AWS Audit Manager 的操作、资源和条件键 - 服务授权参考
操作资源类型条件键

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS Audit Manager 的操作、资源和条件键

AWS Audit Manager（服务前缀:auditmanager）提供以下特定于服务的资源、操作和条件上下文密钥，供在IAM权限策略中使用。

参考：

AWS Audit Manager 定义的操作

您可以在IAM策略声明的Action元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。当您在策略中使用操作时，通常会允许或拒绝访问具有相同名称的API操作或CLI命令。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。如果该列包含资源类型，则可以在带有该操作ARN的语句中指定该类型的资源类型。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您使用IAM策略中的Resource元素限制资源访问权限，则必须为每种必需的资源类型包含ARN或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
AssociateAssessmentReportEvidenceFolder 授予在 Audit Manager 中 AWS 将证据文件夹与评估报告关联的权限 写入

assessment*

BatchAssociateAssessmentReportEvidence 授予在 Audit Manager 中将证据清单与评估报告关联 AWS 的权限 写入

assessment*

BatchCreateDelegationByAssessment 授予在 Audit Manager 中为评估创建委 AWS 托的权限 写入

assessment*

BatchDeleteDelegationByAssessment 授予在 Audit Manager 中删除评估委 AWS 托的权限 写入

assessment*

BatchDisassociateAssessmentReportEvidence 授予在 Audit Manager 中取消证据清单与评估报告的关联的 AWS 权限 写入

assessment*

BatchImportEvidenceToAssessmentControl 授予将证据列表导入 Audit Manager 中的评估控件 AWS 的权限 写入

assessmentControlSet*

CreateAssessment 授予创建要与 Audit Manager 一起 AWS 使用的评估的权限 写入

aws:RequestTag/${TagKey}

aws:TagKeys

CreateAssessmentFramework 授予创建框架以在 Audit Manager AWS 中使用的权限 写入

aws:RequestTag/${TagKey}

aws:TagKeys

CreateAssessmentReport 授予在 Audit Manager 中 AWS 创建评估报告的权限 写入

assessment*

CreateControl 授予创建要在 Audit Manager 中 AWS 使用的控件的权限 写入

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAssessment 授予在 Audit Manager 中删除 AWS 评估的权限 写入

assessment*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAssessmentFramework 授予在 Audit Manager 中删除评估 AWS 框架的权限 写入

assessmentFramework*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAssessmentFrameworkShare 授予在 Audit Manager 中删除自定义框架共享请求 AWS 的权限 写入
DeleteAssessmentReport 授予在 Audit Manager 中 AWS 删除评估报告的权限 写入

assessment*

DeleteControl 授予在 Audit Manager 中删除控 AWS 件的权限 写入

control*

aws:RequestTag/${TagKey}

aws:TagKeys

DeregisterAccount 授予在 Audit Manager 中注销账户的 AWS 权限 写入
DeregisterOrganizationAdminAccount 授予取消注册 Audit Manager 委派管理员账户的 AWS 权限 写入
DisassociateAssessmentReportEvidenceFolder 授予在 Audit Manager 中取消证据文件夹与评估报告的关联的 AWS 权限 写入

assessment*

GetAccountStatus 授予在 Audit Manager 中 AWS 获取账户状态的权限 读取
GetAssessment 授予在 Audit Manager 中 AWS 创建评估的权限 读取

assessment*

GetAssessmentFramework 授予在 Audit Manager 中获取评估 AWS 框架的权限 读取

assessmentFramework*

GetAssessmentReportUrl 授予在 Audit Manager 中 AWS 获取评估报告的权限 URL 读取

assessment*

GetChangeLogs 授予在 Audit Manager 中 AWS 获取评估变更日志的权限 读取

assessment*

GetControl 授予在 Audit Manager 中获取控 AWS 件的权限 读取

control*

GetDelegations 授予在 Audit Manager 中获取所有 AWS 委托的权限 列出
GetEvidence 授予从 Audit Manager 获取 AWS 证据的权限 读取

assessmentControlSet*

GetEvidenceByEvidenceFolder 授予从 Audit Manager 的证据文件夹中获取所有证据 AWS 的权限 读取

assessmentControlSet*

GetEvidenceFileUploadUrl 授予获取可用于上传文件作为手动URL证据的预签名 Amazon S3 的权限 读取
GetEvidenceFolder 授予从 Audit Manager 获取证据 AWS 文件夹的权限 读取

assessmentControlSet*

GetEvidenceFoldersByAssessment 授予在 Audit Manager 中从评估中 AWS 获取证据文件夹的权限 读取

assessment*

GetEvidenceFoldersByAssessmentControl 授予从 Audit Manager 中的评估控件中 AWS 获取证据文件夹的权限 读取

assessmentControlSet*

GetInsights 授予权限以获取所有活动评估的分析数据 读取
GetInsightsByAssessment 授予权限以获取某个指定活动评估的分析数据 读取
GetOrganizationAdminAccount 授予在 Audit Manager 中获取委托管理员 AWS 账户的权限 读取
GetServicesInScope 授予在 Audit Manager 中将服务纳入评估范围的 AWS 权限 读取
GetSettings 授予获取在 Audit Manager 中 AWS 配置的所有设置的权限 读取
ListAssessmentControlInsightsByControlDomain 授予权限以列出指定控制域和活动评估中的控件的分析数据 列出
ListAssessmentFrameworkShareRequests 授予在 Audit Manager 中 AWS 列出所有已发送或已接收的自定义框架共享请求的权限 列出
ListAssessmentFrameworks 授予在 Audit Manager 中列出所有评估 AWS 框架的权限 列出
ListAssessmentReports 授予在 Audit Manager 中 AWS 列出所有评估报告的权限 列出
ListAssessments 授予在 Audit Manager 中列出所有 AWS 评估的权限 列出
ListControlDomainInsights 授予权限以列出所有活动评估中的控制域的分析数据 列出
ListControlDomainInsightsByAssessment 授予权限以列出指定活动评估中的控制域的分析数据 列出
ListControlInsightsByControlDomain 授予权限以列出所有活动评估的指定控制域中的控件的分析数据 列出
ListControls 授予在 Audit Manager 中列出所有控 AWS 件的权限 列出
ListKeywordsForDataSource 授予在 Audit Manager 中列出所有数据源关键 AWS 字的权限 列出
ListNotifications 授予在 Audit Manager 中列出所有 AWS 通知的权限 列出
ListTagsForResource 授予列出 Audit Manager AWS 资源标签的权限 读取

assessment

control

RegisterAccount 授予在 Audit Manager 中注册 AWS 账户的权限 写入
RegisterOrganizationAdminAccount 授予在组织内注册账户作为 Audit Manager 的委托 AWS 管理员的权限 写入
StartAssessmentFrameworkShare 授予在 Audit Manager 中为自定义框架创建共享请求 AWS 的权限 写入

assessmentFramework*

TagResource 授予标记 Audit M AWS anager 资源的权限 标记

assessment

control

aws:TagKeys

aws:RequestTag/${TagKey}

UntagResource 授予取消标记 Audit Manag AWS er 资源的权限 标记

assessment

control

aws:TagKeys

UpdateAssessment 授予在 Audit Manager 中更新 AWS 评估的权限 写入

assessment*

UpdateAssessmentControl 授予在 Audit Manager 中更新评估控 AWS 件的权限 写入

assessmentControlSet*

UpdateAssessmentControlSetStatus 授予更新 Audit Manager 中评估控制集状态 AWS 的权限 写入

assessmentControlSet*

UpdateAssessmentFramework 授予在 Audit Manager 中更新评估 AWS 框架的权限 写入

assessmentFramework*

UpdateAssessmentFrameworkShare 授予在 Audit Manager 中更新自定义框架共享请求 AWS 的权限 写入
UpdateAssessmentStatus 授予在 Audit Manager 中 AWS 更新评估状态的权限 写入

assessment*

UpdateControl 授予在 Audit Manager 中更新控 AWS 件的权限 写入

control*

UpdateSettings 授予更新 Audit Manager 中 AWS 设置的权限 写入
ValidateAssessmentReportIntegrity 授予在 Audit Manager 中 AWS 验证评估报告完整性的权限 读取

AWS Audit Manager 定义的资源类型

以下资源类型由此服务定义，可以在IAM权限策略语句的Resource元素中使用。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
assessment arn:${Partition}:auditmanager:${Region}:${Account}:assessment/${AssessmentId}
assessmentFramework arn:${Partition}:auditmanager:${Region}:${Account}:assessmentFramework/${AssessmentFrameworkId}
assessmentControlSet arn:${Partition}:auditmanager:${Region}:${Account}:assessment/${AssessmentId}/controlSet/${ControlSetId}
control arn:${Partition}:auditmanager:${Region}:${Account}:control/${ControlId}

aws:ResourceTag/${TagKey}

AWS Audit Manager 的条件键

AWS Audit Manager 定义了可以在IAM策略Condition元素中使用的以下条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键 描述 类型
aws:RequestTag/${TagKey} 按请求中传递的标签筛选访问权限 字符串
aws:ResourceTag/${TagKey} 按与资源关联的标签筛选访问权限 字符串
aws:TagKeys 按请求中传递的标签键筛选访问权限 ArrayOfString