Amazon Route 53 Resolver 的操作、资源和条件键

Amazon Route 53 Resolver（服务前缀：route53resolver）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

Amazon Route 53 Resolver 定义的操作
Amazon Route 53 Resolver 定义的资源类型
Amazon Route 53 Resolver 的条件键

Amazon Route 53 Resolver 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
AssociateFirewallRuleGroup	授予将 Amazon VPC 与指定的防火墙规则组关联的权限	Write	firewall-rule-group-association*		ec2:DescribeVpcs
AssociateFirewallRuleGroup	授予将 Amazon VPC 与指定的防火墙规则组关联的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
AssociateResolverEndpointIpAddress	授予权限以将指定的 IP 地址与解析程序终端节点相关联。这是 DNS 查询传递到您的网络（出站）或您的 VPC（入站）时经过的 IP 地址	Write	resolver-endpoint*		ec2:CreateNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSubnets
AssociateResolverQueryLogConfig	授予权限以将 Amazon VPC 与指定查询日志记录配置关联	Write	resolver-query-log-config*		ec2:DescribeVpcs
AssociateResolverRule	授予权限以将指定的解析程序规则与指定的 VPC 相关联	Write	resolver-rule*		ec2:DescribeVpcs
CreateFirewallDomainList	授予创建防火墙域列表的权限	Write	firewall-domain-list*
CreateFirewallDomainList	授予创建防火墙域列表的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateFirewallRule	授予在防火墙规则组中创建防火墙规则的权限	Write	firewall-domain-list*
CreateFirewallRule	授予在防火墙规则组中创建防火墙规则的权限	Write	firewall-rule-group*
CreateFirewallRuleGroup	授予创建防火墙规则组的权限	写入	firewall-rule-group*
CreateFirewallRuleGroup	授予创建防火墙规则组的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateOutpostResolver	授予权限以在 Outposts 上创建 Route 53 Resolver	写入	outpost-resolver*		outposts:GetOutpost
CreateOutpostResolver	授予权限以在 Outposts 上创建 Route 53 Resolver	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverEndpoint	授予权限以创建解析程序终端节点共有两种类型的解析程序终端节点：入站和出站。	Write	resolver-endpoint*		ec2:CreateNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSecurityGroups ec2:DescribeSubnets ec2:DescribeVpcs
CreateResolverEndpoint	授予权限以创建解析程序终端节点共有两种类型的解析程序终端节点：入站和出站。	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverQueryLogConfig	授予权限以创建解析程序查询日志记录配置，该配置定义您是否希望解析程序保存源自您 VPC 的 DNS 查询日志	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverRule	授予权限以定义如何将来自您的 VPC 的查询路由到 VPC 之外	写入	resolver-rule*
CreateResolverRule	授予权限以定义如何将来自您的 VPC 的查询路由到 VPC 之外	写入		aws:RequestTag/${TagKey} aws:TagKeys
DeleteFirewallDomainList	授予删除防火墙域列表的权限	Write	firewall-domain-list*
DeleteFirewallRule	授予删除防火墙规则组中的防火墙规则的权限	Write	firewall-domain-list*
DeleteFirewallRule	授予删除防火墙规则组中的防火墙规则的权限	Write	firewall-rule-group*
DeleteFirewallRuleGroup	授予删除防火墙规则组的权限	写入	firewall-rule-group*
DeleteOutpostResolver	授予权限以在 Outposts 上删除 Route 53 Resolver	写入	outpost-resolver*
DeleteResolverEndpoint	授予权限以删除解析程序终端节点。删除解析程序终端节点的效果取决于它是入站还是出站终端节点	Write	resolver-endpoint*		ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces
DeleteResolverQueryLogConfig	授予权限以删除解析程序查询日志记录配置	Write	resolver-query-log-config*
DeleteResolverRule	授予权限以删除解析程序规则	Write	resolver-rule*
DisassociateFirewallRuleGroup	授予删除指定防火墙规则组与指定 VPC 之间的关联的权限	Write	firewall-rule-group-association*
DisassociateResolverEndpointIpAddress	授予权限以从解析程序终端节点中删除指定的 IP 地址。这是 DNS 查询传递到您的网络（出站）或您的 VPC（入站）时经过的 IP 地址	Write	resolver-endpoint*		ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces
DisassociateResolverQueryLogConfig	授予权限以删除指定解析程序查询日志记录配置与指定 VPC 之间的关联	Write	resolver-query-log-config*
DisassociateResolverRule	授予权限以删除指定解析程序规则与指定 VPC 之间的关联	Write	resolver-rule*
GetFirewallConfig	授予获取有关指定防火墙配置信息的权限	Read	firewall-config*		ec2:DescribeVpcs
GetFirewallDomainList	授予获取有关指定防火墙域列表信息的权限	Read	firewall-domain-list*
GetFirewallRuleGroup	授予获取有关指定防火墙规则组信息的权限	Read	firewall-rule-group*
GetFirewallRuleGroupAssociation	授予获取有关指定防火墙规则组与 VPC 之间关联的信息的权限	Read	firewall-rule-group-association*
GetFirewallRuleGroupPolicy	授予权限以获取有关指定防火墙规则组策略的信息，该策略指定了您希望允许其他 AWS 账户使用的防火墙规则组操作和资源	读取	firewall-rule-group*
GetOutpostResolver	授予权限以获取 Outposts 上指定 Route 53 Resolver 的信息	读取	outpost-resolver*
GetResolverConfig	授予权限以在指定资源中获取解析程序配置状态	读取	resolver-config*		ec2:DescribeVpcs
GetResolverDnssecConfig	授予获取指定资源内 DNS 查询的 DNSSEC 验证支持状态的权限	Read	resolver-dnssec-config*
GetResolverEndpoint	授予权限以获取有关指定解析程序终端节点的信息，例如，它是入站还是出站终端节点，DNS 查询转发到您的 VPC 时经过的 IP 地址以及从您的 VPC 转发时经过的 IP 地址	Read	resolver-endpoint*
GetResolverQueryLogConfig	授予权限以获取有关指定解析程序查询日志记录配置的信息，例如配置为其记录查询的 VPC 数量，以及日志发送到的位置	Read	resolver-query-log-config*		ec2:DescribeVpcs
GetResolverQueryLogConfigAssociation	授予权限以获取解析程序查询日志记录配置与 Amazon VPC 之间指定关联的信息当您将 VPC 与查询日志记录配置相关联时，解析程序会记录源自该 VPC 的 DNS 查询	Read
GetResolverQueryLogConfigPolicy	授予权限以获取有关指定解析程序查询日志记录策略的信息，该策略指定了您希望允许其他 AWS 账户使用的解析程序查询日志记录操作和资源	Read	resolver-query-log-config*
GetResolverRule	授予权限以获取有关指定解析程序规则的信息，例如，规则为其转发 DNS 查询的域名以及将查询转发到的 IP 地址	Read	resolver-rule*
GetResolverRuleAssociation	授予权限以获取有关指定解析程序规则与 VPC 之间的关联的信息	Read	resolver-rule*
GetResolverRulePolicy	授予权限以获取有关解析程序规则策略的信息，该策略指定了您希望允许其他 AWS 账户使用的解析程序操作和资源	Read	resolver-rule*
ImportFirewallDomains	授予在防火墙域列表中添加、删除或替换防火墙域的权限	Write	firewall-domain-list*
ListFirewallConfigs	授予权限以列出当前 AWS 账户能够检查的所有防火墙配置	List			ec2:DescribeVpcs
ListFirewallDomainLists	授予权限以列出当前 AWS 账户能够使用的所有防火墙域列表	List
ListFirewallDomains	授予在指定防火墙域列表下列出所有防火墙域的权限	List	firewall-domain-list*
ListFirewallRuleGroupAssociations	授予列出有关 Amazon VPC 和防火墙规则组之间关联的信息的权限	List
ListFirewallRuleGroups	授予权限以列出当前 AWS 账户能够使用的所有防火墙规则组	List
ListFirewallRules	授予在指定防火墙规则组下列出所有防火墙规则的权限	列出	firewall-rule-group*
ListOutpostResolvers	授予权限以列出 Outposts 上使用当前 AWS 账户创建的所有 Route 53 Resolver 的实例	列出
ListResolverConfigs	授予权限以列出解析程序配置状态	列出	resolver-config*		ec2:DescribeVpcs
ListResolverDnssecConfigs	授予列出 DNS 查询的 DNSSEC 验证支持状态的权限	列出	resolver-dnssec-config*
ListResolverEndpointIpAddresses	对于指定的解析程序终端节点，授予权限以列出 DNS 查询传送到您的网络（出站）或您的 VPC（入站）时经过的 IP 地址	列出	resolver-endpoint*
ListResolverEndpoints	授予权限以列出使用 AWS 账户当前创建的所有解析程序终端节点	List
ListResolverQueryLogConfigAssociations	授予权限以列出有关 Amazon VPC 与查询日志记录配置之间关联的信息	List			ec2:DescribeVpcs
ListResolverQueryLogConfigs	授予权限以列出有关指定查询日志记录配置的信息，这些配置定义了解析程序在何处保存 DNS 查询日志，并指定要记录其查询的 VPC	List			ec2:DescribeVpcs
ListResolverRuleAssociations	授予权限以列出使用当前 AWS 账户在解析程序规则和 VPC 之间创建的关联	List			ec2:DescribeVpcs
ListResolverRules	授予权限以列出使用当前 AWS 账户创建的解析程序规则	List
ListTagsForResource	授予权限以列出与指定资源关联的标签	Read	firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
PutFirewallRuleGroupPolicy	授予权限以指定要与之共享防火墙规则组的 AWS 账户、要共享的防火墙规则组，以及您希望该账户能够对配置执行的操作	权限管理	firewall-rule-group*
PutResolverQueryLogConfigPolicy	授予权限以指定要与之共享查询日志记录配置的 AWS 账户、要共享的查询日志记录配置，以及您希望该账户能够对配置执行的操作	权限管理	resolver-query-log-config*
PutResolverRulePolicy	授予权限以指定要与之共享规则的 AWS 账户、要共享的解析程序规则，以及您希望该账户能够对这些规则执行的操作	权限管理	resolver-rule*
TagResource	授予权限以将一个或多个标签添加到指定的资源中	Tagging	firewall-config
			firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-dnssec-config
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	授予权限以从指定的资源中删除一个或多个标签	Tagging	firewall-config
			firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-dnssec-config
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
				aws:TagKeys
UpdateFirewallConfig	授予更新防火墙配置的选定设置的权限	Write	firewall-config*		ec2:DescribeVpcs
UpdateFirewallDomains	授予在防火墙域列表中添加、删除或替换防火墙域的权限	Write	firewall-domain-list*
UpdateFirewallRule	授予更新防火墙规则组中防火墙规则的选定设置的权限	Write	firewall-domain-list*
UpdateFirewallRule	授予更新防火墙规则组中防火墙规则的选定设置的权限	Write	firewall-rule-group*
UpdateFirewallRuleGroupAssociation	授予更新防火墙规则组关联的选定设置的权限	写入	firewall-rule-group-association*
UpdateOutpostResolver	授予权限以更新 Outposts 上指定 Route 53 Resolver 的选定设置	写入	outpost-resolver*
UpdateResolverConfig	授予权限以在指定资源中更新解析程序配置状态	写入	resolver-config*		ec2:DescribeVpcs
UpdateResolverDnssecConfig	授予更新指定资源内 DNS 查询的 DNSSEC 验证支持状态的权限	Write	resolver-dnssec-config*
UpdateResolverEndpoint	授予权限以更新为入站或出站解析程序终端节点选择的设置	Write	resolver-endpoint*		ec2:AssignIpv6Addresses ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:ModifyNetworkInterfaceAttribute ec2:UnassignIpv6Addresses
UpdateResolverRule	授予权限以更新指定解析程序规则的设置	Write	resolver-rule*

Amazon Route 53 Resolver 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
resolver-dnssec-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-dnssec-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-query-log-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-query-log-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-rule	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-rule/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-endpoint	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-endpoint/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-rule-group	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-rule-group-association	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group-association/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-domain-list	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-domain-list/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-config	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-config/${ResourceId}`
outpost-resolver	`arn:${Partition}:route53resolver:${Region}:${Account}:outpost-resolver/${ResourceId}`	aws:ResourceTag/${TagKey}

Amazon Route 53 Resolver 的条件键

Amazon Route 53 Resolver 定义以下可在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
aws:RequestTag/${TagKey}	根据在请求中是否具有标签键值对来筛选访问权限	String
aws:ResourceTag/${TagKey}	按是否存在附加到资源的标签键值对筛选访问权限	String
aws:TagKeys	根据在请求中是否具有标签键来筛选访问	字符串数组

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

Amazon Route 53 Recovery 就绪性

Amazon S3