Ações Tipos de recursos Chaves de condição

Ações, recursos e chaves de condição para a Amazon CloudFront

A Amazon CloudFront (prefixo do serviço:cloudfront) fornece os seguintes recursos, ações e chaves de contexto de condições específicos do serviço para uso em IAM políticas de permissão.

Referências:

Saiba como configurar este serviço.
Veja uma lista das APIoperações disponíveis para esse serviço.
Saiba como proteger esse serviço e seus recursos usando políticas de IAM permissão.

Tópicos

Ações definidas pela Amazon CloudFront
Tipos de recursos definidos pela Amazon CloudFront
Chaves de condição para a Amazon CloudFront

Ações definidas pela Amazon CloudFront

Você pode especificar as seguintes ações no Action elemento de uma declaração de IAM política. Use políticas para conceder permissões para executar uma operação na AWS. Quando você usa uma ação em uma política, geralmente permite ou nega acesso à API operação ou ao CLI comando com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma declaração com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o Resource elemento em uma IAM política, deverá incluir um padrão ARN ou para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações	Descrição	Nível de acesso	Tipos de recursos (*necessários)	Chaves de condição	Ações dependentes
AssociateAlias	Concede permissão para associar um alias a uma distribuição CloudFront	Escrever	distribution*
CopyDistribution	Concede permissão para copiar uma distribuição existente e criar uma nova distribuição na web	Escrever	distribution*		cloudfront:CopyDistribution cloudfront:CreateDistribution cloudfront:GetDistribution
CreateCachePolicy	Concede permissão para adicionar uma nova política de cache ao CloudFront	Escrever	cache-policy*
CreateCloudFrontOriginAccessIdentity	Concede permissão para criar uma nova identidade de acesso de CloudFront origem	Escrever	origin-access-identity*
CreateContinuousDeploymentPolicy	Concede permissão para adicionar uma nova política de implantação contínua ao CloudFront	Escrever	continuous-deployment-policy*
CreateDistribution	Concede permissão para criar uma nova distribuição na Web	Escrever	distribution*
CreateFieldLevelEncryptionConfig	Concede permissão para criar uma nova configuração de criptografia em nível de campo	Write
CreateFieldLevelEncryptionProfile	Concede permissão para criar um perfil de criptografia em nível de campo	Escrever
CreateFunction	Concede permissão para criar uma CloudFront função	Escrever	function*
CreateInvalidation	Concede permissão para criar uma nova solicitação de lote de invalidação	Escrever	distribution*
CreateKeyGroup	Concede permissão para adicionar um novo grupo de chaves ao CloudFront	Escrever
CreateKeyValueStore	Concede permissão para criar um CloudFront KeyValueStore	Escrever	key-value-store*
CreateMonitoringSubscription	Concede permissão para ativar CloudWatch métricas adicionais para a CloudFront distribuição especificada. As métricas adicionais incorrem em um custo adicional	Escrever
CreateOriginAccessControl	Concede permissões para criar um novo controle de acesso de origem	Escrever
CreateOriginRequestPolicy	Concede permissão para adicionar uma nova política de solicitação de origem ao CloudFront	Escrever	origin-request-policy*
CreatePublicKey	Concede permissão para adicionar uma nova chave pública ao CloudFront	Escrever
CreateRealtimeLogConfig	Concede permissão para criar uma configuração de log em tempo real	Escrever	realtime-log-config*
CreateResponseHeadersPolicy	Concede permissão para adicionar uma nova política de cabeçalhos de resposta ao CloudFront	Escrever	response-headers-policy*
CreateSavingsPlan [somente permissão]	Concede permissão para criar um novo savings plan	Escrever
CreateStreamingDistribution	Concede permissão para criar uma nova RTMP distribuição	Escrever	streaming-distribution*
CreateStreamingDistributionWithTags	Concede permissão para criar uma nova RTMP distribuição com tags	Escrever	streaming-distribution*
CreateStreamingDistributionWithTags		Escrever		aws:RequestTag/${TagKey} aws:TagKeys
DeleteCachePolicy	Concede permissão para excluir uma política de cache	Escrever	cache-policy*
DeleteCloudFrontOriginAccessIdentity	Concede permissão para excluir uma identidade de acesso de CloudFront origem	Escrever	origin-access-identity*
DeleteContinuousDeploymentPolicy	Concede permissão para excluir uma política de implantação contínua	Escrever	continuous-deployment-policy*
DeleteDistribution	Concede permissão para excluir uma distribuição da Web	Write	distribution*
DeleteFieldLevelEncryptionConfig	Concede permissão para excluir uma configuração de criptografia em nível de campo	Write	field-level-encryption-config*
DeleteFieldLevelEncryptionProfile	Concede permissão para excluir um perfil de criptografia em nível de campo	Escrever	field-level-encryption-profile*
DeleteFunction	Concede permissão para excluir uma CloudFront função	Escrever	function*
DeleteKeyGroup	Concede permissão para excluir um grupo de chaves	Escrever
DeleteKeyValueStore	Concede permissão para excluir um CloudFront KeyValueStore	Escrever	key-value-store*
DeleteMonitoringSubscription	Concede permissão para desativar CloudWatch métricas adicionais para a CloudFront distribuição especificada	Escrever
DeleteOriginAccessControl	Concede permissão para excluir um controle de acesso de origem	Escrever	origin-access-control*
DeleteOriginRequestPolicy	Concede permissão para excluir uma política de solicitação de origem	Escrever	origin-request-policy*
DeletePublicKey	Concede permissão para excluir uma chave pública do CloudFront	Escrever
DeleteRealtimeLogConfig	Concede permissão para excluir uma configuração de log em tempo real	Escrever	realtime-log-config*
DeleteResponseHeadersPolicy	Concede permissão para excluir uma política de cabeçalhos de resposta	Escrever	response-headers-policy*
DeleteStreamingDistribution	Concede permissão para excluir uma RTMP distribuição	Escrever	streaming-distribution*
DescribeFunction	Concede permissão para obter um resumo CloudFront da função	Leitura	function*
DescribeKeyValueStore	Concede permissão para obter um CloudFront KeyValueStore resumo	Leitura	key-value-store*
GetCachePolicy	Concede permissão para obter a política de cache	Read	cache-policy*
GetCachePolicyConfig	Concede permissão para obter a configuração da política de cache	Leitura	cache-policy*
GetCloudFrontOriginAccessIdentity	Concede permissão para obter as informações sobre uma identidade de acesso de CloudFront origem	Leitura	origin-access-identity*
GetCloudFrontOriginAccessIdentityConfig	Concede permissão para obter as informações de configuração sobre uma identidade do acesso de origem do CloudFront	Leitura	origin-access-identity*
GetContinuousDeploymentPolicy	Concede permissão para obter a política de implantação contínua	Leitura	continuous-deployment-policy*
GetContinuousDeploymentPolicyConfig	Concede permissão para obter a configuração da política de implantação contínua	Leitura	continuous-deployment-policy*
GetDistribution	Concede permissão para obter as informações sobre uma distribuição da Web	Read	distribution*
GetDistributionConfig	Concede permissão para obter as informações de configuração de uma distribuição	Read	distribution*
GetFieldLevelEncryption	Concede permissão para obter as informações de configuração de criptografia em nível de campo	Read	field-level-encryption-config*
GetFieldLevelEncryptionConfig	Concede permissão para obter as informações de configuração de criptografia em nível de campo	Read	field-level-encryption-config*
GetFieldLevelEncryptionProfile	Concede permissão para obter as informações de configuração de criptografia em nível de campo	Read	field-level-encryption-profile*
GetFieldLevelEncryptionProfileConfig	Concede permissão para obter as informações de configuração de perfil de criptografia em nível de campo	Leitura	field-level-encryption-profile*
GetFunction	Concede permissão para obter o código de uma CloudFront função	Leitura	function*
GetInvalidation	Concede permissão para obter as informações sobre uma invalidação	Read	distribution*
GetKeyGroup	Concede permissão para obter um grupo de chaves	Read
GetKeyGroupConfig	Concede permissão para obter a configuração de um grupo de chaves	Leitura
GetMonitoringSubscription	Concede permissão para obter informações sobre se CloudWatch métricas adicionais estão habilitadas para a CloudFront distribuição especificada	Leitura
GetOriginAccessControl	Concede permissão para obter o controle de acesso de origem	Leitura	origin-access-control*
GetOriginAccessControlConfig	Concede permissão para obter a configuração do controle de acesso de origem	Leitura	origin-access-control*
GetOriginRequestPolicy	Concede permissão para obter a política de solicitação de origem	Read	origin-request-policy*
GetOriginRequestPolicyConfig	Concede permissão para obter a configuração da política de solicitação de origem	Read	origin-request-policy*
GetPublicKey	Concede permissão para obter as informações da chave pública	Read
GetPublicKeyConfig	Concede permissão para obter as informações de configuração da chave pública	Read
GetRealtimeLogConfig	Concede permissão para obter uma configuração de log em tempo real	Leitura	realtime-log-config*
GetResponseHeadersPolicy	Concede permissão para obter a política de cabeçalhos de resposta	Leitura	response-headers-policy*
GetResponseHeadersPolicyConfig	Concede permissão para obter a configuração da política de cabeçalhos de resposta	Leitura	response-headers-policy*
GetSavingsPlan [somente permissão]	Concede permissão para obter um savings plan	Leitura
GetStreamingDistribution	Concede permissão para obter as informações sobre uma RTMP distribuição	Leitura	streaming-distribution*
GetStreamingDistributionConfig	Concede permissão para obter as informações de configuração de uma distribuição de transmissão	Leitura	streaming-distribution*
ListCachePolicies	Concede permissão para listar todas as políticas de cache que foram criadas CloudFront para essa conta	Listar
ListCloudFrontOriginAccessIdentities	Concede permissão para listar suas identidades de acesso de CloudFront origem	Listar
ListConflictingAliases	Concede permissão para listar todos os aliases que entram em conflito com o alias fornecido no CloudFront	Listar	distribution*
ListContinuousDeploymentPolicies	Concede permissão para listar todas as políticas de implantação contínua na conta	Listar
ListDistributions	Concede permissão para listar as distribuições associadas à sua Conta da AWS	Listar
ListDistributionsByCachePolicyId	Concede permissão para listar a distribuição IDs para distribuições que têm um comportamento de cache associado à política de cache especificada	Listar
ListDistributionsByKeyGroup	Concede permissão para listar a distribuição IDs para distribuições que têm um comportamento de cache associado ao grupo de chaves especificado	Listar
ListDistributionsByLambdaFunction [somente permissão]	Concede permissão para listar todas as distribuições associadas a uma função do Lambda	Listar
ListDistributionsByOriginRequestPolicyId	Concede permissão para listar a distribuição IDs para distribuições que têm um comportamento de cache associado à política de solicitação de origem especificada	Listar
ListDistributionsByRealtimeLogConfig	Concede permissão para obter uma lista de distribuições que têm um comportamento de cache associado à configuração de log em tempo real especificada	Listar
ListDistributionsByResponseHeadersPolicyId	Concede permissão para listar a distribuição IDs para distribuições que têm um comportamento de cache associado à política de cabeçalhos de resposta especificada	Listar
ListDistributionsByWebACLId	Concede permissão para listar as distribuições associadas à sua Conta da AWS em determinado site AWS WAF ACL	Listar
ListFieldLevelEncryptionConfigs	Concede permissão para listar todas as configurações de criptografia em nível de campo que foram criadas para essa conta CloudFront	Listar
ListFieldLevelEncryptionProfiles	Concede permissão para listar todos os perfis de criptografia em nível de campo que foram criados CloudFront para essa conta	Listar
ListFunctions	Concede permissão para obter uma lista de CloudFront funções	Listar
ListInvalidations	Concede permissão para listar seus lotes de invalidação	Listar	distribution*
ListKeyGroups	Concede permissão para listar todos os grupos-chave que foram criados CloudFront para essa conta	Listar
ListKeyValueStores	Concede permissão para obter uma lista de CloudFront KeyValueStores	Listar
ListOriginAccessControls	Concede permissão para listar todos os controles de acesso de origem na conta	Listar
ListOriginRequestPolicies	Concede permissão para listar todas as políticas de solicitação de origem que foram criadas CloudFront para esta conta	Listar
ListPublicKeys	Concede permissão para listar todas as chaves públicas que foram adicionadas CloudFront a essa conta	Listar
ListRateCards [somente permissão]	Concede permissão para listar CloudFront tabelas de preços para a conta	Listar
ListRealtimeLogConfigs	Concede permissão para obter uma lista de configurações de log em tempo real	Listar
ListResponseHeadersPolicies	Concede permissão para listar todas as políticas de cabeçalhos de resposta que foram criadas CloudFront para essa conta	Listar
ListSavingsPlans [somente permissão]	Concede permissão para listar savings plans na conta	Listar
ListStreamingDistributions	Concede permissão para listar suas RTMP distribuições	Listar
ListTagsForResource	Concede permissão para listar tags para um CloudFront recurso	Leitura	distribution
ListUsages [somente permissão]	Concede permissão para listar o CloudFront uso	Listar
PublishFunction	Concede permissão para publicar uma CloudFront função	Escrever	function*
TagResource	Concede permissão para adicionar tags a um CloudFront recurso	Tags	distribution
			streaming-distribution
				aws:RequestTag/${TagKey} aws:TagKeys
TestFunction	Concede permissão para testar uma CloudFront função	Escrever	function*
UntagResource	Concede permissão para remover tags de um CloudFront recurso	Tags	distribution
			streaming-distribution
				aws:TagKeys
UpdateCachePolicy	Concede permissão para atualizar uma política de cache	Escrever	cache-policy*
UpdateCloudFrontOriginAccessIdentity	Concede permissão para definir a configuração de uma identidade de acesso de CloudFront origem	Escrever	origin-access-identity*
UpdateContinuousDeploymentPolicy	Concede permissão para atualizar a política de implantação contínua	Escrever	continuous-deployment-policy*
UpdateDistribution	Concede permissão para atualizar a configuração de uma distribuição da Web	Escrever	distribution*
UpdateDistributionWithStagingConfig	Concede permissão para copiar a configuração de uma distribuição web de teste para sua distribuição web primária correspondente	Escrever	distribution*
UpdateFieldLevelEncryptionConfig	Concede permissão para atualizar uma configuração de criptografia em nível de campo	Write
UpdateFieldLevelEncryptionProfile	Concede permissão para atualizar um perfil de criptografia em nível de campo	Escrever	field-level-encryption-profile*
UpdateFunction	Concede permissão para atualizar uma CloudFront função	Escrever	function*
UpdateKeyGroup	Concede permissão para atualizar um grupo de chaves	Escrever
UpdateKeyValueStore	Concede permissão para atualizar um CloudFront KeyValueStore	Escrever	key-value-store*
UpdateOriginAccessControl	Concede permissão para atualizar um controle de acesso de origem	Escrever	origin-access-control*
UpdateOriginRequestPolicy	Concede permissão para atualizar uma política de solicitação de origem	Write	origin-request-policy*
UpdatePublicKey	Concede permissão para atualizar as informações da chave pública	Write
UpdateRealtimeLogConfig	Concede permissão para atualizar uma configuração de log em tempo real	Escrever	realtime-log-config*
UpdateResponseHeadersPolicy	Concede permissão para atualizar uma política de cabeçalhos de resposta	Escrever	response-headers-policy*
UpdateSavingsPlan [somente permissão]	Concede permissão para atualizar um savings plan	Escrever
UpdateStreamingDistribution	Concede permissão para atualizar a configuração de uma RTMP distribuição	Escrever	streaming-distribution*

Tipos de recursos definidos pela Amazon CloudFront

Os seguintes tipos de recursos são definidos por esse serviço e podem ser usados no Resource elemento das declarações de política de IAM permissão. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos	ARN	Chaves de condição
distribution	`arn:${Partition}:cloudfront::${Account}:distribution/${DistributionId}`	aws:ResourceTag/${TagKey}
streaming-distribution	`arn:${Partition}:cloudfront::${Account}:streaming-distribution/${DistributionId}`	aws:ResourceTag/${TagKey}
origin-access-identity	`arn:${Partition}:cloudfront::${Account}:origin-access-identity/${Id}`
field-level-encryption-config	`arn:${Partition}:cloudfront::${Account}:field-level-encryption-config/${Id}`
field-level-encryption-profile	`arn:${Partition}:cloudfront::${Account}:field-level-encryption-profile/${Id}`
cache-policy	`arn:${Partition}:cloudfront::${Account}:cache-policy/${Id}`
origin-request-policy	`arn:${Partition}:cloudfront::${Account}:origin-request-policy/${Id}`
realtime-log-config	`arn:${Partition}:cloudfront::${Account}:realtime-log-config/${Name}`
function	`arn:${Partition}:cloudfront::${Account}:function/${Name}`
key-value-store	`arn:${Partition}:cloudfront::${Account}:key-value-store/${Name}`
response-headers-policy	`arn:${Partition}:cloudfront::${Account}:response-headers-policy/${Id}`
origin-access-control	`arn:${Partition}:cloudfront::${Account}:origin-access-control/${Id}`
continuous-deployment-policy	`arn:${Partition}:cloudfront::${Account}:continuous-deployment-policy/${Id}`

Chaves de condição para a Amazon CloudFront

A Amazon CloudFront define as seguintes chaves de condição que podem ser usadas no Condition elemento de uma IAM política. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para ver as chaves de condição globais que estão disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição	Descrição	Tipo
aws:RequestTag/${TagKey}	Filtra acesso pela presença de pares de chave-valor da etiqueta na solicitação	String
aws:ResourceTag/${TagKey}	Filtra o acesso por pares chave-valor da etiqueta anexados ao recurso	String
aws:TagKeys	Filtra ações pela presença de chaves da etiqueta na solicitação	ArrayOfString

Atenção O Javascript está desativado ou não está disponível no seu navegador.

Para usar a documentação da AWS, o Javascript deve estar ativado. Consulte as páginas de Ajuda do navegador para obter instruções.

Convenções do documento

AWS CloudFormation

Amazon CloudFront KeyValueStore