Como AWS IoT funciona com IAM - AWS IoT Core
Políticas baseadas em identidade do AWS IoTPolíticas baseadas em recursos do AWS IoTAutorização baseada em tags do AWS IoTAWS IoT IAMfunções

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Como AWS IoT funciona com IAM

Antes de usar IAM para gerenciar o acesso AWS IoT, você deve entender quais IAM recursos estão disponíveis para uso AWS IoT. Para obter uma visão geral de como AWS IoT e outros AWS serviços funcionam comIAM, consulte AWS Serviços que funcionam com IAM no Guia do IAM usuário.

Políticas baseadas em identidade do AWS IoT

Com políticas IAM baseadas em identidade, você pode especificar ações e recursos permitidos ou negados, bem como as condições sob as quais as ações são permitidas ou negadas. AWS IoT oferece suporte a ações, recursos e chaves de condição específicos. Para saber mais sobre todos os elementos que você usa em uma JSON política, consulte Referência IAM JSON de elementos de política no Guia do IAM usuário.

Ações

Os administradores podem usar AWS JSON políticas para especificar quem tem acesso ao quê. Ou seja, qual entidade principal pode executar ações em quais recursos, e em que condições.

O Action elemento de uma JSON política descreve as ações que você pode usar para permitir ou negar acesso em uma política. As ações de política geralmente têm o mesmo nome da AWS API operação associada. Há algumas exceções, como ações somente com permissão que não têm uma operação correspondente. API Algumas operações também exigem várias ações em uma política. Essas ações adicionais são chamadas de ações dependentes.

Incluem ações em uma política para conceder permissões para executar a operação associada.

A tabela a seguir lista as ações de IAM IoT, as associadas AWS IoT API e o recurso que a ação manipula.

Ações das políticas AWS IoT API Recursos
IoT: AcceptCertificateTransfer AcceptCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

nota

O Conta da AWS especificado no ARN deve ser a conta para a qual o certificado está sendo transferido.
IoT: AddThingToThingGroup AddThingToThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
IoT: AssociateTargetsWithJob AssociateTargetsWithJob nenhuma
IoT: AttachPolicy AttachPolicy

arn:aws:iot:region:account-id:thinggroup/thing-group-name

ou

arn:aws:iot:region:account-id:cert/cert-id
IoT: AttachPrincipalPolicy AttachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
IoT: AttachSecurityProfile AttachSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
IoT: AttachThingPrincipal AttachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
IoT: CancelCertificateTransfer CancelCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

nota

O Conta da AWS especificado no ARN deve ser a conta para a qual o certificado está sendo transferido.
IoT: CancelJob CancelJob

arn:aws:iot:region:account-id:job/job-id
IoT: CancelJobExecution CancelJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
IoT: ClearDefaultAuthorizer ClearDefaultAuthorizer Nenhum
IoT: CreateAuthorizer CreateAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
IoT: CreateCertificateFromCsr CreateCertificateFromCsr *
IoT: CreateDimension CreateDimension

arn:aws:iot:region:account-id:dimension/dimension-name
IoT: CreateJob CreateJob

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name

arn:aws:iot:region:account-id:jobtemplate/job-template-id
IoT: CreateJobTemplate CreateJobTemplate

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:jobtemplate/job-template-id
IoT: CreateKeysAndCertificate CreateKeysAndCertificate *
IoT: CreatePolicy CreatePolicy

arn:aws:iot:region:account-id:policy/policy-name
IoT: CreatePolicyVersion CreatePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name

nota

Isso deve ser uma AWS IoT política, não uma IAM política.
IoT: CreateRoleAlias CreateRoleAlias

(parâmetro:roleAlias)

arn:aws:iot:region:account-id:rolealias/role-alias-name
IoT: CreateSecurityProfile CreateSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
IoT: CreateThing CreateThing

arn:aws:iot:region:account-id:thing/thing-name
IoT: CreateThingGroup CreateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

para o grupo que está sendo criado e para o grupo pai, se usado
IoT: CreateThingType CreateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
IoT: CreateTopicRule CreateTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: DeleteAuthorizer DeleteAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-name
IoT: D eleteCACertificate D eleteCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
IoT: DeleteCertificate DeleteCertificate

arn:aws:iot:region:account-id:cert/cert-id
IoT: DeleteDimension DeleteDimension

arn:aws:iot:region:account-id:dimension/dimension-name
IoT: DeleteJob DeleteJob

arn:aws:iot:region:account-id:job/job-id
IoT: DeleteJobTemplate DeleteJobTemplate

arn:aws:iot:region:account-id:job/job-template-id
IoT: DeleteJobExecution DeleteJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
IoT: DeletePolicy DeletePolicy

arn:aws:iot:region:account-id:policy/policy-name
IoT: DeletePolicyVersion DeletePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
IoT: DeleteRegistrationCode DeleteRegistrationCode *
IoT: DeleteRoleAlias DeleteRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
IoT: DeleteSecurityProfile DeleteSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
IoT: DeleteThing DeleteThing

arn:aws:iot:region:account-id:thing/thing-name
IoT: DeleteThingGroup DeleteThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: DeleteThingType DeleteThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
IoT: DeleteTopicRule DeleteTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: excluir V2 LoggingLevel Excluir V2 LoggingLevel

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: DeprecateThingType DeprecateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
IoT: DescribeAuthorizer DescribeAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name

(parâmetro:authorizerName)

nenhuma
IoT: D escribeCACertificate D escribeCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
IoT: DescribeCertificate DescribeCertificate

arn:aws:iot:region:account-id:cert/cert-id
IoT: DescribeDefaultAuthorizer DescribeDefaultAuthorizer Nenhum
IoT: DescribeEndpoint DescribeEndpoint *
IoT: DescribeEventConfigurations DescribeEventConfigurations nenhuma
IoT: DescribeIndex DescribeIndex

arn:aws:iot:region:account-id:index/index-name
IoT: DescribeJob DescribeJob

arn:aws:iot:region:account-id:job/job-id
IoT: DescribeJobExecution DescribeJobExecution Nenhum
IoT: DescribeJobTemplate DescribeJobTemplate

arn:aws:iot:region:account-id:job/job-template-id
IoT: DescribeRoleAlias DescribeRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
IoT: DescribeThing DescribeThing

arn:aws:iot:region:account-id:thing/thing-name
IoT: DescribeThingGroup DescribeThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: DescribeThingRegistrationTask DescribeThingRegistrationTask Nenhum
IoT: DescribeThingType DescribeThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
IoT: DetachPolicy DetachPolicy

arn:aws:iot:region:account-id:cert/cert-id

ou

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: DetachPrincipalPolicy DetachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
IoT: DetachSecurityProfile DetachSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
IoT: DetachThingPrincipal DetachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
IoT: DisableTopicRule DisableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: EnableTopicRule EnableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: GetEffectivePolicies GetEffectivePolicies

arn:aws:iot:region:account-id:cert/cert-id
IoT: GetIndexingConfiguration GetIndexingConfiguration Nenhum
IoT: GetJobDocument GetJobDocument

arn:aws:iot:region:account-id:job/job-id
IoT: GetLoggingOptions GetLoggingOptions *
IoT: GetPolicy GetPolicy

arn:aws:iot:region:account-id:policy/policy-name
IoT: GetPolicyVersion GetPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
IoT: GetRegistrationCode GetRegistrationCode *
IoT: GetTopicRule GetTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: ListAttachedPolicies ListAttachedPolicies

arn:aws:iot:region:account-id:thinggroup/thing-group-name

ou

arn:aws:iot:region:account-id:cert/cert-id
IoT: ListAuthorizers ListAuthorizers Nenhum
IoT: istCACertificates L istCACertificates *
IoT: ListCertificates ListCertificates *
IoT: CA ListCertificatesBy ListCertificatesByCA *
IoT: ListIndices ListIndices Nenhum
IoT: ListJobExecutionsForJob ListJobExecutionsForJob Nenhum
IoT: ListJobExecutionsForThing ListJobExecutionsForThing Nenhum
IoT: ListJobs ListJobs

arn:aws:iot:region:account-id:thinggroup/thing-group-name

se o thingGroupName parâmetro for usado
IoT: ListJobTemplates ListJobs Nenhum
IoT: ListOutgoingCertificates ListOutgoingCertificates *
IoT: ListPolicies ListPolicies *
IoT: ListPolicyPrincipals ListPolicyPrincipals *
IoT: ListPolicyVersions ListPolicyVersions

arn:aws:iot:region:account-id:policy/policy-name
IoT: ListPrincipalPolicies ListPrincipalPolicies

arn:aws:iot:region:account-id:cert/cert-id
IoT: ListPrincipalThings ListPrincipalThings

arn:aws:iot:region:account-id:cert/cert-id
IoT: ListRoleAliases ListRoleAliases Nenhum
IoT: ListTargetsForPolicy ListTargetsForPolicy

arn:aws:iot:region:account-id:policy/policy-name
IoT: ListThingGroups ListThingGroups Nenhum
IoT: ListThingGroupsForThing ListThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name
IoT: ListThingPrincipals ListThingPrincipals

arn:aws:iot:region:account-id:thing/thing-name
IoT: ListThingRegistrationTaskReports ListThingRegistrationTaskReports Nenhum
IoT: ListThingRegistrationTasks ListThingRegistrationTasks Nenhum
IoT: ListThingTypes ListThingTypes *
IoT: ListThings ListThings *
IoT: ListThingsInThingGroup ListThingsInThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: ListTopicRules ListTopicRules *
IoT: Lista V2 LoggingLevels Lista V2 LoggingLevels Nenhum
IoT: R egisterCACertificate R egisterCACertificate *
IoT: RegisterCertificate RegisterCertificate *
IoT: RegisterThing RegisterThing Nenhum
IoT: RejectCertificateTransfer RejectCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id
IoT: RemoveThingFromThingGroup RemoveThingFromThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
IoT: ReplaceTopicRule ReplaceTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: SearchIndex SearchIndex

arn:aws:iot:region:account-id:index/index-id
IoT: SetDefaultAuthorizer SetDefaultAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
IoT: SetDefaultPolicyVersion SetDefaultPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
IoT: SetLoggingOptions SetLoggingOptions

arn:aws:iot:region:account-id:role/role-name
IoT: SetV2 LoggingLevel Configurar V2 LoggingLevel

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: SetV2 LoggingOptions Configurar V2 LoggingOptions

arn:aws:iot:region:account-id:role/role-name
IoT: StartThingRegistrationTask StartThingRegistrationTask Nenhum
IoT: StopThingRegistrationTask StopThingRegistrationTask Nenhum
IoT: TestAuthorization TestAuthorization

arn:aws:iot:region:account-id:cert/cert-id
IoT: TestInvokeAuthorizer TestInvokeAuthorizer Nenhum
IoT: TransferCertificate TransferCertificate

arn:aws:iot:region:account-id:cert/cert-id
IoT: UpdateAuthorizer UpdateAuthorizer

arn:aws:iot:region:account-id:authorizerfunction/authorizer-function-name
IoT: pdateCACertificate U pdateCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
IoT: UpdateCertificate UpdateCertificate

arn:aws:iot:region:account-id:cert/cert-id
IoT: UpdateDimension UpdateDimension

arn:aws:iot:region:account-id:dimension/dimension-name
IoT: UpdateEventConfigurations UpdateEventConfigurations Nenhum
IoT: UpdateIndexingConfiguration UpdateIndexingConfiguration Nenhum
IoT: UpdateRoleAlias UpdateRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
IoT: UpdateSecurityProfile UpdateSecurityProfile

arn:aws:iot:region:account-id:securityprofile/security-profile-name

arn:aws:iot:region:account-id:dimension/dimension-name
IoT: UpdateThing UpdateThing

arn:aws:iot:region:account-id:thing/thing-name
IoT: UpdateThingGroup UpdateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: UpdateThingGroupsForThing UpdateThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name

arn:aws:iot:region:account-id:thinggroup/thing-group-name

As ações políticas AWS IoT usam o seguinte prefixo antes da ação:iot:. Por exemplo, para conceder permissão a alguém para listar todas as coisas de IoT Conta da AWS registradas no ListThingsAPI, você inclui a iot:ListThings ação na política dessa pessoa. As declarações de política devem incluir um NotAction elemento Action ou. AWS IoT define seu próprio conjunto de ações que descrevem as tarefas que você pode executar com esse serviço.

Para especificar várias ações em uma única instrução, separe-as com vírgulas, como segue:

"Action": [
      "ec2:action1",
      "ec2:action2"

Você também pode especificar várias ações usando caracteres curinga (*). Por exemplo, para especificar todas as ações que começam com a palavra Describe, inclua a seguinte ação:

"Action": "iot:Describe*"

Para ver uma lista de AWS IoT ações, consulte Ações definidas por AWS IoT no Guia do IAM usuário.

Ações do Device Advisor

A tabela a seguir lista as ações do IAM IoT Device Advisor, o AWS IoT Device Advisor API associado e o recurso que a ação manipula.

Ações das políticas AWS IoT API Recursos
consultor de dispositivos de IoT: CreateSuiteDefinition CreateSuiteDefinition

Nenhum
consultor de dispositivos de IoT: DeleteSuiteDefinition DeleteSuiteDefinition

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
consultor de dispositivos de IoT: GetSuiteDefinition GetSuiteDefinition

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
consultor de dispositivos de IoT: GetSuiteRun GetSuiteRun

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-run-id
consultor de dispositivos de IoT: GetSuiteRunReport GetSuiteRunReport

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
consultor de dispositivos de IoT: ListSuiteDefinitions ListSuiteDefinitions Nenhum
consultor de dispositivos de IoT: ListSuiteRuns ListSuiteRuns

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
consultor de dispositivos de IoT: ListTagsForResource ListTagsForResource

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
consultor de dispositivos de IoT: StartSuiteRun StartSuiteRun

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
consultor de dispositivos de IoT: TagResource TagResource

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
consultor de dispositivos de IoT: UntagResource UntagResource

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id
consultor de dispositivos de IoT: UpdateSuiteDefinition UpdateSuiteDefinition

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id
consultor de dispositivos de IoT: StopSuiteRun StopSuiteRun

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id

As ações de política no AWS IoT Device Advisor usam o seguinte prefixo antes da ação:iotdeviceadvisor:. Por exemplo, para conceder permissão a alguém para listar todas as definições de suítes Conta da AWS registradas no ListSuiteDefinitions API, você inclui a iotdeviceadvisor:ListSuiteDefinitions ação na política dessa pessoa.

Recursos

Os administradores podem usar AWS JSON políticas para especificar quem tem acesso ao quê. Ou seja, qual entidade principal pode executar ações em quais recursos, e em que condições.

O elemento Resource JSON de política especifica o objeto ou objetos aos quais a ação se aplica. As instruções devem incluir um elemento Resource ou NotResource. Como prática recomendada, especifique um recurso usando seu Amazon Resource Name (ARN). Isso pode ser feito para ações que oferecem compatibilidade com um tipo de recurso específico, conhecido como permissões em nível de recurso.

Para ações que não oferecem compatibilidade com permissões em nível de recurso, como operações de listagem, use um curinga (*) para indicar que a instrução se aplica a todos os recursos.

"Resource": "*"
AWS IoT recursos
Ações das políticas AWS IoT API Recursos
IoT: AcceptCertificateTransfer AcceptCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

nota

O Conta da AWS especificado no ARN deve ser a conta para a qual o certificado está sendo transferido.
IoT: AddThingToThingGroup AddThingToThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
IoT: AssociateTargetsWithJob AssociateTargetsWithJob Nenhum
IoT: AttachPolicy AttachPolicy

arn:aws:iot:region:account-id:thinggroup/thing-group-name

ou

arn:aws:iot:region:account-id:cert/cert-id
IoT: AttachPrincipalPolicy AttachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
IoT: AttachThingPrincipal AttachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
IoT: CancelCertificateTransfer CancelCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id

nota

O Conta da AWS especificado no ARN deve ser a conta para a qual o certificado está sendo transferido.
IoT: CancelJob CancelJob

arn:aws:iot:region:account-id:job/job-id
IoT: CancelJobExecution CancelJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
IoT: ClearDefaultAuthorizer ClearDefaultAuthorizer Nenhum
IoT: CreateAuthorizer CreateAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
IoT: CreateCertificateFromCsr CreateCertificateFromCsr *
IoT: CreateJob CreateJob

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name

arn:aws:iot:region:account-id:jobtemplate/job-template-id
IoT: CreateJobTemplate CreateJobTemplate

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:jobtemplate/job-template-id
IoT: CreateKeysAndCertificate CreateKeysAndCertificate *
IoT: CreatePolicy CreatePolicy

arn:aws:iot:region:account-id:policy/policy-name
CreatePolicyVersion IoT: CreatePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name

nota

Isso deve ser uma AWS IoT política, não uma IAM política.
IoT: CreateRoleAlias CreateRoleAlias

(parâmetro:roleAlias)

arn:aws:iot:region:account-id:rolealias/role-alias-name
IoT: CreateThing CreateThing

arn:aws:iot:region:account-id:thing/thing-name
IoT: CreateThingGroup CreateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

para o grupo que está sendo criado e para o grupo pai, se usado
IoT: CreateThingType CreateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
IoT: CreateTopicRule CreateTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: DeleteAuthorizer DeleteAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-name
IoT: D eleteCACertificate D eleteCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
IoT: DeleteCertificate DeleteCertificate

arn:aws:iot:region:account-id:cert/cert-id
IoT: DeleteJob DeleteJob

arn:aws:iot:region:account-id:job/job-id
IoT: DeleteJobExecution DeleteJobExecution

arn:aws:iot:region:account-id:job/job-id

arn:aws:iot:region:account-id:thing/thing-name
IoT: DeleteJobTemplate DeleteJobTemplate

arn:aws:iot:region:account-id:jobtemplate/job-template-id
IoT: DeletePolicy DeletePolicy

arn:aws:iot:region:account-id:policy/policy-name
IoT: DeletePolicyVersion DeletePolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
IoT: DeleteRegistrationCode DeleteRegistrationCode *
IoT: DeleteRoleAlias DeleteRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
IoT: DeleteThing DeleteThing

arn:aws:iot:region:account-id:thing/thing-name
IoT: DeleteThingGroup DeleteThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: DeleteThingType DeleteThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
IoT: DeleteTopicRule DeleteTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: excluir V2 LoggingLevel Excluir V2 LoggingLevel

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: DeprecateThingType DeprecateThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
IoT: DescribeAuthorizer DescribeAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name

(parâmetro:authorizerName)

nenhuma
IoT: D escribeCACertificate D escribeCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
IoT: DescribeCertificate DescribeCertificate

arn:aws:iot:region:account-id:cert/cert-id
IoT: DescribeDefaultAuthorizer DescribeDefaultAuthorizer Nenhum
IoT: DescribeEndpoint DescribeEndpoint *
IoT: DescribeEventConfigurations DescribeEventConfigurations nenhuma
IoT: DescribeIndex DescribeIndex

arn:aws:iot:region:account-id:index/index-name
IoT: DescribeJob DescribeJob

arn:aws:iot:region:account-id:job/job-id
IoT: DescribeJobExecution DescribeJobExecution Nenhum
IoT: DescribeJobTemplate DescribeJobTemplate

arn:aws:iot:region:account-id:jobtemplate/job-template-id
IoT: DescribeRoleAlias DescribeRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
IoT: DescribeThing DescribeThing

arn:aws:iot:region:account-id:thing/thing-name
IoT: DescribeThingGroup DescribeThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: DescribeThingRegistrationTask DescribeThingRegistrationTask Nenhum
IoT: DescribeThingType DescribeThingType

arn:aws:iot:region:account-id:thingtype/thing-type-name
IoT: DetachPolicy DetachPolicy

arn:aws:iot:region:account-id:cert/cert-id

ou

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: DetachPrincipalPolicy DetachPrincipalPolicy

arn:aws:iot:region:account-id:cert/cert-id
IoT: DetachThingPrincipal DetachThingPrincipal

arn:aws:iot:region:account-id:cert/cert-id
IoT: DisableTopicRule DisableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: EnableTopicRule EnableTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: GetEffectivePolicies GetEffectivePolicies

arn:aws:iot:region:account-id:cert/cert-id
IoT: GetIndexingConfiguration GetIndexingConfiguration Nenhum
IoT: GetJobDocument GetJobDocument

arn:aws:iot:region:account-id:job/job-id
IoT: GetLoggingOptions GetLoggingOptions *
IoT: GetPolicy GetPolicy

arn:aws:iot:region:account-id:policy/policy-name
IoT: GetPolicyVersion GetPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
IoT: GetRegistrationCode GetRegistrationCode *
IoT: GetTopicRule GetTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: ListAttachedPolicies ListAttachedPolicies

arn:aws:iot:region:account-id:thinggroup/thing-group-name

ou

arn:aws:iot:region:account-id:cert/cert-id
IoT: ListAuthorizers ListAuthorizers Nenhum
IoT: istCACertificates L istCACertificates *
IoT: ListCertificates ListCertificates *
IoT: CA ListCertificatesBy ListCertificatesByCA *
IoT: ListIndices ListIndices Nenhum
IoT: ListJobExecutionsForJob ListJobExecutionsForJob Nenhum
IoT: ListJobExecutionsForThing ListJobExecutionsForThing Nenhum
IoT: ListJobs ListJobs

arn:aws:iot:region:account-id:thinggroup/thing-group-name

se o thingGroupName parâmetro for usado
IoT: ListJobTemplates ListJobTemplates Nenhum
IoT: ListOutgoingCertificates ListOutgoingCertificates *
IoT: ListPolicies ListPolicies *
IoT: ListPolicyPrincipals ListPolicyPrincipals

arn:aws:iot:region:account-id:policy/policy-name
IoT: ListPolicyVersions ListPolicyVersions

arn:aws:iot:region:account-id:policy/policy-name
IoT: ListPrincipalPolicies ListPrincipalPolicies

arn:aws:iot:region:account-id:cert/cert-id
IoT: ListPrincipalThings ListPrincipalThings

arn:aws:iot:region:account-id:cert/cert-id
IoT: ListRoleAliases ListRoleAliases Nenhum
IoT: ListTargetsForPolicy ListTargetsForPolicy

arn:aws:iot:region:account-id:policy/policy-name
IoT: ListThingGroups ListThingGroups Nenhum
IoT: ListThingGroupsForThing ListThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name
IoT: ListThingPrincipals ListThingPrincipals

arn:aws:iot:region:account-id:thing/thing-name
IoT: ListThingRegistrationTaskReports ListThingRegistrationTaskReports Nenhum
IoT: ListThingRegistrationTasks ListThingRegistrationTasks Nenhum
IoT: ListThingTypes ListThingTypes *
IoT: ListThings ListThings *
IoT: ListThingsInThingGroup ListThingsInThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: ListTopicRules ListTopicRules *
IoT: Lista V2 LoggingLevels Lista V2 LoggingLevels Nenhum
IoT: R egisterCACertificate R egisterCACertificate *
IoT: RegisterCertificate RegisterCertificate *
IoT: RegisterThing RegisterThing Nenhum
IoT: RejectCertificateTransfer RejectCertificateTransfer

arn:aws:iot:region:account-id:cert/cert-id
IoT: RemoveThingFromThingGroup RemoveThingFromThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name

arn:aws:iot:region:account-id:thing/thing-name
IoT: ReplaceTopicRule ReplaceTopicRule

arn:aws:iot:region:account-id:rule/rule-name
IoT: SearchIndex SearchIndex

arn:aws:iot:region:account-id:index/index-id
IoT: SetDefaultAuthorizer SetDefaultAuthorizer

arn:aws:iot:region:account-id:authorizer/authorizer-function-name
IoT: SetDefaultPolicyVersion SetDefaultPolicyVersion

arn:aws:iot:region:account-id:policy/policy-name
IoT: SetLoggingOptions SetLoggingOptions *
IoT: SetV2 LoggingLevel Configurar V2 LoggingLevel *
IoT: SetV2 LoggingOptions Configurar V2 LoggingOptions *
IoT: StartThingRegistrationTask StartThingRegistrationTask Nenhum
IoT: StopThingRegistrationTask StopThingRegistrationTask Nenhum
IoT: TestAuthorization TestAuthorization

arn:aws:iot:region:account-id:cert/cert-id
IoT: TestInvokeAuthorizer TestInvokeAuthorizer Nenhum
IoT: TransferCertificate TransferCertificate

arn:aws:iot:region:account-id:cert/cert-id
IoT: UpdateAuthorizer UpdateAuthorizer

arn:aws:iot:region:account-id:authorizerfunction/authorizer-function-name
IoT: pdateCACertificate U pdateCACertificate

arn:aws:iot:region:account-id:cacert/cert-id
IoT: UpdateCertificate UpdateCertificate

arn:aws:iot:region:account-id:cert/cert-id
IoT: UpdateEventConfigurations UpdateEventConfigurations Nenhum
IoT: UpdateIndexingConfiguration UpdateIndexingConfiguration Nenhum
IoT: UpdateRoleAlias UpdateRoleAlias

arn:aws:iot:region:account-id:rolealias/role-alias-name
IoT: UpdateThing UpdateThing

arn:aws:iot:region:account-id:thing/thing-name
IoT: UpdateThingGroup UpdateThingGroup

arn:aws:iot:region:account-id:thinggroup/thing-group-name
IoT: UpdateThingGroupsForThing UpdateThingGroupsForThing

arn:aws:iot:region:account-id:thing/thing-name

Para obter mais informações sobre o formato deARNs, consulte Amazon Resource Names (ARNs) e AWS Service Namespaces.

Algumas AWS IoT ações, como as de criação de recursos, não podem ser executadas em um recurso específico. Nesses casos, você deve utilizar o caractere curinga (*).

"Resource": "*"

Para ver uma lista dos tipos de AWS IoT recursos e seusARNs, consulte Recursos definidos por AWS IoT no Guia do IAM usuário. Para saber com quais ações você pode especificar cada recurso, consulte Ações definidas por AWS IoT. ARN

Recursos do Device Advisor

Para definir restrições em nível de recurso para as IAM políticas do AWS IoT Device Advisor, use os seguintes ARN formatos de recursos para definições e execuções de suítes.

ARNFormato de recurso de definição de suíte

arn:aws:iotdeviceadvisor:region:account-id:suitedefinition/suite-definition-id

ARNFormato de recurso de execução da suíte

arn:aws:iotdeviceadvisor:region:account-id:suiterun/suite-definition-id/suite-run-id

Chaves de condição

Os administradores podem usar AWS JSON políticas para especificar quem tem acesso ao quê. Ou seja, qual entidade principal pode executar ações em quais recursos, e em que condições.

O elemento Condition (ou bloco Condition) permite que você especifique condições nas quais uma instrução estiver em vigor. O elemento Condition é opcional. É possível criar expressões condicionais que usem agentes de condição, como “igual a” ou “menor que”, para fazer a condição da política corresponder aos valores na solicitação.

Se você especificar vários elementos Condition em uma instrução ou várias chaves em um único Condition elemento, a AWS os avaliará usando uma operação lógica AND. Se você especificar vários valores para uma única chave de condição, AWS avalia a condição usando uma OR operação lógica. Todas as condições devem ser atendidas antes que as permissões da instrução sejam concedidas.

Você também pode usar variáveis de espaço reservado ao especificar condições. Por exemplo, você pode conceder permissão a um IAM usuário para acessar um recurso somente se ele estiver marcado com o nome de IAM usuário. Para obter mais informações, consulte elementos de IAM política: variáveis e tags no Guia IAM do usuário.

AWS suporta chaves de condição globais e chaves de condição específicas do serviço. Para ver todas as chaves de condição AWS globais, consulte as chaves de contexto de condição AWS global no Guia IAM do usuário.

AWS IoT define seu próprio conjunto de chaves de condição e também oferece suporte ao uso de algumas chaves de condição globais. Para ver todas as chaves de condição AWS globais, consulte Chaves de contexto de condição AWS global no Guia IAM do usuário.

AWS IoT chaves de condição
AWS IoT chaves de condição Descrição Tipo
aws:RequestTag/${tag-key} Uma chave de tag que está presente na solicitação que o usuário faz para o AWS IoT. String
aws:ResourceTag/${tag-key} O componente chave da tag de uma tag anexada a um AWS IoT recurso. String
aws:TagKeys A lista de todos os nomes de chaves de etiquetas associadas ao recurso na solicitação. String

Para ver uma lista de chaves de AWS IoT condição, consulte Chaves de condição AWS IoT no Guia IAM do usuário. Para saber com quais ações e recursos você pode usar uma chave de condição, consulte Ações definidas por AWS IoT.

Exemplos

Para ver exemplos de políticas AWS IoT baseadas em identidade, consulte. AWS IoT exemplos de políticas baseadas em identidade

Políticas baseadas em recursos do AWS IoT

Políticas baseadas em recursos são documentos JSON de política que especificam quais ações um determinado diretor pode realizar no AWS IoT recurso e sob quais condições.

AWS IoT não oferece suporte a políticas IAM baseadas em recursos. No entanto, ele apóia políticas AWS IoT baseadas em recursos. Para obter mais informações, consulte AWS IoT Core políticas.

Autorização baseada em tags do AWS IoT

Você pode anexar tags a AWS IoT recursos ou passar tags em uma solicitação para AWS IoT. Para controlar o acesso baseado em tags, forneça informações sobre as tags no elemento de condição de uma política usando as iot:ResourceTag/key-name, aws:RequestTag/key-name ou chaves de condição aws:TagKeys. Para obter mais informações, consulte Usar tags com as políticas do IAM. Para obter mais informações sobre a marcação de AWS IoT recursos, consulteMarcando seus recursos AWS IoT.

Para visualizar um exemplo de política baseada em identidade para limitar o acesso a um recurso baseado em tags desse recurso, consulte Visualização de recursos do AWS IoT com base em tags.

AWS IoT IAMfunções

Uma IAMfunção é uma entidade dentro da sua Conta da AWS que tem permissões específicas.

Usando credenciais temporárias com AWS IoT

Você pode usar credenciais temporárias para entrar com a federação, assumir uma IAM função ou assumir uma função entre contas. Você obtém credenciais de segurança temporárias ligando para AWS STS API operações como AssumeRoleou GetFederationToken.

AWS IoT suporta o uso de credenciais temporárias.

Funções vinculadas a serviço

As funções vinculadas ao serviço permitem que AWS os serviços acessem recursos em outros serviços para concluir uma ação em seu nome. As funções vinculadas ao serviço aparecem em sua IAM conta e são de propriedade do serviço. Um IAM administrador pode visualizar, mas não editar, as permissões para funções vinculadas ao serviço.

AWS IoT não oferece suporte a funções vinculadas a serviços.

Perfis de serviço

Esse atributo permite que um serviço assuma um perfil de serviço em seu nome. O perfil permite que o serviço acesse recursos em outros serviços para concluir uma ação em seu nome. As funções de serviço aparecem na sua IAM conta e são de propriedade da conta. Isso significa que um IAM administrador pode alterar as permissões para essa função. Porém, fazer isso pode alterar a funcionalidade do serviço.