AWS IAM身份中心（ AWS 单点登录的继任者）的操作、资源和条件密钥

AWS IAMIdentity Center（Sing AWS le Sign-On 的继任者sso）（服务前缀:）提供以下特定于服务的资源、操作和条件上下文密钥，供在IAM权限策略中使用。

参考：

了解如何配置该服务。
查看此服务可用的API操作列表。
了解如何使用IAM权限策略保护此服务及其资源。

主题

AWS IAM身份中心定义的操作（ AWS 单点登录的继任者）
由 Ident AWS IAM ity Center（ AWS 单点登录的继任者）定义的资源类型
AWS IAM身份中心（ AWS 单点登录的继任者）的条件密钥

AWS IAM身份中心定义的操作（ AWS 单点登录的继任者）

您可以在IAM策略声明的Action元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。当您在策略中使用操作时，通常会允许或拒绝访问具有相同名称的API操作或CLI命令。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。如果该列包含资源类型，则可以在带有该操作ARN的语句中指定该类型的资源类型。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您使用IAM策略中的Resource元素限制资源访问权限，则必须为每种必需的资源类型包含ARN或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
AssociateDirectory	授予连接 AWS IAM身份中心使用的目录的权限	写入			ds:AuthorizeApplication
AssociateProfile	授予权限以在目录用户或组与配置文件之间创建关联	写入
AttachCustomerManagedPolicyReferenceToPermissionSet	授予权限以将客户管理型策略参考附加到权限集	权限管理	Instance*
AttachCustomerManagedPolicyReferenceToPermissionSet	授予权限以将客户管理型策略参考附加到权限集	权限管理	PermissionSet*
AttachManagedPolicyToPermissionSet	授予将 AWS 托管策略附加到权限集的权限	权限管理	Instance*
AttachManagedPolicyToPermissionSet	授予将 AWS 托管策略附加到权限集的权限	权限管理	PermissionSet*
CreateAccountAssignment	授予 AWS 账户使用指定权限集向指定委托人分配访问权限的权限	写入	Account*
			Instance*
			PermissionSet*
CreateApplication	授予创建应用程序的权限	写入	ApplicationProvider*
			Instance*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateApplicationAssignment	授予创建应用程序分配的权限	写入	Application*
CreateApplicationAssignment	授予创建应用程序分配的权限	写入		sso:ApplicationAccount
CreateApplicationInstance	授予向 Ident AWS IAM ity Center 添加应用程序实例的权限	写入
CreateApplicationInstanceCertificate	授予权限以为应用程序实例添加新证书	写入
CreateInstance	授予创建 Identity Center 实例的权限	写入	Instance*		iam:CreateServiceLinkedRole organizations:DescribeOrganization
CreateInstance	授予创建 Identity Center 实例的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateInstanceAccessControlAttributeConfiguration	授予启用实例ABAC并指定属性的权限	写入	Instance*		iam:AttachRolePolicy iam:CreateRole iam:DeleteRole iam:DeleteRolePolicy iam:DetachRolePolicy iam:GetRole iam:ListAttachedRolePolicies iam:ListRolePolicies iam:PutRolePolicy iam:UpdateAssumeRolePolicy
CreateManagedApplicationInstance	授予将托管应用程序实例添加到 Ident AWS IAM ity Center 的权限	写入
CreatePermissionSet	授予权限以创建权限集	Write	Instance*
			PermissionSet*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateProfile	授予权限以为应用程序实例创建配置文件	Write
CreateTrust	授予权限以在目标账户中创建联合信任	写入
CreateTrustedTokenIssuer	授予为实例创建可信令牌颁发机构的权限	写入	Instance*
CreateTrustedTokenIssuer	授予为实例创建可信令牌颁发机构的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
DeleteAccountAssignment	授予 AWS 账户使用指定权限集删除委托人访问权限的权限	写入	Account*
			Instance*
			PermissionSet*
DeleteApplication	授予删除应用程序的权限	写入	Application*
DeleteApplication	授予删除应用程序的权限	写入		sso:ApplicationAccount
DeleteApplicationAccessScope	授予删除应用程序的访问范围的权限	写入	Application*
DeleteApplicationAccessScope	授予删除应用程序的访问范围的权限	写入		sso:ApplicationAccount
DeleteApplicationAssignment	授予删除应用程序分配的权限	写入	Application*
DeleteApplicationAssignment	授予删除应用程序分配的权限	写入		sso:ApplicationAccount
DeleteApplicationAuthenticationMethod	授予删除应用程序的身份验证方法的权限	写入	Application*
DeleteApplicationAuthenticationMethod	授予删除应用程序的身份验证方法的权限	写入		sso:ApplicationAccount
DeleteApplicationGrant	授予删除来自应用程序的授权的权限	写入	Application*
DeleteApplicationGrant	授予删除来自应用程序的授权的权限	写入		sso:ApplicationAccount
DeleteApplicationInstance	授予权限以删除应用程序实例	Write
DeleteApplicationInstanceCertificate	授予权限以删除应用程序实例的停用或过期证书	写入
DeleteInlinePolicyFromPermissionSet	授予权限以从指定权限集中删除内联策略	写入	Instance*
DeleteInlinePolicyFromPermissionSet	授予权限以从指定权限集中删除内联策略	写入	PermissionSet*
DeleteInstance	授予删除 Identity Center 实例的权限	写入	Instance*
DeleteInstanceAccessControlAttributeConfiguration	授予禁用ABAC和移除实例属性列表的权限	写入	Instance*
DeleteManagedApplicationInstance	授予权限以删除托管应用程序实例	Write
DeletePermissionSet	授予权限以删除权限集	写入	Instance*
DeletePermissionSet	授予权限以删除权限集	写入	PermissionSet*
DeletePermissionsBoundaryFromPermissionSet	授予权限以从权限集中删除权限边界	权限管理	Instance*
DeletePermissionsBoundaryFromPermissionSet	授予权限以从权限集中删除权限边界	权限管理	PermissionSet*
DeletePermissionsPolicy	授予权限以删除与权限集关联的权限策略	Permissions management
DeleteProfile	授予权限以删除应用程序实例的配置文件	写入
DeleteTrustedTokenIssuer	授予删除实例的可信令牌颁发机构的权限	写入	TrustedTokenIssuer*
DescribeAccountAssignmentCreationStatus	授予权限以描述分配创建请求的状态	读取	Instance*
DescribeAccountAssignmentDeletionStatus	授予权限以描述分配删除请求的状态	读取	Instance*
DescribeApplication	授予获取应用程序信息的权限	读取	Application*
DescribeApplication	授予获取应用程序信息的权限	读取		sso:ApplicationAccount
DescribeApplicationAssignment	授予检索应用程序分配的权限	读取	Application*
DescribeApplicationAssignment	授予检索应用程序分配的权限	读取		sso:ApplicationAccount
DescribeApplicationProvider	授予描述应用程序提供者的权限	读取	ApplicationProvider*
DescribeDirectories	授予获取此账户的目录相关信息的权限	读取
DescribeInstance	授予获取 Identity Center 实例信息的权限	读取	Instance*
DescribeInstanceAccessControlAttributeConfiguration	授予获取实例使用的属性列表的权限 ABAC	读取	Instance*
DescribePermissionSet	授予权限以描述权限集	读取	Instance*
DescribePermissionSet	授予权限以描述权限集	读取	PermissionSet*
DescribePermissionSetProvisioningStatus	授予权限以描述给定权限集预置请求的状态	读取	Instance*
DescribePermissionsPolicies	授予权限以检索与某一权限集合关联的所有权限策略	读取
DescribeRegisteredRegions	授予权限以获取您的组织已启用 Ident AWS IAM ity Center 的区域	读取
DescribeTrustedTokenIssuer	授予描述实例的可信令牌颁发机构的权限	读取	TrustedTokenIssuer*
DescribeTrusts	授予获取此账户的信任关系的相关信息的权限	读取
DetachCustomerManagedPolicyReferenceFromPermissionSet	授予权限以将客户管理型策略参考从权限集分离	权限管理	Instance*
DetachCustomerManagedPolicyReferenceFromPermissionSet	授予权限以将客户管理型策略参考从权限集分离	权限管理	PermissionSet*
DetachManagedPolicyFromPermissionSet	授予将附加的 AWS 托管策略与指定权限集分开的权限	权限管理	Instance*
DetachManagedPolicyFromPermissionSet	授予将附加的 AWS 托管策略与指定权限集分开的权限	权限管理	PermissionSet*
DisassociateDirectory	授予取消关联以供 AWS IAM身份中心使用的目录的权限	写入			ds:UnauthorizeApplication
DisassociateProfile	授予权限以取消目录用户或组与配置文件的关联	写入
GetApplicationAccessScope	授予获取应用程序的访问范围的权限	读取	Application*
GetApplicationAccessScope	授予获取应用程序的访问范围的权限	读取		sso:ApplicationAccount
GetApplicationAssignmentConfiguration	授予读取应用程序的分配配置的权限	读取	Application*
GetApplicationAssignmentConfiguration	授予读取应用程序的分配配置的权限	读取		sso:ApplicationAccount
GetApplicationAuthenticationMethod	授予获取应用程序的身份验证方法的权限	读取	Application*
GetApplicationAuthenticationMethod	授予获取应用程序的身份验证方法的权限	读取		sso:ApplicationAccount
GetApplicationGrant	授予获取属于应用程序的授权的详细信息的权限	读取	Application*
GetApplicationGrant	授予获取属于应用程序的授权的详细信息的权限	读取		sso:ApplicationAccount
GetApplicationInstance	授予权限以检索应用程序实例的详细信息	Read
GetApplicationTemplate	授予权限以检索应用程序模板详细信息	读取
GetInlinePolicyForPermissionSet	授予权限以获取分配给权限集的内联策略	读取	Instance*
GetInlinePolicyForPermissionSet	授予权限以获取分配给权限集的内联策略	读取	PermissionSet*
GetManagedApplicationInstance	授予权限以检索应用程序实例的详细信息	Read
GetMfaDeviceManagementForDirectory	授予权限以检索目录的 MFA 设备管理设置	Read
GetPermissionSet	授予权限以检索权限集的详细信息	读取
GetPermissionsBoundaryForPermissionSet	授予权限以获取权限集的权限边界	读取	Instance*
GetPermissionsBoundaryForPermissionSet	授予权限以获取权限集的权限边界	读取	PermissionSet*
GetPermissionsPolicy	授予权限以检索与权限集关联的所有权限策略	Read			sso:DescribePermissionsPolicies
GetProfile	授予权限以检索应用程序实例的配置文件	读取
GetSSOStatus	授予检查 AWS IAM身份中心是否已启用的权限	读取
GetSharedSsoConfiguration	授予检索当前SSO实例共享配置的权限	读取
GetSsoConfiguration	授予检索当前SSO实例配置的权限	读取
GetTrust	授予权限以检索目标账户中的联合信任	读取
ImportApplicationInstanceServiceProviderMetadata	通过上传服务提供商提供的应用程序SAML元数据文件来授予更新应用程序实例的权限	写入
ListAccountAssignmentCreationStatus	授予列出指定SSO实例的 AWS 账户任务创建请求状态的权限	列出	Instance*
ListAccountAssignmentDeletionStatus	授予列出指定SSO实例的 AWS 账户任务删除请求状态的权限	列出	Instance*
ListAccountAssignments	授予列出 AWS 账户具有指定权限集的指定受让人的权限	列出	Account*
			Instance*
			PermissionSet*
ListAccountAssignmentsForPrincipal	授予列出分配给用户或组的账户的权限	列出	Instance*
ListAccountsForProvisionedPermissionSet	授予列出所有配置了指定权限集的 AWS 账户的权限	列出	Instance*
ListAccountsForProvisionedPermissionSet	授予列出所有配置了指定权限集的 AWS 账户的权限	列出	PermissionSet*
ListApplicationAccessScopes	授予列出应用程序的访问范围的权限	列出	Application*
ListApplicationAccessScopes	授予列出应用程序的访问范围的权限	列出		sso:ApplicationAccount
ListApplicationAssignments	授予列出应用程序分配的权限	列出	Application*
ListApplicationAssignments	授予列出应用程序分配的权限	列出		sso:ApplicationAccount
ListApplicationAssignmentsForPrincipal	授予列出分配给用户或组的应用程序的权限	列出	Instance*
ListApplicationAssignmentsForPrincipal	授予列出分配给用户或组的应用程序的权限	列出		sso:ApplicationAccount
ListApplicationAuthenticationMethods	授予列出应用程序的身份验证方法的权限	列出	Application*
ListApplicationAuthenticationMethods	授予列出应用程序的身份验证方法的权限	列出		sso:ApplicationAccount
ListApplicationGrants	授予列出来自应用程序的授权的权限	列出	Application*
ListApplicationGrants	授予列出来自应用程序的授权的权限	列出		sso:ApplicationAccount
ListApplicationInstanceCertificates	授予权限以检索给定应用程序实例的所有证书	Read
ListApplicationInstances	授权权限以检索所有应用程序实例	列出			sso:GetApplicationInstance
ListApplicationProviders	授予列出应用程序提供者的权限	列出	ApplicationProvider*
ListApplicationTemplates	授予权限以检索所有支持的应用程序模板	列出			sso:GetApplicationTemplate
ListApplications	授予检索与 Ident IAM ity Center 实例关联的所有应用程序的权限	列出
ListCustomerManagedPolicyReferencesInPermissionSet	授予权限以列出附加到权限集的客户管理型策略参考	列出	Instance*
ListCustomerManagedPolicyReferencesInPermissionSet	授予权限以列出附加到权限集的客户管理型策略参考	列出	PermissionSet*
ListDirectoryAssociations	授予权限以检索与 AWS IAM身份中心连接的目录的详细信息	读取
ListInstances	授予列出调用者有权访问的SSO实例的权限	列出
ListManagedPoliciesInPermissionSet	授予列出附加到指定权限集的 AWS 托管策略的权限	列出	Instance*
ListManagedPoliciesInPermissionSet	授予列出附加到指定权限集的 AWS 托管策略的权限	列出	PermissionSet*
ListPermissionSetProvisioningStatus	授予权限以列出指定SSO实例的权限集置备请求的状态	列出	Instance*
ListPermissionSets	授予权限以检索所有权限集	列出	Instance*
ListPermissionSetsProvisionedToAccount	授予列出配置给指定的所有权限集的权限 AWS 账户	列出	Account*
ListPermissionSetsProvisionedToAccount	授予列出配置给指定的所有权限集的权限 AWS 账户	列出	Instance*
ListProfileAssociations	授予权限以检索与配置文件关联的目录用户或组	Read
ListProfiles	授予权限以检索应用程序实例的所有配置文件	列出			sso:GetProfile
ListTagsForResource	授予权限以列出附加到指定资源的标签	读取	Application
			Instance
			PermissionSet
			TrustedTokenIssuer
ListTrustedTokenIssuers	授予列出实例的可信令牌颁发机构的权限	列出	Instance*
ProvisionPermissionSet	授予权限以将指定权限集预置到指定目标	写入	Account*
			Instance*
			PermissionSet*
PutApplicationAccessScope	授予创建/更新应用程序的访问范围的权限	写入	Application*
PutApplicationAccessScope	授予创建/更新应用程序的访问范围的权限	写入		sso:ApplicationAccount
PutApplicationAssignmentConfiguration	授予向应用程序添加分配配置的权限	写入	Application*
PutApplicationAssignmentConfiguration	授予向应用程序添加分配配置的权限	写入		sso:ApplicationAccount
PutApplicationAuthenticationMethod	授予创建/更新应用程序的身份验证方法的权限	写入	Application*
PutApplicationAuthenticationMethod	授予创建/更新应用程序的身份验证方法的权限	写入		sso:ApplicationAccount
PutApplicationGrant	授予创建/更新对应用程序的授权的权限	写入	Application*
PutApplicationGrant	授予创建/更新对应用程序的授权的权限	写入		sso:ApplicationAccount
PutInlinePolicyToPermissionSet	授予将IAM内联策略附加到权限集的权限	写入	Instance*
PutInlinePolicyToPermissionSet	授予将IAM内联策略附加到权限集的权限	写入	PermissionSet*
PutMfaDeviceManagementForDirectory	授予权限以为目录附加 MFA 设备管理设置	写入
PutPermissionsBoundaryToPermissionSet	授予权限以将权限边界添加到权限集	权限管理	Instance*
PutPermissionsBoundaryToPermissionSet	授予权限以将权限边界添加到权限集	权限管理	PermissionSet*
PutPermissionsPolicy	授予权限以将策略添加到权限集	Permissions management
SearchGroups	授予权限以在关联的目录中搜索组	Read			ds:DescribeDirectories
SearchUsers	授予权限以在关联的目录中搜索用户	读取			ds:DescribeDirectories
StartSSO	授予初始化 AWS IAM身份中心的权限	写入			organizations:DescribeOrganization organizations:EnableAWSServiceAccess
TagResource	授予权限以将一组标签与指定资源关联	标记	Application
			Instance
			PermissionSet
			TrustedTokenIssuer
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	授予权限以取消一组标签与指定资源的关联	标记	Application
			Instance
			PermissionSet
			TrustedTokenIssuer
				aws:TagKeys
UpdateApplication	授予更新应用程序的权限	写入	Application*
UpdateApplication	授予更新应用程序的权限	写入		sso:ApplicationAccount
UpdateApplicationInstanceActiveCertificate	授予权限以为此应用程序实例设置证书，作为活动证书	Write
UpdateApplicationInstanceDisplayData	授予权限以更新应用程序实例的显示数据	Write
UpdateApplicationInstanceResponseConfiguration	授予权限以更新应用程序实例的联合响应配置	Write
UpdateApplicationInstanceResponseSchemaConfiguration	授予权限以更新应用程序实例的联合响应架构配置	Write
UpdateApplicationInstanceSecurityConfiguration	授予权限以更新应用程序实例的安全详细信息	Write
UpdateApplicationInstanceServiceProviderConfiguration	授予权限以更新应用程序实例的服务提供商关联配置	Write
UpdateApplicationInstanceStatus	授予权限以更新应用程序实例的状态	Write
UpdateDirectoryAssociation	授予权限以更新连接目录的用户属性映射	写入
UpdateInstance	授予更新 Identity Center 实例的权限	写入	Instance*
UpdateInstanceAccessControlAttributeConfiguration	授予更新要用于实例的属性的权限 ABAC	写入	Instance*
UpdateManagedApplicationInstanceStatus	授予权限以更新托管应用程序的实例状态	写入
UpdatePermissionSet	授予权限以更新权限集	权限管理	Instance*
UpdatePermissionSet	授予权限以更新权限集	权限管理	PermissionSet*
UpdateProfile	授予权限以更新应用程序实例的配置文件	写入
UpdateSSOConfiguration	授予更新当前SSO实例配置的权限	写入
UpdateTrust	授予权限以更新目标账户中的联合信任	写入
UpdateTrustedTokenIssuer	授予更新实例的可信令牌颁发机构的权限	写入	TrustedTokenIssuer*

由 Ident AWS IAM ity Center（ AWS 单点登录的继任者）定义的资源类型

以下资源类型由此服务定义，可以在IAM权限策略语句的Resource元素中使用。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
PermissionSet	`arn:${Partition}:sso:::permissionSet/${InstanceId}/${PermissionSetId}`	aws:ResourceTag/${TagKey}
Account	`arn:${Partition}:sso:::account/${AccountId}`
Instance	`arn:${Partition}:sso:::instance/${InstanceId}`	aws:ResourceTag/${TagKey}
Application	`arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}`	aws:ResourceTag/${TagKey} sso:ApplicationAccount
TrustedTokenIssuer	`arn:${Partition}:sso::${AccountId}:trustedTokenIssuer/${InstanceId}/${TrustedTokenIssuerId}`	aws:ResourceTag/${TagKey}
ApplicationProvider	`arn:${Partition}:sso::aws:applicationProvider/${ApplicationProviderId}`

AWS IAM身份中心（ AWS 单点登录的继任者）的条件密钥

AWS IAMIdentity Center（ AWS 单点登录的后继者）定义了可以在IAM策略Condition元素中使用的以下条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
aws:RequestTag/${TagKey}	按请求中传递的标签筛选访问权限	字符串
aws:ResourceTag/${TagKey}	按与资源关联的标签筛选访问权限	字符串
aws:TagKeys	按请求中传递的标签键筛选访问权限	ArrayOfString
sso:ApplicationAccount	按创建应用程序的账户筛选访问权限	String

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

AWS IAM 访问分析器

AWS IAM身份中心（ AWS 单点登录的继任者）目录