためのアクセス許可を付与します	Write	firewall-config*		ec2:DescribeVpcs
UpdateFirewallDomains	ファイアウォールドメインの一覧にファイアウォールドメインを追加、削除、または置換するためのアクセス許可を付与します	Write	firewall-domain-list*
UpdateFirewallRule	ファイアウォールルールグループのファイアウォールルールについて選択した設定を更新するためのアクセス許可を付与します	Write	firewall-domain-list*
UpdateFirewallRule	ファイアウォールルールグループのファイアウォールルールについて選択した設定を更新するためのアクセス許可を付与します	Write	firewall-rule-group*
UpdateFirewallRuleGroupAssociation	ファイアウォールルールグループの関連付けについて選択した設定を更新するためのアクセス許可を付与します	書き込み	firewall-rule-group-association*
UpdateOutpostResolver	指定された Route 53 Resolver on Outposts 用に選択された設定を更新するための許可を付与します	書き込み	outpost-resolver*
UpdateResolverConfig	指定されたリソース内のResolver Config ステータスを更新するアクセス許可を付与します	書き込み	resolver-config*		ec2:DescribeVpcs
UpdateResolverDnssecConfig	指定されたリソース内のDNSクエリDNSSECの検証サポートステータスを更新する許可を付与	書き込み	resolver-dnssec-config*
UpdateResolverEndpoint	インバウンドまたはアウトバウンドの Resolver エンドポイントの選択した設定を更新する許可を付与	Write	resolver-endpoint*		ec2:AssignIpv6Addresses ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:ModifyNetworkInterfaceAttribute ec2:UnassignIpv6Addresses
UpdateResolverRule	指定した Resolver ルールの設定を更新する許可を付与	Write	resolver-rule*

Amazon Route 53 Resolver で定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource 要素で使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
resolver-dnssec-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-dnssec-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-query-log-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-query-log-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-rule	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-rule/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-endpoint	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-endpoint/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-rule-group	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-rule-group-association	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group-association/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-domain-list	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-domain-list/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-config	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-config/${ResourceId}`
outpost-resolver	`arn:${Partition}:route53resolver:${Region}:${Account}:outpost-resolver/${ResourceId}`	aws:ResourceTag/${TagKey}

Amazon Route 53 Resolver の条件キー

Amazon Route 53 リゾルバーでは、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	[Type] (タイプ)
aws:RequestTag/${TagKey}	リクエスト内のタグキーと値のペアが存在するかどうかでアクションをフィルタリングします	文字列
aws:ResourceTag/${TagKey}	リソースにアタッチされているタグのキーと値のペアによってアクセスをフィルタリングする	文字列
aws:TagKeys	リクエスト内のタグキーが存在するかどうかでアクセスをフィルタリングします	ArrayOfString

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

Amazon Route 53 Recovery Readiness

Amazon S3