Amazon Macie 的操作、资源和条件键 - 服务授权参考
操作资源类型条件键

Amazon Macie 的操作、资源和条件键

Amazon Macie（服务前缀：macie2）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

Amazon Macie 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

注意

已弃用 DisassociateFromMasterAccount 和 GetMasterAccount 操作。我们建议您分别指定 DisassociateFromAdministratorAccount 和 GetAdministratorAccount 操作来代替。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
AcceptInvitation 授予权限以接受 Amazon Macie 成员资格邀请 Write
BatchGetCustomDataIdentifiers 授予权限以检索有关一个或多个自定义数据标识符的信息 读取

CustomDataIdentifier*

BatchUpdateAutomatedDiscoveryAccounts 授予权限以便 Amazon Macie 管理员更改其组织中一个或多个账户的自动敏感数据发现状态 写入
CreateAllowList 授予创建和定义允许列表的设置的权限 写入

aws:RequestTag/${TagKey}

aws:TagKeys

CreateClassificationJob 授予权限以创建和定义敏感数据发现作业的设置 Write

ClassificationJob*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCustomDataIdentifier 授予权限以创建和定义自定义数据标识符的设置 Write

CustomDataIdentifier*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFindingsFilter 授予权限以创建和定义结果筛选条件的设置 Write

FindingsFilter*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateInvitations 授予权限以发送 Amazon Macie 成员资格邀请 Write
CreateMember 授予权限以将某一账户与 Amazon Macie 管理员账户关联 Write

Member*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSampleFindings 授予权限以创建示例结果 Write
DeclineInvitations 授予权限以拒绝 Amazon Macie 成员资格邀请 写入
DeleteAllowList 授予删除允许列表的权限 写入

AllowList*

DeleteCustomDataIdentifier 授予权限以删除自定义数据标识符 Write

CustomDataIdentifier*

DeleteFindingsFilter 授予权限以删除结果筛选条件 Write

FindingsFilter*

DeleteInvitations 授予权限以删除 Amazon Macie 成员资格邀请 Write
DeleteMember 授予权限以删除 Amazon Macie 管理员账户与某一账户之间的关联 Write

Member*

DescribeBuckets 授予权限以检索有关 Amazon Macie 监控和分析的 S3 存储桶的统计数据和其他信息 Read
DescribeClassificationJob 授予权限以检索有关敏感数据发现作业状态和设置的信息 Read

ClassificationJob*

DescribeOrganizationConfiguration 授予权限以检索有关 AWS 组织的 Amazon Macie 配置设置的信息 Read
DisableMacie 授予权限以禁用 Amazon Macie 账户，这也会删除该账户的 Macie 资源 Write
DisableOrganizationAdminAccount 授予权限以禁用账户作为 AWS 组织的委托 Amazon Macie 管理员账户 写入
DisassociateFromAdministratorAccount 授予 Amazon Macie 成员账户权限以便与其 Macie 管理员账户取消关联 写入
DisassociateFromMasterAccount 授予 Amazon Macie 成员账户权限以便与其 Macie 管理员账户取消关联 写入
DisassociateMember 授予 Amazon Macie 管理员账户权限以便与 Macie 成员账户取消关联 写入

Member*

EnableMacie 授予权限以启用和指定新 Amazon Macie 账户的配置设置 Write
EnableOrganizationAdminAccount 授予权限以启用账户作为 AWS 组织的委托 Amazon Macie 管理员账户 Write
GetAdministratorAccount 授予权限以检索有关某一账户的 Amazon Macie 主账户的信息 读取
GetAllowList 授予检索允许列表的设置和状态的权限 读取

AllowList*

GetAutomatedDiscoveryConfiguration 授予权限以检索 Amazon Macie 管理员账户、组织或独立账户的配置设置和自动敏感数据发现状态 读取
GetBucketStatistics 授予权限以检索有关 Amazon Macie 监控和分析的所有 S3 存储桶的聚合统计数据 Read
GetClassificationExportConfiguration 授予权限以检索导出敏感数据发现结果的设置 读取
GetClassificationScope 授予权限以检索账户的分类范围设置 读取
GetCustomDataIdentifier 授予权限以检索有关自定义数据标识符设置的信息 Read

CustomDataIdentifier*

GetFindingStatistics 授予权限以检索有关结果的聚合统计数据 Read
GetFindings 授予权限以检索一个或多个调查结果详细信息 Read
GetFindingsFilter 授予权限以检索有关结果筛选条件设置的信息 Read

FindingsFilter*

GetFindingsPublicationConfiguration 授予检索将调查结果发布到 AWS Security Hub 的配置设置的权限 Read
GetInvitationsCount 授予权限以检索账户收到的 Amazon Macie 成员资格邀请计数 Read
GetMacieSession 授予权限以检索有关 Amazon Macie 账户状态和配置设置的信息 读取
GetMasterAccount 授予权限以检索有关某一账户的 Amazon Macie 主账户的信息 读取
GetMember 授予权限以检索有关与 Amazon Macie 管理员账户关联的某一账户的信息 读取

Member*

GetResourceProfile 授予权限以检索 S3 存储桶的敏感数据发现统计数据和敏感度分数 读取
GetRevealConfiguration 授予权限以检索状态和配置设置，从而了解结果所报告的敏感数据的检索发生次数 读取
GetSensitiveDataOccurrences 授予权限以检索结果所报告的敏感数据的检索发生次数 读取
GetSensitiveDataOccurrencesAvailability 授予权限以检查是否能够针对结果检索敏感数据的出现次数 读取
GetSensitivityInspectionTemplate 授予权限以检索账户的敏感度检查模板设置 读取
GetUsageStatistics 授予权限以检索一个或多个账户的配额和聚合使用情况数据 Read
GetUsageTotals 授予权限以检索账户的聚合使用情况数据 读取
ListAllowLists 授予检索有关某个账户的所有允许列表的信息子集的权限 列出
ListAutomatedDiscoveryAccounts 授予权限以检索账户的自动敏感数据发现的状态 列出
ListClassificationJobs 授予权限以检索有关一个或多个敏感数据发现作业的状态和设置的信息子集 列出
ListClassificationScopes 授予权限以检索有关账户分类范围的信息子集 列出
ListCustomDataIdentifiers 授予权限以检索有关所有自定义数据标识符的信息 List
ListFindings 授予权限以检索有关一个或多个结果的信息子集 List
ListFindingsFilters 授予权限以检索有关所有结果筛选条件的信息 List
ListInvitations 授予权限以检索有关账户收到的所有 Amazon Macie 成员资格邀请的信息 列出
ListManagedDataIdentifiers 授予权限以检索有关托管数据标识符的信息 列出
ListMembers 授予权限以检索有关与 Macie 管理员账户关联的 Amazon Macie 成员账户的信息 列出
ListOrganizationAdminAccounts 授予权限以检索有关 AWS 组织的 Amazon Macie 委派管理员账户的信息 列出
ListResourceProfileArtifacts 授予权限以检索 Amazon Macie 从 S3 存储桶中选择用于自动敏感数据发现的对象的信息 列出
ListResourceProfileDetections 授予权限以检索有关 Amazon Macie 在 S3 存储桶中发现的敏感数据类型和数量的信息 列出
ListSensitivityInspectionTemplates 授予权限以检索账户的敏感度检查模板的信息子集 列出
ListTagsForResource 授予权限以检索 Amazon Macie 资源的标签 Read

AllowList

ClassificationJob

CustomDataIdentifier

FindingsFilter

Member

PutClassificationExportConfiguration 授予权限以创建或更新存储敏感数据发现结果的设置 Write
PutFindingsPublicationConfiguration 授予更新将调查结果发布到 AWS Security Hub 的配置设置的权限 Write
SearchResources 授予权限以检索 Amazon Macie 监控和分析的 AWS 资源的统计数据和其他信息 Read
TagResource 授予权限以为 Amazon Macie 资源添加或更新标签 Tagging

AllowList

ClassificationJob

CustomDataIdentifier

FindingsFilter

Member

aws:RequestTag/${TagKey}

aws:TagKeys

TestCustomDataIdentifier 授予权限以测试自定义数据标识符 Write
UntagResource 授予权限以从 Amazon Macie 资源中删除标签 标记

AllowList

ClassificationJob

CustomDataIdentifier

FindingsFilter

Member

aws:TagKeys

UpdateAllowList 授予更新允许列表的设置的权限 写入

AllowList*

UpdateAutomatedDiscoveryConfiguration 授予权限以更改 Amazon Macie 管理员账户、组织或独立账户的自动敏感数据发现的状态 写入
UpdateClassificationJob 授予权限以更改敏感数据发现作业的状态 写入

ClassificationJob*

aws:RequestTag/${TagKey}

aws:TagKeys

UpdateClassificationScope 授予权限以更新账户的分类范围设置 写入
UpdateFindingsFilter 授予权限以更新结果筛选条件的设置 写入

FindingsFilter*

aws:RequestTag/${TagKey}

aws:TagKeys

UpdateMacieSession 授予 Amazon Macie 管理员账户权限以暂停或重新启用成员账户的 Macie 写入
UpdateMemberSession 授予 Amazon Macie 管理员账户权限以暂停或重新启用 Macie 成员账户 写入
UpdateOrganizationConfiguration 授予权限以更新 AWS 组织的 Amazon Macie 配置设置 写入
UpdateResourceProfile 授予权限以更新 S3 存储桶的敏感度分数 写入
UpdateResourceProfileDetections 授予权限以更新 S3 存储桶的敏感度分数设置 写入
UpdateRevealConfiguration 授予权限以更新状态和配置设置，从而了解结果所报告的敏感数据的检索发生次数 写入
UpdateSensitivityInspectionTemplate 授予权限以更新账户的敏感度检查模板设置 写入

Amazon Macie 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
AllowList arn:${Partition}:macie2:${Region}:${Account}:allow-list/${ResourceId}

aws:ResourceTag/${TagKey}

ClassificationJob arn:${Partition}:macie2:${Region}:${Account}:classification-job/${ResourceId}

aws:ResourceTag/${TagKey}

CustomDataIdentifier arn:${Partition}:macie2:${Region}:${Account}:custom-data-identifier/${ResourceId}

aws:ResourceTag/${TagKey}

FindingsFilter arn:${Partition}:macie2:${Region}:${Account}:findings-filter/${ResourceId}

aws:ResourceTag/${TagKey}

Member arn:${Partition}:macie2:${Region}:${Account}:member/${ResourceId}

aws:ResourceTag/${TagKey}

Amazon Macie 的条件键

Amazon Macie 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键 描述 类型
aws:RequestTag/${TagKey} 按请求中允许的标签键值对筛选访问 String
aws:ResourceTag/${TagKey} 按某个资源的标签键值对筛选访问 String
aws:TagKeys 根据在请求中是否具有标签键来筛选访问 字符串数组