本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 中的安全性 AWS Config
的雲端安全性 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構專為滿足最安全敏感組織的需求而建置。
安全性是 AWS 與您之間的共同責任。[共同責任模式](https://aws.amazon.com/compliance/shared-responsibility-model/)將其描述為雲端*的*安全性，和雲端*中*的安全性：
+ **雲端的安全性** – AWS 負責保護在 Cloud AWS 中執行 AWS 服務的基礎設施。 AWS 也為您提供可安全使用的服務。在[AWS 合規計畫](https://aws.amazon.com/compliance/programs/)中，第三方稽核人員會定期測試和驗證我們的安全有效性。若要了解適用於 的合規計劃 AWS Config，請參閱[AWS 合規計劃範圍內的服務](https://aws.amazon.com/compliance/services-in-scope/)。
+ **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。
本文件可協助您了解如何在使用 時套用共同責任模型 AWS Config。下列主題說明如何設定 AWS Config 以符合您的安全與合規目標。
**Topics**
+ [中的資料保護 AWS Config](data-protection.md)
+ [的 Identity and Access Management AWS Config](security-iam.md)
+ [中的事件回應 AWS Config](incident-response.md)
+ [的合規驗證 AWS Config](config-compliance.md)
+ [中的彈性 AWS Config](disaster-recovery-resiliency.md)
+ [中的基礎設施安全 AWS Config](infrastructure-security.md)
+ [預防跨服務混淆代理人](cross-service-confused-deputy-prevention.md)
+ [的安全最佳實務 AWS Config](security-best-practices.md)
# 中的資料保護 AWS Config
AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 中的資料保護。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。
基於資料保護目的，建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料：
+ 每個帳戶均要使用多重要素驗證 (MFA)。
+ 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。
+ 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。
+ 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。
+ 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。
+ 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。
我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 或使用主控台、API AWS CLI或其他 AWS 服務 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。
## 靜態資料加密
靜態資料使用透明的伺服器端加密功能加密。這可協助降低保護敏感資料所涉及的操作負擔和複雜性。您可以透過靜態加密，建立符合加密合規和法規要求，而且對安全性要求甚高的應用程式。
## 加密傳輸中的資料
收集和存取的資料 AWS Config 僅透過 Transport Layer Security (TLS) 保護的頻道。
# 的 Identity and Access Management AWS Config
AWS Identity and Access Management (IAM) 是一種 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以進行*驗證 *（登入） 和*授權* （具有許可） 來使用 AWS Config 資源。IAM 是您可以免費使用 AWS 服務 的 。
**Topics**
+ [目標對象](#security_iam_audience)
+ [使用身分驗證](#security_iam_authentication)
+ [使用政策管理存取權](#security_iam_access-manage)
+ [AWS Config 如何使用 IAM](security_iam_service-with-iam.md)
+ [身分型政策範例](security_iam_id-based-policy-examples.md)
+ [AWS 受管政策](security-iam-awsmanpol.md)
+ [IAM 角色的許可](iamrole-permissions.md)
+ [更新 IAM 角色](update-iam-role.md)
+ [Amazon S3 儲存貯體的許可](s3-bucket-policy.md)
+ [KMS 金鑰的許可](s3-kms-key-policy.md)
+ [Amazon SNS 主題的許可](sns-topic-policy.md)
+ [疑難排解](security_iam_troubleshoot.md)
+ [使用服務連結角色](using-service-linked-roles.md)
## 目標對象
使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同：
+ **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS Config 身分和存取進行故障診斷](security_iam_troubleshoot.md))
+ **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [AWS Config 如何使用 IAM](security_iam_service-with-iam.md))
+ **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [的身分型政策範例 AWS Config](security_iam_id-based-policy-examples.md))
## 使用身分驗證
身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色進行身分驗證。
您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。
對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。
### AWS 帳戶 根使用者
當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和 資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。
### 聯合身分
最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。
*聯合身分*是您企業目錄、Web 身分提供者的使用者，或使用來自身分來源的 AWS 服務 憑證存取 Directory Service 。聯合身分會擔任角色，而該角色會提供臨時憑證。
若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。
### IAM 使用者和群組
*IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者來 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。
[IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。
### IAM 角色
*IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。
IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
## 使用政策管理存取權
您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。
管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。
預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。
### 身分型政策
身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。
### 資源型政策
資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。
資源型政策是位於該服務中的內嵌政策。您無法在以資源為基礎的政策中使用來自 IAM 的 AWS 受管政策。
### 其他政策類型
AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可：
+ **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。
+ **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。
+ **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。
+ **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。
### 多種政策類型
當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多種政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。
# AWS Config 如何使用 IAM
在您使用 IAM 管理對 的存取之前 AWS Config，請先了解可使用哪些 IAM 功能 AWS Config。
**您可以搭配 使用的 IAM 功能 AWS Config**
| IAM 功能 | AWS Config 支援 |
| --- | --- |
| [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 |
| [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 否 |
| [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 |
| [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 是 |
| [政策條件索引鍵 (服務特定)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 |
| [ACL](#security_iam_service-with-iam-acls) | 否 |
| [ABAC (政策中的標籤)](#security_iam_service-with-iam-tags) | 是 |
| [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 |
| [轉送存取工作階段 (FAS)](#security_iam_service-with-iam-principal-permissions) | 是 |
| [服務角色](#security_iam_service-with-iam-roles-service) | 是 |
| [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 是 |
若要全面了解 AWS Config 和其他 AWS 服務如何與大多數 IAM 功能搭配使用，請參閱《[AWS IAM 使用者指南》中的與 IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 **
## 的身分型政策 AWS Config
**支援身分型政策：**是
身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。
使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。
### 的身分型政策範例 AWS Config
若要檢視 AWS Config 身分型政策的範例，請參閱 [的身分型政策範例 AWS Config](security_iam_id-based-policy-examples.md)。
## 內的資源型政策 AWS Config
**支援資源型政策：**否
資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。
如需啟用跨帳戶存取權，您可以在其他帳戶內指定所有帳戶或 IAM 實體作為資源型政策的主體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
## 的政策動作 AWS Config
**支援政策動作：**是
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。
若要查看 AWS Config 動作清單，請參閱《*服務授權參考*》中的 [定義的動作 AWS Config](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsconfig.html#your_service-actions-as-permissions)。
中的政策動作在動作之前 AWS Config 使用以下字首：
```
config
```
如需在單一陳述式中指定多個動作，請用逗號分隔。
```
"Action": [
"config:action1",
"config:action2"
]
```
您也可以使用萬用字元 (\$1) 來指定多個動作。例如，若要指定開頭是 `Describe` 文字的所有動作，請包含以下動作：
```
"Action": "config:Describe*"
```
若要檢視 AWS Config 身分型政策的範例，請參閱 [的身分型政策範例 AWS Config](security_iam_id-based-policy-examples.md)。
## 的政策資源 AWS Config
**支援政策資源：**是
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。
```
"Resource": "*"
```
若要查看 AWS Config 資源類型及其 ARNs，請參閱*《服務授權參考*》中的 [定義的資源 AWS Config](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsconfig.html#your_service-resources-for-iam-policies)。若要了解您可以使用哪些動作指定每個資源的 ARN，請參閱 [AWS Config定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsconfig.html#your_service-actions-as-permissions)。
若要檢視 AWS Config 身分型政策的範例，請參閱 [的身分型政策範例 AWS Config](security_iam_id-based-policy-examples.md)。
## 的政策條件索引鍵 AWS Config
**支援服務特定政策條件金鑰：**是
管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。
`Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。
若要查看 AWS Config 條件索引鍵的清單，請參閱《*服務授權參考*》中的 [的條件索引鍵 AWS Config](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsconfig.html#your_service-policy-keys)。若要了解您可以使用條件索引鍵的動作和資源，請參閱 [定義的動作 AWS Config](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsconfig.html#your_service-actions-as-permissions)。
若要檢視 AWS Config 身分型政策的範例，請參閱 [的身分型政策範例 AWS Config](security_iam_id-based-policy-examples.md)。
## 中的 ACLs AWS Config
**支援 ACL：**否
存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。
## ABAC 搭配 AWS Config
**支援 ABAC (政策中的標籤)：**是
屬性型存取控制 (ABAC) 是一種授權策略，依據稱為標籤的屬性來定義許可。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在主體的標籤符合資源上的標籤時允許操作。
如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。
如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。
如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。
如需標記 AWS Config 資源的詳細資訊，請參閱 [標記您的 AWS Config 資源](tagging.md)。
## 搭配 使用臨時登入資料 AWS Config
**支援臨時憑證：**是
臨時登入資料提供 AWS 資源的短期存取權，當您使用聯合或切換角色時，會自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。
## 轉送 的存取工作階段 AWS Config
**支援轉寄存取工作階段 (FAS)：**是
轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，並結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。
## 的服務角色 AWS Config
**支援服務角色：**是
服務角色是服務擔任的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)，可代您執行動作。IAM 管理員可以從 IAM 內建立、修改和刪除服務角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[建立角色以委派許可給 AWS 服務服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)。
**警告**
變更服務角色的許可有可能會讓 AWS Config 功能出現故障。只有在 AWS Config 提供指引時，才能編輯服務角色。
## 的服務連結角色 AWS Config
**支援服務連結角色：**是
服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。
如需建立或管理 AWS Config 服務連結角色的詳細資訊，請參閱 [使用 的服務連結角色 AWS Config](using-service-linked-roles.md)。
如需建立或管理服務連結角色的詳細資訊，請參閱[可搭配 IAM 運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。在資料表中尋找服務，其中包含**服務連結角色**欄中的 `Yes`。選擇**是**連結，以檢視該服務的服務連結角色文件。
# 的身分型政策範例 AWS Config
根據預設，使用者和角色不具備建立或修改 AWS Config 資源的權限。若要授予使用者對其所需資源執行動作的許可，IAM 管理員可以建立 IAM 政策。
如需了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱《*IAM 使用者指南*》中的[建立 IAM 政策 (主控台)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)。
如需 定義的動作和資源類型的詳細資訊 AWS Config，包括每種資源類型的 ARNs 格式，請參閱*《服務授權參考*》中的 [的動作、資源和條件索引鍵 AWS Config](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsconfig.html)。
**Topics**
+ [政策最佳實務](#security_iam_service-with-iam-policy-best-practices)
+ [註冊 AWS 帳戶](#sign-up-for-aws)
+ [建立具有管理存取權的使用者](#create-an-admin)
+ [使用主控台](#security_iam_id-based-policy-examples-console)
+ [允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions)
+ [對 的唯讀存取 AWS Config](#read-only-config-permission)
+ [完整存取 AWS Config](#full-config-permission)
+ [控制對 AWS Config 規則的存取](#supported-resource-level-permissions)
+ [控制彙總資料存取](#resource-level-permission)
## 政策最佳實務
身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 AWS Config 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項：
+ **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。
+ **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。
+ **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 等使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。
+ **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。
如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。
## 註冊 AWS 帳戶
如果您沒有 AWS 帳戶，請完成下列步驟來建立一個。
**註冊 AWS 帳戶**
1. 開啟 [https://portal.aws.amazon.com/billing/signup](https://portal.aws.amazon.com/billing/signup)。
1. 請遵循線上指示進行。
部分註冊程序需接收來電或簡訊，並在電話鍵盤輸入驗證碼。
當您註冊 時 AWS 帳戶，*AWS 帳戶根使用者*會建立 。根使用者有權存取該帳戶中的所有 AWS 服務 和資源。作為安全最佳實務，請將管理存取權指派給使用者，並且僅使用根使用者來執行[需要根使用者存取權的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。
AWS 在註冊程序完成後， 會傳送確認電子郵件給您。您可以隨時登錄 [https://aws.amazon.com/](https://aws.amazon.com/) 並選擇**我的帳戶**，以檢視您目前的帳戶活動並管理帳戶。
## 建立具有管理存取權的使用者
註冊 後 AWS 帳戶，請保護 AWS 帳戶根使用者、啟用 AWS IAM Identity Center和建立管理使用者，以免將根使用者用於日常任務。
**保護您的 AWS 帳戶根使用者**
1. 選擇**根使用者**並輸入 AWS 帳戶 您的電子郵件地址，以帳戶擁有者[AWS 管理主控台](https://console.aws.amazon.com/)身分登入 。在下一頁中，輸入您的密碼。
如需使用根使用者登入的說明，請參閱 *AWS 登入 使用者指南*中的[以根使用者身分登入](https://docs.aws.amazon.com/signin/latest/userguide/console-sign-in-tutorials.html#introduction-to-root-user-sign-in-tutorial)。
1. 若要在您的根使用者帳戶上啟用多重要素驗證 (MFA)。
如需說明，請參閱《*IAM 使用者指南*》中的[為您的 AWS 帳戶 根使用者 （主控台） 啟用虛擬 MFA 裝置](https://docs.aws.amazon.com/IAM/latest/UserGuide/enable-virt-mfa-for-root.html)。
**建立具有管理存取權的使用者**
1. 啟用 IAM Identity Center。
如需指示，請參閱《AWS IAM Identity Center 使用者指南》**中的[啟用 AWS IAM Identity Center](https://docs.aws.amazon.com//singlesignon/latest/userguide/get-set-up-for-idc.html)。
1. 在 IAM Identity Center 中，將管理存取權授予使用者。
如需使用 IAM Identity Center 目錄 做為身分來源的教學課程，請參閱*AWS IAM Identity Center 《 使用者指南*》中的[使用預設值設定使用者存取 IAM Identity Center 目錄](https://docs.aws.amazon.com//singlesignon/latest/userguide/quick-start-default-idc.html)。
**以具有管理存取權的使用者身分登入**
+ 若要使用您的 IAM Identity Center 使用者簽署，請使用建立 IAM Identity Center 使用者時傳送至您電子郵件地址的簽署 URL。
如需使用 IAM Identity Center 使用者登入的說明，請參閱*AWS 登入 《 使用者指南*》中的[登入 AWS 存取入口網站](https://docs.aws.amazon.com/signin/latest/userguide/iam-id-center-sign-in-tutorial.html)。
**指派存取權給其他使用者**
1. 在 IAM Identity Center 中，建立一個許可集來遵循套用最低權限的最佳實務。
如需指示，請參閱《AWS IAM Identity Center 使用者指南》**中的[建立許可集](https://docs.aws.amazon.com//singlesignon/latest/userguide/get-started-create-a-permission-set.html)。
1. 將使用者指派至群組，然後對該群組指派單一登入存取權。
如需指示，請參閱《AWS IAM Identity Center 使用者指南》**中的[新增群組](https://docs.aws.amazon.com//singlesignon/latest/userguide/addgroups.html)。
## 使用 AWS Config 主控台
若要存取 AWS Config 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 AWS Config 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。
對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。
為了確保使用者和角色仍然可以使用 AWS Config 主控台，也請將 AWS Config `AWSConfigUserAccess` AWS 受管政策連接到實體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。
您必須授予使用者與 互動的許可 AWS Config。對於需要完整存取權的使用者 AWS Config，請使用 受[管政策的完整存取權 AWS Config](https://docs.aws.amazon.com/config/latest/developerguide/security_iam_id-based-policy-examples.html#full-config-permission)。
若要提供存取權，請新增權限至您的使用者、群組或角色：
+ 中的使用者和群組 AWS IAM Identity Center：
建立權限合集。請按照《*AWS IAM Identity Center 使用者指南*》中的[建立權限合集](https://docs.aws.amazon.com//singlesignon/latest/userguide/howtocreatepermissionset.html)說明進行操作。
+ 透過身分提供者在 IAM 中管理的使用者：
建立聯合身分的角色。遵循《*IAM 使用者指南*》的[為第三方身分提供者 (聯合) 建立角色](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-idp.html)中的指示。
+ IAM 使用者：
+ 建立您的使用者可擔任的角色。請按照《*IAM 使用者指南*》的[為 IAM 使用者建立角色](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-user.html)中的指示。
+ (不建議) 將政策直接附加至使用者，或將使用者新增至使用者群組。請遵循《*IAM 使用者指南*》的[新增許可到使用者 (主控台)](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) 中的指示。
## 允許使用者檢視他們自己的許可
此範例會示範如何建立政策，允許 IAM 使用者檢視附加到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## 對 的唯讀存取 AWS Config
下列範例顯示 AWS 受管政策，`AWSConfigUserAccess`授予 的唯讀存取權 AWS Config。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"config:Get*",
"config:Describe*",
"config:Deliver*",
"config:List*",
"config:Select*",
"tag:GetResources",
"tag:GetTagKeys",
"cloudtrail:DescribeTrails",
"cloudtrail:GetTrailStatus",
"cloudtrail:LookupEvents"
],
"Resource": "*"
}
]
}
```
------
在政策陳述式中，`Effect` 元素指定允許或拒絕動作。`Action` 元素列出允許使用者執行的特定動作。`Resource` 元素會列出允許使用者執行這些動作 AWS 的資源。對於控制 AWS Config 動作存取的政策， `Resource`元素一律設定為 `*`，這是萬用字元，表示「所有資源」。
`Action` 元素中的值對應至服務所支援的 API。動作前面加上 ，`config:`表示它們參考 AWS Config 動作。您可以在 `Action` 元素中使用 `*` 萬用字元，如下列範例所示：
+ `"Action": ["config:*ConfigurationRecorder"]`
這允許以 "ConfigurationRecorder" (`StartConfigurationRecorder`、) 結尾的所有 AWS Config 動作`StopConfigurationRecorder`。
+ `"Action": ["config:*"]`
這允許所有 AWS Config 動作，但不允許其他 AWS 服務的動作。
+ `"Action": ["*"]`
這允許所有 AWS 動作。此許可適用於擔任您 帳戶 AWS 管理員的使用者。
唯讀政策不會將 `StartConfigurationRecorder`、`StopConfigurationRecorder` 和 `DeleteConfigurationRecorder` 動作的許可授予使用者。使用此政策的使用者無法啟動組態記錄器、停止組態記錄器．或是刪除組態記錄器。如需 AWS Config 動作清單，請參閱 [AWS Config API 參考](https://docs.aws.amazon.com/config/latest/APIReference/)。
## 完整存取 AWS Config
下列範例顯示授予完整存取權的政策 AWS Config。它授予使用者執行所有 AWS Config 動作的許可。這也可以讓使用者管理 Amazon S3 儲存貯體中的檔案，以及管理與使用者相關聯帳戶中的 Amazon SNS 主題。
**重要**
此政策會授予廣泛許可。授予完整存取之前，請考慮從最少的一組許可開始，然後依需要授予其他許可。這比一開始使用太寬鬆的許可，爾後再嘗試限縮許可更為安全。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sns:AddPermission",
"sns:CreateTopic",
"sns:DeleteTopic",
"sns:GetTopicAttributes",
"sns:ListPlatformApplications",
"sns:ListTopics",
"sns:SetTopicAttributes"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"s3:CreateBucket",
"s3:GetBucketAcl",
"s3:GetBucketLocation",
"s3:GetBucketNotification",
"s3:GetBucketPolicy",
"s3:GetBucketRequestPayment",
"s3:GetBucketVersioning",
"s3:ListAllMyBuckets",
"s3:ListBucket",
"s3:ListBucketMultipartUploads",
"s3:ListBucketVersions",
"s3:PutBucketPolicy"
],
"Resource": "arn:aws:s3:::*"
},
{
"Effect": "Allow",
"Action": [
"iam:CreateRole",
"iam:GetRole",
"iam:GetRolePolicy",
"iam:ListRolePolicies",
"iam:ListRoles",
"iam:PutRolePolicy",
"iam:AttachRolePolicy",
"iam:CreatePolicy",
"iam:CreatePolicyVersion",
"iam:DeletePolicyVersion",
"iam:CreateServiceLinkedRole"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:PassedToService": [
"config.amazonaws.com",
"ssm.amazonaws.com"
]
}
}
},
{
"Effect": "Allow",
"Action": [
"cloudtrail:DescribeTrails",
"cloudtrail:GetTrailStatus",
"cloudtrail:LookupEvents"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"config:*",
"tag:Get*"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"ssm:DescribeDocument",
"ssm:GetDocument",
"ssm:DescribeAutomationExecutions",
"ssm:GetAutomationExecution",
"ssm:ListDocuments",
"ssm:StartAutomationExecution"
],
"Resource": "*"
}
]
}
```
------
## AWS Config 規則 API 動作支援的資源層級許可
資源層級許可是指能夠指定允許使用者對哪些資源執行動作。 AWS Config 支援特定 AWS Config 規則 API 動作的資源層級許可。這表示對於某些 AWS Config 規則動作，您可以控制允許使用者使用這些動作的條件。這些條件可以是必須滿足的動作，也可以是允許使用者使用的特定資源。
下表說明目前支援資源層級許可的 AWS Config 規則 API 動作。另說明每個動作支援的資源及其 ARN。指定 ARN 時，您可在路徑中使用 \$1 萬用字元，例如當您無法或不想明確指定資源 ID 時。
**重要**
如果 AWS Config 規則 API 動作未列在此資料表中，則不支援資源層級許可。如果 AWS Config 規則動作不支援資源層級許可，您可以授予使用者使用該動作的許可，但必須為政策陳述式的資源元素指定 \$1。
****
| API 動作 | Resources |
| --- | --- |
| DeleteConfigRule | Config 規則 arn:aws:config:*region:accountID*:config-rule/config-rule-*ID* |
| DeleteEvaluationResults | Config 規則 arn:aws:config:*region:accountID*:config-rule/config-rule-*ID* |
| DescribeComplianceByConfigRule | Config 規則 arn:aws:config:*region:accountID*:config-rule/config-rule-*ID* |
| DescribeConfigRuleEvaluationStatus | Config 規則 arn:aws:config:*region:accountID*:config-rule/config-rule-*ID* |
| GetComplianceDetailsByConfigRule | Config 規則 arn:aws:config:*region:accountID*:config-rule/config-rule-*ID* |
| PutConfigRule | Config 規則 arn:aws:config:*region:accountID*:config-rule/config-rule-*ID* |
| StartConfigRulesEvaluation | Config 規則 arn:aws:config:*region:accountID*:config-rule/config-rule-*ID* |
| PutRemediationConfigurations | 修補組態 arn:aws:config:*region:accountId*:remediation-configuration/*config 規則名稱/修補組態 id* |
| DescribeRemediationConfigurations | 修補組態 arn:aws:config:*region:accountId*:remediation-configuration/*config 規則名稱/修補組態 id* |
| DeleteRemediationConfiguration | 修補組態 arn:aws:config:*region:accountId*:remediation-configuration/*config 規則名稱/修補組態 id* |
| PutRemediationExceptions | 修補組態 arn:aws:config:*region:accountId*:remediation-configuration/*config 規則名稱/修補組態 id* |
| DescribeRemediationExceptions | 修補組態 arn:aws:config:*region:accountId*:remediation-configuration/*config 規則名稱/修補組態 id* |
| DeleteRemediationExceptions | 修補組態 arn:aws:config:*region:accountId*:remediation-configuration/*config 規則名稱/修補組態 id* |
例如，您希望允許特定使用者的讀取存取和拒絕寫入存取特定規則。
在第一個政策中，您可以允許 AWS Config 規則讀取動作，例如指定規則`DescribeConfigRuleEvaluationStatus`上的 。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"config:StartConfigRulesEvaluation",
"config:DescribeComplianceByConfigRule",
"config:DescribeConfigRuleEvaluationStatus",
"config:GetComplianceDetailsByConfigRule"
],
"Resource": [
"arn:aws:config:us-east-1:123456789012:config-rule/config-rule-ID",
"arn:aws:config:us-east-1:123456789012:config-rule/config-rule-ID"
]
}
]
}
```
------
在第二個政策中，您會拒絕特定 AWS Config 規則上的規則寫入動作。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Deny",
"Action": [
"config:PutConfigRule",
"config:DeleteConfigRule",
"config:DeleteEvaluationResults"
],
"Resource": "arn:aws:config:us-east-1:123456789012:config-rule/config-rule-ID"
}
]
}
```
------
透過資源層級許可，您可以允許讀取存取和拒絕寫入存取，以對 AWS Config 規則 API 動作執行特定動作。
## 支援多帳戶多區域資料彙總的資源層級許可
您可以使用資源層級許可，控制使用者彙總多帳戶多區域資料時執行特定動作的能力。下列 AWS Config `Aggregator` APIs支援資源層級許可：
+ [BatchGetAggregateResourceConfig](https://docs.aws.amazon.com/config/latest/APIReference/API_BatchGetAggregateResourceConfig.html)
+ [DeleteConfigurationAggregator](https://docs.aws.amazon.com/config/latest/APIReference/API_DeleteConfigurationAggregator.html)
+ [DescribeAggregateComplianceByConfigRules](https://docs.aws.amazon.com/config/latest/APIReference/API_DescribeAggregateComplianceByConfigRules.html)
+ [DescribeAggregateComplianceByConformancePacks](https://docs.aws.amazon.com/config/latest/APIReference/API_DescribeAggregateComplianceByConformancePacks.html)
+ [DescribeConfigurationAggregatorSourcesStatus](https://docs.aws.amazon.com/config/latest/APIReference/API_DescribeConfigurationAggregatorSourcesStatus.html)
+ [GetAggregateComplianceDetailsByConfigRule](https://docs.aws.amazon.com/config/latest/APIReference/API_GetAggregateComplianceDetailsByConfigRule.html)
+ [GetAggregateConfigRuleComplianceSummary](https://docs.aws.amazon.com/config/latest/APIReference/API_GetAggregateConfigRuleComplianceSummary.html)
+ [GetAggregateConformancePackComplianceSummary](https://docs.aws.amazon.com/config/latest/APIReference/API_GetAggregateConformancePackComplianceSummary.html)
+ [GetAggregateDiscoveredResourceCounts](https://docs.aws.amazon.com/config/latest/APIReference/API_GetAggregateDiscoveredResourceCounts.html)
+ [GetAggregateResourceConfig](https://docs.aws.amazon.com/config/latest/APIReference/API_GetAggregateResourceConfig.html)
+ [ListAggregateDiscoveredResources](https://docs.aws.amazon.com/config/latest/APIReference/API_ListAggregateDiscoveredResources.html)
+ [PutConfigurationAggregator](https://docs.aws.amazon.com/config/latest/APIReference/API_PutConfigurationAggregator.html)
+ [SelectAggregateResourceConfig](https://docs.aws.amazon.com/config/latest/APIReference/API_SelectAggregateResourceConfig.html)
例如，您可以建立兩個彙總工具 `AccessibleAggregator` 和 `InAccessibleAggregator`，然後連接允許存取 `AccessibleAggregator` 但拒絕存取 `InAccessibleAggregator` 的 IAM 政策，藉以限制特定使用者存取資源資料。
**AccessibleAggregator 的 IAM 政策**
在此政策中，您允許存取您所指定之 AWS Config Amazon Resource Name (ARN) 支援的彙總工具動作。在此範例中，ARN AWS Config 為 `arn:aws:config:ap-northeast-1:AccountID:config-aggregator/config-aggregator-mocpsqhs`。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ConfigAllow",
"Effect": "Allow",
"Action": [
"config:BatchGetAggregateResourceConfig",
"config:DeleteConfigurationAggregator",
"config:DescribeAggregateComplianceByConfigRules",
"config:DescribeAggregateComplianceByConformancePacks",
"config:DescribeConfigurationAggregatorSourcesStatus",
"config:GetAggregateComplianceDetailsByConfigRule",
"config:GetAggregateConfigRuleComplianceSummary",
"config:GetAggregateConformancePackComplianceSummary",
"config:GetAggregateDiscoveredResourceCounts",
"config:GetAggregateResourceConfig",
"config:ListAggregateDiscoveredResources",
"config:PutConfigurationAggregator",
"config:SelectAggregateResourceConfig"
],
"Resource": "arn:aws:config:ap-northeast-1:111122223333:config-aggregator/config-aggregator-mocpsqhs"
}
]
}
```
------
**InAccessibleAggregator 的 IAM 政策**
在此政策中，您拒絕存取您所指定之 AWS Config ARN 支援的彙總工具動作。在此範例中，ARN AWS Config 為 `arn:aws:config:ap-northeast-1:AccountID:config-aggregator/config-aggregator-pokxzldx`。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ConfigDeny",
"Effect": "Deny",
"Action": [
"config:BatchGetAggregateResourceConfig",
"config:DeleteConfigurationAggregator",
"config:DescribeAggregateComplianceByConfigRules",
"config:DescribeAggregateComplianceByConformancePacks",
"config:DescribeConfigurationAggregatorSourcesStatus",
"config:GetAggregateComplianceDetailsByConfigRule",
"config:GetAggregateConfigRuleComplianceSummary",
"config:GetAggregateConformancePackComplianceSummary",
"config:GetAggregateDiscoveredResourceCounts",
"config:GetAggregateResourceConfig",
"config:ListAggregateDiscoveredResources",
"config:PutConfigurationAggregator",
"config:SelectAggregateResourceConfig"
],
"Resource": "arn:aws:config:ap-northeast-1:111122223333:config-aggregator/config-aggregator-pokxzldx"
}
]
}
```
------
如果開發人員群組的使用者嘗試在您指定的 AWS Config ARN 中執行前述任一動作，則該使用者會收到拒絕存取例外狀況。
**檢查使用者存取許可**
請執行下列 AWS CLI 命令，顯示已建立的彙總工具：
```
aws configservice describe-configuration-aggregators
```
命令順利完成後，您將可看到與您帳戶相關聯之所有彙總工具的詳細資訊。此範例中的彙總工具為 `AccessibleAggregator` 和 `InAccessibleAggregator`：
```
{
"ConfigurationAggregators": [
{
"ConfigurationAggregatorArn": "arn:aws:config:ap-northeast-1:AccountID:config-aggregator/config-aggregator-mocpsqhs",
"CreationTime": 1517942461.442,
"ConfigurationAggregatorName": "AccessibleAggregator",
"AccountAggregationSources": [
{
"AllAwsRegions": true,
"AccountIds": [
"AccountID1",
"AccountID2",
"AccountID3"
]
}
],
"LastUpdatedTime": 1517942461.455
},
{
"ConfigurationAggregatorArn": "arn:aws:config:ap-northeast-1:AccountID:config-aggregator/config-aggregator-pokxzldx",
"CreationTime": 1517942461.442,
"ConfigurationAggregatorName": "InAccessibleAggregator",
"AccountAggregationSources": [
{
"AllAwsRegions": true,
"AccountIds": [
"AccountID1",
"AccountID2",
"AccountID3"
]
}
],
"LastUpdatedTime": 1517942461.455
}
]
}
```
**注意**
針對 `account-aggregation-sources`，請輸入您希望彙整資料的 AWS 帳戶 ID 逗點分隔清單。以方括弧包圍帳戶 ID，並確認逸出雙引號 (例如，`"[{\"AccountIds\": [\"AccountID1\",\"AccountID2\",\"AccountID3\"],\"AllAwsRegions\": true}]"`)。
將以下 IAM 政策連接至 `InAccessibleAggregator` 的拒絕存取，或您想要的彙總工具拒絕存取。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ConfigDeny",
"Effect": "Deny",
"Action": [
"config:BatchGetAggregateResourceConfig",
"config:DeleteConfigurationAggregator",
"config:DescribeAggregateComplianceByConfigRules",
"config:DescribeAggregateComplianceByConformancePacks",
"config:DescribeConfigurationAggregatorSourcesStatus",
"config:GetAggregateComplianceDetailsByConfigRule",
"config:GetAggregateConfigRuleComplianceSummary",
"config:GetAggregateConformancePackComplianceSummary",
"config:GetAggregateDiscoveredResourceCounts",
"config:GetAggregateResourceConfig",
"config:ListAggregateDiscoveredResources",
"config:PutConfigurationAggregator",
"config:SelectAggregateResourceConfig"
],
"Resource": "arn:aws:config:ap-northeast-1:111122223333:config-aggregator/config-aggregator-pokxzldx"
}
]
}
```
------
接著，您可以確認 IAM 政策可正常執行特定彙總工具規則的限制存取：
```
aws configservice get-aggregate-compliance-details-by-config-rule --configuration-aggregator-name InAccessibleAggregator --config-rule-name rule name --account-id AccountID --aws-region AwsRegion
```
此命令應會傳回拒絕存取例外狀況：
```
An error occurred (AccessDeniedException) when calling the GetAggregateComplianceDetailsByConfigRule operation: User: arn:aws:iam::AccountID:user/ is not
authorized to perform: config:GetAggregateComplianceDetailsByConfigRule on resource: arn:aws:config:AwsRegion-1:AccountID:config-aggregator/config-aggregator-pokxzldx
```
# AWS 的 受管政策 AWS Config
AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。
請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。
您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有主體身分 （使用者、群組和角色）。當新的 AWS 服務 啟動或新的 API 操作可用於現有服務時， AWS 最有可能更新 AWS 受管政策。
如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。
## AWS 受管政策： AWSConfigServiceRolePolicy
AWS Config 使用名為 的服務連結角色**AWSServiceRoleForConfig**，代表您呼叫其他 AWS 服務。當您使用 AWS 管理主控台 進行設定時 AWS Config， AWS Config 如果您選擇使用 SLR 而非您自己的 AWS Identity and Access Management (IAM) 服務角色，則 會自動建立此 AWS Config SLR。
**AWSServiceRoleForConfig** SLR 包含受管政策 `AWSConfigServiceRolePolicy`。此受管政策包含 AWS Config 資源的唯讀和唯讀許可，以及 AWS Config 支援之其他服務中資源的唯讀許可。該政策提供全面的存取，以監控和記錄 AWS 基礎設施中的組態變更，包括超過 100 種 AWS 服務的許可，例如運算、儲存、聯網、安全性、分析和機器學習服務。
此政策包含下列服務類別的許可：
+ `access-analyzer` – 允許主體分析存取模式並擷取安全調查結果。
+ `account` – 允許主體擷取帳戶聯絡資訊。
+ `acm` 和 `acm-pca` – 允許主體管理 SSL/TLS 憑證和私有憑證授權單位。
+ `airflow` – 允許主體監控受管 Apache Airflow 環境。
+ `amplify` 和 `amplifyuibuilder` – 允許主體監控 Web 應用程式和 UI 元件。
+ `aoss` – 允許主體監控 OpenSearch Serverless 集合和安全性組態。
+ `app-integrations` – 允許主體監控應用程式整合組態。
+ `appconfig` – 允許主體監控應用程式組態部署。
+ `appflow` – 允許主體監控應用程式之間的資料流程組態。
+ `application-autoscaling` 和 `application-signals` – 允許主體監控自動擴展政策和應用程式效能指標。
+ `appmesh` – 允許主體監控服務網格組態。
+ `apprunner` – 允許主體監控容器化 Web 應用程式和服務。
+ `appstream` – 允許主體監控應用程式串流組態。
+ `appsync` – 允許主體監控 GraphQL API 組態。
+ `aps` – 允許主體監控 Prometheus 監控組態。
+ `apptest` – 允許主體監控應用程式測試組態。
+ `arc-zonal-shift` – 允許主體監控區域轉移組態的可用性。
+ `athena` – 允許主體監控查詢引擎組態和資料目錄。
+ `auditmanager` – 允許主體監控稽核和合規評估。
+ `autoscaling` 和 `autoscaling-plans` – 允許主體監控自動擴展群組和擴展計劃。
+ `b2bi` – 允許主體監控business-to-business整合組態。
+ `backup` 和 `backup-gateway` – 允許主體監控備份政策和閘道組態。
+ `batch` – 允許主體監控批次運算環境和任務佇列。
+ `bcm-data-exports` – 允許主體監控帳單和成本管理資料匯出。
+ `bedrock` 和 `bedrock-agentcore` – 允許主體監控基礎模型和 AI 代理器組態。
+ `billingconductor` – 允許主體監控帳單群組組態。
+ `budgets` – 允許主體監控預算組態和動作。
+ `cassandra` – 允許主體查詢受管 Cassandra 資料庫組態。
+ `ce` – 允許主體監控成本和用量報告組態。
+ `cleanrooms` 和 `cleanrooms-ml` – 允許主體監控資料協作和機器學習組態。
+ `cloud9` – 允許主體監控雲端開發環境組態。
+ `cloudformation` – 允許主體將基礎設施監控為程式碼堆疊組態。
+ `cloudfront` – 允許主體監控內容交付網路組態。
+ `cloudtrail` – 允許主體監控 API 記錄和稽核線索組態。
+ `cloudwatch` – 允許主體監控指標、警示和儀表板組態。
+ `codeartifact` – 允許主體監控軟體套件儲存庫組態。
+ `codebuild` – 允許主體監控建置專案組態。
+ `codecommit` – 允許主體監控原始程式碼儲存庫組態。
+ `codeconnections` – 允許主體監控第三方來源連線。
+ `codedeploy` – 允許主體監控應用程式部署組態。
+ `codeguru-profiler` 和 `codeguru-reviewer` – 允許主體監控程式碼分析和分析組態。
+ `codepipeline` – 允許主體監控持續整合和部署管道組態。
+ `codestar-connections` – 允許主體監控開發人員工具連線。
+ `cognito-identity` 和 `cognito-idp` – 允許主體監控身分和使用者集區組態。
+ `comprehend` – 允許主體監控自然語言處理組態。
+ `config` – 允許主體管理組態記錄和合規監控。
+ `connect` – 允許主體監控聯絡中心組態。
如需支援資源類型的詳細資訊，請參閱 [支援的資源類型 AWS Config](resource-config-reference.md)和 [使用 的服務連結角色 AWS Config](using-service-linked-roles.md)。
若要檢視政策的詳細資訊，包括最新版本的 JSON 政策文件，請參閱《 *AWS 受管政策參考指南*》中的 [AWSConfigServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSConfigServiceRolePolicy.html)。
**建議：使用服務連結角色**
建議您使用服務連結角色，除非您有特定的使用案例。服務連結角色會新增所有必要的許可 AWS Config ，讓 如預期般執行。有些功能，例如服務連結組態記錄器，要求您使用服務連結角色。
## AWS 受管政策： AWS\$1ConfigRole
若要記錄 AWS 資源組態， AWS Config 需要 IAM 許可才能取得資源的組態詳細資訊。如果想要為 AWS Config建立 IAM 角色，您可以使用受管政策 `AWS_ConfigRole` 並將其連接到 IAM 角色。
每次 AWS Config 新增 AWS 資源類型的支援時，都會更新此 IAM 政策。這表示只要 **AWS\$1ConfigRole** 角色已連接此受管政策， AWS Config 就會繼續擁有記錄支援資源類型組態資料所需的許可。此政策提供全方位存取，以監控和記錄 AWS 基礎設施中的組態變更，包括超過 100 種 AWS 服務的許可，例如運算、儲存、聯網、安全性、分析和機器學習服務。如需詳細資訊，請參閱[支援的資源類型 AWS Config](resource-config-reference.md)及[指派給 的 IAM 角色許可 AWS Config](iamrole-permissions.md)。
若要檢視政策的詳細資訊，包括最新版本的 JSON 政策文件，請參閱《 *AWS 受管政策參考指南*》中的 [AWS\$1ConfigRole](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWS_ConfigRole.html)。
## AWS 受管政策： AWSConfigUserAccess
此 IAM 政策提供使用 的存取權 AWS Config，包括依資源上的標籤搜尋和讀取所有標籤。這不提供設定 的許可 AWS Config，這需要管理權限。
檢視政策：[AWSConfigUserAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSConfigUserAccess.html)。
## AWS 受管政策： ConfigConformsServiceRolePolicy
若要部署和管理一致性套件， AWS Config 需要其他 AWS 服務的 IAM 許可和特定許可。這些可讓您部署和管理具有完整功能的一致性套件，並在每次為一致性套件 AWS Config 新增新功能時更新。如需一致性套件的詳細資訊，請參閱《[一致性套件](https://docs.aws.amazon.com/config/latest/developerguide/conformance-packs.html)》。
檢視政策：[ConfigConformsServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/ConfigConformsServiceRolePolicy.html)。
## AWS 受管政策： AWSConfigRulesExecutionRole
若要部署 AWS 自訂 Lambda 規則， AWS Config 需要其他 AWS 服務的 IAM 許可和特定許可。這些允許 AWS Lambda 函數存取 AWS Config API 和定期 AWS Config 交付至 Amazon S3 的組態快照。評估 AWS 自訂 Lambda 規則組態變更的函數需要此存取權，而且每次 AWS Config 新增功能時都會更新。如需 AWS 自訂 Lambda 規則的詳細資訊，請參閱[建立 AWS Config 自訂 Lambda 規則](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config_develop-rules_lambda-functions.html)。如需組態快照的詳細資訊，請參閱《[概念 \$1 組態快照](https://docs.aws.amazon.com/config/latest/developerguide/config-concepts.html#config-snapshot)》。如需交付組態快照的詳細資訊，請參閱《[管理交付通道](https://docs.aws.amazon.com/config/latest/developerguide/manage-delivery-channel.html)》。
檢視政策：[AWSConfigRulesExecutionRole](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSConfigRulesExecutionRole.html)。
## AWS 受管政策： AWSConfigMultiAccountSetupPolicy
若要在組織中跨成員帳戶集中部署、更新和刪除 AWS Config 規則和一致性套件 AWS Organizations， AWS Config 需要 IAM 許可和其他 AWS 服務的特定許可。每次 AWS Config 新增多帳戶設定新功能時，都會更新此受管政策。如需詳細資訊，請參閱[管理組織中所有帳戶的 AWS Config 規則](https://docs.aws.amazon.com/config/latest/developerguide/config-rule-multi-account-deployment.html)，以及[管理組織中所有帳戶的一致性套件](https://docs.aws.amazon.com/config/latest/developerguide/conformance-pack-organization-apis.html)。
檢視政策：[AWSConfigMultiAccountSetupPolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSConfigMultiAccountSetupPolicy.html)。
## AWS 受管政策： AWSConfigRoleForOrganizations
若要允許 AWS Config 呼叫唯讀 AWS Organizations APIs， AWS Config 需要其他 AWS 服務的 IAM 許可和特定許可。每次 AWS Config 新增多帳戶設定新功能時，都會更新此受管政策。如需詳細資訊，請參閱[管理組織中所有帳戶的 AWS Config 規則](https://docs.aws.amazon.com/config/latest/developerguide/config-rule-multi-account-deployment.html)和[管理組織中所有帳戶的一致性套件](https://docs.aws.amazon.com/config/latest/developerguide/conformance-pack-organization-apis.html)。
檢視政策：[AWSConfigRoleForOrganizations](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSConfigRoleForOrganizations.html)。
## AWS 受管政策： AWSConfigRemediationServiceRolePolicy
若要允許 AWS Config 代表您修復`NON_COMPLIANT`資源， AWS Config 需要 IAM 許可和其他 AWS 服務的特定許可。每次為修復 AWS Config 新增新功能時，都會更新此受管政策。如需修復的詳細資訊，請參閱[使用 AWS Config 規則修復不合規資源](https://docs.aws.amazon.com/config/latest/developerguide/remediation.html)。如需啟動可能 AWS Config 評估結果之條件的詳細資訊，請參閱[概念 \$1 AWS Config 規則](https://docs.aws.amazon.com/config/latest/developerguide/config-concepts.html#aws-config-rules)。
檢視政策：[AWSConfigRemediationServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSConfigRemediationServiceRolePolicy.html)。
## AWS Config AWS 受管政策的更新
檢視自此服務開始追蹤這些變更 AWS Config 以來， AWS 受管政策更新的詳細資訊。如需此頁面變更的自動提醒，請訂閱 AWS Config [文件歷史記錄](https://docs.aws.amazon.com/config/latest/developerguide/DocumentHistory.html)頁面上的 RSS 摘要。
| 變更 | 描述 | Date |
| --- | --- | --- |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增的許可： application-autoscaling：DescribeScheduledActions、 appsync：GetApiAssociation、 cloudformation：DescribeStacks、 cloudformation：GetStackPolicy、 cloudformation：GetTemplate、 cloudfront：GetKeyGroup， cloudfront：GetMonitoringSubscription、 cloudfront：ListKeyGroups、 connect：ListEvaluationFormVersions、 cur：DescribeReportDefinitions、 cur：ListTagsForResource、 datazone：GetDomainUnit、 datazone：GetEnvironmentAction、 datazone：GetEnvironmentBlueprintConfiguration、 datazone：GetEnvironmentProfile、 datazone：GetGroupProfile、 datazone：GetSubscriptionTarget、 datazone：GetUserProfile、 datazone：ListDomainUnitsForParent、 datazone：ListEntityOwners、 datazone：ListEnvironmentActions、 datazone：ListEnvironmentBlueprintConfigurations、 datazone：ListEnvironmentProfiles、 datazone：ListPolicyGrants、 datazone：ListProjectMemberships、 datazone：ListSubscriptionTargets、 datazone：SearchGroupProfiles、 datazone：SearchUserProfiles、 docdb-elastic：GetCluster、 docdb-elastic：ListClusters、 docdb-elastic：ListTagsForResource、 ec2：GetRouteServerAssociations、 ec2：GetRouteServerPropagations、 ec2：SearchTransitGatewayRoutes、 fis：ListTagsForResource、 frauddetector：GetListElements、 frauddetector：GetListsMetadata、 guardduty：GetThreatEntitySet、 guardduty：GetTrustedEntitySet、 guardduty：ListThreatEntitySets、 guardduty：ListTrustedEntitySets、 iotfleetwise：GetCampaign、 iotfleetwise：ListCampaigns、 iotsitewise：DescribeComputationModel、 iotsitewise：DescribeDataset、 iotsitewise：ListComputationModels、 iotsitewise：ListDatasets、 iotwireless：GetWirelessDeviceImportTask、 iotwireless：ListWirelessDeviceImportTasks、 kendra：ListDataSources、 log：DescribeQueryDefinitions、 log：GetIntegration、 log：ListIntegrations、 mediaconnect：ListRouterOutputs、 medialive：DescribeMultiplex、 medialive：DescribeSdiSource、 medialive：GetCloudWatchAlarmTemplate、 medialive：GetCloudWatchAlarmTemplateGroup， medialive：GetEventBridgeRuleTemplate、 medialive：GetEventBridgeRuleTemplateGroup、 medialive：ListCloudWatchAlarmTemplateGroups、 medialive：ListCloudWatchAlarmTemplates、 medialive：ListEventBridgeRuleTemplateGroups、 medialive：ListEventBridgeRuleTemplates、 medialive：ListSdiSources、 medialive：ListSignalMaps、 networkmanager：GetConnectAttachment、 networkmanager：GetCoreNetwork、 networkmanager：GetCoreNetworkPolicy、 networkmanager：GetDirectConnectGatewayAttachment、 networkmanager：GetSiteToSiteVpnAttachment、 networkmanager：ListAttachments、 networkmanager：ListCoreNetworks、 notifications：GetEventRule、 notifications：ListEventRules、 notifications：ListManagedNotificationChannelAssociations、 notifications：ListNotificationHubs、 notifications：ListOrganizationalUnits、 refactor-spaces：GetApplication， refactor-spaces：GetRoute， refactor-spaces：ListRoutes、 resource-explorer-2：GetDefaultView、 route53resolver：GetOutpostResolver、 route53resolver：ListOutpostResolvers、 securityhub：DescribeOrganizationConfiguration、 securityhub：GetAggregatorV2、 securityhub：GetAutomationRuleV2、 securityhub：GetConfigurationPolicyAssociation、 securityhub：GetFindingAggregator、 securityhub：ListAggregatorsV2、 securityhub：ListAutomationRulesV2、 securityhub：ListConfigurationPolicyAssociations、 securityhub：ListFindingAggregators、 sms-voice：DescribeConfigurationSets、 sms-voice：DescribeKeywords、 sms-voice：DescribeProtectConfigurations、 sms-voice：GetProtectConfigurationCountryRuleSet、 sms-voice：ListPoolOriginationIdentities、 sms-voice：ListTagsForResource、 workspaces-web：GetTrustStore、 workspaces-web：GetTrustStoreCertificate、 workspaces-web：GetUserAccessLoggingSettings、 workspaces-web：ListTagsForResource。 | 此政策現在支援其他許可，以記錄多個 AWS 服務的組態變更。 | 2026 年 2 月 17 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增許可： application-autoscaling：DescribeScheduledActions、 appsync：GetApiAssociation、 cloudformation：DescribeStacks、 cloudformation：GetStackPolicy、 cloudformation：GetTemplate、 cloudfront：GetKeyGroup， cloudfront：GetMonitoringSubscription、 cloudfront：ListKeyGroups、 connect：ListEvaluationFormVersions、 cur：DescribeReportDefinitions、 cur：ListTagsForResource、 datazone：GetDomainUnit、 datazone：GetEnvironmentAction、 datazone：GetEnvironmentBlueprintConfiguration、 datazone：GetEnvironmentProfile、 datazone：GetGroupProfile、 datazone：GetSubscriptionTarget、 datazone：GetUserProfile、 datazone：ListDomainUnitsForParent、 datazone：ListEntityOwners、 datazone：ListEnvironmentActions、 datazone：ListEnvironmentBlueprintConfigurations、 datazone：ListEnvironmentProfiles、 datazone：ListPolicyGrants、 datazone：ListProjectMemberships、 datazone：ListSubscriptionTargets、 datazone：SearchGroupProfiles、 datazone：SearchUserProfiles、 docdb-elastic：GetCluster、 docdb-elastic：ListClusters、 docdb-elastic：ListTagsForResource、 ec2：GetRouteServerAssociations、 ec2：GetRouteServerPropagations、 ec2：SearchTransitGatewayRoutes、 fis：ListTagsForResource、 frauddetector：GetListElements、 frauddetector：GetListsMetadata、 guardduty：GetThreatEntitySet、 guardduty：GetTrustedEntitySet、 guardduty：ListThreatEntitySets、 guardduty：ListTrustedEntitySets、 iotfleetwise：GetCampaign、 iotfleetwise：ListCampaigns、 iotsitewise：DescribeComputationModel、 iotsitewise：DescribeDataset、 iotsitewise：ListComputationModels、 iotsitewise：ListDatasets、 iotwireless：GetWirelessDeviceImportTask、 iotwireless：ListWirelessDeviceImportTasks、 kendra：ListDataSources、 log：DescribeQueryDefinitions、 log：GetIntegration、 log：ListIntegrations、 mediaconnect：ListRouterOutputs、 medialive：DescribeMultiplex、 medialive：DescribeSdiSource、 medialive：GetCloudWatchAlarmTemplate、 medialive：GetCloudWatchAlarmTemplateGroup， medialive：GetEventBridgeRuleTemplate、 medialive：GetEventBridgeRuleTemplateGroup、 medialive：ListCloudWatchAlarmTemplateGroups、 medialive：ListCloudWatchAlarmTemplates、 medialive：ListEventBridgeRuleTemplateGroups、 medialive：ListEventBridgeRuleTemplates、 medialive：ListSdiSources、 medialive：ListSignalMaps、 networkmanager：GetConnectAttachment、 networkmanager：GetCoreNetwork、 networkmanager：GetCoreNetworkPolicy、 networkmanager：GetDirectConnectGatewayAttachment、 networkmanager：GetSiteToSiteVpnAttachment、 networkmanager：ListAttachments、 networkmanager：ListCoreNetworks、 notifications：GetEventRule、 notifications：ListEventRules、 notifications：ListManagedNotificationChannelAssociations、 notifications：ListNotificationHubs、 notifications：ListOrganizationalUnits、 refactor-spaces：GetApplication， refactor-spaces：GetRoute， refactor-spaces：ListRoutes、 resource-explorer-2：GetDefaultView、 route53resolver：GetOutpostResolver、 route53resolver：ListOutpostResolvers、 securityhub：DescribeOrganizationConfiguration、 securityhub：GetAggregatorV2、 securityhub：GetAutomationRuleV2、 securityhub：GetConfigurationPolicyAssociation、 securityhub：GetFindingAggregator、 securityhub：ListAggregatorsV2、 securityhub：ListAutomationRulesV2、 securityhub：ListConfigurationPolicyAssociations、 securityhub：ListFindingAggregators、 sms-voice：DescribeConfigurationSets、 sms-voice：DescribeKeywords、 sms-voice：DescribeProtectConfigurations、 sms-voice：GetProtectConfigurationCountryRuleSet、 sms-voice：ListPoolOriginationIdentities、 sms-voice：ListTagsForResource、 workspaces-web：GetTrustStore、 workspaces-web：GetTrustStoreCertificate、 workspaces-web：GetUserAccessLoggingSettings、 workspaces-web：ListTagsForResource。 | 此政策現在支援其他許可，以記錄多個 AWS 服務的組態變更。 | 2026 年 2 月 17 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 更新了 受管政策，具有跨 100 多項 AWS 服務進行 AWS 資源組態記錄的完整許可，包括運算、儲存、聯網、安全性、分析和機器學習服務。 | 此政策現在提供增強型服務許可文件，並支援所有 AWS Config 支援組態記錄 AWS 的服務進行全面監控。 | 2026 年 1 月 27 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 更新了 受管政策，具有跨 100 多項 AWS 服務進行 AWS 資源組態記錄的完整許可，包括運算、儲存、聯網、安全性、分析和機器學習服務。 | 此政策現在提供增強型服務許可文件，並支援所有 AWS Config 支援組態記錄 AWS 的服務進行全面監控。 | 2026 年 1 月 27 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增「s3tables：ListTagsForResource」、「s3tables：GetTableBucketMetricsConfiguration」、「s3tables：GetTableBucketStorageClass」 | 此政策現在支援 S3Tables.. | 2026 年 1 月 9 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增「s3tables：ListTagsForResource」、「s3tables：GetTableBucketMetricsConfiguration」、「s3tables：GetTableBucketStorageClass」 | 此政策現在支援 S3Tables 的其他許可。 | 2026 年 1 月 9 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "lightsail：GetActiveNames" "lightsail：GetOperations" "s3：GetBucketAbac" | 此政策現在支援 Amazon Lightsail和 Amazon Simple Storage Service (Amazon S3) 的其他許可。 | 2025 年 11 月 20 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "lightsail：GetActiveNames" "lightsail：GetOperations" "s3：GetBucketAbac" | 此政策現在支援 Amazon Lightsail和 Amazon Simple Storage Service (Amazon S3) 的其他許可。 | 2025 年 11 月 20 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 更新了 受管政策，具有跨 100 多項 AWS 服務進行 AWS 資源組態記錄的完整許可，包括運算、儲存、聯網、安全性、分析和機器學習服務。 | 此政策現在提供增強型服務許可文件，並支援所有 AWS Config 支援組態記錄 AWS 的服務進行全面監控。 | 2025 年 11 月 11 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 更新了受管政策，具有跨多項服務進行 AWS 資源組態記錄的完整許可 AWS Identity and Access Management，包括 Amazon Elastic Compute Cloud、Amazon Simple Storage Service AWS Lambda、Amazon Relational Database Service 等。 | 此政策現在支援跨所有支援 AWS 的服務進行全面 AWS 資源組態記錄和監控的額外許可。 | 2025 年 11 月 10 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "amplify：GetDomainAssociation" "amplify：ListDomainAssociations" "amplify：ListTagsForResource" "appsync：GetSourceApiAssociation" "appsync：ListSourceApiAssociations" "bedrock：GetFlow" "bedrock：ListAgentCollaborators" "bedrock：ListFlows" "bedrock：ListPrompts" "cloudTrail：GetResourcePolicy" "cloudformation：DescribePublisher" "codeartifact：DescribePackageGroup" "codeartifact：ListAllowedRepositoriesForGroup"""codeartifact：ListPackageGroups""ListActionTypes ListTagsForResource ListWebhooks DescribeTrafficDistributionGroup ListTrafficDistributionGroups ListFarms GetTransitGatewayRouteTablePropagations SearchLocalGatewayRoutes SearchTransitGatewayMulticastGroups GetMatchingWorkflow ListMatchingWorkflows ListAssetModelCompositeModels ListAssetModelProperties ListAssetProperties ListAssociatedAssets ListPublicKeys GetProvisionedConcurrencyConfig GetRuntimeManagementConfig ListFunctionEventInvokeConfigs ListFunctionUrlConfigs DescribePipe ListPipes DescribeRefreshSchedule ListRefreshSchedules ListSnapshotCopyConfigurations GetResourcePolicy GetCrl ListCrls DescribeApp DescribeUserProfile ListApps ListModelPackages ListUserProfiles GetResourcePolicy ListSubscribers ListTagsForResource DescribeServiceAction ListApplications ListAssociatedResources ListProtectionGroups ListTagsForResource GetReplicationSet ListReplicationSets DescribeAssociation DescribePatchBaselines GetDefaultPatchBaseline GetPatchBaseline GetResourcePolicies ListAssociations ListResourceDataSync ListLoggingConfigurations ListCodeInterpreters GetCodeInterpreter ListBrowsers GetBrowser ListAgentRuntimes GetAgentRuntime ListAgentRuntimeEndpoints GetAgentRuntimeEndpoint | 此政策現在支援 AWS Amplify、 AWS AppSync、Amazon Bedrock、 AWS CloudTrail CloudFormation、 AWS CodeArtifact AWS CodePipeline、、Amazon Connect、 AWS Deadline Cloud、Amazon EC2 AWS Entity Resolution、 AWS IoT SiteWise、Amazon IVS、Amazon EventBridge AWS Lambda、Amazon Quick、Amazon Redshift、Amazon Redshift Serverless AWS Identity and Access Management Roles Anywhere、Amazon SageMaker、 AWS Secrets Manager、Amazon Security Lake AWS Service Catalog、 AWS Shield、Amazon EC2 Systems Manager 和 的其他許可 AWS WAFV2。 | 2025 年 10 月 1 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "amplify：GetDomainAssociation" "amplify：ListDomainAssociations" "amplify：ListTagsForResource" "appsync：GetSourceApiAssociation" "appsync：ListSourceApiAssociations" "bedrock：GetFlow" "bedrock：ListAgentCollaborators" "bedrock：ListFlows" "bedrock：ListPrompts" "cloudTrail：GetResourcePolicy" "cloudformation：DescribePublisher" "codeartifact：DescribePackageGroup" "codeartifact：ListAllowedRepositoriesForGroup"""codeartifact：ListPackageGroups""ListActionTypes ListTagsForResource ListWebhooks DescribeTrafficDistributionGroup ListTrafficDistributionGroups ListFarms GetTransitGatewayRouteTablePropagations SearchLocalGatewayRoutes SearchTransitGatewayMulticastGroups GetMatchingWorkflow ListMatchingWorkflows ListAssetModelCompositeModels ListAssetModelProperties ListAssetProperties ListAssociatedAssets ListPublicKeys GetProvisionedConcurrencyConfig GetRuntimeManagementConfig ListFunctionEventInvokeConfigs ListFunctionUrlConfigs DescribePipe ListPipes DescribeRefreshSchedule ListRefreshSchedules ListSnapshotCopyConfigurations GetResourcePolicy GetCrl ListCrls DescribeApp DescribeUserProfile ListApps ListModelPackages ListUserProfiles GetResourcePolicy ListSubscribers ListTagsForResource DescribeServiceAction ListApplications ListAssociatedResources ListProtectionGroups ListTagsForResource GetReplicationSet ListReplicationSets DescribeAssociation DescribePatchBaselines GetDefaultPatchBaseline GetPatchBaseline GetResourcePolicies ListAssociations ListResourceDataSync ListLoggingConfigurations ListCodeInterpreters GetCodeInterpreter ListBrowsers GetBrowser ListAgentRuntimes GetAgentRuntime ListAgentRuntimeEndpoints GetAgentRuntimeEndpoint | 此政策現在支援 AWS Amplify、 AWS AppSync、Amazon Bedrock、 AWS CloudTrail CloudFormation、 AWS CodeArtifact AWS CodePipeline、、Amazon Connect、 AWS Deadline Cloud、Amazon EC2 AWS Entity Resolution、 AWS IoT SiteWise、Amazon IVS、Amazon EventBridge AWS Lambda、Amazon Quick、Amazon Redshift、Amazon Redshift Serverless AWS Identity and Access Management Roles Anywhere、Amazon SageMaker、 AWS Secrets Manager、Amazon Security Lake AWS Service Catalog、 AWS Shield、Amazon EC2 Systems Manager 和 的其他許可 AWS WAFV2。 | 2025 年 10 月 1 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "arc-zonal-shift：GetAutoshiftObserverNotificationStatus"， "bedrock：GetModelInvocationLoggingConfiguration"， "cloudtrail：GetEventConfiguration"， "codeartifact：DescribeDomain"， 「codeartifact：GetDomainPermissionsPolicy」， 「截止日期：GetFleet」， 「截止日期：GetQueueFleetAssociation」， 「截止日期：ListFleets」， 「截止日期：ListQueueFleetAssociations」， 「截止日期：ListTagsForResource」， "dms：DescribeDataMigrations"， "dms：ListMigrationProjects"， 「glue：GetDataCatalogEncryptionSettings」， "kafkaconnect：DescribeCustomPlugin"， "kafkaconnect：DescribeWorkerConfiguration"， "kafkaconnect：ListCustomPlugins"， "kafkaconnect：ListTagsForResource"， "kafkaconnect：ListWorkerConfigurations"， "lakeformation：DescribeLakeFormationIdentityCenterConfiguration"， "medialive：DescribeMultiplexProgram"， "medialive：ListMultiplexPrograms"， "mediapackagev2：GetChannelGroup"， "mediapackagev2：ListChannelGroups"， "rds：DescribeEngineDefaultParameters"， 「rolesanywhere：GetProfile」， 「rolesanywhere：GetTrustAnchor」， 「rolesanywhere：ListProfiles」， 「rolesanywhere：ListTagsForResource」， 「rolesanywhere：ListTrustAnchors」， "s3：GetAccessGrant"， "s3：ListAccessGrants"， "secretsmanager：DescribeSecret"， "securitylake：ListDataLakeExceptions"， "securitylake：ListDataLakes"， "securitylake：ListLogSources"， "servicecatalog：GetAttributeGroup"， 「servicecatalog：ListAttributeGroups」， 「servicecatalog：ListServiceActions」， 「servicecatalog：ListServiceActionsForProvisioningArtifact」， "ses：GetTrafficPolicy"， "ses：ListTagsForResource"， "ses：ListTrafficPolicies"， "xray：GetGroup"， "xray：GetGroups"， "xray：GetSamplingRules"， "xray：ListResourcePolicies"， "xray：ListTagsForResource" | 此政策現在支援 AWS ARC - Zonal Shift、Amazon Bedrock、、 AWS CloudTrail AWS CodeArtifact AWS Deadline Cloud AWS Database Migration Service、 AWS Glue、 AWS Identity and Access Management、、Amazon Managed Streaming for Apache Kafka AWS Lake Formation、Amazon CloudWatch Logs、 AWS Elemental MediaLive AWS Elemental MediaPackage、Amazon Relational Database Service、Amazon Simple Storage Service AWS Secrets Manager、Amazon Security Lake、 AWS Service Catalog、Amazon Simple Email Service 和 的其他許可 AWS X-Ray。 | 2025 年 7 月 28 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 「arc-zonal-shift：GetAutoshiftObserverNotificationStatus」， "bedrock：GetModelInvocationLoggingConfiguration"， "cloudtrail：GetEventConfiguration"， "codeartifact：DescribeDomain"， 「codeartifact：GetDomainPermissionsPolicy」， 「截止日期：GetFleet」， 「截止日期：GetQueueFleetAssociation」， 「截止日期：ListFleets」， 「截止日期：ListQueueFleetAssociations」， 「截止日期：ListTagsForResource」， "dms：DescribeDataMigrations"， "dms：ListMigrationProjects"， 「glue：GetDataCatalogEncryptionSettings」， "iam：ListPolicies"， "kafkaconnect：DescribeCustomPlugin"， "kafkaconnect：DescribeWorkerConfiguration"， "kafkaconnect：ListCustomPlugins"， "kafkaconnect：ListTagsForResource"， "kafkaconnect：ListWorkerConfigurations"， "lakeformation：DescribeLakeFormationIdentityCenterConfiguration"， "logs：DescribeIndexPolicies"， "logs：ListTagsForResource"， "medialive：DescribeMultiplexProgram"， "medialive：ListMultiplexPrograms"， "mediapackagev2：GetChannelGroup"， "mediapackagev2：ListChannelGroups"， "rds：DescribeEngineDefaultParameters"， 「rolesanywhere：GetProfile」， 「rolesanywhere：GetTrustAnchor」， 「rolesanywhere：ListProfiles」， 「rolesanywhere：ListTagsForResource」， 「rolesanywhere：ListTrustAnchors」， "s3：GetAccessGrant"， "s3：ListAccessGrants"， "secretsmanager：DescribeSecret"， "securitylake：ListDataLakeExceptions"， "securitylake：ListDataLakes"， "securitylake：ListLogSources"， "servicecatalog：GetAttributeGroup"， 「servicecatalog：ListAttributeGroups」， 「servicecatalog：ListServiceActions」， 「servicecatalog：ListServiceActionsForProvisioningArtifact」， "ses：GetTrafficPolicy"， "ses：ListTagsForResource"， "ses：ListTrafficPolicies"， "xray：GetGroup"， "xray：GetGroups"， "xray：GetSamplingRules"， "xray：ListResourcePolicies"， "xray：ListTagsForResource"， "arn：aws：apigateway：：/account"， "arn：aws：apigateway：：/usageplans"， "arn：aws：apigateway：：/usageplans/"。 | 此政策現在支援 Amazon Bedrock AWS ARC - Zonal Shift、 AWS CloudTrail、 AWS CodeArtifact AWS Deadline Cloud、 AWS Database Migration Service AWS Glue、 AWS Identity and Access Management、、Amazon Managed Streaming for Apache Kafka AWS Lake Formation、Amazon CloudWatch Logs、 AWS Elemental MediaLive AWS Elemental MediaPackage、Amazon Relational Database Service、Amazon Simple Storage Service AWS Secrets Manager、Amazon Security Lake AWS Service Catalog、Amazon Simple Email Service AWS X-Ray和 Amazon API Gateway 的其他許可。 | 2025 年 7 月 28 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增「backup-gateway：GetHypervisor」， "backup-gateway：ListHypervisors"， "bcm-data-exports：GetExport"， "bcm-data-exports：ListExports"， "bcm-data-exports：ListTagsForResource"， "bedrock：GetAgent"， "bedrock：GetAgentActionGroup"， "bedrock：GetAgentKnowledgeBase"， "bedrock：GetDataSource"， "bedrock：GetFlowAlias"， "bedrock：GetFlowVersion"， "bedrock：ListAgentActionGroups"， "bedrock：ListAgentKnowledgeBases"， "bedrock：ListDataSources"， "bedrock：ListFlowAliases"， "bedrock：ListFlowVersions"， "cloudformation：BatchDescribeTypeConfigurations"， "cloudformation：DescribeStackInstance"， "cloudformation：DescribeStackSet"， "cloudformation：ListStackInstances"， "cloudformation：ListStackSets"， "cloudfront：GetPublicKey"， "cloudfront：GetRealtimeLogConfig"， "cloudfront：ListPublicKeys"， "cloudfront：ListRealtimeLogConfigs"， "entityresolution：GetIdMappingWorkflow"， "entityresolution：GetSchemaMapping"， "entityresolution：ListIdMappingWorkflows"， "entityresolution：ListSchemaMappings"， "entityresolution：ListTagsForResource"， "iotdeviceadvisor：GetSuiteDefinition"， "iotdeviceadvisor：ListSuiteDefinitions"， "lambda：GetEventSourceMapping"， "lambda：ListEventSourceMappings"， "mediapackagev2：GetChannel"， "mediapackagev2：ListChannels"， 「networkmanager：GetTransitGatewayPeering」， 「networkmanager：ListPeerings」， 「pca-connector-ad：GetDirectoryRegistration」， 「pca-connector-ad：ListDirectoryRegistrations」， "pca-connector-ad：ListTagsForResource"， "rds：DescribeDBShardGroups"， "rds：DescribeIntegrations"， "redshift：DescribeIntegrations"， "s3tables：GetTableBucket"， "s3tables：GetTableBucketEncryption"， "s3tables：GetTableBucketMaintenanceConfiguration"， "s3tables：ListTableBuckets"， "ssm-quicksetup：GetConfigurationManager"， 「ssm-quicksetup：ListConfigurationManagers」 | 此政策現在支援 AWS Backup gateway、 AWS 帳單與成本管理、Amazon Bedrock、 AWS CloudFormation、Amazon CloudFront、 AWS Entity Resolution AWS IoT Core Device Advisor、 AWS Lambda AWS Network Manager、 AWS 私有憑證授權單位、Amazon Relational Database Service、Amazon Redshift、Amazon S3 Tables、 的其他許可 AWS Systems Manager 快速設定。 | 2025 年 6 月 18 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增「backup-gateway：GetHypervisor」， "backup-gateway：ListHypervisors"， "bcm-data-exports：GetExport"， "bcm-data-exports：ListExports"， "bcm-data-exports：ListTagsForResource"， "bedrock：GetAgent"， "bedrock：GetAgentActionGroup"， "bedrock：GetAgentKnowledgeBase"， "bedrock：GetDataSource"， "bedrock：GetFlowAlias"， "bedrock：GetFlowVersion"， "bedrock：ListAgentActionGroups"， "bedrock：ListAgentKnowledgeBases"， "bedrock：ListDataSources"， "bedrock：ListFlowAliases"， "bedrock：ListFlowVersions"， "cloudformation：BatchDescribeTypeConfigurations"， "cloudformation：DescribeStackInstance"， "cloudformation：DescribeStackSet"， "cloudformation：ListStackInstances"， "cloudformation：ListStackSets"， "cloudfront：GetPublicKey"， "cloudfront：GetRealtimeLogConfig"， "cloudfront：ListPublicKeys"， "cloudfront：ListRealtimeLogConfigs"， "entityresolution：GetIdMappingWorkflow"， "entityresolution：GetSchemaMapping"， "entityresolution：ListIdMappingWorkflows"， "entityresolution：ListSchemaMappings"， "entityresolution：ListTagsForResource"， "iotdeviceadvisor：GetSuiteDefinition"， "iotdeviceadvisor：ListSuiteDefinitions"， "lambda：GetEventSourceMapping"， "lambda：ListEventSourceMappings"， 「networkmanager：GetTransitGatewayPeering」， 「networkmanager：ListPeerings」， 「pca-connector-ad：GetDirectoryRegistration」， 「pca-connector-ad：ListDirectoryRegistrations」， "pca-connector-ad：ListTagsForResource"， "rds：DescribeDBShardGroups"， "rds：DescribeIntegrations"， "redshift：DescribeIntegrations"， "s3tables：GetTableBucket"， "s3tables：GetTableBucketEncryption"， "s3tables：GetTableBucketMaintenanceConfiguration"， "s3tables：ListTableBuckets"， "ssm-quicksetup：GetConfigurationManager"， 「ssm-quicksetup：ListConfigurationManagers」 | 此政策現在支援 AWS Backup gateway、 AWS 帳單與成本管理、Amazon Bedrock、 AWS CloudFormation、Amazon CloudFront、 AWS Entity Resolution AWS IoT Core Device Advisor、 AWS Lambda AWS Network Manager、 AWS 私有憑證授權單位、Amazon Relational Database Service、Amazon Redshift、Amazon S3 Tables 的其他許可 AWS Systems Manager 快速設定。 | 2025 年 6 月 18 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "bedrock:GetGuardrail", "bedrock:GetInferenceProfile", "bedrock:GetKnowledgeBase", "bedrock:ListGuardrails", "bedrock:ListInferenceProfiles", "bedrock:ListKnowledgeBases", "bedrock:ListTagsForResource" | 此政策現在支援 Amazon Bedrock 的其他許可。 | 2025 年 5 月 27 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "bedrock:GetGuardrail", "bedrock:GetInferenceProfile", "bedrock:GetKnowledgeBase", "bedrock:ListGuardrails", "bedrock:ListInferenceProfiles", "bedrock:ListKnowledgeBases", "bedrock:ListTagsForResource" | 此政策現在支援 Amazon Bedrock 的其他許可。 | 2025 年 5 月 27 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "b2bi:GetPartnership", "b2bi:GetProfile", "b2bi:ListPartnerships", "b2bi:ListProfiles", "bedrock:ListAgents", "cleanrooms:GetConfiguredTable", "cleanrooms:GetConfiguredTableAnalysisRule", "cleanrooms:GetMembership", "cleanrooms:GetPrivacyBudgetTemplate", "cleanrooms:ListConfiguredTables", "cleanrooms:ListMemberships", "cleanrooms:ListPrivacyBudgetTemplates", "codeconnections:GetConnection", "codeconnections:ListConnections", "codeconnections:ListTagsForResource", "directconnect:DescribeConnections", "dms:DescribeReplicationConfigs", "logs:DescribeAccountPolicies", "logs:DescribeResourcePolicies", "macie2:ListAutomatedDiscoveryAccounts", "managedblockchain:GetAccessor", "managedblockchain:ListAccessors", "qbusiness:GetApplication", "qbusiness:ListApplications", "qbusiness:ListTagsForResource", "route53profiles:GetProfile", "route53profiles:GetProfileAssociation", "route53profiles:ListProfileAssociations", "route53profiles:ListProfiles", "route53profiles:ListTagsForResource", "s3:GetAccessGrantsInstance", "s3:GetAccessGrantsLocation", "s3:ListAccessGrantsInstances", "s3:ListAccessGrantsLocations", "sagemaker:DescribeCluster", "sagemaker:DescribeMlflowTrackingServer", "sagemaker:DescribeStudioLifecycleConfig", "sagemaker:ListClusters", "sagemaker:ListMlflowTrackingServers", "sagemaker:ListStudioLifecycleConfigs", "securityhub:DescribeStandardsControls", "securityhub:GetEnabledStandards", "ssm-contacts:GetContact", "ssm-contacts:GetContactChannel", "ssm-contacts:ListContactChannels", "ssm-contacts:ListContacts", "ssm-incidents:GetResponsePlan", "ssm-incidents:ListResponsePlans", "ssm-incidents:ListTagsForResource", "ssm:DescribeInstanceInformation" | 此政策現在支援 AWS B2B 資料交換、Amazon Bedrock、 AWS Clean Rooms、 AWS CodeConnections AWS Direct Connect、 AWS Database Migration Service (AWS DMS)、Amazon CloudWatch Logs、Amazon Macie、Amazon Managed Blockchain、Amazon Q Business、Route 53 Profiles、Amazon Simple Storage Service (Amazon S3) AWS Security Hub CSPM、Amazon SageMaker AI AWS Systems Manager Incident Manager AWS Systems Manager Incident Manager 以及 Contacts 和 的其他許可 AWS Systems Manager。 | 2025 年 4 月 8 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "b2bi:GetPartnership", "b2bi:GetProfile", "b2bi:ListPartnerships", "b2bi:ListProfiles", "bedrock:ListAgents", "cleanrooms:GetConfiguredTable", "cleanrooms:GetConfiguredTableAnalysisRule", "cleanrooms:GetMembership", "cleanrooms:GetPrivacyBudgetTemplate", "cleanrooms:ListConfiguredTables", "cleanrooms:ListMemberships", "cleanrooms:ListPrivacyBudgetTemplates", "codeconnections:GetConnection", "codeconnections:ListConnections", "codeconnections:ListTagsForResource", "directconnect:DescribeConnections", "dms:DescribeReplicationConfigs", "logs:DescribeAccountPolicies", "logs:DescribeResourcePolicies", "macie2:ListAutomatedDiscoveryAccounts", "managedblockchain:GetAccessor", "managedblockchain:ListAccessors", "qbusiness:GetApplication", "qbusiness:ListApplications", "qbusiness:ListTagsForResource", "route53profiles:GetProfile", "route53profiles:GetProfileAssociation", "route53profiles:ListProfileAssociations", "route53profiles:ListProfiles", "route53profiles:ListTagsForResource", "s3:GetAccessGrantsInstance", "s3:GetAccessGrantsLocation", "s3:ListAccessGrantsInstances", "s3:ListAccessGrantsLocations", "sagemaker:DescribeCluster", "sagemaker:DescribeMlflowTrackingServer", "sagemaker:DescribeStudioLifecycleConfig", "sagemaker:ListClusters", "sagemaker:ListMlflowTrackingServers", "sagemaker:ListStudioLifecycleConfigs", "securityhub:DescribeStandardsControls", "securityhub:GetEnabledStandards", "ssm-contacts:GetContact", "ssm-contacts:GetContactChannel", "ssm-contacts:ListContactChannels", "ssm-contacts:ListContacts", "ssm-incidents:GetResponsePlan", "ssm-incidents:ListResponsePlans", "ssm-incidents:ListTagsForResource", "ssm:DescribeInstanceInformation" | 此政策現在支援 AWS B2B 資料交換、Amazon Bedrock、 AWS Clean Rooms、 AWS CodeConnections AWS Direct Connect、 AWS Database Migration Service (AWS DMS)、Amazon CloudWatch Logs、Amazon Macie、Amazon Managed Blockchain、Amazon Q Business、Route 53 Profiles、Amazon Simple Storage Service (Amazon S3) AWS Security Hub CSPM、Amazon SageMaker AI AWS Systems Manager Incident Manager AWS Systems Manager Incident Manager 以及 Contacts 和 的其他許可 AWS Systems Manager。此政策現在也支援透過包含資源模式「`arn:aws:apigateway:::/domainnames/`」來存取所有 Amazon API Gateway 網域名稱的許可。 | 2025 年 4 月 8 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "ec2:GetAllowedImagesSettings" | 此政策現在支援 Amazon Elastic Compute Cloud (Amazon EC2) 的其他許可。 | 2025 年 3 月 4 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "ec2:GetAllowedImagesSettings" | 此政策現在支援 Amazon Elastic Compute Cloud (Amazon EC2) 的其他許可。 | 2025 年 3 月 4 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "cleanrooms-ml:GetTrainingDataset", "cleanrooms-ml:ListTrainingDatasets", "comprehend:DescribeFlywheel", "comprehend:ListFlywheels", "comprehend:ListTagsForResource", "ec2:GetSnapshotBlockPublicAccessState", "omics:GetAnnotationStore", "omics:GetRunGroup", "omics:GetSequenceStore", "omics:GetVariantStore", "omics:ListAnnotationStores", "omics:ListRunGroups", "omics:ListSequenceStores", "omics:ListTagsForResource", "omics:ListVariantStores", "s3express:GetEncryptionConfiguration", "s3express:GetLifecycleConfiguration", "ses:GetDedicatedIpPool", "ses:GetDedicatedIps", and "ses:ListDedicatedIpPools" | 此政策現在支援 AWS Clean Rooms、Amazon Comprehend、Amazon Elastic Compute Cloud (Amazon EC2) AWS HealthOmics、Amazon Simple Storage Service (Amazon S3) 和 Amazon Simple Email Service (Amazon SES) 的其他許可。 | 2025 年 1 月 16 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "cleanrooms-ml:GetTrainingDataset", "cleanrooms-ml:ListTrainingDatasets", "comprehend:DescribeFlywheel", "comprehend:ListFlywheels", "comprehend:ListTagsForResource", "ec2:GetSnapshotBlockPublicAccessState", "omics:GetAnnotationStore", "omics:GetRunGroup", "omics:GetSequenceStore", "omics:GetVariantStore", "omics:ListAnnotationStores", "omics:ListRunGroups", "omics:ListSequenceStores", "omics:ListTagsForResource", "omics:ListVariantStores", "s3express:GetEncryptionConfiguration", "s3express:GetLifecycleConfiguration", "ses:GetDedicatedIpPool", "ses:GetDedicatedIps", and "ses:ListDedicatedIpPools" | 此政策現在支援 AWS Clean Rooms、Amazon Comprehend、Amazon Elastic Compute Cloud (Amazon EC2) AWS HealthOmics、Amazon Simple Storage Service (Amazon S3) 和 Amazon Simple Email Service (Amazon SES) 的其他許可。 | 2025 年 1 月 16 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "organizations:ListAWSServiceAccessForOrganization" | 此政策現在支援 的其他許可 AWS Organizations。 | 2024 年 12 月 18 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "app-integrations:GetApplication", "app-integrations:ListApplications", "app-integrations:ListTagsForResource", "appconfig:GetExtension", "appconfig:ListExtensions", "cloudtrail:GetInsightSelectors", "connect:DescribeQueue", "connect:DescribeRoutingProfile", "connect:DescribeSecurityProfile", "connect:ListQueueQuickConnects", "connect:ListQueues", "connect:ListRoutingProfileQueues", "connect:ListRoutingProfiles", "connect:ListSecurityProfileApplications", "connect:ListSecurityProfilePermissions", "connect:ListSecurityProfiles", "datazone:GetDomain", "datazone:ListDomains", "devops-guru:ListNotificationChannels", "glue:GetRegistry", "glue:ListRegistries", "identitystore:DescribeGroup", "identitystore:DescribeGroupMembership" "identitystore:ListGroupMemberships", "identitystore:ListGroups", "iot:DescribeThingGroup", "iot:DescribeThingType", "iot:ListThingGroups", "iot:ListThingTypes", "iotfleetwise:GetDecoderManifest", "iotfleetwise:GetFleet", "iotfleetwise:GetModelManifest", "iotfleetwise:GetSignalCatalog", "iotfleetwise:GetVehicle", "iotfleetwise:ListDecoderManifestNetworkInterfaces", "iotfleetwise:ListDecoderManifests", "iotfleetwise:ListDecoderManifestSignals", "iotfleetwise:ListFleets", "iotfleetwise:ListModelManifestNodes", "iotfleetwise:ListModelManifests", "iotfleetwise:ListSignalCatalogNodes", "iotfleetwise:ListSignalCatalogs", "iotfleetwise:ListTagsForResource", "iotfleetwise:ListVehicles", "iotwireless:GetDestination", "iotwireless:GetDeviceProfile", "iotwireless:GetWirelessGateway", "iotwireless:ListDestinations", "iotwireless:ListDeviceProfiles", "iotwireless:ListWirelessGateways", "ivschat:GetLoggingConfiguration", "ivschat:GetRoom" "ivschat:ListLoggingConfigurations", "ivschat:ListRooms", "ivschat:ListTagsForResource", "logs:GetLogAnomalyDetector", "logs:ListLogAnomalyDetectors", "oam:GetSink" "oam:GetSinkPolicy", "oam:ListSinks", "payment-cryptography:GetAlias", "payment-cryptography:GetKey", "payment-cryptography:ListAliases", "payment-cryptography:ListKeys", "payment-cryptography:ListTagsForResource", "rds:DescribeDBProxyTargetGroups", "rds:DescribeDBProxyTargets", "rekognition:DescribeProjects", "s3:GetStorageLensGroup", "s3:ListStorageLensGroups", "s3:ListTagsForResource", "scheduler:GetScheduleGroup", "scheduler:ListScheduleGroups", "scheduler:ListTagsForResource", "ssm:GetServiceSetting", "vpc-lattice:GetAccessLogSubscription", "vpc-lattice:GetService", "vpc-lattice:GetServiceNetwork", "vpc-lattice:GetTargetGroup", "vpc-lattice:ListAccessLogSubscriptions", "vpc-lattice:ListServiceNetworks", "vpc-lattice:ListServices", "vpc-lattice:ListTagsForResource", "vpc-lattice:ListTargetGroups", and "vpc-lattice:ListTargets" | 此政策現在支援 AWS AppConfig、 AWS CloudTrail、Amazon Connect、Amazon DataZone、Amazon DevOps Guru AWS Glue、Identity Store AWS IoT、 AWS IoT FleetWise AWS IoT Wireless、Amazon Interactive Video Service (Amazon IVS)、Amazon CloudWatch Logs、Amazon CloudWatch Observability Access Manager、 AWS Payment Cryptography、Amazon Relational Database Service (Amazon RDS)、Amazon Rekognition、Amazon Simple Storage Service (Amazon S3) AWS Systems Manager、Amazon EventBridge Scheduler 和 Amazon VPC Lattice 的其他許可。 | 2024 年 11 月 7 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "app-integrations:GetApplication", "app-integrations:ListApplications", "app-integrations:ListTagsForResource", "appconfig:GetExtension", "appconfig:ListExtensions", "cloudtrail:GetInsightSelectors", "connect:DescribeQueue", "connect:DescribeRoutingProfile", "connect:DescribeSecurityProfile", "connect:ListQueueQuickConnects", "connect:ListQueues", "connect:ListRoutingProfileQueues", "connect:ListRoutingProfiles", "connect:ListSecurityProfileApplications", "connect:ListSecurityProfilePermissions", "connect:ListSecurityProfiles", "datazone:GetDomain", "datazone:ListDomains", "devops-guru:ListNotificationChannels", "glue:GetRegistry", "glue:ListRegistries", "identitystore:DescribeGroup", "identitystore:DescribeGroupMembership" "identitystore:ListGroupMemberships", "identitystore:ListGroups", "iot:DescribeThingGroup", "iot:DescribeThingType", "iot:ListThingGroups", "iot:ListThingTypes", "iotfleetwise:GetDecoderManifest", "iotfleetwise:GetFleet", "iotfleetwise:GetModelManifest", "iotfleetwise:GetSignalCatalog", "iotfleetwise:GetVehicle", "iotfleetwise:ListDecoderManifestNetworkInterfaces", "iotfleetwise:ListDecoderManifests", "iotfleetwise:ListDecoderManifestSignals", "iotfleetwise:ListFleets", "iotfleetwise:ListModelManifestNodes", "iotfleetwise:ListModelManifests", "iotfleetwise:ListSignalCatalogNodes", "iotfleetwise:ListSignalCatalogs", "iotfleetwise:ListTagsForResource", "iotfleetwise:ListVehicles", "iotwireless:GetDestination", "iotwireless:GetDeviceProfile", "iotwireless:GetWirelessGateway", "iotwireless:ListDestinations", "iotwireless:ListDeviceProfiles", "iotwireless:ListWirelessGateways", "ivschat:GetLoggingConfiguration", "ivschat:GetRoom" "ivschat:ListLoggingConfigurations", "ivschat:ListRooms", "ivschat:ListTagsForResource", "logs:GetLogAnomalyDetector", "logs:ListLogAnomalyDetectors", "oam:GetSink" "oam:GetSinkPolicy", "oam:ListSinks", "payment-cryptography:GetAlias", "payment-cryptography:GetKey", "payment-cryptography:ListAliases", "payment-cryptography:ListKeys", "payment-cryptography:ListTagsForResource", "rds:DescribeDBProxyTargetGroups", "rds:DescribeDBProxyTargets", "rekognition:DescribeProjects", "s3:GetStorageLensGroup", "s3:ListStorageLensGroups", "s3:ListTagsForResource", "scheduler:GetScheduleGroup", "scheduler:ListScheduleGroups", "scheduler:ListTagsForResource", "ssm:GetServiceSetting", "vpc-lattice:GetAccessLogSubscription", "vpc-lattice:GetService", "vpc-lattice:GetServiceNetwork", "vpc-lattice:GetTargetGroup", "vpc-lattice:ListAccessLogSubscriptions", "vpc-lattice:ListServiceNetworks", "vpc-lattice:ListServices", "vpc-lattice:ListTagsForResource", "vpc-lattice:ListTargetGroups", and "vpc-lattice:ListTargets" | 此政策現在支援 AWS AppConfig、 AWS CloudTrail、Amazon Connect、Amazon DataZone、Amazon DevOps Guru AWS Glue、Identity Store AWS IoT、 AWS IoT FleetWise AWS IoT Wireless、Amazon Interactive Video Service (Amazon IVS)、Amazon CloudWatch Logs、Amazon CloudWatch Observability Access Manager、 AWS Payment Cryptography、Amazon Relational Database Service (Amazon RDS)、Amazon Rekognition、Amazon Simple Storage Service (Amazon S3) AWS Systems Manager、Amazon EventBridge Scheduler 和 Amazon VPC Lattice 的其他許可。 | 2024 年 11 月 7 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "aoss:BatchGetCollection," "aoss:BatchGetLifecyclePolicy," "aoss:BatchGetVpcEndpoint," "aoss:GetAccessPolicy," "aoss:GetSecurityConfig," "aoss:GetSecurityPolicy," "aoss:ListAccessPolicies," "aoss:ListCollections," "aoss:ListLifecyclePolicies," "aoss:ListSecurityConfigs," "aoss:ListSecurityPolicies," "aoss:ListVpcEndpoints," "appstream:DescribeAppBlockBuilders," "backup:GetRestoreTestingPlan," "backup:GetRestoreTestingSelection", "backup:ListRestoreTestingPlans," "backup:ListRestoreTestingSelections," "cloudTrail:GetChannel, "cloudTrail:ListChannels," "glue:GetTrigger," "glue:ListTriggers, "imagebuilder:GetLifecyclePolicy," "imagebuilder:ListLifecyclePolicies," "iot:DescribeBillingGroup," "iot:ListBillingGroups," "ivs:GetEncoderConfiguration," "ivs:GetPlaybackRestrictionPolicy," "ivs:GetStage," "ivs:GetStorageConfiguration," "ivs:ListEncoderConfigurations," "ivs:ListPlaybackRestrictionPolicies," "ivs:ListStages," "ivs:ListStorageConfigurations," "mediaconnect:DescribeBridge", "mediaconnect:DescribeGatewa," "mediaconnect:ListBridges," "mediaconnect:ListGateways", "mediatailor:DescribeChannel," "mediatailor:DescribeLiveSource," "mediatailor:DescribeSourceLocation," "mediatailor:DescribeVodSource", "mediatailor:ListChannels," "mediatailor:ListLiveSources", "mediatailor:ListSourceLocations," "mediatailor:ListVodSources," "omics:GetWorkflow," "omics:ListWorkflows," "scheduler:GetSchedule," and "scheduler:ListSchedules" | 此政策現在支援 Amazon OpenSearch Service Severless、Amazon AppStream AWS Backup、 AWS CloudTrail AWS Glue、EC2 Image Builder AWS IoT、Amazon Interactive Video Service (Amazon IVS) AWS Elemental MediaConnect AWS Elemental MediaTailor AWS HealthOmics和 Amazon EventBridge Scheduler 的其他許可。 | 2024 年 9 月 16 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "aoss:BatchGetCollection," "aoss:BatchGetLifecyclePolicy," "aoss:BatchGetVpcEndpoint," "aoss:GetAccessPolicy," "aoss:GetSecurityConfig," "aoss:GetSecurityPolicy," "aoss:ListAccessPolicies," "aoss:ListCollections," "aoss:ListLifecyclePolicies," "aoss:ListSecurityConfigs," "aoss:ListSecurityPolicies," "aoss:ListVpcEndpoints," "appstream:DescribeAppBlockBuilders," "backup:GetRestoreTestingPlan," "backup:GetRestoreTestingSelection", "backup:ListRestoreTestingPlans," "backup:ListRestoreTestingSelections," "cloudTrail:GetChannel, "cloudTrail:ListChannels," "glue:GetTrigger," "glue:ListTriggers, "imagebuilder:GetLifecyclePolicy," "imagebuilder:ListLifecyclePolicies," "iot:DescribeBillingGroup," "iot:ListBillingGroups," "ivs:GetEncoderConfiguration," "ivs:GetPlaybackRestrictionPolicy," "ivs:GetStage," "ivs:GetStorageConfiguration," "ivs:ListEncoderConfigurations," "ivs:ListPlaybackRestrictionPolicies," "ivs:ListStages," "ivs:ListStorageConfigurations," "mediaconnect:DescribeBridge", "mediaconnect:DescribeGatewa," "mediaconnect:ListBridges," "mediaconnect:ListGateways", "mediatailor:DescribeChannel," "mediatailor:DescribeLiveSource," "mediatailor:DescribeSourceLocation," "mediatailor:DescribeVodSource", "mediatailor:ListChannels," "mediatailor:ListLiveSources", "mediatailor:ListSourceLocations," "mediatailor:ListVodSources," "omics:GetWorkflow," "omics:ListWorkflows," "scheduler:GetSchedule," and "scheduler:ListSchedules" | 此政策現在支援 Amazon OpenSearch Service Severless、Amazon AppStream AWS Backup、 AWS CloudTrail AWS Glue、EC2 Image Builder AWS IoT、Amazon Interactive Video Service (Amazon IVS) AWS Elemental MediaConnect AWS Elemental MediaTailor AWS HealthOmics和 Amazon EventBridge Scheduler 的其他許可。 | 2024 年 9 月 16 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "elasticfilesystem:DescribeTags," "redshift:DescribeTags," and "ssm-sap:ListTagsForResource" | 此政策現在支援 Amazon Elastic File System (Amazon EFS)、Amazon Redshift 和 的其他許可 適用於 SAP 的 AWS Systems Manager。 | 2024 年 6 月 17 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "elasticfilesystem:DescribeTags," "redshift:DescribeTags," and "ssm-sap:ListTagsForResource" | 此政策現在支援 Amazon Elastic File System (Amazon EFS)、Amazon Redshift 和 的其他許可 適用於 SAP 的 AWS Systems Manager。 | 2024 年 6 月 17 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "aps:DescribeAlertManagerDefinition," "cloudwatch:DescribeAlarmsForMetric," "cognito-identity:DescribeIdentityPool, "cognito-identity:GetPrincipalTagAttributeMap," "elasticache:DescribeCacheSecurityGroups," "elasticache:DescribeUserGroups," "elasticache:DescribeUsers," "elasticache:DescribeGlobalReplicationGroups," "fsx:DescribeDataRepositoryAssociations," "glue:GetDatabase," "glue:GetDatabases," "iam:ListUsers," "lambda:GetLayerVersion," "lambda:ListLayers," "lambda:ListLayerVersions," "ram:GetPermission," "ram:ListPermissionAssociations," "ram:ListPermissions," "ram:ListPermissionVersions," "redshift-serverless:GetNamespace," "redshift-serverless:GetWorkgroup," "redshift-serverless:ListNamespaces," "redshift-serverless:ListTagsForResource," "redshift-serverless:ListWorkgroups," "sagemaker:DescribeInferenceExperiment," "sagemaker:ListInferenceExperiments," and "sns:GetSMSSandboxAccountStatus" | 此政策現在支援 Amazon Managed Service for Prometheus、Amazon CloudWatch、Amazon Cognito、Amazon ElastiCache、Amazon FSx、 AWS Glue、 AWS Identity and Access Management (IAM) AWS Lambda、、 AWS RAM、Amazon Redshift Serverless、Amazon SageMaker AI 和 Amazon Simple Notification Service (Amazon SNS) 的其他許可。 | 2024 年 2 月 22 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "aps:DescribeAlertManagerDefinition," "cloudwatch:DescribeAlarmsForMetric," "cognito-identity:DescribeIdentityPool, "cognito-identity:GetPrincipalTagAttributeMap," "elasticache:DescribeCacheSecurityGroups," "elasticache:DescribeUserGroups," "elasticache:DescribeUsers," "elasticache:DescribeGlobalReplicationGroups," "fsx:DescribeDataRepositoryAssociations," "glue:GetDatabase," "glue:GetDatabases," "iam:ListUsers," "lambda:GetLayerVersion," "lambda:ListLayers," "lambda:ListLayerVersions," "ram:GetPermission," "ram:ListPermissionAssociations," "ram:ListPermissions," "ram:ListPermissionVersions," "redshift-serverless:GetNamespace," "redshift-serverless:GetWorkgroup," "redshift-serverless:ListNamespaces," "redshift-serverless:ListTagsForResource," "redshift-serverless:ListWorkgroups," "sagemaker:DescribeInferenceExperiment," "sagemaker:ListInferenceExperiments," and "sns:GetSMSSandboxAccountStatus" | 此政策現在支援 Amazon Managed Service for Prometheus、Amazon CloudWatch、Amazon Cognito、Amazon ElastiCache、Amazon FSx、 AWS Glue、 AWS Identity and Access Management (IAM) AWS Lambda、、 AWS RAM、Amazon Redshift Serverless、Amazon SageMaker AI 和 Amazon Simple Notification Service (Amazon SNS) 的其他許可。 | 2024 年 2 月 22 日 |
| [AWSConfigUserAccess](#security-iam-awsmanpol-AWSConfigUserAccess) – AWS Config 開始追蹤此 AWS 受管政策的變更 | 此政策提供使用 的存取權 AWS Config，包括依資源上的標籤搜尋和讀取所有標籤。這不提供設定 的許可 AWS Config，這需要管理權限。 | 2024 年 2 月 22 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "appconfig:GetExtensionAssociation," "appconfig:ListExtensionAssociations," "aps:DescribeLoggingConfiguration," "dms:DescribeReplicationTaskAssessmentRuns," "iam:GetOpenIDConnectProvider," "iam:ListOpenIDConnectProviders," "kafka:DescribeVpcConnection," "kafka:GetClusterPolicy," "kafka:ListVpcConnections," "logs:DescribeMetricFilters," "organizations:ListDelegatedAdministrators," "s3:GetBucketPolicyStatus," "s3express:GetBucketPolicy," and "s3express:ListAllMyDirectoryBuckets" | 此政策現在支援 Amazon Managed Service for Prometheus AWS AppConfig、 AWS Database Migration Service (AWS DMS)、(AWS Identity and Access Management) IAM、Amazon Managed Streaming for Apache Kafka (Amazon MSK) AWS Organizations、Amazon CloudWatch Logs 和 Amazon Simple Storage Service (Amazon S3) 的其他許可。 | 2023 年 12 月 5 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "appconfig:GetExtensionAssociation," "appconfig:ListExtensionAssociations," "aps:DescribeLoggingConfiguration," "dms:DescribeReplicationTaskAssessmentRuns," "iam:GetOpenIDConnectProvider," "iam:ListOpenIDConnectProviders," "kafka:DescribeVpcConnection," "kafka:GetClusterPolicy," "kafka:ListVpcConnections," "logs:DescribeMetricFilters," "organizations:ListDelegatedAdministrators," "s3:GetBucketPolicyStatus," "s3express:GetBucketPolicy," and "s3express:ListAllMyDirectoryBuckets" | 此政策現在支援 Amazon Managed Service for Prometheus AWS AppConfig、 AWS Database Migration Service (AWS DMS)、(AWS Identity and Access Management) IAM、Amazon Managed Streaming for Apache Kafka (Amazon MSK) AWS Organizations、Amazon CloudWatch Logs 和 Amazon Simple Storage Service (Amazon S3) 的其他許可。 | 2023 年 12 月 5 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "backup:DescribeProtectedResource," "cognito-identity:GetIdentityPoolRoles," "cognito-identity:ListIdentityPools," "cognito-identity:ListTagsForResource," "cognito-idp:DescribeIdentityProvider," "cognito-idp:DescribeResourceServer," "cognito-idp:DescribeUserPool," "cognito-idp:DescribeUserPoolClient," "cognito-idp:DescribeUserPoolDomain," "cognito-idp:GetGroup," "cognito-idp:GetUserPoolMfaConfig," "cognito-idp:ListGroups," "cognito-idp:ListIdentityProviders," "cognito-idp:ListResourceServers," "cognito-idp:ListUserPoolClients," "cognito-idp:ListUserPools," "cognito-idp:ListTagsForResource," "connect:DescribeEvaluationForm," "connect:DescribeInstanceStorageConfig," "connect:DescribePrompt," "connect:DescribeRule," "connect:DescribeUser," "connect:GetTaskTemplate," "connect:ListApprovedOrigins," "connect:ListEvaluationForms," "connect:ListInstanceStorageConfigs," "connect:ListIntegrationAssociations," "connect:ListPrompts," "connect:ListRules," "connect:ListSecurityKeys," "connect:ListTagsForResource," "connect:ListTaskTemplates," "connect:ListUsers," "emr-containers:DescribeVirtualCluster," "emr-containers:ListVirtualClusters," "emr-serverless:GetApplication," "emr-serverless:ListApplications," "groundstation:GetDataflowEndpointGroup," "groundstation:ListDataflowEndpointGroups," "m2:GetEnvironment," "m2:ListEnvironments," "m2:ListTagsForResource," "memorydb:DescribeAcls," "memorydb:DescribeClusters," "memorydb:DescribeParameterGroups," "memorydb:DescribeParameters," "memorydb:DescribeSubnetGroups," "organizations:ListRoots," "quicksight:DescribeAccountSubscription," "quicksight:DescribeDataSetRefreshProperties," "rds:DescribeEngineDefaultClusterParameters," "redshift:DescribeEndpointAccess," "redshift:DescribeEndpointAuthorization," "route53:GetChange," "route53:ListCidrBlocks," "route53:ListCidrLocations," "serviceCatalog:DescribePortfolioShares," "transfer:DescribeProfile," and "transfer:ListProfiles" | 此政策現在支援 Amazon Cognito、Amazon Connect、Amazon EMR、 AWS Ground Station AWS Mainframe Modernization、Amazon MemoryDB AWS Organizations、Amazon Quick、Amazon Relational Database Service (Amazon RDS)、Amazon Redshift AWS Service Catalog、Amazon Route 53 和 的其他許可 AWS Transfer Family。 | 2023 年 11 月 17 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "Sid": "AWSConfigServiceRolePolicyStatementID," "Sid": "AWSConfigSLRLogStatementID," "Sid": "AWSConfigSLRLogEventStatementID," and "Sid": "AWSConfigSLRApiGatewayStatementID" | 此政策現在會新增`AWSConfigServiceRolePolicyStatementID`、`AWSConfigSLRLogStatementID`、`AWSConfigSLRLogEventStatementID`和 `AWSConfigSLRApiGatewayStatementID` 的安全性識別碼 (SID)。 | 2023 年 11 月 17 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "backup:DescribeProtectedResource," "cognito-identity:GetIdentityPoolRoles," "cognito-identity:ListIdentityPools," "cognito-identity:ListTagsForResource," "cognito-idp:DescribeIdentityProvider," "cognito-idp:DescribeResourceServer," "cognito-idp:DescribeUserPool," "cognito-idp:DescribeUserPoolClient," "cognito-idp:DescribeUserPoolDomain," "cognito-idp:GetGroup," "cognito-idp:GetUserPoolMfaConfig," "cognito-idp:ListGroups," "cognito-idp:ListIdentityProviders," "cognito-idp:ListResourceServers," "cognito-idp:ListUserPoolClients," "cognito-idp:ListUserPools," "cognito-idp:ListTagsForResource," "connect:DescribeEvaluationForm," "connect:DescribeInstanceStorageConfig," "connect:DescribePrompt," "connect:DescribeRule," "connect:DescribeUser," "connect:GetTaskTemplate," "connect:ListApprovedOrigins," "connect:ListEvaluationForms," "connect:ListInstanceStorageConfigs," "connect:ListIntegrationAssociations," "connect:ListPrompts," "connect:ListRules," "connect:ListSecurityKeys," "connect:ListTagsForResource," "connect:ListTaskTemplates," "connect:ListUsers," "emr-containers:DescribeVirtualCluster," "emr-containers:ListVirtualClusters," "emr-serverless:GetApplication," "emr-serverless:ListApplications," "groundstation:GetDataflowEndpointGroup," "groundstation:ListDataflowEndpointGroups," "m2:GetEnvironment," "m2:ListEnvironments," "m2:ListTagsForResource," "memorydb:DescribeAcls," "memorydb:DescribeClusters," "memorydb:DescribeParameterGroups," "memorydb:DescribeParameters," "memorydb:DescribeSubnetGroups," "organizations:ListRoots," "quicksight:DescribeAccountSubscription," "quicksight:DescribeDataSetRefreshProperties," "rds:DescribeEngineDefaultClusterParameters," "redshift:DescribeEndpointAccess," "redshift:DescribeEndpointAuthorization," "route53:GetChange," "route53:ListCidrBlocks," "route53:ListCidrLocations," "serviceCatalog:DescribePortfolioShares," "transfer:DescribeProfile," and "transfer:ListProfiles" | 此政策現在支援 Amazon Cognito、Amazon Connect、Amazon EMR、 AWS Ground Station AWS Mainframe Modernization、Amazon MemoryDB AWS Organizations、Amazon Quick、Amazon Relational Database Service (Amazon RDS)、Amazon Redshift AWS Service Catalog、Amazon Route 53 和 的其他許可 AWS Transfer Family。 | 2023 年 11 月 17 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "Sid": "AWSConfigServiceRolePolicyStatementID," "Sid": "AWSConfigSLRLogStatementID," "Sid": "AWSConfigSLRLogEventStatementID," and "Sid": "AWSConfigSLRApiGatewayStatementID" | 此政策現在會新增`AWSConfigServiceRolePolicyStatementID`、`AWSConfigSLRLogStatementID`、`AWSConfigSLRLogEventStatementID`和 `AWSConfigSLRApiGatewayStatementID` 的安全性識別碼 (SID)。 | 2023 年 11 月 17 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "acm-pca:GetCertificateAuthorityCertificate," "appmesh:DescribeMesh," "appmesh:ListGatewayRoutes," "connect:DescribeInstance," "connect:DescribeQuickConnect," "connect:ListQuickConnects," "ecs:DescribeCapacityProviders," "evidently:GetSegment," "evidently:ListSegments," "grafana:DescribeWorkspace," "grafana:DescribeWorkspaceAuthentication," "grafana:DescribeWorkspaceConfiguration," "grafana:DescribeWorkspaceConfiguration," "guardduty:GetMemberDetectors," "inspector2:BatchGetAccountStatus," "inspector2:GetDelegatedAdminAccount," "inspector2:ListMembers," "iot:DescribeCACertificate," "iot:ListCACertificates," "iot:ListTagsForResource," "iottwinmaker:GetSyncJob," "iottwinmaker:ListSyncJobs," "kafka:ListTagsForResource," "kafkaconnect:DescribeConnector," "kafkaconnect:ListConnectors," "lambda:GetCodeSigningConfig," "lambda:ListCodeSigningConfigs," "lambda:ListTags," "networkmanager:GetConnectPeer," "organizations:DescribeOrganization," "organizations:ListTargetsForPolicy," "sagemaker:DescribeDataQualityJob," "sagemaker:DescribeModelExplainabilityJob," "sagemaker:ListDataQualityJob," and "sagemaker:ExplainabilityJob" | 此政策現在支援 AWS 私有 CA、 AWS App Mesh、Amazon Connect、Amazon Elastic Container Service (Amazon ECS)、Amazon CloudWatch Evidently、Amazon Managed Grafana、Amazon GuardDuty、Amazon Inspector AWS IoT AWS IoT TwinMaker、Amazon Managed Streaming for Apache Kafka (Amazon MSK) AWS Lambda AWS Network Manager AWS Organizations、、 和 Amazon SageMaker AI 的其他許可。 | 2023 年 10 月 4 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "acm-pca:GetCertificateAuthorityCertificate," "appmesh:DescribeMesh," "appmesh:ListGatewayRoutes," "connect:DescribeInstance," "connect:DescribeQuickConnect," "connect:ListQuickConnects," "ecs:DescribeCapacityProviders," "evidently:GetSegment," "evidently:ListSegments," "grafana:DescribeWorkspace," "grafana:DescribeWorkspaceAuthentication," "grafana:DescribeWorkspaceConfiguration," "grafana:DescribeWorkspaceConfiguration," "guardduty:GetMemberDetectors," "inspector2:BatchGetAccountStatus," "inspector2:GetDelegatedAdminAccount," "inspector2:ListMembers," "iot:DescribeCACertificate," "iot:ListCACertificates," "iot:ListTagsForResource," "iottwinmaker:GetSyncJob," "iottwinmaker:ListSyncJobs," "kafka:ListTagsForResource," "kafkaconnect:DescribeConnector," "kafkaconnect:ListConnectors," "lambda:GetCodeSigningConfig," "lambda:ListCodeSigningConfigs," "lambda:ListTags," "networkmanager:GetConnectPeer," "organizations:DescribeOrganization," "organizations:ListTargetsForPolicy," "sagemaker:DescribeDataQualityJob," "sagemaker:DescribeModelExplainabilityJob," "sagemaker:ListDataQualityJob," and "sagemaker:ExplainabilityJob" | 此政策現在支援 AWS 私有 CA、 AWS App Mesh、Amazon Connect、Amazon Elastic Container Service (Amazon ECS)、Amazon CloudWatch Evidently、Amazon Managed Grafana、Amazon GuardDuty、Amazon Inspector AWS IoT AWS IoT TwinMaker、Amazon Managed Streaming for Apache Kafka (Amazon MSK) AWS Lambda AWS Network Manager AWS Organizations、、 和 Amazon SageMaker AI 的其他許可。 | 2023 年 10 月 4 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 移除 "ssm:GetParameter" | 此政策現在會移除 AWS Systems Manager (Systems Manager) 的許可。 | 2023 年 9 月 6 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "appmesh:DescribeGatewayRoute","appstream:DescribeStacks", "aps:ListTagsForResource", "cloudfront:GetFunction", "cloudfront:GetOriginAccessControl", "cloudfront:ListFunctions", "cloudfront:ListOriginAccessControls", "codeartifact:ListPackages", "codeartifact:ListPackageVersions", "codebuild:BatchGetReportGroups", "codebuild:ListReportGroups", "connect:ListInstanceAttributes", "connect:ListInstances", "glue:GetPartition", "glue:GetPartitions", "guardduty:GetAdministratorAccount", "iam:ListInstanceProfileTags", "inspector2:ListFilters", "iot:DescribeJobTemplate", "iot:DescribeProvisioningTemplate", "iot:ListJobTemplates", "iot:ListProvisioningTemplates", "iottwinmaker:GetComponentType", "iottwinmaker:ListComponentTypes", "iotwireless:GetFuotaTask", "iotwireless:GetMulticastGroup", "iotwireless:ListFuotaTasks", "iotwireless:ListMulticastGroups", "kafka:ListScramSecrets", "macie2:ListTagsForResource", "mediaconnect:ListTagsForResource", "networkmanager:GetConnectPeer", "networkmanager:ListConnectPeers", "organizations:DescribeEffectivePolicy", "organizations:DescribeResourcePolicy", "resource-explorer-2:GetIndex", "resource-explorer-2:ListIndexes", "resource-explorer-2:ListTagsForResource", "route53:ListCidrCollections", "s3:GetMultiRegionAccessPointPolicy", "s3:GetMultiRegionAccessPointPolicyStatus", and "sns:GetDataProtectionPolicy" | 此政策現在支援 AWS App Mesh、 AWS CloudFormation、Amazon CloudFront AWS CodeArtifact AWS CodeBuild、、Amazon Connect AWS Glue、Amazon GuardDuty、 AWS Identity and Access Management (IAM)、Amazon Inspector、 AWS IoT AWS IoT TwinMaker、 AWS IoT Wireless、、Amazon Managed Streaming for Apache Kafka、Amazon Macie AWS Elemental MediaConnect、 AWS Network Manager、 AWS Organizations、 AWS 資源總管、Amazon Route 53、Amazon Simple Storage Service (Amazon S3) 和 Amazon Simple Notification Service (Amazon SNS) 的其他許可。 | 2023 年 7 月 28 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "appmesh:DescribeGatewayRoute", "appstream:DescribeStacks", "aps:ListTagsForResource", "cloudfront:GetFunction", "cloudfront:GetOriginAccessControl", "cloudfront:ListFunctions", "cloudfront:ListOriginAccessControls", "codeartifact:ListPackages", "codeartifact:ListPackageVersions", "codebuild:BatchGetReportGroups", "codebuild:ListReportGroups", "connect:ListInstanceAttributes", "connect:ListInstances", "glue:GetPartition", "glue:GetPartitions", "guardduty:GetAdministratorAccount", "iam:ListInstanceProfileTags", "inspector2:ListFilters", "iot:DescribeJobTemplate", "iot:DescribeProvisioningTemplate", "iot:ListJobTemplates", "iot:ListProvisioningTemplates", "iottwinmaker:GetComponentType", "iottwinmaker:ListComponentTypes", "iotwireless:GetFuotaTask", "iotwireless:GetMulticastGroup", "iotwireless:ListFuotaTasks", "iotwireless:ListMulticastGroups", "kafka:ListScramSecrets", "macie2:ListTagsForResource", "mediaconnect:ListTagsForResource", "networkmanager:GetConnectPeer", "networkmanager:ListConnectPeers", "organizations:DescribeEffectivePolicy", "organizations:DescribeResourcePolicy", "resource-explorer-2:GetIndex", "resource-explorer-2:ListIndexes", "resource-explorer-2:ListTagsForResource", "route53:ListCidrCollections", "s3:GetMultiRegionAccessPointPolicy", "s3:GetMultiRegionAccessPointPolicyStatus", "sns:GetDataProtectionPolicy", "ssm:DescribeParameters", "ssm:GetParameter", and "ssm:ListTagsForResource" | 此政策現在支援 AWS App Mesh Amazon WorkSpaces 應用程式、 AWS CloudFormation、Amazon CloudFront、 AWS CodeArtifact AWS CodeBuild、Amazon Connect、 AWS Glue、Amazon GuardDuty、 AWS Identity and Access Management (IAM)、Amazon Inspector AWS IoT、 AWS IoT TwinMaker、 AWS IoT Wireless、Amazon Managed Streaming for Apache Kafka、Amazon Macie、 AWS Elemental MediaConnect、 AWS Network Manager、 AWS Organizations AWS 資源總管、、Amazon Route 53、Amazon Simple Storage Service (Amazon S3)、Amazon Simple Notification Service (Amazon SNS) 和 Amazon EC2 Systems Manager (SSM) 的其他許可。 | 2023 年 7 月 28 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 "amplify:GetBranch", "amplify:ListBranches", "app-integrations:GetEventIntegration", "app-integrations:ListEventIntegrationAssociations", "app-integrations:ListEventIntegrations", "appmesh:DescribeRoute", "appmesh:ListRoutes", "aps:ListRuleGroupsNamespaces", "athena:GetPreparedStatement", "athena:ListPreparedStatements", "batch:DescribeSchedulingPolicies", "batch:ListSchedulingPolicies", "cloudformation:ListTypes", "cloudtrail:ListTrails", "codeartifact:ListDomains", "codeguru-profiler:DescribeProfilingGroup", "codeguru-profiler:GetNotificationConfiguration", "codeguru-profiler:GetPolicy", "codeguru-profiler:ListProfilingGroups", "ds:DescribeDomainControllers", “dynamodb:DescribeTableReplicaAutoScaling" "dynamodb:DescribeTimeToLive", "ec2:DescribeTrafficMirrorFilters", "evidently:GetLaunch", "evidently:ListLaunches", "forecast:DescribeDatasetGroup", "forecast:ListDatasetGroups", "greengrass:DescribeComponent", "greengrass:GetComponent", "greengrass:ListComponents", "greengrass:ListComponentVersions", "groundstation:GetMissionProfile", "groundstation:ListMissionProfiles", "iam:ListGroups", "iam:ListRoles", "kafka:DescribeConfiguration", "kafka:DescribeConfigurationRevision", "kafka:ListConfigurations", "lightsail:GetRelationalDatabases" "logs:ListTagsLogGroup", "mediaconnect:DescribeFlow", "mediaconnect:ListFlows", "mediatailor:GetPlaybackConfiguration", "mediatailor:ListPlaybackConfigurations", "mobiletargeting:GetApplicationSettings", "mobiletargeting:GetEmailTemplate", "mobiletargeting:GetEventStream", "mobiletargeting:ListTemplates", "networkmanager:GetCustomerGatewayAssociations", "networkmanager:GetLinkAssociations", "organizations:DescribeAccount", "organizations:DescribeOrganizationalUnit", "organizations:ListAccounts", "organizations:ListAccountsForParent", "organizations:ListOrganizationalUnitsForParent", "organizations:ListTagsForResource", "personalize:DescribeDataset", "personalize:DescribeDatasetGroup", "personalize:DescribeSchema", "personalize:DescribeSolution", "personalize:ListDatasetGroups", "personalize:ListDatasetImportJobs", "personalize:ListDatasets", "personalize:ListSchemas", "personalize:ListSolutions", "personalize:ListTagsForResource", "quicksight:ListTemplates", "refactor-spaces:GetEnvironment", "refactor-spaces:GetService", "refactor-spaces:ListApplications", "refactor-spaces:ListEnvironments", "refactor-spaces:ListServices", "s3:GetAccessPointPolicyStatusForObjectLambda", "sagemaker:DescribeDeviceFleet", "sagemaker:DescribeFeatureGroup", "sagemaker:ListDeviceFleets", "sagemaker:ListFeatureGroups", "sagemaker:ListModels", and "transfer:ListTagsForResource" | 此政策現在支援 的其他許可 AWS Amplify， Amazon Connect AWS App Mesh、 Amazon Managed Service for Prometheus、 Amazon Athena、 AWS Batch AWS CloudFormation、 AWS CloudTrail、 AWS CodeArtifact、 Amazon CodeGuru AWS Directory Service、 Amazon DynamoDB、 Amazon Elastic Compute Cloud (Amazon EC2)， Amazon CloudWatch Evidently AWS Organizations、 Amazon Forecast、 AWS IoT Greengrass、 AWS Ground Station、 AWS Identity and Access Management (IAM)、 Amazon Managed Streaming for Apache Kafka (Amazon MSK)、Amazon Lightsail、 Amazon CloudWatch Logs AWS Elemental MediaConnect、 AWS Elemental MediaTailor、 Amazon Pinpoint、 Amazon Virtual Private Cloud (Amazon VPC)、 Amazon Personalize、 Amazon Quick AWS Migration Hub Refactor Spaces、 Amazon Simple Storage Service (Amazon S3)、 Amazon SageMaker AI、 AWS Transfer Family。 | 2023 年 6 月 13 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 "amplify:GetBranch", "amplify:ListBranches", "app-integrations:GetEventIntegration", "app-integrations:ListEventIntegrationAssociations", "app-integrations:ListEventIntegrations", "appmesh:DescribeRoute", "appmesh:ListRoutes", "aps:ListRuleGroupsNamespaces", "athena:GetPreparedStatement", "athena:ListPreparedStatements", "batch:DescribeSchedulingPolicies", "batch:ListSchedulingPolicies", "cloudformation:ListTypes", "cloudtrail:ListTrails", "codeartifact:ListDomains", "codeguru-profiler:DescribeProfilingGroup", "codeguru-profiler:GetNotificationConfiguration", "codeguru-profiler:GetPolicy", "codeguru-profiler:ListProfilingGroups", "ds:DescribeDomainControllers", "dynamodb:DescribeTableReplicaAutoScaling", "dynamodb:DescribeTimeToLive", "ec2:DescribeTrafficMirrorFilters", "evidently:GetLaunch", "evidently:ListLaunches", "forecast:DescribeDatasetGroup", "forecast:ListDatasetGroups", "greengrass:DescribeComponent", "greengrass:GetComponent", "greengrass:ListComponents", "greengrass:ListComponentVersions", "groundstation:GetMissionProfile", "groundstation:ListMissionProfiles", "iam:ListGroups", "iam:ListRoles", "kafka:DescribeConfiguration", "kafka:DescribeConfigurationRevision", "kafka:ListConfigurations", "lightsail:GetRelationalDatabases", "logs:ListTagsLogGroup", "mediaconnect:DescribeFlow", "mediaconnect:ListFlows", "mediatailor:GetPlaybackConfiguration", "mediatailor:ListPlaybackConfigurations", "mobiletargeting:GetApplicationSettings", "mobiletargeting:GetEmailTemplate", "mobiletargeting:GetEventStream", "mobiletargeting:ListTemplates", "networkmanager:GetCustomerGatewayAssociations", "networkmanager:GetLinkAssociations", "organizations:DescribeAccount", "organizations:DescribeOrganizationalUnit", "organizations:ListAccounts", "organizations:ListAccountsForParent", "organizations:ListOrganizationalUnitsForParent", "organizations:ListTagsForResource", "personalize:DescribeDataset", "personalize:DescribeDatasetGroup", "personalize:DescribeSchema", "personalize:DescribeSolution", "personalize:ListDatasetGroups", "personalize:ListDatasetImportJobs", "personalize:ListDatasets", "personalize:ListSchemas", "personalize:ListSolutions", "personalize:ListTagsForResource", "quicksight:ListTemplates", "refactor-spaces:GetEnvironment", "refactor-spaces:GetService", "refactor-spaces:ListApplications", "refactor-spaces:ListEnvironments", "refactor-spaces:ListServices", "s3:GetAccessPointPolicyStatusForObjectLambda", "sagemaker:DescribeDeviceFleet", "sagemaker:DescribeFeatureGroup", "sagemaker:ListDeviceFleets", "sagemaker:ListFeatureGroups", "sagemaker:ListModels", and "transfer:ListTagsForResource" | 此政策現在支援 的其他許可 AWS Amplify， Amazon Connect AWS App Mesh、 Amazon Managed Service for Prometheus、 Amazon Athena、 AWS Batch AWS CloudFormation、 AWS CloudTrail、 AWS CodeArtifact、 Amazon CodeGuru AWS Directory Service、 Amazon DynamoDB、 Amazon Elastic Compute Cloud (Amazon EC2)， Amazon CloudWatch Evidently AWS Organizations、Amazon Forecast、 AWS IoT Greengrass、 AWS Ground Station、 AWS Identity and Access Management (IAM)、 Amazon Managed Streaming for Apache Kafka (Amazon MSK)、Amazon Lightsail、 Amazon CloudWatch Logs AWS Elemental MediaConnect、 AWS Elemental MediaTailor、 Amazon Pinpoint、 Amazon Virtual Private Cloud (Amazon VPC)、 Amazon Personalize、 Amazon Quick AWS Migration Hub Refactor Spaces、 Amazon Simple Storage Service (Amazon S3)、 Amazon SageMaker AI、 AWS Transfer Family。 | 2023 年 6 月 13 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 amplify:GetApp, amplify:ListApps, appmesh:DescribeVirtualGateway, appmesh:DescribeVirtualNode, appmesh:DescribeVirtualRouter, appmesh:DescribeVirtualService, appmesh:ListMeshes, appmesh:ListTagsForResource, appmesh:ListVirtualGateways, appmesh:ListVirtualNodes, appmesh:ListVirtualRouters, appmesh:ListVirtualServices, apprunner:DescribeVpcConnector, apprunner:ListVpcConnectors, cloudformation:ListTypes, cloudfront:ListResponseHeadersPolicies, codeartifact:ListRepositories, ds:DescribeEventTopics, ds:ListLogSubscriptions, GetInstanceTypesFromInstanceRequirement ec2:GetManagedPrefixListEntries, kendra:DescribeIndex, kendra:ListIndices, kendra:ListTagsForResource, logs:DescribeDestinations, logs:GetDataProtectionPolicy, macie2:DescribeOrganizationConfiguration, macie2:GetAutomatedDiscoveryConfiguration, macie2:GetClassificationExportConfiguration, macie2:GetCustomDataIdentifier, macie2:GetFindingsPublicationConfiguration, macie2:ListCustomDataIdentifiers, mobiletargeting:GetEmailChannel, refactor-spaces:GetEnvironment, refactor-spaces:ListEnvironments, resiliencehub:ListTagsForResource, route53:GetDNSSEC, sagemaker:DescribeDomain, sagemaker:DescribeModelBiasJobDefinition, sagemaker:DescribeModelQualityJobDefinition, sagemaker:DescribePipeline, sagemaker:DescribeProject, sagemaker:ListDomains, sagemaker:ListModelBiasJobDefinitions, sagemaker:ListModelQualityJobDefinitions, sagemaker:ListPipelines, sagemaker:ListProjects, transfer:DescribeAgreement, transfer:DescribeCertificate, transfer:ListAgreements, transfer:ListCertificates, and waf-regional:ListLoggingConfigurations | 此政策現在支援適用於 AWS App Mesh、 AWS App Runner、Amazon CloudFront、 AWS CodeArtifact、Amazon Elastic Compute Cloud、Amazon Kendra AWS Amplify、Amazon Macie、Amazon Route 53、Amazon SageMaker AI、 AWS Transfer Family、Amazon Pinpoint、 AWS Migration Hub AWS Resilience Hub、Amazon CloudWatch、 AWS Directory Service 和 的 Amazon Managed Workflows 額外許可 AWS WAF。 | 2023 年 4 月 13 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 amplify:GetApp, amplify:ListApps, appmesh:DescribeVirtualGateway, appmesh:DescribeVirtualNode, appmesh:DescribeVirtualRouter, appmesh:DescribeVirtualService, appmesh:ListMeshes, appmesh:ListTagsForResource, appmesh:ListVirtualGateways, appmesh:ListVirtualNodes, appmesh:ListVirtualRouters, appmesh:ListVirtualServices, apprunner:DescribeVpcConnector, apprunner:ListVpcConnectors, cloudformation:ListTypes, cloudfront:ListResponseHeadersPolicies, codeartifact:ListRepositories, ds:DescribeEventTopics, ds:ListLogSubscriptions, ec2:GetInstanceTypesFromInstanceRequirement, ec2:GetManagedPrefixListEntries, kendra:DescribeIndex, kendra:ListIndices, kendra:ListTagsForResource, logs:DescribeDestinations, logs:GetDataProtectionPolicy, macie2:DescribeOrganizationConfiguration, macie2:GetAutomatedDiscoveryConfiguration, macie2:GetClassificationExportConfiguration, macie2:GetCustomDataIdentifier, macie2:GetFindingsPublicationConfiguration, macie2:ListCustomDataIdentifiers, mobiletargeting:GetEmailChannel, refactor-spaces:GetEnvironment, refactor-spaces:ListEnvironments, resiliencehub:ListTagsForResource, route53:GetDNSSEC, sagemaker:DescribeDomain, sagemaker:DescribeModelBiasJobDefinition, sagemaker:DescribeModelQualityJobDefinition, sagemaker:DescribePipeline, sagemaker:DescribeProject, sagemaker:ListDomains, sagemaker:ListModelBiasJobDefinitions, sagemaker:ListModelQualityJobDefinitions, sagemaker:ListPipelines, sagemaker:ListProjects, transfer:DescribeAgreement, transfer:DescribeCertificate, transfer:ListAgreements, transfer:ListCertificates, and waf-regional:ListLoggingConfigurations | 此政策現在支援適用於 AWS App Mesh、 AWS App Runner、Amazon CloudFront、 AWS CodeArtifact、Amazon Elastic Compute Cloud、Amazon Kendra AWS Amplify、Amazon Macie、Amazon Route 53、Amazon SageMaker AI、 AWS Transfer Family、Amazon Pinpoint、 AWS Migration Hub AWS Resilience Hub、Amazon CloudWatch、 AWS Directory Service 和 的 Amazon Managed Workflows 額外許可 AWS WAF。 | 2023 年 4 月 13 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 appflow:DescribeFlow, appflow:ListFlows, appflow:ListTagsForResource, apprunner:DescribeService, apprunner:ListServices, apprunner:ListTagsForResource, appstream:DescribeApplications, appstream:DescribeFleets, cloudfront:GetResponseHeadersPolicy, cloudwatch:ListTagsForResource, codeartifact:DescribeRepository, codeartifact:GetRepositoryPermissionsPolicy, codeartifact:ListTagsForResource, codecommit:GetRepository, codecommit:GetRepositoryTriggers, codecommit:ListRepositories, codecommit:ListTagsForResource, devicefarm:GetInstanceProfile, devicefarm:ListInstanceProfiles, devicefarm:ListProjects, evidently:GetProject, evidently:ListProjects, evidently:ListTagsForResource, forecast:DescribeDataset, forecast:ListDatasets, forecast:ListTagsForResource, groundstation:GetConfig, groundstation:ListConfigs, groundstation:ListTagsForResource, iam:GetInstanceProfile, iam:GetSAMLProvider, iam:GetServerCertificate, iam:ListAccessKeys, iam:ListGroups, iam:ListInstanceProfiles, iam:ListMFADevices, iam:ListMFADeviceTags, iam:ListRoles, iam:ListSAMLProviders, iot:DescribeFleetMetric, iot:ListFleetMetrics, memorydb:DescribeUsers, memorydb:ListTags, mobiletargeting:GetApp, mobiletargeting:GetCampaigns, networkmanager:GetDevices, networkmanager:GetLinks, networkmanager:GetSites, panorama:ListNodes, rds:DescribeDBProxyEndpoints, redshift:DescribeScheduledActions, sagemaker:DescribeAppImageConfig, sagemaker:DescribeImage, sagemaker:DescribeImageVersion, sagemaker:ListAppImageConfigs, sagemaker:ListImages, and sagemaker:ListImageVersions | 此政策現在支援 Amazon AppFlow AWS App Runner、Amazon WorkSpaces 應用程式、Amazon CloudFront、Amazon CloudWatch、 AWS CodeArtifact、 AWS CodeCommit AWS Device Farm、Amazon CloudWatch Evidently、Amazon Forecast、 AWS Ground Station、 AWS Identity and Access Management (IAM) AWS IoT、Amazon MemoryDB、Amazon Pinpoint AWS Network Manager、 AWS Panorama、Amazon Relational Database Service (Amazon RDS)、Amazon Redshift 和 Amazon SageMaker AI 的其他許可。 | 2023 年 3 月 30 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 appflow:DescribeFlow, appflow:ListFlows, appflow:ListTagsForResource, apprunner:DescribeService, apprunner:ListServices, apprunner:ListTagsForResource, appstream:DescribeApplications, appstream:DescribeFleets, cloudformation:ListTypes, cloudfront:GetResponseHeadersPolicy, cloudfront:ListDistributions, cloudwatch:ListTagsForResource, codeartifact:DescribeRepository, codeartifact:GetRepositoryPermissionsPolicy, codeartifact:ListTagsForResource, codecommit:GetRepository, codecommit:GetRepositoryTriggers, codecommit:ListRepositories, codecommit:ListTagsForResource, devicefarm:GetInstanceProfile, devicefarm:ListInstanceProfiles, devicefarm:ListProjects, ec2:DescribeTrafficMirrorFilters, evidently:GetProject, evidently:ListProjects, evidently:ListTagsForResource, forecast:DescribeDataset, forecast:ListDatasets, forecast:ListTagsForResource, groundstation:GetConfig, groundstation:ListConfigs, groundstation:ListTagsForResource, iam:GetInstanceProfile, iam:GetSAMLProvider, iam:GetServerCertificate, iam:ListAccessKeys, iam:ListGroups, iam:ListInstanceProfiles, iam:ListMFADevices, iam:ListMFADeviceTags, iam:ListRoles, iam:ListSAMLProviders, iot:DescribeFleetMetric, iot:ListFleetMetrics, memorydb:DescribeUsers, memorydb:ListTags, mobiletargeting:GetApp, mobiletargeting:GetCampaigns, networkmanager:GetDevices, networkmanager:GetLinks, networkmanager:GetSites, panorama:ListNodes, rds:DescribeDBProxyEndpoints, redshift:DescribeScheduledActions, sagemaker:DescribeAppImageConfig, sagemaker:DescribeImage, sagemaker:DescribeImageVersion, sagemaker:ListAppImageConfigs, sagemaker:ListImages, and sagemaker:ListImageVersions | 此政策現在支援 Amazon AppFlow AWS App Runner、Amazon WorkSpaces 應用程式、Amazon CloudFront AWS CloudFormation、Amazon CloudWatch、 AWS CodeArtifact AWS CodeCommit、Amazon Elastic Compute Cloud (Amazon EC2) AWS Device Farm、Amazon CloudWatch Evidently、Amazon Forecast AWS Ground Station、 AWS Identity and Access Management (IAM) AWS IoT、、Amazon MemoryDB、Amazon Pinpoint AWS Network Manager AWS Panorama、Amazon Relational Database Service (Amazon RDS)、Amazon Redshift 和 Amazon SageMaker AI 的其他許可。 | 2023 年 3 月 30 日 |
| [AWSConfigRulesExecutionRole](#security-iam-awsmanpol-AWSConfigRulesExecutionRole) – AWS Config 開始追蹤此 AWS 受管政策的變更 | 此政策允許 AWS Lambda 函數存取 API AWS Config 和定期 AWS Config 交付至 Amazon S3 的組態快照。評估 AWS 自訂 Lambda 規則組態變更的函數需要此存取權。 | 2023 年 3 月 7 日 |
| [AWSConfigRoleForOrganizations](#security-iam-awsmanpol-AWSConfigRoleForOrganizations) – AWS Config 開始追蹤此 AWS 受管政策的變更 | 此政策允許 AWS Config 呼叫唯讀 AWS Organizations APIs。 | 2023 年 3 月 7 日 |
| [AWSConfigRemediationServiceRolePolicy](#security-iam-awsmanpol-AWSConfigRemediationServiceRolePolicy) – AWS Config 開始追蹤此 AWS 受管政策的變更 | 此政策允許 AWS Config 代表您修復`NON_COMPLIANT`資源。 | 2023 年 3 月 7 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 auditmanager:GetAccountStatus | 此政策現在會授予可傳回 AWS Audit Manager帳戶註冊狀態的許可。 | 2023 年 3 月 3 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 auditmanager:GetAccountStatus | 此政策現在會授予可傳回 AWS Audit Manager帳戶註冊狀態的許可。 | 2023 年 3 月 3 日 |
| [AWSConfigMultiAccountSetupPolicy](#security-iam-awsmanpol-AWSConfigMultiAccountSetupPolicy) – AWS Config 開始追蹤此 AWS 受管政策的變更 | 此政策允許 呼叫 AWS Config AWS 服務，並使用 跨組織部署 AWS Config 資源 AWS Organizations。 | 2023 年 2 月 27 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 airflow:ListTagsForResource, iot:ListCustomMetrics, iot:DescribeCustomMetric, appstream:DescribeDirectoryConfigs, appstream:ListTagsForResource, codeguru-reviewer:DescribeRepositoryAssociation, codeguru-reviewer:ListRepositoryAssociations, healthlake:ListFHIRDatastores, healthlake:DescribeFHIRDatastore, healthlake:ListTagsForResource, kinesisvideo:DescribeStream, kinesisvideo:ListStreams, kinesisvideo:ListTagsForStream, kinesisvideo:DescribeSignalingChannel, kinesisvideo:ListTagsForResource, kinesisvideo:ListSignalingChannels, route53-recovery-control-config:DescribeCluster, route53-recovery-control-config:DescribeRoutingControl, route53-recovery-control-config:DescribeSafetyRule, route53-recovery-control-config:ListClusters, route53-recovery-control-config:ListRoutingControls, route53-recovery-control-config:ListSafetyRules, devicefarm:GetTestGridProject, devicefarm:ListTestGridProjects, ec2:DescribeCapacityReservationFleets, ec2:DescribeIpamPools, ec2:DescribeIpams, ec2:GetInstanceTypesFromInstanceRequirement, mobiletargeting:GetApplicationSettings, mobiletargeting:ListTagsForResource, ecr:BatchGetRepositoryScanningConfiguration, iam:ListServerCertificates, guardduty:ListPublishingDestinations, guardduty:DescribePublishingDestination, logs:GetLogDelivery, and logs:ListLogDeliveries | 此政策現在支援 Amazon Managed Workflows for Apache Airflow AWS IoT、Amazon WorkSpaces 應用程式、Amazon CodeGuru Reviewer、 AWS HealthLake、Amazon Kinesis Video Streams、Amazon Application Recovery Controller (ARC) AWS Device Farm、Amazon Elastic Compute Cloud (Amazon EC2)、Amazon Pinpoint、 AWS Identity and Access Management (IAM)、Amazon GuardDuty 和 Amazon CloudWatch Logs 的其他許可。 | 2023 年 2 月 1 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 airflow:ListTagsForResource, iot:ListCustomMetrics, iot:DescribeCustomMetric, appstream:DescribeDirectoryConfigs, appstream:ListTagsForResource, codeguru-reviewer:DescribeRepositoryAssociation, codeguru-reviewer:ListRepositoryAssociations, healthlake:ListFHIRDatastores, healthlake:DescribeFHIRDatastore, healthlake:ListTagsForResource, kinesisvideo:DescribeStream, kinesisvideo:ListStreams, kinesisvideo:ListTagsForStream, kinesisvideo:DescribeSignalingChannel, kinesisvideo:ListTagsForResource, kinesisvideo:ListSignalingChannels, route53-recovery-control-config:DescribeCluster, route53-recovery-control-config:DescribeRoutingControl, route53-recovery-control-config:DescribeSafetyRule, route53-recovery-control-config:ListClusters, route53-recovery-control-config:ListRoutingControls, route53-recovery-control-config:ListSafetyRules, devicefarm:GetTestGridProject, devicefarm:ListTestGridProjects, ec2:DescribeCapacityReservationFleets, ec2:DescribeIpamPools, ec2:DescribeIpams, ec2:GetInstanceTypesFromInstanceRequirement, mobiletargeting:GetApplicationSettings, mobiletargeting:ListTagsForResource, ecr:BatchGetRepositoryScanningConfiguration, iam:ListServerCertificates, guardduty:ListPublishingDestinations, guardduty:DescribePublishingDestination, logs:GetLogDelivery, and logs:ListLogDeliveries | 此政策現在支援 Amazon Managed Workflows for Apache Airflow AWS IoT、Amazon WorkSpaces 應用程式、Amazon CodeGuru Reviewer、 AWS HealthLake、Amazon Kinesis Video Streams、Amazon Application Recovery Controller (ARC) AWS Device Farm、Amazon Elastic Compute Cloud (Amazon EC2)、Amazon Pinpoint、 AWS Identity and Access Management (IAM)、Amazon GuardDuty 和 Amazon CloudWatch Logs 的其他許可。 | 2023 年 2 月 1 日 |
| [ConfigConformsServiceRolePolicy](#security-iam-awsmanpol-ConfigConformsServiceRolePolicy) – 更新 config:DescribeConfigRules | 作為安全最佳實務，此政策現可移除 `config:DescribeConfigRules` 的廣泛資源層級許可。 | 2023 年 1 月 12 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 APS:DescribeRuleGroupsNamespace, APS:DescribeWorkspace, APS:ListWorkspaces, auditmanager:GetAssessment, auditmanager:ListAssessments, devicefarm:GetNetworkProfile, AWS Transfer Family devicefarm:GetProject, devicefarm:ListNetworkProfiles, devicefarm:ListTagsForResource, dms:DescribeEndpoints, ds:ListTagsForResource, ec2:DescribeTags, ec2:DescribeTrafficMirrorSessions, ec2:DescribeTrafficMirrorTargets, ec2:GetIpamPoolAllocations, ec2:GetIpamPoolCidrs, glue:GetMLTransform, glue:GetMLTransforms, glue:ListMLTransforms, iot:DescribeScheduledAudit, iot:ListScheduledAudits, ivs:GetChannel, lightsail:GetRelationalDatabases, mediapackage-vod:DescribePackagingConfiguration, mediapackage-vod:ListPackagingConfigurations, networkmanager:DescribeGlobalNetworks, networkmanager:GetTransitGatewayRegistrations, networkmanager:ListTagsForResource, quicksight:DescribeDashboard, quicksight:DescribeDashboardPermissions, quicksight:DescribeTemplate, quicksight:DescribeTemplatePermissions, quicksight:ListDashboards, quicksight:ListTemplates, ram:ListResources, route53-recovery-control-config:DescribeControlPanel, route53-recovery-control-config:ListControlPanels, route53-recovery-control-config:ListTagsForResource, route53resolver:GetResolverQueryLogConfigAssociation, route53resolver:ListResolverQueryLogConfigAssociations, s3:GetAccessPointForObjectLambda, s3:GetAccessPointPolicyForObjectLambda, s3:GetAccessPointPolicyStatusForObjectLambda, s3:GetMultiRegionAccessPoint, s3:ListAccessPointsForObjectLambda, s3:ListMultiRegionAccessPoints, timestream:DescribeEndpoints, transfer:DescribeConnector, transfer:ListConnectors, and transfer:ListTagsForResource | 此政策現在支援 Amazon Managed Service for Prometheus、 AWS Audit Manager、 AWS Device Farm、 AWS Database Migration Service (AWS DMS) AWS Directory Service、Amazon Elastic Compute Cloud (Amazon EC2) AWS Glue、 AWS IoT、Amazon Lightsail、 AWS Elemental MediaPackage AWS Network Manager、、Amazon Quick、Amazon Application Recovery Controller (ARC) AWS Resource Access Manager、Amazon Simple Storage Service (Amazon S3) 和 Amazon Timestream 的其他許可。 | 2022 年 12 月 15 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 APS:DescribeRuleGroupsNamespace, APS:DescribeWorkspace, APS:ListWorkspaces, auditmanager:GetAssessment, auditmanager:ListAssessments, devicefarm:GetNetworkProfile, devicefarm:GetProject, devicefarm:ListNetworkProfiles, devicefarm:ListTagsForResource, dms:DescribeEndpoints, ds:ListTagsForResource, ec2:DescribeTags, ec2:DescribeTrafficMirrorSessions, ec2:DescribeTrafficMirrorTargets, ec2:GetIpamPoolAllocations, ec2:GetIpamPoolCidrs, glue:GetMLTransform, glue:GetMLTransforms, glue:ListMLTransforms, iot:DescribeScheduledAudit, iot:ListScheduledAudits, ivs:GetChannel, lightsail:GetRelationalDatabases, mediapackage-vod:DescribePackagingConfiguration, mediapackage-vod:ListPackagingConfigurations, networkmanager:DescribeGlobalNetworks, networkmanager:GetTransitGatewayRegistrations, networkmanager:ListTagsForResource, quicksight:DescribeDashboard, quicksight:DescribeDashboardPermissions, quicksight:DescribeTemplate, quicksight:DescribeTemplatePermissions, quicksight:ListDashboards, quicksight:ListTemplates, ram:ListResources, route53-recovery-control-config:DescribeControlPanel, route53-recovery-control-config:ListControlPanels, route53-recovery-control-config:ListTagsForResource, route53resolver:GetResolverQueryLogConfigAssociation, route53resolver:ListResolverQueryLogConfigAssociations, s3:GetAccessPointForObjectLambda, s3:GetAccessPointPolicyForObjectLambda, s3:GetAccessPointPolicyStatusForObjectLambda, s3:GetMultiRegionAccessPoint, s3:ListAccessPointsForObjectLambda, s3:ListMultiRegionAccessPoints, timestream:DescribeEndpoints, transfer:DescribeConnector, transfer:ListConnectors, and transfer:ListTagsForResource | 此政策現在支援 Amazon Managed Service for Prometheus、 AWS Audit Manager、 AWS Device Farm、 AWS Database Migration Service (AWS DMS) AWS Directory Service、Amazon Elastic Compute Cloud (Amazon EC2) AWS Glue、 AWS IoT、Amazon Lightsail、 AWS Elemental MediaPackage AWS Network Manager、、Amazon Quick、Amazon Application Recovery Controller (ARC) AWS Resource Access Manager、Amazon Simple Storage Service (Amazon S3) 和 Amazon Timestream 的其他許可。 | 2022 年 12 月 15 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 cloudformation:ListStackResources and cloudformation:ListStacks | 此政策現在授予許可，以傳回指定 AWS CloudFormation 堆疊之所有資源的描述，並傳回狀態符合指定 之堆疊的摘要資訊StackStatusFilter。 | 2022 年 11 月 7 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 cloudformation:ListStackResources and cloudformation:ListStacks | 此政策現在授予許可，以傳回指定 AWS CloudFormation 堆疊之所有資源的描述，並傳回狀態符合指定 之堆疊的摘要資訊StackStatusFilter。 | 2022 年 11 月 7 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 acm-pca:GetCertificateAuthorityCsr, acm-pca:ListCertificateAuthorities, acm-pca:ListTags, airflow:GetEnvironment, airflow:ListEnvironments, amplifyuibuilder:ListThemes, appconfig:ListConfigurationProfiles, appconfig:ListDeployments, appconfig:ListDeploymentStrategies, appconfig:ListEnvironments, appconfig:ListHostedConfigurationVersions, cassandra:Select, cloudwatch:DescribeAnomalyDetectors, cloudwatch:GetDashboard, cloudwatch:ListDashboards, connect:DescribePhoneNumber, connect:ListPhoneNumbers, connect:ListPhoneNumbersV2, connect:SearchAvailablePhoneNumbers, databrew:DescribeDataset, databrew:DescribeJob, databrew:DescribeProject, databrew:DescribeRecipe, databrew:DescribeRuleset, databrew:DescribeSchedule, databrew:ListDatasets, databrew:ListJobs, databrew:ListProjects, databrew:ListRecipes, databrew:ListRecipeVersions, databrew:ListRulesets, databrew:ListSchedules, ec2:DescribeRouteTables, eks:DescribeAddon, eks:DescribeIdentityProviderConfig, eks:ListAddons, eks:ListIdentityProviderConfigs, events:DescribeConnection, events:ListApiDestinations, events:ListConnections, fis:GetExperimentTemplate, fis:ListExperimentTemplates, frauddetector:GetRules, fsx:DescribeBackups, fsx:DescribeSnapshots, fsx:DescribeStorageVirtualMachines, gamelift:DescribeMatchmakingRuleSets, gamelift:DescribeVpcPeeringConnections, geo:ListGeofenceCollections, geo:ListPlaceIndexes, geo:ListRouteCalculators, geo:ListTrackers, iot:DescribeAccountAuditConfiguration, iot:DescribeAuthorizer, iot:DescribeDomainConfiguration, iot:DescribeMitigationAction, iot:ListAuthorizers, iot:ListDomainConfigurations, iot:ListMitigationActions, iotsitewise:DescribeAssetModel, iotsitewise:DescribeDashboard, iotsitewise:DescribeGateway, iotsitewise:DescribePortal, iotsitewise:DescribeProject, iotsitewise:ListAssetModels, iotsitewise:ListDashboards, iotsitewise:ListGateways, iotsitewise:ListPortals, iotsitewise:ListProjectAssets, iotsitewise:ListProjects, iotsitewise:ListTagsForResource, iotwireless:GetServiceProfile, iotwireless:GetWirelessDevice, iotwireless:GetWirelessGatewayTaskDefinition, iotwireless:ListServiceProfiles, iotwireless:ListTagsForResource, iotwireless:ListWirelessDevices, iotwireless:ListWirelessGatewayTaskDefinitions, lex:DescribeBotVersion, lex:ListBotVersions, lightsail:GetContainerServices, lightsail:GetDistributions, lightsail:GetRelationalDatabase, lightsail:GetRelationalDatabaseParameters, mobiletargeting:GetApps, mobiletargeting:GetCampaign, mobiletargeting:GetSegment, mobiletargeting:GetSegments, opsworks:DescribeInstances, opsworks:DescribeTimeBasedAutoScaling, opsworks:DescribeVolumes, panorama:DescribeApplicationInstance, panorama:DescribeApplicationInstanceDetails, panorama:DescribePackage, panorama:DescribePackageVersion, panorama:ListApplicationInstances, panorama:ListPackages, quicksight:ListDataSources, ram:ListResourceSharePermissions, rds:DescribeDBProxies, rds:DescribeGlobalClusters, rekognition:ListStreamProcessors, resource-groups:GetGroup, resource-groups:GetGroupConfiguration, resource-groups:GetGroupQuery, resource-groups:GetTags, resource-groups:ListGroupResources, resource-groups:ListGroups, robomaker:ListRobotApplications, robomaker:ListSimulationApplications, route53resolver:GetResolverDnssecConfig, route53resolver:ListResolverDnssecConfigs, s3:ListStorageLensConfigurations, schemas:GetResourcePolicy, servicediscovery:ListInstances, sts:GetCallerIdentity, synthetics:GetGroup, synthetics:ListAssociatedGroups, synthetics:ListGroupResources, and synthetics:ListGroups | 此政策現在支援 的其他許可 AWS Certificate Manager， Amazon Managed Workflows for Apache Airflow、 AWS Amplify、 AWS AppConfig Amazon Keyspaces、 Amazon CloudWatch、 Amazon Connect AWS Glue DataBrew、 Amazon Elastic Compute Cloud (Amazon EC2)， Amazon Elastic Kubernetes Service (Amazon EKS)， Amazon EventBridge AWS Fault Injection Service、 Amazon Fraud Detector、 Amazon FSx、 Amazon GameLift 伺服器、 Amazon Location Service AWS IoT、 Amazon Lex、Amazon Lightsail、 Amazon Pinpoint OpsWorks、 AWS Panorama、 AWS Resource Access Manager、 Amazon Quick、 Amazon Relational Database Service (Amazon RDS)， Amazon Rekognition、 AWS RoboMaker、 AWS Resource Groups Amazon Route 53、 Amazon Simple Storage Service (Amazon S3) AWS Cloud Map、 和 AWS Security Token Service。 | 2022 年 10 月 19 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 acm-pca:GetCertificateAuthorityCsr, acm-pca:ListCertificateAuthorities, acm-pca:ListTags, airflow:GetEnvironment, airflow:ListEnvironments, amplifyuibuilder:ListThemes, appconfig:ListConfigurationProfiles, appconfig:ListDeployments, appconfig:ListDeploymentStrategies, appconfig:ListEnvironments, appconfig:ListHostedConfigurationVersions, cassandra:Select, cloudwatch:DescribeAnomalyDetectors, cloudwatch:GetDashboard, cloudwatch:ListDashboards, connect:DescribePhoneNumber, connect:ListPhoneNumbers, connect:ListPhoneNumbersV2, connect:SearchAvailablePhoneNumbers, databrew:DescribeDataset, databrew:DescribeJob, databrew:DescribeProject, databrew:DescribeRecipe, databrew:DescribeRuleset, databrew:DescribeSchedule, databrew:ListDatasets, databrew:ListJobs, databrew:ListProjects, databrew:ListRecipes, databrew:ListRecipeVersions, databrew:ListRulesets, databrew:ListSchedules, ec2:DescribeRouteTables, eks:DescribeAddon, eks:DescribeIdentityProviderConfig, eks:ListAddons, eks:ListIdentityProviderConfigs, events:DescribeConnection, events:ListApiDestinations, events:ListConnections, fis:GetExperimentTemplate, fis:ListExperimentTemplates, frauddetector:GetRules, fsx:DescribeBackups, fsx:DescribeSnapshots, fsx:DescribeStorageVirtualMachines, gamelift:DescribeMatchmakingRuleSets, gamelift:DescribeVpcPeeringConnections, geo:ListGeofenceCollections, geo:ListPlaceIndexes, geo:ListRouteCalculators, geo:ListTrackers, iot:DescribeAccountAuditConfiguration, iot:DescribeAuthorizer, iot:DescribeDomainConfiguration, iot:DescribeMitigationAction, iot:ListAuthorizers, iot:ListDomainConfigurations, iot:ListMitigationActions, iotsitewise:DescribeAssetModel, iotsitewise:DescribeDashboard, iotsitewise:DescribeGateway, iotsitewise:DescribePortal, iotsitewise:DescribeProject, iotsitewise:ListAssetModels, iotsitewise:ListDashboards, iotsitewise:ListGateways, iotsitewise:ListPortals, iotsitewise:ListProjectAssets, iotsitewise:ListProjects, iotsitewise:ListTagsForResource, iotwireless:GetServiceProfile, iotwireless:GetWirelessDevice, iotwireless:GetWirelessGatewayTaskDefinition, iotwireless:ListServiceProfiles, iotwireless:ListTagsForResource, iotwireless:ListWirelessDevices, iotwireless:ListWirelessGatewayTaskDefinitions, lex:DescribeBotVersion, lex:ListBotVersions, lightsail:GetContainerServices, lightsail:GetDistributions, lightsail:GetRelationalDatabase, lightsail:GetRelationalDatabaseParameters, mobiletargeting:GetApps, mobiletargeting:GetCampaign, mobiletargeting:GetSegment, mobiletargeting:GetSegments, opsworks:DescribeInstances, opsworks:DescribeTimeBasedAutoScaling, opsworks:DescribeVolumes, panorama:DescribeApplicationInstance, panorama:DescribeApplicationInstanceDetails, panorama:DescribePackage, panorama:DescribePackageVersion, panorama:ListApplicationInstances, panorama:ListPackages, quicksight:ListDataSources, ram:ListResourceSharePermissions, rds:DescribeDBProxies, rds:DescribeGlobalClusters, rekognition:ListStreamProcessors, resource-groups:GetGroup, resource-groups:GetGroupConfiguration, resource-groups:GetGroupQuery, resource-groups:GetTags, resource-groups:ListGroupResources, resource-groups:ListGroups, robomaker:ListRobotApplications, robomaker:ListSimulationApplications, route53resolver:GetResolverDnssecConfig, route53resolver:ListResolverDnssecConfigs, s3:ListStorageLensConfigurations, schemas:GetResourcePolicy, servicediscovery:ListInstances, sts:GetCallerIdentity, synthetics:GetGroup, synthetics:ListAssociatedGroups, synthetics:ListGroupResources, and synthetics:ListGroups | 此政策現在支援 的其他許可 AWS Certificate Manager， Amazon Managed Workflows for Apache Airflow、 AWS Amplify、 AWS AppConfig Amazon Keyspaces、 Amazon CloudWatch、 Amazon Connect AWS Glue DataBrew、 Amazon Elastic Compute Cloud (Amazon EC2)， Amazon Elastic Kubernetes Service (Amazon EKS)， Amazon EventBridge AWS Fault Injection Service、 Amazon Fraud Detector、 Amazon FSx、 Amazon GameLift 伺服器、 Amazon Location Service AWS IoT、 Amazon Lex、Amazon Lightsail、 Amazon Pinpoint OpsWorks、 AWS Panorama、 AWS Resource Access Manager、 Amazon Quick、 Amazon Relational Database Service (Amazon RDS)， Amazon Rekognition、 AWS RoboMaker、 AWS Resource Groups Amazon Route 53、 Amazon Simple Storage Service (Amazon S3) AWS Cloud Map、 和 AWS Security Token Service。 | 2022 年 10 月 19 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 Glue::GetTable | 此政策現在授予許可，以擷取指定 AWS Glue 資料表之 Data Catalog 中的資料表定義。 | 2022 年 9 月 14 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 Glue::GetTable | 此政策現在授予許可，以擷取指定 AWS Glue 資料表之 Data Catalog 中的資料表定義。 | 2022 年 9 月 14 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 appconfig:ListApplications, appflow:DescribeConnectorProfiles, appsync:GetApiCache, autoscaling-plans:DescribeScalingPlanResources, autoscaling-plans:DescribeScalingPlans, autoscaling-plans:GetScalingPlanResourceForecastData, autoscaling:DescribeWarmPool, backup:DescribeFramework, backup:DescribeReportPlan, backup:ListFrameworks, backup:ListReportPlans, budgets:DescribeBudgetAction, budgets:DescribeBudgetActionsForAccount, budgets:DescribeBudgetActionsForBudget, budgets:ViewBudget, ce:GetAnomalyMonitors, ce:GetAnomalySubscriptions, cloud9:DescribeEnvironmentMemberships, cloud9:DescribeEnvironments, cloud9:ListEnvironments, cloud9:ListTagsForResource, cloudwatch:GetMetricStream, cloudwatch:ListMetricStreams, datasync:DescribeLocationFsxWindows, devops-guru:GetResourceCollection, ds:DescribeDirectories, ec2:DescribeTrafficMirrorFilters, ec2:DescribeTrafficMirrorTargets, ec2:GetNetworkInsightsAccessScopeAnalysisFindings, ec2:GetNetworkInsightsAccessScopeContent, elasticmapreduce:DescribeStudio, elasticmapreduce:GetStudioSessionMapping, elasticmapreduce:ListStudios, elasticmapreduce:ListStudioSessionMappings, events:DescribeEndpoint, events:DescribeEventBus, events:DescribeRule, events:ListArchives, events:ListEndpoints, events:ListEventBuses, events:ListRules, events:ListTagsForResource, events:ListTargetsByRule, finspace:GetEnvironment, finspace:ListEnvironments, frauddetector:GetDetectors, frauddetector:GetDetectorVersion, frauddetector:GetEntityTypes, frauddetector:GetEventTypes, frauddetector:GetExternalModels, frauddetector:GetLabels, frauddetector:GetModels, frauddetector:GetOutcomes, frauddetector:GetVariables, frauddetector:ListTagsForResource, gamelift:DescribeAlias, gamelift:DescribeBuild, gamelift:DescribeFleetAttributes, gamelift:DescribeFleetCapacity, gamelift:DescribeFleetLocationAttributes, gamelift:DescribeFleetLocationCapacity, gamelift:DescribeFleetPortSettings, gamelift:DescribeGameServerGroup, gamelift:DescribeGameSessionQueues, gamelift:DescribeMatchmakingConfigurations, gamelift:DescribeMatchmakingRuleSets, gamelift:DescribeRuntimeConfiguration, gamelift:DescribeScript, gamelift:DescribeVpcPeeringAuthorizations, gamelift:ListAliases, gamelift:ListBuilds, gamelift:ListFleets, gamelift:ListGameServerGroups, gamelift:ListScripts, gamelift:ListTagsForResource, geo:ListMaps, glue:GetClassifier, glue:GetClassifiers, imagebuilder:GetContainerRecipe, imagebuilder:GetImage, imagebuilder:GetImagePipeline, imagebuilder:GetImageRecipe, imagebuilder:ListContainerRecipes, imagebuilder:ListImageBuildVersions, imagebuilder:ListImagePipelines, imagebuilder:ListImageRecipes, imagebuilder:ListImages, iot:DescribeCertificate, iot:DescribeDimension, iot:DescribeRoleAlias, iot:DescribeSecurityProfile, iot:GetPolicy, iot:GetTopicRule, iot:GetTopicRuleDestination, iot:ListCertificates, iot:ListDimensions, iot:ListPolicies, iot:ListRoleAliases, iot:ListSecurityProfiles, iot:ListSecurityProfilesForTarget, iot:ListTagsForResource, iot:ListTargetsForSecurityProfile, iot:ListTopicRuleDestinations, iot:ListTopicRules, iot:ListV2LoggingLevels, iot:ValidateSecurityProfileBehaviors, iotanalytics:DescribeChannel, iotanalytics:DescribeDataset, iotanalytics:DescribeDatastore, iotanalytics:DescribePipeline, iotanalytics:ListChannels, iotanalytics:ListDatasets, iotanalytics:ListDatastores, iotanalytics:ListPipelines, iotanalytics:ListTagsForResource, iotevents:DescribeAlarmModel, iotevents:DescribeDetectorModel, iotevents:DescribeInput, iotevents:ListAlarmModels, iotevents:ListDetectorModels, iotevents:ListInputs, iotevents:ListTagsForResource, iotsitewise:DescribeAccessPolicy, iotsitewise:DescribeAsset, iotsitewise:ListAccessPolicies, iotsitewise:ListAssets, iottwinmaker:GetEntity, iottwinmaker:GetScene, iottwinmaker:GetWorkspace, iottwinmaker:ListEntities, iottwinmaker:ListScenes, iottwinmaker:ListTagsForResource, iottwinmaker:ListWorkspaces, ivs:GetPlaybackKeyPair, ivs:GetRecordingConfiguration, ivs:GetStreamKey, ivs:ListChannels, ivs:ListPlaybackKeyPairs, ivs:ListRecordingConfigurations, ivs:ListStreamKeys, ivs:ListTagsForResource, kinesisanalytics:ListApplications, lakeformation:DescribeResource, lakeformation:GetDataLakeSettings, lakeformation:ListPermissions, lakeformation:ListResources, lex:DescribeBot, lex:DescribeBotAlias, lex:DescribeResourcePolicy, lex:ListBotAliases, lex:ListBotLocales, lex:ListBots, lex:ListTagsForResource, license-manager:GetGrant, license-manager:GetLicense, license-manager:ListDistributedGrants, license-manager:ListLicenses, license-manager:ListReceivedGrants, lightsail:GetAlarms, lightsail:GetBuckets, lightsail:GetCertificates, lightsail:GetDisk, lightsail:GetDisks, lightsail:GetInstance, lightsail:GetInstances, lightsail:GetKeyPair, lightsail:GetLoadBalancer, lightsail:GetLoadBalancers, lightsail:GetLoadBalancerTlsCertificates, lightsail:GetStaticIp, lightsail:GetStaticIps, lookoutequipment:DescribeInferenceScheduler, lookoutequipment:ListTagsForResource, lookoutmetrics:DescribeAlert, lookoutmetrics:DescribeAnomalyDetector, lookoutmetrics:ListAlerts, lookoutmetrics:ListAnomalyDetectors, lookoutmetrics:ListMetricSets, lookoutmetrics:ListTagsForResource, lookoutvision:DescribeProject, lookoutvision:ListProjects, managedblockchain:GetMember, managedblockchain:GetNetwork, managedblockchain:GetNode, managedblockchain:ListInvitations, managedblockchain:ListMembers, managedblockchain:ListNodes, mediapackage-vod:DescribePackagingGroup, mediapackage-vod:ListPackagingGroups, mediapackage-vod:ListTagsForResource, mobiletargeting:GetInAppTemplate, mobiletargeting:ListTemplates, mq:DescribeBroker, mq:ListBrokers, nimble:GetLaunchProfile, nimble:GetLaunchProfileDetails, nimble:GetStreamingImage, nimble:GetStudio, nimble:GetStudioComponent, nimble:ListLaunchProfiles, nimble:ListStreamingImages, nimble:ListStudioComponents, nimble:ListStudios, profile:GetDomain, profile:GetIntegration, profile:GetProfileObjectType, profile:ListDomains, profile:ListIntegrations, profile:ListProfileObjectTypes, profile:ListTagsForResource, quicksight:DescribeAnalysis, quicksight:DescribeAnalysisPermissions, quicksight:DescribeDataSet, quicksight:DescribeDataSetPermissions, quicksight:DescribeTheme, quicksight:DescribeThemePermissions, quicksight:ListAnalyses, quicksight:ListDataSets, quicksight:ListThemes, resiliencehub:DescribeApp, resiliencehub:DescribeAppVersionTemplate, resiliencehub:DescribeResiliencyPolicy, resiliencehub:ListApps, resiliencehub:ListAppVersionResourceMappings, resiliencehub:ListResiliencyPolicies, route53-recovery-readiness:GetCell, route53-recovery-readiness:GetReadinessCheck, route53-recovery-readiness:GetRecoveryGroup, route53-recovery-readiness:GetResourceSet, route53-recovery-readiness:ListCells, route53-recovery-readiness:ListReadinessChecks, route53-recovery-readiness:ListRecoveryGroups, route53-recovery-readiness:ListResourceSets, route53resolver:GetFirewallDomainList, route53resolver:GetFirewallRuleGroup, route53resolver:GetFirewallRuleGroupAssociation, route53resolver:GetResolverQueryLogConfig, route53resolver:ListFirewallDomainLists, route53resolver:ListFirewallDomains, route53resolver:ListFirewallRuleGroupAssociations, route53resolver:ListFirewallRuleGroups, route53resolver:ListFirewallRules, route53resolver:ListResolverQueryLogConfigs, rum:GetAppMonitor, rum:GetAppMonitorData, rum:ListAppMonitors, rum:ListTagsForResource, s3-outposts:GetAccessPoint, s3-outposts:GetAccessPointPolicy, s3-outposts:GetBucket, s3-outposts:GetBucketPolicy, s3-outposts:GetBucketTagging, s3-outposts:GetLifecycleConfiguration, s3-outposts:ListAccessPoints, s3-outposts:ListEndpoints, s3-outposts:ListRegionalBuckets, schemas:DescribeDiscoverer, schemas:DescribeRegistry, schemas:DescribeSchema, schemas:ListDiscoverers, schemas:ListRegistries, schemas:ListSchemas, sdb:GetAttributes, sdb:ListDomains, ses:ListEmailTemplates, ses:ListReceiptFilters, ses:ListReceiptRuleSets, ses:ListTemplates, signer:GetSigningProfile, signer:ListProfilePermissions, signer:ListSigningProfiles, synthetics:DescribeCanaries, synthetics:DescribeCanariesLastRun, synthetics:DescribeRuntimeVersions, synthetics:GetCanary, synthetics:GetCanaryRuns, synthetics:ListTagsForResource, timestream:DescribeDatabase, timestream:DescribeTable, timestream:ListDatabases, timestream:ListTables, timestream:ListTagsForResource, transfer:DescribeServer, transfer:DescribeUser, transfer:DescribeWorkflow, transfer:ListServers, transfer:ListUsers, transfer:ListWorkflows, voiceid:DescribeDomain, and voiceid:ListTagsForResource | 此政策現在支援 Amazon AppFlow 的其他許可， Amazon CloudWatch、 Amazon CloudWatch RUM、 Amazon CloudWatch Synthetics、 Amazon Connect 客戶設定檔、 Amazon Connect Voice ID、 Amazon DevOps Guru、 Amazon Elastic Compute Cloud (Amazon EC2)， Amazon EC2 Auto Scaling、 Amazon EMR、 Amazon EventBridge、 Amazon EventBridge 結構描述 Amazon FinSpace、 Amazon Fraud Detector、 Amazon GameLift 伺服器、 Amazon Interactive Video Service (Amazon IVS)， Amazon Managed Service for Apache Flink、 EC2 映像建置器、 Amazon Lex、Amazon Lightsail、 Amazon Location Service、 Amazon Lookout for Equipment、 Amazon Lookout for Metrics、 Amazon Lookout for Vision、 Amazon Managed Blockchain、 Amazon MQ、 Amazon Nimble StudioAmazon Pinpoint、 Amazon Quick、 Amazon Application Recovery Controller (ARC) Amazon Route 53 Resolver、 Amazon Simple Storage Service (Amazon S3)、 Amazon SimpleDB、 Amazon Simple Email Service (Amazon SES)、 Amazon Timestream、 AWS AppConfig AWS AppSync、 AWS Auto Scaling AWS Backup、 AWS Budgets、、 AWS Cost Explorer、 AWS Cloud9 AWS Directory Service AWS DataSync、 AWS Elemental MediaPackage、 AWS Glue、 AWS IoT AWS IoT Analytics、 AWS IoT Events AWS IoT SiteWise、 AWS IoT TwinMaker、、 AWS Lake Formation AWS License Manager、、 AWS Resilience Hub、 AWS Signer和 AWS Transfer Family。 | 2022 年 9 月 7 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 appconfig:ListApplications, appflow:DescribeConnectorProfiles, appsync:GetApiCache, autoscaling-plans:DescribeScalingPlanResources, autoscaling-plans:DescribeScalingPlans, autoscaling-plans:GetScalingPlanResourceForecastData, autoscaling:DescribeWarmPool, backup:DescribeFramework, backup:DescribeReportPlan, backup:ListFrameworks, backup:ListReportPlans, budgets:DescribeBudgetAction, budgets:DescribeBudgetActionsForAccount, budgets:DescribeBudgetActionsForBudget, budgets:ViewBudget, ce:GetAnomalyMonitors, ce:GetAnomalySubscriptions, cloud9:DescribeEnvironmentMemberships, cloud9:DescribeEnvironments, cloud9:ListEnvironments, cloud9:ListTagsForResource, cloudwatch:GetMetricStream, cloudwatch:ListMetricStreams, datasync:DescribeLocationFsxWindows, devops-guru:GetResourceCollection, ds:DescribeDirectories, ec2:DescribeTrafficMirrorTargets, ec2:GetNetworkInsightsAccessScopeAnalysisFindings, ec2:GetNetworkInsightsAccessScopeContent, elasticmapreduce:DescribeStudio, elasticmapreduce:GetStudioSessionMapping, elasticmapreduce:ListStudios, elasticmapreduce:ListStudioSessionMappings, events:DescribeEndpoint, events:DescribeEventBus, events:DescribeRule, events:ListArchives, events:ListEndpoints, events:ListEventBuses, events:ListRules, events:ListTagsForResource, events:ListTargetsByRule, finspace:GetEnvironment, finspace:ListEnvironments, frauddetector:GetDetectors, frauddetector:GetDetectorVersion, frauddetector:GetEntityTypes, frauddetector:GetEventTypes, frauddetector:GetExternalModels, frauddetector:GetLabels, frauddetector:GetModels, frauddetector:GetOutcomes, frauddetector:GetVariables, frauddetector:ListTagsForResource, gamelift:DescribeAlias, gamelift:DescribeBuild, gamelift:DescribeFleetAttributes, gamelift:DescribeFleetCapacity, gamelift:DescribeFleetLocationAttributes, gamelift:DescribeFleetLocationCapacity, gamelift:DescribeFleetPortSettings, gamelift:DescribeGameServerGroup, gamelift:DescribeGameSessionQueues, gamelift:DescribeMatchmakingConfigurations, gamelift:DescribeMatchmakingRuleSets, gamelift:DescribeRuntimeConfiguration, gamelift:DescribeScript, gamelift:DescribeVpcPeeringAuthorizations, gamelift:ListAliases, gamelift:ListBuilds, gamelift:ListFleets, gamelift:ListGameServerGroups, gamelift:ListScripts, gamelift:ListTagsForResource, geo:ListMaps, glue:GetClassifier, glue:GetClassifiers, imagebuilder:GetContainerRecipe, imagebuilder:GetImage, imagebuilder:GetImagePipeline, imagebuilder:GetImageRecipe, imagebuilder:ListContainerRecipes, imagebuilder:ListImageBuildVersions, imagebuilder:ListImagePipelines, imagebuilder:ListImageRecipes, imagebuilder:ListImages, iot:DescribeCertificate, iot:DescribeDimension, iot:DescribeRoleAlias, iot:DescribeSecurityProfile, iot:GetPolicy, iot:GetTopicRule, iot:GetTopicRuleDestination, iot:ListCertificates, iot:ListDimensions, iot:ListPolicies, iot:ListRoleAliases, iot:ListSecurityProfiles, iot:ListSecurityProfilesForTarget, iot:ListTagsForResource, iot:ListTargetsForSecurityProfile, iot:ListTopicRuleDestinations, iot:ListTopicRules, iot:ListV2LoggingLevels, iot:ValidateSecurityProfileBehaviors, iotanalytics:DescribeChannel, iotanalytics:DescribeDataset, iotanalytics:DescribeDatastore, iotanalytics:DescribePipeline, iotanalytics:ListChannels, iotanalytics:ListDatasets, iotanalytics:ListDatastores, iotanalytics:ListPipelines, iotanalytics:ListTagsForResource, iotevents:DescribeAlarmModel, iotevents:DescribeDetectorModel, iotevents:DescribeInput, iotevents:ListAlarmModels, iotevents:ListDetectorModels, iotevents:ListInputs, iotevents:ListTagsForResource, iotsitewise:DescribeAccessPolicy, iotsitewise:DescribeAsset, iotsitewise:ListAccessPolicies, iotsitewise:ListAssets, iottwinmaker:GetEntity, iottwinmaker:GetScene, iottwinmaker:GetWorkspace, iottwinmaker:ListEntities, iottwinmaker:ListScenes, iottwinmaker:ListTagsForResource, iottwinmaker:ListWorkspaces, ivs:GetPlaybackKeyPair, ivs:GetRecordingConfiguration, ivs:GetStreamKey, ivs:ListChannels, ivs:ListPlaybackKeyPairs, ivs:ListRecordingConfigurations, ivs:ListStreamKeys, ivs:ListTagsForResource, kinesisanalytics:ListApplications, lakeformation:DescribeResource, lakeformation:GetDataLakeSettings, lakeformation:ListPermissions, lakeformation:ListResources, lex:DescribeBot, lex:DescribeBotAlias, lex:DescribeResourcePolicy, lex:ListBotAliases, lex:ListBotLocales, lex:ListBots, lex:ListTagsForResource, license-manager:GetGrant, license-manager:GetLicense, license-manager:ListDistributedGrants, license-manager:ListLicenses, license-manager:ListReceivedGrants, lightsail:GetAlarms, lightsail:GetBuckets, lightsail:GetCertificates, lightsail:GetDisk, lightsail:GetDisks, lightsail:GetInstance, lightsail:GetInstances, lightsail:GetKeyPair, lightsail:GetLoadBalancer, lightsail:GetLoadBalancers, lightsail:GetLoadBalancerTlsCertificates, lightsail:GetStaticIp, lightsail:GetStaticIps, lookoutequipment:DescribeInferenceScheduler, lookoutequipment:ListTagsForResource, lookoutmetrics:DescribeAlert, lookoutmetrics:DescribeAnomalyDetector, lookoutmetrics:ListAlerts, lookoutmetrics:ListAnomalyDetectors, lookoutmetrics:ListMetricSets, lookoutmetrics:ListTagsForResource, lookoutvision:DescribeProject, lookoutvision:ListProjects, managedblockchain:GetMember, managedblockchain:GetNetwork, managedblockchain:GetNode, managedblockchain:ListInvitations, managedblockchain:ListMembers, managedblockchain:ListNodes, mediapackage-vod:DescribePackagingGroup, mediapackage-vod:ListPackagingGroups, mediapackage-vod:ListTagsForResource, mobiletargeting:GetInAppTemplate, mobiletargeting:ListTemplates, mq:DescribeBroker, mq:ListBrokers, nimble:GetLaunchProfile, nimble:GetLaunchProfileDetails, nimble:GetStreamingImage, nimble:GetStudio, nimble:GetStudioComponent, nimble:ListLaunchProfiles, nimble:ListStreamingImages, nimble:ListStudioComponents, nimble:ListStudios, profile:GetDomain, profile:GetIntegration, profile:GetProfileObjectType, profile:ListDomains, profile:ListIntegrations, profile:ListProfileObjectTypes, profile:ListTagsForResource, quicksight:DescribeAnalysis, quicksight:DescribeAnalysisPermissions, quicksight:DescribeDataSet, quicksight:DescribeDataSetPermissions, quicksight:DescribeTheme, quicksight:DescribeThemePermissions, quicksight:ListAnalyses, quicksight:ListDataSets, quicksight:ListThemes, resiliencehub:DescribeApp, resiliencehub:DescribeAppVersionTemplate, resiliencehub:DescribeResiliencyPolicy, resiliencehub:ListApps, resiliencehub:ListAppVersionResourceMappings, resiliencehub:ListResiliencyPolicies, route53-recovery-readiness:GetCell, route53-recovery-readiness:GetReadinessCheck, route53-recovery-readiness:GetRecoveryGroup, route53-recovery-readiness:GetResourceSet, route53-recovery-readiness:ListCells, route53-recovery-readiness:ListReadinessChecks, route53-recovery-readiness:ListRecoveryGroups, route53-recovery-readiness:ListResourceSets, route53resolver:GetFirewallDomainList, route53resolver:GetFirewallRuleGroup, route53resolver:GetFirewallRuleGroupAssociation, route53resolver:GetResolverQueryLogConfig, route53resolver:ListFirewallDomainLists, route53resolver:ListFirewallDomains, route53resolver:ListFirewallRuleGroupAssociations, route53resolver:ListFirewallRuleGroups, route53resolver:ListFirewallRules, route53resolver:ListResolverQueryLogConfigs, rum:GetAppMonitor, rum:GetAppMonitorData, rum:ListAppMonitors, rum:ListTagsForResource, s3-outposts:GetAccessPoint, s3-outposts:GetAccessPointPolicy, s3-outposts:GetBucket, s3-outposts:GetBucketPolicy, s3-outposts:GetBucketTagging, s3-outposts:GetLifecycleConfiguration, s3-outposts:ListAccessPoints, s3-outposts:ListEndpoints, s3-outposts:ListRegionalBuckets, schemas:DescribeDiscoverer, schemas:DescribeRegistry, schemas:DescribeSchema, schemas:ListDiscoverers, schemas:ListRegistries, schemas:ListSchemas, sdb:GetAttributes, sdb:ListDomains, ses:ListEmailTemplates, ses:ListReceiptFilters, ses:ListReceiptRuleSets, ses:ListTemplates, signer:GetSigningProfile, signer:ListProfilePermissions, signer:ListSigningProfiles, synthetics:DescribeCanaries, synthetics:DescribeCanariesLastRun, synthetics:DescribeRuntimeVersions, synthetics:GetCanary, synthetics:GetCanaryRuns, synthetics:ListTagsForResource, timestream:DescribeDatabase, timestream:DescribeTable, timestream:ListDatabases, timestream:ListTables, timestream:ListTagsForResource, transfer:DescribeServer, transfer:DescribeUser, transfer:DescribeWorkflow, transfer:ListServers, transfer:ListUsers, transfer:ListWorkflows, voiceid:DescribeDomain, and voiceid:ListTagsForResource | 此政策現在支援 Amazon AppFlow 的其他許可， Amazon CloudWatch、 Amazon CloudWatch RUM、 Amazon CloudWatch Synthetics、 Amazon Connect 客戶設定檔、 Amazon Connect Voice ID、 Amazon DevOps Guru、 Amazon Elastic Compute Cloud (Amazon EC2)， Amazon EC2 Auto Scaling、 Amazon EMR、 Amazon EventBridge、 Amazon EventBridge 結構描述 Amazon FinSpace、 Amazon Fraud Detector、 Amazon GameLift 伺服器、 Amazon Interactive Video Service (Amazon IVS)， Amazon Managed Service for Apache Flink、 EC2 映像建置器、 Amazon Lex、Amazon Lightsail、 Amazon Location Service、 Amazon Lookout for Equipment、 Amazon Lookout for Metrics、 Amazon Lookout for Vision、 Amazon Managed Blockchain、 Amazon MQ、 Amazon Nimble StudioAmazon Pinpoint、 Amazon Quick、 Amazon Application Recovery Controller (ARC) Amazon Route 53 Resolver、 Amazon Simple Storage Service (Amazon S3)、 Amazon SimpleDB、 Amazon Simple Email Service (Amazon SES)、 Amazon Timestream、 AWS AppConfig AWS AppSync、 AWS Auto Scaling AWS Backup、 AWS Budgets、、 AWS Cost Explorer、 AWS Cloud9 AWS Directory Service AWS DataSync、 AWS Elemental MediaPackage、 AWS Glue、 AWS IoT AWS IoT Analytics、 AWS IoT Events AWS IoT SiteWise、 AWS IoT TwinMaker、、 AWS Lake Formation AWS License Manager、、 AWS Resilience Hub、 AWS Signer和 AWS Transfer Family | 2022 年 9 月 7 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 airflow:ListTagsForResource, iot:ListCustomMetrics, iot:DescribeCustomMetric, appstream:DescribeDirectoryConfigs, appstream:ListTagsForResource, codeguru-reviewer:DescribeRepositoryAssociation, codeguru-reviewer:ListRepositoryAssociations, healthlake:ListFHIRDatastores, healthlake:DescribeFHIRDatastore, healthlake:ListTagsForResource, kinesisvideo:DescribeStream, kinesisvideo:ListStreams, kinesisvideo:ListTagsForStream, kinesisvideo:DescribeSignalingChannel, kinesisvideo:ListTagsForResource, kinesisvideo:ListSignalingChannels, route53-recovery-control-config:DescribeCluster, route53-recovery-control-config:DescribeRoutingControl, route53-recovery-control-config:DescribeSafetyRule, route53-recovery-control-config:ListClusters, route53-recovery-control-config:ListRoutingControls, route53-recovery-control-config:ListSafetyRules, devicefarm:GetTestGridProject, devicefarm:ListTestGridProjects, ec2:DescribeCapacityReservationFleets, ec2:DescribeIpamPools, ec2:DescribeIpams, ec2:GetInstanceTypesFromInstanceRequirement, mobiletargeting:GetApplicationSettings, mobiletargeting:ListTagsForResource, ecr:BatchGetRepositoryScanningConfiguration, iam:ListServerCertificates, guardduty:ListPublishingDestinations, guardduty:DescribePublishingDestination, logs:GetLogDelivery, and logs:ListLogDeliveries | 此政策現在支援 Amazon Managed Workflows for Apache Airflow AWS IoT、Amazon WorkSpaces 應用程式、Amazon CodeGuru Reviewer AWS HealthLake、Amazon Kinesis Video Streams、Amazon Application Recovery Controller (ARC) AWS Device Farm、Amazon Elastic Compute Cloud (Amazon EC2)、Amazon Pinpoint、 AWS Identity and Access Management (IAM)、Amazon GuardDuty 和 Amazon CloudWatch Logs 的其他許可。 | 2023 年 2 月 1 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 airflow:ListTagsForResource, iot:ListCustomMetrics, iot:DescribeCustomMetric, appstream:DescribeDirectoryConfigs, appstream:ListTagsForResource, codeguru-reviewer:DescribeRepositoryAssociation, codeguru-reviewer:ListRepositoryAssociations, healthlake:ListFHIRDatastores, healthlake:DescribeFHIRDatastore, healthlake:ListTagsForResource, kinesisvideo:DescribeStream, kinesisvideo:ListStreams, kinesisvideo:ListTagsForStream, kinesisvideo:DescribeSignalingChannel, kinesisvideo:ListTagsForResource, kinesisvideo:ListSignalingChannels, route53-recovery-control-config:DescribeCluster, route53-recovery-control-config:DescribeRoutingControl, route53-recovery-control-config:DescribeSafetyRule, route53-recovery-control-config:ListClusters, route53-recovery-control-config:ListRoutingControls, route53-recovery-control-config:ListSafetyRules, devicefarm:GetTestGridProject, devicefarm:ListTestGridProjects, ec2:DescribeCapacityReservationFleets, ec2:DescribeIpamPools, ec2:DescribeIpams, ec2:GetInstanceTypesFromInstanceRequirement, mobiletargeting:GetApplicationSettings, mobiletargeting:ListTagsForResource, ecr:BatchGetRepositoryScanningConfiguration, iam:ListServerCertificates, guardduty:ListPublishingDestinations, guardduty:DescribePublishingDestination, logs:GetLogDelivery, and logs:ListLogDeliveries | 此政策現在支援 Amazon Managed Workflows for Apache Airflow AWS IoT、Amazon WorkSpaces 應用程式、Amazon CodeGuru Reviewer、 AWS HealthLake、Amazon Kinesis Video Streams、Amazon Application Recovery Controller (ARC) AWS Device Farm、Amazon Elastic Compute Cloud (Amazon EC2)、Amazon Pinpoint、 AWS Identity and Access Management (IAM)、Amazon GuardDuty 和 Amazon CloudWatch Logs 的其他許可。 | 2023 年 2 月 1 日 |
| [ConfigConformsServiceRolePolicy](#security-iam-awsmanpol-ConfigConformsServiceRolePolicy) – 更新 config:DescribeConfigRules | 作為安全最佳實務，此政策現可移除 `config:DescribeConfigRules` 的廣泛資源層級許可。 | 2023 年 1 月 12 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 APS:DescribeRuleGroupsNamespace, APS:DescribeWorkspace, APS:ListWorkspaces, auditmanager:GetAssessment, auditmanager:ListAssessments, devicefarm:GetNetworkProfile, AWS Transfer Family devicefarm:GetProject, devicefarm:ListNetworkProfiles, devicefarm:ListTagsForResource, dms:DescribeEndpoints, ds:ListTagsForResource, ec2:DescribeTags, ec2:DescribeTrafficMirrorSessions, ec2:DescribeTrafficMirrorTargets, ec2:GetIpamPoolAllocations, ec2:GetIpamPoolCidrs, glue:GetMLTransform, glue:GetMLTransforms, glue:ListMLTransforms, iot:DescribeScheduledAudit, iot:ListScheduledAudits, ivs:GetChannel, lightsail:GetRelationalDatabases, mediapackage-vod:DescribePackagingConfiguration, mediapackage-vod:ListPackagingConfigurations, networkmanager:DescribeGlobalNetworks, networkmanager:GetTransitGatewayRegistrations, networkmanager:ListTagsForResource, quicksight:DescribeDashboard, quicksight:DescribeDashboardPermissions, quicksight:DescribeTemplate, quicksight:DescribeTemplatePermissions, quicksight:ListDashboards, quicksight:ListTemplates, ram:ListResources, route53-recovery-control-config:DescribeControlPanel, route53-recovery-control-config:ListControlPanels, route53-recovery-control-config:ListTagsForResource, route53resolver:GetResolverQueryLogConfigAssociation, route53resolver:ListResolverQueryLogConfigAssociations, s3:GetAccessPointForObjectLambda, s3:GetAccessPointPolicyForObjectLambda, s3:GetAccessPointPolicyStatusForObjectLambda, s3:GetMultiRegionAccessPoint, s3:ListAccessPointsForObjectLambda, s3:ListMultiRegionAccessPoints, timestream:DescribeEndpoints, transfer:DescribeConnector, transfer:ListConnectors, and transfer:ListTagsForResource | 此政策現在支援 Amazon Managed Service for Prometheus、 AWS Audit Manager、 AWS Device Farm、 AWS Database Migration Service (AWS DMS) AWS Directory Service、Amazon Elastic Compute Cloud (Amazon EC2) AWS Glue、 AWS IoT、Amazon Lightsail、 AWS Elemental MediaPackage AWS Network Manager、、Amazon Quick、Amazon Application Recovery Controller (ARC) AWS Resource Access Manager、Amazon Simple Storage Service (Amazon S3) 和 Amazon Timestream 的其他許可。 | 2022 年 12 月 15 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 APS:DescribeRuleGroupsNamespace, APS:DescribeWorkspace, APS:ListWorkspaces, auditmanager:GetAssessment, auditmanager:ListAssessments, devicefarm:GetNetworkProfile, devicefarm:GetProject, devicefarm:ListNetworkProfiles, devicefarm:ListTagsForResource, dms:DescribeEndpoints, ds:ListTagsForResource, ec2:DescribeTags, ec2:DescribeTrafficMirrorSessions, ec2:DescribeTrafficMirrorTargets, ec2:GetIpamPoolAllocations, ec2:GetIpamPoolCidrs, glue:GetMLTransform, glue:GetMLTransforms, glue:ListMLTransforms, iot:DescribeScheduledAudit, iot:ListScheduledAudits, ivs:GetChannel, lightsail:GetRelationalDatabases, mediapackage-vod:DescribePackagingConfiguration, mediapackage-vod:ListPackagingConfigurations, networkmanager:DescribeGlobalNetworks, networkmanager:GetTransitGatewayRegistrations, networkmanager:ListTagsForResource, quicksight:DescribeDashboard, quicksight:DescribeDashboardPermissions, quicksight:DescribeTemplate, quicksight:DescribeTemplatePermissions, quicksight:ListDashboards, quicksight:ListTemplates, ram:ListResources, route53-recovery-control-config:DescribeControlPanel, route53-recovery-control-config:ListControlPanels, route53-recovery-control-config:ListTagsForResource, route53resolver:GetResolverQueryLogConfigAssociation, route53resolver:ListResolverQueryLogConfigAssociations, s3:GetAccessPointForObjectLambda, s3:GetAccessPointPolicyForObjectLambda, s3:GetAccessPointPolicyStatusForObjectLambda, s3:GetMultiRegionAccessPoint, s3:ListAccessPointsForObjectLambda, s3:ListMultiRegionAccessPoints, timestream:DescribeEndpoints, transfer:DescribeConnector, transfer:ListConnectors, and transfer:ListTagsForResource | 此政策現在支援 Amazon Managed Service for Prometheus、 AWS Audit Manager、 AWS Device Farm、 AWS Database Migration Service (AWS DMS) AWS Directory Service、Amazon Elastic Compute Cloud (Amazon EC2) AWS Glue、 AWS IoT、Amazon Lightsail、 AWS Elemental MediaPackage AWS Network Manager、、Amazon Quick、Amazon Application Recovery Controller (ARC) AWS Resource Access Manager、Amazon Simple Storage Service (Amazon S3) 和 Amazon Timestream 的其他許可。 | 2022 年 12 月 15 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 cloudformation:ListStackResources and cloudformation:ListStacks | 此政策現在授予許可，以傳回指定 AWS CloudFormation 堆疊之所有資源的描述，並傳回狀態符合指定 之堆疊的摘要資訊StackStatusFilter。 | 2022 年 11 月 7 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 cloudformation:ListStackResources and cloudformation:ListStacks | 此政策現在授予許可，以傳回指定 AWS CloudFormation 堆疊之所有資源的描述，並傳回狀態符合指定 之堆疊的摘要資訊StackStatusFilter。 | 2022 年 11 月 7 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 acm-pca:GetCertificateAuthorityCsr, acm-pca:ListCertificateAuthorities, acm-pca:ListTags, airflow:GetEnvironment, airflow:ListEnvironments, amplifyuibuilder:ListThemes, appconfig:ListConfigurationProfiles, appconfig:ListDeployments, appconfig:ListDeploymentStrategies, appconfig:ListEnvironments, appconfig:ListHostedConfigurationVersions, cassandra:Select, cloudwatch:DescribeAnomalyDetectors, cloudwatch:GetDashboard, cloudwatch:ListDashboards, connect:DescribePhoneNumber, connect:ListPhoneNumbers, connect:ListPhoneNumbersV2, connect:SearchAvailablePhoneNumbers, databrew:DescribeDataset, databrew:DescribeJob, databrew:DescribeProject, databrew:DescribeRecipe, databrew:DescribeRuleset, databrew:DescribeSchedule, databrew:ListDatasets, databrew:ListJobs, databrew:ListProjects, databrew:ListRecipes, databrew:ListRecipeVersions, databrew:ListRulesets, databrew:ListSchedules, ec2:DescribeRouteTables, eks:DescribeAddon, eks:DescribeIdentityProviderConfig, eks:ListAddons, eks:ListIdentityProviderConfigs, events:DescribeConnection, events:ListApiDestinations, events:ListConnections, fis:GetExperimentTemplate, fis:ListExperimentTemplates, frauddetector:GetRules, fsx:DescribeBackups, fsx:DescribeSnapshots, fsx:DescribeStorageVirtualMachines, gamelift:DescribeMatchmakingRuleSets, gamelift:DescribeVpcPeeringConnections, geo:ListGeofenceCollections, geo:ListPlaceIndexes, geo:ListRouteCalculators, geo:ListTrackers, iot:DescribeAccountAuditConfiguration, iot:DescribeAuthorizer, iot:DescribeDomainConfiguration, iot:DescribeMitigationAction, iot:ListAuthorizers, iot:ListDomainConfigurations, iot:ListMitigationActions, iotsitewise:DescribeAssetModel, iotsitewise:DescribeDashboard, iotsitewise:DescribeGateway, iotsitewise:DescribePortal, iotsitewise:DescribeProject, iotsitewise:ListAssetModels, iotsitewise:ListDashboards, iotsitewise:ListGateways, iotsitewise:ListPortals, iotsitewise:ListProjectAssets, iotsitewise:ListProjects, iotsitewise:ListTagsForResource, iotwireless:GetServiceProfile, iotwireless:GetWirelessDevice, iotwireless:GetWirelessGatewayTaskDefinition, iotwireless:ListServiceProfiles, iotwireless:ListTagsForResource, iotwireless:ListWirelessDevices, iotwireless:ListWirelessGatewayTaskDefinitions, lex:DescribeBotVersion, lex:ListBotVersions, lightsail:GetContainerServices, lightsail:GetDistributions, lightsail:GetRelationalDatabase, lightsail:GetRelationalDatabaseParameters, mobiletargeting:GetApps, mobiletargeting:GetCampaign, mobiletargeting:GetSegment, mobiletargeting:GetSegments, opsworks:DescribeInstances, opsworks:DescribeTimeBasedAutoScaling, opsworks:DescribeVolumes, panorama:DescribeApplicationInstance, panorama:DescribeApplicationInstanceDetails, panorama:DescribePackage, panorama:DescribePackageVersion, panorama:ListApplicationInstances, panorama:ListPackages, quicksight:ListDataSources, ram:ListResourceSharePermissions, rds:DescribeDBProxies, rds:DescribeGlobalClusters, rekognition:ListStreamProcessors, resource-groups:GetGroup, resource-groups:GetGroupConfiguration, resource-groups:GetGroupQuery, resource-groups:GetTags, resource-groups:ListGroupResources, resource-groups:ListGroups, robomaker:ListRobotApplications, robomaker:ListSimulationApplications, route53resolver:GetResolverDnssecConfig, route53resolver:ListResolverDnssecConfigs, s3:ListStorageLensConfigurations, schemas:GetResourcePolicy, servicediscovery:ListInstances, sts:GetCallerIdentity, synthetics:GetGroup, synthetics:ListAssociatedGroups, synthetics:ListGroupResources, and synthetics:ListGroups | 此政策現在支援 的其他許可 AWS Certificate Manager， Amazon Managed Workflows for Apache Airflow、 AWS Amplify、 AWS AppConfig Amazon Keyspaces、 Amazon CloudWatch、 Amazon Connect AWS Glue DataBrew、 Amazon Elastic Compute Cloud (Amazon EC2)， Amazon Elastic Kubernetes Service (Amazon EKS)， Amazon EventBridge AWS Fault Injection Service、 Amazon Fraud Detector、 Amazon FSx、 Amazon GameLift 伺服器、 Amazon Location Service AWS IoT、 Amazon Lex、Amazon Lightsail、 Amazon Pinpoint OpsWorks、 AWS Panorama、 AWS Resource Access Manager、 Amazon Quick、 Amazon Relational Database Service (Amazon RDS)， Amazon Rekognition、 AWS RoboMaker、 AWS Resource Groups Amazon Route 53、 Amazon Simple Storage Service (Amazon S3) AWS Cloud Map、 和 AWS Security Token Service。 | 2022 年 10 月 19 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 acm-pca:GetCertificateAuthorityCsr, acm-pca:ListCertificateAuthorities, acm-pca:ListTags, airflow:GetEnvironment, airflow:ListEnvironments, amplifyuibuilder:ListThemes, appconfig:ListConfigurationProfiles, appconfig:ListDeployments, appconfig:ListDeploymentStrategies, appconfig:ListEnvironments, appconfig:ListHostedConfigurationVersions, cassandra:Select, cloudwatch:DescribeAnomalyDetectors, cloudwatch:GetDashboard, cloudwatch:ListDashboards, connect:DescribePhoneNumber, connect:ListPhoneNumbers, connect:ListPhoneNumbersV2, connect:SearchAvailablePhoneNumbers, databrew:DescribeDataset, databrew:DescribeJob, databrew:DescribeProject, databrew:DescribeRecipe, databrew:DescribeRuleset, databrew:DescribeSchedule, databrew:ListDatasets, databrew:ListJobs, databrew:ListProjects, databrew:ListRecipes, databrew:ListRecipeVersions, databrew:ListRulesets, databrew:ListSchedules, ec2:DescribeRouteTables, eks:DescribeAddon, eks:DescribeIdentityProviderConfig, eks:ListAddons, eks:ListIdentityProviderConfigs, events:DescribeConnection, events:ListApiDestinations, events:ListConnections, fis:GetExperimentTemplate, fis:ListExperimentTemplates, frauddetector:GetRules, fsx:DescribeBackups, fsx:DescribeSnapshots, fsx:DescribeStorageVirtualMachines, gamelift:DescribeMatchmakingRuleSets, gamelift:DescribeVpcPeeringConnections, geo:ListGeofenceCollections, geo:ListPlaceIndexes, geo:ListRouteCalculators, geo:ListTrackers, iot:DescribeAccountAuditConfiguration, iot:DescribeAuthorizer, iot:DescribeDomainConfiguration, iot:DescribeMitigationAction, iot:ListAuthorizers, iot:ListDomainConfigurations, iot:ListMitigationActions, iotsitewise:DescribeAssetModel, iotsitewise:DescribeDashboard, iotsitewise:DescribeGateway, iotsitewise:DescribePortal, iotsitewise:DescribeProject, iotsitewise:ListAssetModels, iotsitewise:ListDashboards, iotsitewise:ListGateways, iotsitewise:ListPortals, iotsitewise:ListProjectAssets, iotsitewise:ListProjects, iotsitewise:ListTagsForResource, iotwireless:GetServiceProfile, iotwireless:GetWirelessDevice, iotwireless:GetWirelessGatewayTaskDefinition, iotwireless:ListServiceProfiles, iotwireless:ListTagsForResource, iotwireless:ListWirelessDevices, iotwireless:ListWirelessGatewayTaskDefinitions, lex:DescribeBotVersion, lex:ListBotVersions, lightsail:GetContainerServices, lightsail:GetDistributions, lightsail:GetRelationalDatabase, lightsail:GetRelationalDatabaseParameters, mobiletargeting:GetApps, mobiletargeting:GetCampaign, mobiletargeting:GetSegment, mobiletargeting:GetSegments, opsworks:DescribeInstances, opsworks:DescribeTimeBasedAutoScaling, opsworks:DescribeVolumes, panorama:DescribeApplicationInstance, panorama:DescribeApplicationInstanceDetails, panorama:DescribePackage, panorama:DescribePackageVersion, panorama:ListApplicationInstances, panorama:ListPackages, quicksight:ListDataSources, ram:ListResourceSharePermissions, rds:DescribeDBProxies, rds:DescribeGlobalClusters, rekognition:ListStreamProcessors, resource-groups:GetGroup, resource-groups:GetGroupConfiguration, resource-groups:GetGroupQuery, resource-groups:GetTags, resource-groups:ListGroupResources, resource-groups:ListGroups, robomaker:ListRobotApplications, robomaker:ListSimulationApplications, route53resolver:GetResolverDnssecConfig, route53resolver:ListResolverDnssecConfigs, s3:ListStorageLensConfigurations, schemas:GetResourcePolicy, servicediscovery:ListInstances, sts:GetCallerIdentity, synthetics:GetGroup, synthetics:ListAssociatedGroups, synthetics:ListGroupResources, and synthetics:ListGroups | 此政策現在支援 的其他許可 AWS Certificate Manager， Amazon Managed Workflows for Apache Airflow、 AWS Amplify、 AWS AppConfig Amazon Keyspaces、 Amazon CloudWatch、 Amazon Connect AWS Glue DataBrew、 Amazon Elastic Compute Cloud (Amazon EC2)， Amazon Elastic Kubernetes Service (Amazon EKS)， Amazon EventBridge AWS Fault Injection Service、 Amazon Fraud Detector、 Amazon FSx、 Amazon GameLift 伺服器、 Amazon Location Service AWS IoT、 Amazon Lex、Amazon Lightsail、 Amazon Pinpoint OpsWorks、 AWS Panorama、 AWS Resource Access Manager、 Amazon Quick、 Amazon Relational Database Service (Amazon RDS)， Amazon Rekognition、 AWS RoboMaker、 AWS Resource Groups Amazon Route 53、 Amazon Simple Storage Service (Amazon S3) AWS Cloud Map、 和 AWS Security Token Service。 | 2022 年 10 月 19 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 Glue::GetTable | 此政策現在授予許可，以擷取指定 AWS Glue 資料表之 Data Catalog 中的資料表定義。 | 2022 年 9 月 14 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 Glue::GetTable | 此政策現在授予許可，以擷取指定 AWS Glue 資料表之 Data Catalog 中的資料表定義。 | 2022 年 9 月 14 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 appconfig:ListApplications, appflow:DescribeConnectorProfiles, appsync:GetApiCache, autoscaling-plans:DescribeScalingPlanResources, autoscaling-plans:DescribeScalingPlans, autoscaling-plans:GetScalingPlanResourceForecastData, autoscaling:DescribeWarmPool, backup:DescribeFramework, backup:DescribeReportPlan, backup:ListFrameworks, backup:ListReportPlans, budgets:DescribeBudgetAction, budgets:DescribeBudgetActionsForAccount, budgets:DescribeBudgetActionsForBudget, budgets:ViewBudget, ce:GetAnomalyMonitors, ce:GetAnomalySubscriptions, cloud9:DescribeEnvironmentMemberships, cloud9:DescribeEnvironments, cloud9:ListEnvironments, cloud9:ListTagsForResource, cloudwatch:GetMetricStream, cloudwatch:ListMetricStreams, datasync:DescribeLocationFsxWindows, devops-guru:GetResourceCollection, ds:DescribeDirectories, ec2:DescribeTrafficMirrorFilters, ec2:DescribeTrafficMirrorTargets, ec2:GetNetworkInsightsAccessScopeAnalysisFindings, ec2:GetNetworkInsightsAccessScopeContent, elasticmapreduce:DescribeStudio, elasticmapreduce:GetStudioSessionMapping, elasticmapreduce:ListStudios, elasticmapreduce:ListStudioSessionMappings, events:DescribeEndpoint, events:DescribeEventBus, events:DescribeRule, events:ListArchives, events:ListEndpoints, events:ListEventBuses, events:ListRules, events:ListTagsForResource, events:ListTargetsByRule, finspace:GetEnvironment, finspace:ListEnvironments, frauddetector:GetDetectors, frauddetector:GetDetectorVersion, frauddetector:GetEntityTypes, frauddetector:GetEventTypes, frauddetector:GetExternalModels, frauddetector:GetLabels, frauddetector:GetModels, frauddetector:GetOutcomes, frauddetector:GetVariables, frauddetector:ListTagsForResource, gamelift:DescribeAlias, gamelift:DescribeBuild, gamelift:DescribeFleetAttributes, gamelift:DescribeFleetCapacity, gamelift:DescribeFleetLocationAttributes, gamelift:DescribeFleetLocationCapacity, gamelift:DescribeFleetPortSettings, gamelift:DescribeGameServerGroup, gamelift:DescribeGameSessionQueues, gamelift:DescribeMatchmakingConfigurations, gamelift:DescribeMatchmakingRuleSets, gamelift:DescribeRuntimeConfiguration, gamelift:DescribeScript, gamelift:DescribeVpcPeeringAuthorizations, gamelift:ListAliases, gamelift:ListBuilds, gamelift:ListFleets, gamelift:ListGameServerGroups, gamelift:ListScripts, gamelift:ListTagsForResource, geo:ListMaps, glue:GetClassifier, glue:GetClassifiers, imagebuilder:GetContainerRecipe, imagebuilder:GetImage, imagebuilder:GetImagePipeline, imagebuilder:GetImageRecipe, imagebuilder:ListContainerRecipes, imagebuilder:ListImageBuildVersions, imagebuilder:ListImagePipelines, imagebuilder:ListImageRecipes, imagebuilder:ListImages, iot:DescribeCertificate, iot:DescribeDimension, iot:DescribeRoleAlias, iot:DescribeSecurityProfile, iot:GetPolicy, iot:GetTopicRule, iot:GetTopicRuleDestination, iot:ListCertificates, iot:ListDimensions, iot:ListPolicies, iot:ListRoleAliases, iot:ListSecurityProfiles, iot:ListSecurityProfilesForTarget, iot:ListTagsForResource, iot:ListTargetsForSecurityProfile, iot:ListTopicRuleDestinations, iot:ListTopicRules, iot:ListV2LoggingLevels, iot:ValidateSecurityProfileBehaviors, iotanalytics:DescribeChannel, iotanalytics:DescribeDataset, iotanalytics:DescribeDatastore, iotanalytics:DescribePipeline, iotanalytics:ListChannels, iotanalytics:ListDatasets, iotanalytics:ListDatastores, iotanalytics:ListPipelines, iotanalytics:ListTagsForResource, iotevents:DescribeAlarmModel, iotevents:DescribeDetectorModel, iotevents:DescribeInput, iotevents:ListAlarmModels, iotevents:ListDetectorModels, iotevents:ListInputs, iotevents:ListTagsForResource, iotsitewise:DescribeAccessPolicy, iotsitewise:DescribeAsset, iotsitewise:ListAccessPolicies, iotsitewise:ListAssets, iottwinmaker:GetEntity, iottwinmaker:GetScene, iottwinmaker:GetWorkspace, iottwinmaker:ListEntities, iottwinmaker:ListScenes, iottwinmaker:ListTagsForResource, iottwinmaker:ListWorkspaces, ivs:GetPlaybackKeyPair, ivs:GetRecordingConfiguration, ivs:GetStreamKey, ivs:ListChannels, ivs:ListPlaybackKeyPairs, ivs:ListRecordingConfigurations, ivs:ListStreamKeys, ivs:ListTagsForResource, kinesisanalytics:ListApplications, lakeformation:DescribeResource, lakeformation:GetDataLakeSettings, lakeformation:ListPermissions, lakeformation:ListResources, lex:DescribeBot, lex:DescribeBotAlias, lex:DescribeResourcePolicy, lex:ListBotAliases, lex:ListBotLocales, lex:ListBots, lex:ListTagsForResource, license-manager:GetGrant, license-manager:GetLicense, license-manager:ListDistributedGrants, license-manager:ListLicenses, license-manager:ListReceivedGrants, lightsail:GetAlarms, lightsail:GetBuckets, lightsail:GetCertificates, lightsail:GetDisk, lightsail:GetDisks, lightsail:GetInstance, lightsail:GetInstances, lightsail:GetKeyPair, lightsail:GetLoadBalancer, lightsail:GetLoadBalancers, lightsail:GetLoadBalancerTlsCertificates, lightsail:GetStaticIp, lightsail:GetStaticIps, lookoutequipment:DescribeInferenceScheduler, lookoutequipment:ListTagsForResource, lookoutmetrics:DescribeAlert, lookoutmetrics:DescribeAnomalyDetector, lookoutmetrics:ListAlerts, lookoutmetrics:ListAnomalyDetectors, lookoutmetrics:ListMetricSets, lookoutmetrics:ListTagsForResource, lookoutvision:DescribeProject, lookoutvision:ListProjects, managedblockchain:GetMember, managedblockchain:GetNetwork, managedblockchain:GetNode, managedblockchain:ListInvitations, managedblockchain:ListMembers, managedblockchain:ListNodes, mediapackage-vod:DescribePackagingGroup, mediapackage-vod:ListPackagingGroups, mediapackage-vod:ListTagsForResource, mobiletargeting:GetInAppTemplate, mobiletargeting:ListTemplates, mq:DescribeBroker, mq:ListBrokers, nimble:GetLaunchProfile, nimble:GetLaunchProfileDetails, nimble:GetStreamingImage, nimble:GetStudio, nimble:GetStudioComponent, nimble:ListLaunchProfiles, nimble:ListStreamingImages, nimble:ListStudioComponents, nimble:ListStudios, profile:GetDomain, profile:GetIntegration, profile:GetProfileObjectType, profile:ListDomains, profile:ListIntegrations, profile:ListProfileObjectTypes, profile:ListTagsForResource, quicksight:DescribeAnalysis, quicksight:DescribeAnalysisPermissions, quicksight:DescribeDataSet, quicksight:DescribeDataSetPermissions, quicksight:DescribeTheme, quicksight:DescribeThemePermissions, quicksight:ListAnalyses, quicksight:ListDataSets, quicksight:ListThemes, resiliencehub:DescribeApp, resiliencehub:DescribeAppVersionTemplate, resiliencehub:DescribeResiliencyPolicy, resiliencehub:ListApps, resiliencehub:ListAppVersionResourceMappings, resiliencehub:ListResiliencyPolicies, route53-recovery-readiness:GetCell, route53-recovery-readiness:GetReadinessCheck, route53-recovery-readiness:GetRecoveryGroup, route53-recovery-readiness:GetResourceSet, route53-recovery-readiness:ListCells, route53-recovery-readiness:ListReadinessChecks, route53-recovery-readiness:ListRecoveryGroups, route53-recovery-readiness:ListResourceSets, route53resolver:GetFirewallDomainList, route53resolver:GetFirewallRuleGroup, route53resolver:GetFirewallRuleGroupAssociation, route53resolver:GetResolverQueryLogConfig, route53resolver:ListFirewallDomainLists, route53resolver:ListFirewallDomains, route53resolver:ListFirewallRuleGroupAssociations, route53resolver:ListFirewallRuleGroups, route53resolver:ListFirewallRules, route53resolver:ListResolverQueryLogConfigs, rum:GetAppMonitor, rum:GetAppMonitorData, rum:ListAppMonitors, rum:ListTagsForResource, s3-outposts:GetAccessPoint, s3-outposts:GetAccessPointPolicy, s3-outposts:GetBucket, s3-outposts:GetBucketPolicy, s3-outposts:GetBucketTagging, s3-outposts:GetLifecycleConfiguration, s3-outposts:ListAccessPoints, s3-outposts:ListEndpoints, s3-outposts:ListRegionalBuckets, schemas:DescribeDiscoverer, schemas:DescribeRegistry, schemas:DescribeSchema, schemas:ListDiscoverers, schemas:ListRegistries, schemas:ListSchemas, sdb:GetAttributes, sdb:ListDomains, ses:ListEmailTemplates, ses:ListReceiptFilters, ses:ListReceiptRuleSets, ses:ListTemplates, signer:GetSigningProfile, signer:ListProfilePermissions, signer:ListSigningProfiles, synthetics:DescribeCanaries, synthetics:DescribeCanariesLastRun, synthetics:DescribeRuntimeVersions, synthetics:GetCanary, synthetics:GetCanaryRuns, synthetics:ListTagsForResource, timestream:DescribeDatabase, timestream:DescribeTable, timestream:ListDatabases, timestream:ListTables, timestream:ListTagsForResource, transfer:DescribeServer, transfer:DescribeUser, transfer:DescribeWorkflow, transfer:ListServers, transfer:ListUsers, transfer:ListWorkflows, voiceid:DescribeDomain, and voiceid:ListTagsForResource | 此政策現在支援 Amazon AppFlow 的其他許可， Amazon CloudWatch、 Amazon CloudWatch RUM、 Amazon CloudWatch Synthetics、 Amazon Connect 客戶設定檔、 Amazon Connect Voice ID、 Amazon DevOps Guru、 Amazon Elastic Compute Cloud (Amazon EC2)， Amazon EC2 Auto Scaling、 Amazon EMR、 Amazon EventBridge、 Amazon EventBridge 結構描述 Amazon FinSpace、 Amazon Fraud Detector、 Amazon GameLift 伺服器、 Amazon Interactive Video Service (Amazon IVS)， Amazon Managed Service for Apache Flink、 EC2 映像建置器、 Amazon Lex、Amazon Lightsail、 Amazon Location Service、 Amazon Lookout for Equipment、 Amazon Lookout for Metrics、 Amazon Lookout for Vision、 Amazon Managed Blockchain、 Amazon MQ、 Amazon Nimble StudioAmazon Pinpoint、 Amazon Quick、 Amazon Application Recovery Controller (ARC) Amazon Route 53 Resolver、 Amazon Simple Storage Service (Amazon S3)、 Amazon SimpleDB、 Amazon Simple Email Service (Amazon SES)、 Amazon Timestream、 AWS AppConfig AWS AppSync、 AWS Auto Scaling AWS Backup、 AWS Budgets、、 AWS Cost Explorer、 AWS Cloud9 AWS Directory Service AWS DataSync、 AWS Elemental MediaPackage、 AWS Glue、 AWS IoT AWS IoT Analytics、 AWS IoT Events AWS IoT SiteWise、 AWS IoT TwinMaker、、 AWS Lake Formation AWS License Manager、、 AWS Resilience Hub、 AWS Signer和 AWS Transfer Family。 | 2022 年 9 月 7 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 appconfig:ListApplications, appflow:DescribeConnectorProfiles, appsync:GetApiCache, autoscaling-plans:DescribeScalingPlanResources, autoscaling-plans:DescribeScalingPlans, autoscaling-plans:GetScalingPlanResourceForecastData, autoscaling:DescribeWarmPool, backup:DescribeFramework, backup:DescribeReportPlan, backup:ListFrameworks, backup:ListReportPlans, budgets:DescribeBudgetAction, budgets:DescribeBudgetActionsForAccount, budgets:DescribeBudgetActionsForBudget, budgets:ViewBudget, ce:GetAnomalyMonitors, ce:GetAnomalySubscriptions, cloud9:DescribeEnvironmentMemberships, cloud9:DescribeEnvironments, cloud9:ListEnvironments, cloud9:ListTagsForResource, cloudwatch:GetMetricStream, cloudwatch:ListMetricStreams, datasync:DescribeLocationFsxWindows, devops-guru:GetResourceCollection, ds:DescribeDirectories, ec2:DescribeTrafficMirrorTargets, ec2:GetNetworkInsightsAccessScopeAnalysisFindings, ec2:GetNetworkInsightsAccessScopeContent, elasticmapreduce:DescribeStudio, elasticmapreduce:GetStudioSessionMapping, elasticmapreduce:ListStudios, elasticmapreduce:ListStudioSessionMappings, events:DescribeEndpoint, events:DescribeEventBus, events:DescribeRule, events:ListArchives, events:ListEndpoints, events:ListEventBuses, events:ListRules, events:ListTagsForResource, events:ListTargetsByRule, finspace:GetEnvironment, finspace:ListEnvironments, frauddetector:GetDetectors, frauddetector:GetDetectorVersion, frauddetector:GetEntityTypes, frauddetector:GetEventTypes, frauddetector:GetExternalModels, frauddetector:GetLabels, frauddetector:GetModels, frauddetector:GetOutcomes, frauddetector:GetVariables, frauddetector:ListTagsForResource, gamelift:DescribeAlias, gamelift:DescribeBuild, gamelift:DescribeFleetAttributes, gamelift:DescribeFleetCapacity, gamelift:DescribeFleetLocationAttributes, gamelift:DescribeFleetLocationCapacity, gamelift:DescribeFleetPortSettings, gamelift:DescribeGameServerGroup, gamelift:DescribeGameSessionQueues, gamelift:DescribeMatchmakingConfigurations, gamelift:DescribeMatchmakingRuleSets, gamelift:DescribeRuntimeConfiguration, gamelift:DescribeScript, gamelift:DescribeVpcPeeringAuthorizations, gamelift:ListAliases, gamelift:ListBuilds, gamelift:ListFleets, gamelift:ListGameServerGroups, gamelift:ListScripts, gamelift:ListTagsForResource, geo:ListMaps, glue:GetClassifier, glue:GetClassifiers, imagebuilder:GetContainerRecipe, imagebuilder:GetImage, imagebuilder:GetImagePipeline, imagebuilder:GetImageRecipe, imagebuilder:ListContainerRecipes, imagebuilder:ListImageBuildVersions, imagebuilder:ListImagePipelines, imagebuilder:ListImageRecipes, imagebuilder:ListImages, iot:DescribeCertificate, iot:DescribeDimension, iot:DescribeRoleAlias, iot:DescribeSecurityProfile, iot:GetPolicy, iot:GetTopicRule, iot:GetTopicRuleDestination, iot:ListCertificates, iot:ListDimensions, iot:ListPolicies, iot:ListRoleAliases, iot:ListSecurityProfiles, iot:ListSecurityProfilesForTarget, iot:ListTagsForResource, iot:ListTargetsForSecurityProfile, iot:ListTopicRuleDestinations, iot:ListTopicRules, iot:ListV2LoggingLevels, iot:ValidateSecurityProfileBehaviors, iotanalytics:DescribeChannel, iotanalytics:DescribeDataset, iotanalytics:DescribeDatastore, iotanalytics:DescribePipeline, iotanalytics:ListChannels, iotanalytics:ListDatasets, iotanalytics:ListDatastores, iotanalytics:ListPipelines, iotanalytics:ListTagsForResource, iotevents:DescribeAlarmModel, iotevents:DescribeDetectorModel, iotevents:DescribeInput, iotevents:ListAlarmModels, iotevents:ListDetectorModels, iotevents:ListInputs, iotevents:ListTagsForResource, iotsitewise:DescribeAccessPolicy, iotsitewise:DescribeAsset, iotsitewise:ListAccessPolicies, iotsitewise:ListAssets, iottwinmaker:GetEntity, iottwinmaker:GetScene, iottwinmaker:GetWorkspace, iottwinmaker:ListEntities, iottwinmaker:ListScenes, iottwinmaker:ListTagsForResource, iottwinmaker:ListWorkspaces, ivs:GetPlaybackKeyPair, ivs:GetRecordingConfiguration, ivs:GetStreamKey, ivs:ListChannels, ivs:ListPlaybackKeyPairs, ivs:ListRecordingConfigurations, ivs:ListStreamKeys, ivs:ListTagsForResource, kinesisanalytics:ListApplications, lakeformation:DescribeResource, lakeformation:GetDataLakeSettings, lakeformation:ListPermissions, lakeformation:ListResources, lex:DescribeBot, lex:DescribeBotAlias, lex:DescribeResourcePolicy, lex:ListBotAliases, lex:ListBotLocales, lex:ListBots, lex:ListTagsForResource, license-manager:GetGrant, license-manager:GetLicense, license-manager:ListDistributedGrants, license-manager:ListLicenses, license-manager:ListReceivedGrants, lightsail:GetAlarms, lightsail:GetBuckets, lightsail:GetCertificates, lightsail:GetDisk, lightsail:GetDisks, lightsail:GetInstance, lightsail:GetInstances, lightsail:GetKeyPair, lightsail:GetLoadBalancer, lightsail:GetLoadBalancers, lightsail:GetLoadBalancerTlsCertificates, lightsail:GetStaticIp, lightsail:GetStaticIps, lookoutequipment:DescribeInferenceScheduler, lookoutequipment:ListTagsForResource, lookoutmetrics:DescribeAlert, lookoutmetrics:DescribeAnomalyDetector, lookoutmetrics:ListAlerts, lookoutmetrics:ListAnomalyDetectors, lookoutmetrics:ListMetricSets, lookoutmetrics:ListTagsForResource, lookoutvision:DescribeProject, lookoutvision:ListProjects, managedblockchain:GetMember, managedblockchain:GetNetwork, managedblockchain:GetNode, managedblockchain:ListInvitations, managedblockchain:ListMembers, managedblockchain:ListNodes, mediapackage-vod:DescribePackagingGroup, mediapackage-vod:ListPackagingGroups, mediapackage-vod:ListTagsForResource, mobiletargeting:GetInAppTemplate, mobiletargeting:ListTemplates, mq:DescribeBroker, mq:ListBrokers, nimble:GetLaunchProfile, nimble:GetLaunchProfileDetails, nimble:GetStreamingImage, nimble:GetStudio, nimble:GetStudioComponent, nimble:ListLaunchProfiles, nimble:ListStreamingImages, nimble:ListStudioComponents, nimble:ListStudios, profile:GetDomain, profile:GetIntegration, profile:GetProfileObjectType, profile:ListDomains, profile:ListIntegrations, profile:ListProfileObjectTypes, profile:ListTagsForResource, quicksight:DescribeAnalysis, quicksight:DescribeAnalysisPermissions, quicksight:DescribeDataSet, quicksight:DescribeDataSetPermissions, quicksight:DescribeTheme, quicksight:DescribeThemePermissions, quicksight:ListAnalyses, quicksight:ListDataSets, quicksight:ListThemes, resiliencehub:DescribeApp, resiliencehub:DescribeAppVersionTemplate, resiliencehub:DescribeResiliencyPolicy, resiliencehub:ListApps, resiliencehub:ListAppVersionResourceMappings, resiliencehub:ListResiliencyPolicies, route53-recovery-readiness:GetCell, route53-recovery-readiness:GetReadinessCheck, route53-recovery-readiness:GetRecoveryGroup, route53-recovery-readiness:GetResourceSet, route53-recovery-readiness:ListCells, route53-recovery-readiness:ListReadinessChecks, route53-recovery-readiness:ListRecoveryGroups, route53-recovery-readiness:ListResourceSets, route53resolver:GetFirewallDomainList, route53resolver:GetFirewallRuleGroup, route53resolver:GetFirewallRuleGroupAssociation, route53resolver:GetResolverQueryLogConfig, route53resolver:ListFirewallDomainLists, route53resolver:ListFirewallDomains, route53resolver:ListFirewallRuleGroupAssociations, route53resolver:ListFirewallRuleGroups, route53resolver:ListFirewallRules, route53resolver:ListResolverQueryLogConfigs, rum:GetAppMonitor, rum:GetAppMonitorData, rum:ListAppMonitors, rum:ListTagsForResource, s3-outposts:GetAccessPoint, s3-outposts:GetAccessPointPolicy, s3-outposts:GetBucket, s3-outposts:GetBucketPolicy, s3-outposts:GetBucketTagging, s3-outposts:GetLifecycleConfiguration, s3-outposts:ListAccessPoints, s3-outposts:ListEndpoints, s3-outposts:ListRegionalBuckets, schemas:DescribeDiscoverer, schemas:DescribeRegistry, schemas:DescribeSchema, schemas:ListDiscoverers, schemas:ListRegistries, schemas:ListSchemas, sdb:GetAttributes, sdb:ListDomains, ses:ListEmailTemplates, ses:ListReceiptFilters, ses:ListReceiptRuleSets, ses:ListTemplates, signer:GetSigningProfile, signer:ListProfilePermissions, signer:ListSigningProfiles, synthetics:DescribeCanaries, synthetics:DescribeCanariesLastRun, synthetics:DescribeRuntimeVersions, synthetics:GetCanary, synthetics:GetCanaryRuns, synthetics:ListTagsForResource, timestream:DescribeDatabase, timestream:DescribeTable, timestream:ListDatabases, timestream:ListTables, timestream:ListTagsForResource, transfer:DescribeServer, transfer:DescribeUser, transfer:DescribeWorkflow, transfer:ListServers, transfer:ListUsers, transfer:ListWorkflows, voiceid:DescribeDomain, and voiceid:ListTagsForResource | 此政策現在支援 Amazon AppFlow 的其他許可， Amazon CloudWatch、 Amazon CloudWatch RUM、 Amazon CloudWatch Synthetics、 Amazon Connect 客戶設定檔、 Amazon Connect Voice ID、 Amazon DevOps Guru、 Amazon Elastic Compute Cloud (Amazon EC2)， Amazon EC2 Auto Scaling、 Amazon EMR、 Amazon EventBridge、 Amazon EventBridge 結構描述 Amazon FinSpace、 Amazon Fraud Detector、 Amazon GameLift 伺服器、 Amazon Interactive Video Service (Amazon IVS)， Amazon Managed Service for Apache Flink、 EC2 映像建置器、 Amazon Lex、Amazon Lightsail、 Amazon Location Service、 Amazon Lookout for Equipment、 Amazon Lookout for Metrics、 Amazon Lookout for Vision、 Amazon Managed Blockchain、 Amazon MQ、 Amazon Nimble StudioAmazon Pinpoint、 Amazon Quick、 Amazon Application Recovery Controller (ARC) Amazon Route 53 Resolver、 Amazon Simple Storage Service (Amazon S3)、 Amazon SimpleDB、 Amazon Simple Email Service (Amazon SES)、 Amazon Timestream、 AWS AppConfig AWS AppSync、 AWS Auto Scaling AWS Backup、 AWS Budgets、、 AWS Cost Explorer、 AWS Cloud9 AWS Directory Service AWS DataSync、 AWS Elemental MediaPackage、 AWS Glue、 AWS IoT AWS IoT Analytics、 AWS IoT Events AWS IoT SiteWise、 AWS IoT TwinMaker、、 AWS Lake Formation AWS License Manager、、 AWS Resilience Hub、 AWS Signer和 AWS Transfer Family | 2022 年 9 月 7 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 datasync:ListAgents, datasync:ListLocations, datasync:ListTasks, servicediscovery:ListNamespaces, servicediscovery:ListServices, and ses:ListContactLists | 此政策現在授予許可，以傳回 中的客服人員、DataSync 來源和目的地以及 DataSync 任務清單 AWS DataSync AWS 帳戶；列出與 AWS Cloud Map 中一或多個指定命名空間相關聯的命名空間和服務摘要資訊 AWS 帳戶；並列出 中可用的所有 Amazon Simple Email Service (Amazon SES聯絡人清單 AWS 帳戶。 | 2022 年 8 月 22 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 datasync:ListAgents, datasync:ListLocations, datasync:ListTasks, servicediscovery:ListNamespaces, servicediscovery:ListServices, and ses:ListContactLists | 此政策現在授予許可，以傳回 中的客服人員、DataSync 來源和目的地以及 DataSync 任務清單 AWS DataSync AWS 帳戶；列出與 AWS Cloud Map 中一或多個指定命名空間相關聯的命名空間和服務摘要資訊 AWS 帳戶；並列出 中可用的所有 Amazon Simple Email Service (Amazon SES聯絡人清單 AWS 帳戶。 | 2022 年 8 月 22 日 |
| [ConfigConformsServiceRolePolicy](#security-iam-awsmanpol-ConfigConformsServiceRolePolicy) – 新增 cloudwatch:PutMetricData | 此政策現在會授予可將指標資料點發布至 Amazon CloudWatch 的許可。 | 2022 年 7 月 25 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 amplifyuibuilder:ExportThemes, amplifyuibuilder:GetTheme, appconfig:GetApplication, appconfig:GetApplication, appconfig:GetConfigurationProfile, appconfig:GetConfigurationProfile, appconfig:GetDeployment, appconfig:GetDeploymentStrategy, appconfig:GetEnvironment, appconfig:GetHostedConfigurationVersion, appconfig:ListTagsForResource, appsync:GetGraphqlApi, appsync:ListGraphqlApis, billingconductor: ListPricingRulesAssociatedToPricingPlan, billingconductor:ListAccountAssociations, billingconductor:ListBillingGroups, billingconductor:ListCustomLineItems, billingconductor:ListPricingPlans, billingconductor:ListPricingRules, billingconductor:ListTagsForResource, datasync:DescribeAgent, datasync:DescribeLocationEfs, datasync:DescribeLocationFsxLustre, datasync:DescribeLocationHdfs, datasync:DescribeLocationNfs, datasync:DescribeLocationObjectStorage, datasync:DescribeLocationS3, datasync:DescribeLocationSmb, datasync:DescribeTask, datasync:ListTagsForResource, ecr:DescribePullThroughCacheRules, ecr:DescribeRegistry, ecr:GetRegistryPolicy, elasticache:DescribeCacheParameters, elasticloadbalancing:DescribeListenerCertificates, elasticloadbalancing:DescribeTargetGroupAttributes, elasticloadbalancing:DescribeTargetGroups, elasticloadbalancing:DescribeTargetHealth, events:DescribeApiDestination, events:DescribeArchive, fms:GetNotificationChannel, fms:GetPolicy, fms:ListPolicies, fms:ListTagsForResource, fsx:DescribeVolumes, geo:DescribeGeofenceCollection, geo:DescribeMap, geo:DescribePlaceIndex, geo:DescribeRouteCalculator, geo:DescribeTracker, geo:ListTrackerConsumers, glue:BatchGetJobs, glue:BatchGetWorkflows, glue:GetCrawler, glue:GetCrawlers, glue:GetJob, glue:GetJobs, glue:GetWorkflow, imagebuilder: GetComponent, imagebuilder: ListComponentBuildVersions, imagebuilder: ListComponents, imagebuilder:GetDistributionConfiguration, imagebuilder:GetInfrastructureConfiguration, imagebuilder:ListDistributionConfigurations, imagebuilder:ListInfrastructureConfigurations, kafka:DescribeClusterV2, kafka:ListClustersV2, kinesisanalytics:DescribeApplication, kinesisanalytics:ListTagsForResource, quicksight:DescribeDataSource, quicksight:DescribeDataSourcePermissions, quicksight:ListTagsForResource, rekognition:DescribeStreamProcessor, rekognition:ListTagsForResource, robomaker:DescribeRobotApplication, robomaker:DescribeSimulationApplication, s3:GetStorageLensConfiguration, s3:GetStorageLensConfigurationTagging, servicediscovery:GetInstance, servicediscovery:GetNamespace, servicediscovery:GetService, servicediscovery:ListTagsForResource, ses:DescribeReceiptRule, ses:DescribeReceiptRuleSet, ses:GetContactList, ses:GetEmailTemplate, ses:GetTemplate, and sso:GetInlinePolicyForPermissionSet | 此政策現在支援 Amazon Elastic Container Service (Amazon ECS)、Amazon ElastiCache、Amazon EventBridge、Amazon FSx、Amazon Managed Service for Apache Flink、Amazon Location Service、Amazon Managed Streaming for Apache Kafka、Amazon Quick、Amazon Rekognition AWS RoboMaker、Amazon Simple Storage Service (Amazon S3)、Amazon Simple Email Service (Amazon SES) AWS Amplify AWS AppConfig、、、 AWS AppSync AWS Billing Conductor AWS DataSync、 AWS Firewall Manager、 AWS Glue、、 AWS IAM Identity Center 、(IAM Identity Center)、EC2 Image Builder 和 Elastic Load Balancing 的其他許可。 | 2022 年 7 月 15 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 amplifyuibuilder:ExportThemes, amplifyuibuilder:GetTheme, appconfig:GetApplication, appconfig:GetApplication, appconfig:GetConfigurationProfile, appconfig:GetConfigurationProfile, appconfig:GetDeployment, appconfig:GetDeploymentStrategy, appconfig:GetEnvironment, appconfig:GetHostedConfigurationVersion, appconfig:ListTagsForResource, appsync:GetGraphqlApi, appsync:ListGraphqlApis, billingconductor: ListPricingRulesAssociatedToPricingPlan, billingconductor:ListAccountAssociations, billingconductor:ListBillingGroups, billingconductor:ListCustomLineItems, billingconductor:ListPricingPlans, billingconductor:ListPricingRules, billingconductor:ListTagsForResource, datasync:DescribeAgent, datasync:DescribeLocationEfs, datasync:DescribeLocationFsxLustre, datasync:DescribeLocationHdfs, datasync:DescribeLocationNfs, datasync:DescribeLocationObjectStorage, datasync:DescribeLocationS3, datasync:DescribeLocationSmb, datasync:DescribeTask, datasync:ListTagsForResource, ecr:DescribePullThroughCacheRules, ecr:DescribeRegistry, ecr:GetRegistryPolicy, elasticache:DescribeCacheParameters, elasticloadbalancing:DescribeListenerCertificates, elasticloadbalancing:DescribeTargetGroupAttributes, elasticloadbalancing:DescribeTargetGroups, elasticloadbalancing:DescribeTargetHealth, events:DescribeApiDestination, events:DescribeArchive, fms:GetNotificationChannel, fms:GetPolicy, fms:ListPolicies, fms:ListTagsForResource, fsx:DescribeVolumes, geo:DescribeGeofenceCollection, geo:DescribeMap, geo:DescribePlaceIndex, geo:DescribeRouteCalculator, geo:DescribeTracker, geo:ListTrackerConsumers, glue:BatchGetJobs, glue:BatchGetWorkflows, glue:GetCrawler, glue:GetCrawlers, glue:GetJob, glue:GetJobs, glue:GetWorkflow, imagebuilder: GetComponent, imagebuilder: ListComponentBuildVersions, imagebuilder: ListComponents, imagebuilder:GetDistributionConfiguration, imagebuilder:GetInfrastructureConfiguration, imagebuilder:ListDistributionConfigurations, imagebuilder:ListInfrastructureConfigurations, kafka:DescribeClusterV2, kafka:ListClustersV2, kinesisanalytics:DescribeApplication, kinesisanalytics:ListTagsForResource, quicksight:DescribeDataSource, quicksight:DescribeDataSourcePermissions, quicksight:ListTagsForResource, rekognition:DescribeStreamProcessor, rekognition:ListTagsForResource, robomaker:DescribeRobotApplication, robomaker:DescribeSimulationApplication, s3:GetStorageLensConfiguration, s3:GetStorageLensConfigurationTagging, servicediscovery:GetInstance, servicediscovery:GetNamespace, servicediscovery:GetService, servicediscovery:ListTagsForResource, ses:DescribeReceiptRule, ses:DescribeReceiptRuleSet, ses:GetContactList, ses:GetEmailTemplate, ses:GetTemplate, and sso:GetInlinePolicyForPermissionSet | 此政策現在支援 Amazon Elastic Container Service (Amazon ECS)、Amazon ElastiCache、Amazon EventBridge、Amazon FSx、Amazon Managed Service for Apache Flink、Amazon Location Service、Amazon Managed Streaming for Apache Kafka、Amazon Quick、Amazon Rekognition AWS RoboMaker、Amazon Simple Storage Service (Amazon S3)、Amazon Simple Email Service (Amazon SES) AWS Amplify AWS AppConfig、、、 AWS AppSync AWS Billing Conductor AWS DataSync、 AWS Firewall Manager、 AWS Glue、、 AWS IAM Identity Center 、(IAM Identity Center)、EC2 Image Builder 和 Elastic Load Balancing 的其他許可。 | 2022 年 7 月 15 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 athena:GetDataCatalog, athena:ListDataCatalogs, athena:ListTagsForResource, detective:ListGraphs, detective:ListTagsForResource, glue:BatchGetDevEndpoints, glue:GetDevEndpoint, glue:GetDevEndpoints, glue:GetSecurityConfiguration, glue:GetSecurityConfigurations, glue:GetTags glue:GetWorkGroup, glue:ListCrawlers, glue:ListDevEndpoints, glue:ListJobs, glue:ListMembers, glue:ListWorkflows, glue:ListWorkGroups, guardduty:GetFilter, guardduty:GetIPSet, guardduty:GetThreatIntelSet, guardduty:GetMembers, guardduty:ListFilters, guardduty:ListIPSets, guardduty:ListTagsForResource, guardduty:ListThreatIntelSets, macie:GetMacieSession, ram:GetResourceShareAssociations, ram:GetResourceShares, ses:GetConfigurationSet, ses:GetConfigurationSetEventDestinations, ses:ListConfigurationSets, sso:DescribeInstanceAccessControlAttributeConfiguration, sso:DescribePermissionSet, sso:ListManagedPoliciesInPermissionSet, sso:ListPermissionSets, and sso:ListTagsForResource | 此政策現在授予取得指定 Amazon Athena 資料目錄的許可， 在 中列出 Athena 資料目錄 AWS 帳戶， 和 列出與 Athena 工作群組或資料目錄資源相關聯的標籤； 取得 Amazon Detective 行為圖表清單，並列出 Detective 行為圖表的標籤； 取得指定 AWS Glue 開發端點名稱清單的資源中繼資料清單， 取得指定 AWS Glue 開發端點的相關資訊， 取得 AWS Glue 中的所有開發端點 AWS 帳戶， 擷取指定的 AWS Glue 安全組態、 取得所有 AWS Glue 安全組態、 取得與 AWS Glue 資源相關聯的標籤清單， 取得具有指定名稱之 AWS Glue 工作群組的相關資訊， 擷取 AWS 帳戶中所有 AWS Glue 爬蟲程式資源的名稱， 取得 中所有 AWS Glue `DevEndpoint`資源的名稱 AWS 帳戶， 列出 中所有 AWS Glue 任務資源的名稱 AWS 帳戶， 取得 AWS Glue 成員帳戶的詳細資訊， 列出在 帳戶中建立的 AWS Glue 工作流程名稱， 和 列出帳戶的可用 AWS Glue 工作群組； 擷取 Amazon GuardDuty 篩選條件的詳細資訊， 擷取 GuardDuty IPSet、 擷取 GuardDuty ThreatIntelSet、 擷取 GuardDuty 成員帳戶、 取得 GuardDuty 篩選條件的清單， 取得 GuardDuty 服務的 IPSets， 擷取 GuardDuty Service 的標籤， 並取得 GuardDuty 服務的 ThreatIntelSets； 取得 Amazon Macie 帳戶的目前狀態和組態設定； 擷取 AWS Resource Access Manager (AWS RAM) 資源共用的資源和委託人關聯，並擷取資源共用的詳細資訊 AWS RAM ； 取得 Amazon Simple Email Service (Amazon SES) 現有組態設定的相關資訊， 取得與 Amazon SES 組態設定相關聯的事件目的地清單， 和 列出與 Amazon SES 帳戶相關聯的所有組態集； 若要取得 Identity Center 目錄屬性的清單， 取得 AWS IAM Identity Center 許可集的詳細資訊， 取得連接至指定 IAM Identity Center 許可集的 IAM 受管政策， 取得 IAM Identity Center 執行個體的許可集， 和 取得 IAM Identity Center 資源的標籤。 | 2022 年 5 月 31 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 athena:GetDataCatalog, athena:ListDataCatalogs, athena:ListTagsForResource, detective:ListGraphs, detective:ListTagsForResource, glue:BatchGetDevEndpoints, glue:GetDevEndpoint, glue:GetDevEndpoints, glue:GetSecurityConfiguration, glue:GetSecurityConfigurations, glue:GetTags glue:GetWorkGroup, glue:ListCrawlers, glue:ListDevEndpoints, glue:ListJobs, glue:ListMembers, glue:ListWorkflows, glue:ListWorkGroups, guardduty:GetFilter, guardduty:GetIPSet, guardduty:GetThreatIntelSet, guardduty:GetMembers, guardduty:ListFilters, guardduty:ListIPSets, guardduty:ListTagsForResource, guardduty:ListThreatIntelSets, macie:GetMacieSession, ram:GetResourceShareAssociations, ram:GetResourceShares, ses:GetConfigurationSet, ses:GetConfigurationSetEventDestinations, ses:ListConfigurationSets, sso:DescribeInstanceAccessControlAttributeConfiguration, sso:DescribePermissionSet, sso:ListManagedPoliciesInPermissionSet, sso:ListPermissionSets, and sso:ListTagsForResource | 此政策現在授予取得指定 Amazon Athena 資料目錄的許可， 在 中列出 Athena 資料目錄 AWS 帳戶， 和 列出與 Athena 工作群組或資料目錄資源相關聯的標籤； 取得 Amazon Detective 行為圖表清單，並列出 Detective 行為圖表的標籤； 取得指定 AWS Glue 開發端點名稱清單的資源中繼資料清單， 取得指定 AWS Glue 開發端點的相關資訊， 取得 AWS Glue 中的所有開發端點 AWS 帳戶， 擷取指定的 AWS Glue 安全組態、 取得所有 AWS Glue 安全組態、 取得與 AWS Glue 資源相關聯的標籤清單， 取得具有指定名稱之 AWS Glue 工作群組的相關資訊， 擷取 AWS 帳戶中所有 AWS Glue 爬蟲程式資源的名稱， 取得 中所有 AWS Glue `DevEndpoint`資源的名稱 AWS 帳戶， 列出 中所有 AWS Glue 任務資源的名稱 AWS 帳戶， 取得 AWS Glue 成員帳戶的詳細資訊， 列出在 帳戶中建立的 AWS Glue 工作流程名稱， 和 列出帳戶的可用 AWS Glue 工作群組； 擷取 Amazon GuardDuty 篩選條件的詳細資訊， 擷取 GuardDuty IPSet、 擷取 GuardDuty ThreatIntelSet、 擷取 GuardDuty 成員帳戶、 取得 GuardDuty 篩選條件的清單， 取得 GuardDuty 服務的 IPSets， 擷取 GuardDuty Service 的標籤， 並取得 GuardDuty 服務的 ThreatIntelSets； 取得 Amazon Macie 帳戶的目前狀態和組態設定； 擷取 AWS Resource Access Manager (AWS RAM) 資源共用的資源和委託人關聯，並擷取資源共用的詳細資訊 AWS RAM ； 取得 Amazon Simple Email Service (Amazon SES) 現有組態設定的相關資訊， 取得與 Amazon SES 組態設定相關聯的事件目的地清單， 和 列出與 Amazon SES 帳戶相關聯的所有組態集； 若要取得 Identity Center 目錄屬性的清單， 取得 AWS IAM Identity Center 許可集的詳細資訊， 取得連接至指定 IAM Identity Center 許可集的 IAM 受管政策， 取得 IAM Identity Center 執行個體的許可集， 和 取得 IAM Identity Center 資源的標籤。 | 2022 年 5 月 31 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 cloudformation:GetResource, cloudformation:ListResources, cloudtrail:GetEventDataStore, cloudtrail:ListEventDataStores, dax:DescribeParameterGroups, dax:DescribeParameters, dax:DescribeSubnetGroups, DMS:DescribeReplicationTasks, and organizations:ListPolicies | 此政策現在授予許可，以取得所有或指定 AWS CloudTrail 事件資料存放區 (EDS) 的相關資訊、取得所有或指定 AWS CloudFormation 資源的相關資訊、取得 DynamoDB Accelerator (DAX) 參數群組或子網路群組的清單、取得目前區域中帳戶複 AWS Database Migration Service AWS DMS寫任務的相關資訊，以及取得 AWS Organizations 指定類型 中的所有政策清單。 | 2022 年 4 月 7 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 cloudformation:GetResource, cloudformation:ListResources, cloudtrail:GetEventDataStore, cloudtrail:ListEventDataStores, dax:DescribeParameterGroups, dax:DescribeParameters, dax:DescribeSubnetGroups, DMS:DescribeReplicationTasks, and organizations:ListPolicies | 此政策現在授予許可，以取得所有或指定 AWS CloudTrail 事件資料存放區 (EDS) 的相關資訊、取得所有或指定 AWS CloudFormation 資源的相關資訊、取得 DynamoDB Accelerator (DAX) 參數群組或子網路群組的清單、取得目前區域中帳戶複 AWS Database Migration Service AWS DMS寫任務的相關資訊，以及取得 AWS Organizations 指定類型 中的所有政策清單。 | 2022 年 4 月 7 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 backup-gateway:ListTagsForResource, backup-gateway:ListVirtualMachines, batch:DescribeComputeEnvironments, batch:DescribeJobQueues, batch:ListTagsForResource, dax:ListTags, dms:DescribeCertificates, dynamodb:DescribeGlobalTable, dynamodb:DescribeGlobalTableSettings, ec2:DescribeClientVpnAuthorizationRules, ec2:DescribeClientVpnEndpoints, ec2:DescribeDhcpOptions, ec2:DescribeFleets, ec2:DescribeNetworkAcls, ec2:DescribePlacementGroups, ec2:DescribeSpotFleetRequests, ec2:DescribeVolumeAttribute, ec2:DescribeVolumes, eks:DescribeFargateProfile, eks:ListFargateProfiles, eks:ListTagsForResource, fsx:ListTagsForResource, guardduty:ListOrganizationAdminAccounts, kms:ListAliases, opsworks:DescribeLayers, opsworks:DescribeStacks, opsworks:ListTags, rds:DescribeDBClusterParameterGroups, rds:DescribeDBClusterParameters, states:DescribeActivity, states:ListActivities, wafv2:GetRuleGroup, wafv2:ListRuleGroups, wafv2:ListTagsForResource, workspaces:DescribeConnectionAliases, workspaces:DescribeTags, and workspaces:DescribeWorkspaces | 此政策現在支援 AWS Backup、 AWS Batch、DynamoDB Accelerator AWS Database Migration Service、Amazon DynamoDB、Amazon Elastic Compute Cloud (Amazon EC2)、Amazon Elastic Kubernetes Service、Amazon FSx、Amazon GuardDuty AWS Key Management Service、Amazon Relational Database Service、 AWS WAF V2 和 Amazon WorkSpaces AWS OpsWorks的其他許可。 | 2022 年 3 月 14 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 backup-gateway:ListTagsForResource, backup-gateway:ListVirtualMachines, batch:DescribeComputeEnvironments, batch:DescribeJobQueues, batch:ListTagsForResource, dax:ListTags, dms:DescribeCertificates, dynamodb:DescribeGlobalTable, dynamodb:DescribeGlobalTableSettings, ec2:DescribeClientVpnAuthorizationRules, ec2:DescribeClientVpnEndpoints, ec2:DescribeDhcpOptions, ec2:DescribeFleets, ec2:DescribeNetworkAcls, ec2:DescribePlacementGroups, ec2:DescribeSpotFleetRequests, ec2:DescribeVolumeAttribute, ec2:DescribeVolumes, eks:DescribeFargateProfile, eks:ListFargateProfiles, eks:ListTagsForResource, fsx:ListTagsForResource, guardduty:ListOrganizationAdminAccounts, kms:ListAliases, opsworks:DescribeLayers, opsworks:DescribeStacks, opsworks:ListTags, rds:DescribeDBClusterParameterGroups, rds:DescribeDBClusterParameters, states:DescribeActivity, states:ListActivities, wafv2:GetRuleGroup, wafv2:ListRuleGroups, wafv2:ListTagsForResource, workspaces:DescribeConnectionAliases, workspaces:DescribeTags, and workspaces:DescribeWorkspaces | 此政策現在支援 AWS Backup、 AWS Batch、DynamoDB Accelerator AWS Database Migration Service、Amazon DynamoDB、Amazon Elastic Compute Cloud (Amazon EC2)、Amazon Elastic Kubernetes Service、Amazon FSx、Amazon GuardDuty AWS Key Management Service、Amazon Relational Database Service、 AWS WAF V2 和 Amazon WorkSpaces AWS OpsWorks的其他許可。 | 2022 年 3 月 14 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 elasticbeanstalk:DescribeEnvironments, elasticbeanstalk:DescribeConfigurationSettings, account:GetAlternateContact, organizations:DescribePolicy, organizations:ListParents, organizations:ListPoliciesForTarget, es:GetCompatibleElasticsearchVersions, rds:DescribeOptionGroups, rds:DescribeOptionGroups, es:GetCompatibleVersions, codedeploy:GetDeploymentConfig, ecr-public:GetRepositoryPolicy, access-analyzer:GetArchiveRule, and ecs:ListTaskDefinitionFamilies | 此政策現在授予的許可，可取得 Elastic Beanstalk 環境的詳細資訊和指定 Elastic Beanstalk 組態集設定的描述、取得 OpenSearch 或 Elasticsearch 版本的映射、描述資料庫可用的 Amazon RDS 選項群組，以及取得 CodeDeploy 部署組態的相關資訊。此政策現在也授予許可，以擷取連接至 的指定替代聯絡人 AWS 帳戶、擷取 AWS Organizations 政策的相關資訊、擷取 Amazon ECR 儲存庫政策、擷取封存 AWS Config 規則的相關資訊、擷取 Amazon ECS 任務定義系列清單、列出指定子 OU 或帳戶的根或父組織單位 (OUs)，以及列出連接至指定目標根、組織單位或帳戶的政策。 | 2022 年 2 月 10 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 elasticbeanstalk:DescribeEnvironments, elasticbeanstalk:DescribeConfigurationSettings, account:GetAlternateContact, organizations:DescribePolicy, organizations:ListParents, organizations:ListPoliciesForTarget, es:GetCompatibleElasticsearchVersions, rds:DescribeOptionGroups, rds:DescribeOptionGroups, es:GetCompatibleVersions, codedeploy:GetDeploymentConfig, ecr-public:GetRepositoryPolicy, access-analyzer:GetArchiveRule, and ecs:ListTaskDefinitionFamilies | 此政策現在授予的許可，可取得 Elastic Beanstalk 環境的詳細資訊和指定 Elastic Beanstalk 組態集設定的描述、取得 OpenSearch 或 Elasticsearch 版本的映射、描述資料庫可用的 Amazon RDS 選項群組，以及取得 CodeDeploy 部署組態的相關資訊。此政策現在也授予許可，以擷取連接至 的指定替代聯絡人 AWS 帳戶、擷取 AWS Organizations 政策的相關資訊、擷取 Amazon ECR 儲存庫政策、擷取封存 AWS Config 規則的相關資訊、擷取 Amazon ECS 任務定義系列清單、列出指定子 OU 或帳戶的根或父組織單位 (OUs)，以及列出連接至指定目標根、組織單位或帳戶的政策。 | 2022 年 2 月 10 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 logs:CreateLogStream, logs:CreateLogGroup, and logs:PutLogEvent | 此政策現在授予的許可，可建立 Amazon CloudWatch 日誌群組和串流，並可將日誌寫入所建立的日誌串流。 | 2021 年 12 月 15 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 logs:CreateLogStream, logs:CreateLogGroup, and logs:PutLogEvent | 此政策現在授予的許可，可建立 Amazon CloudWatch 日誌群組和串流，並可將日誌寫入所建立的日誌串流。 | 2021 年 12 月 15 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 es:DescribeDomain, es:DescribeDomains, rds:DescribeDBParameters, and, elasticache:DescribeSnapshots | 此政策現在授予的許可，可取得一或多個 Amazon OpenSearch Service (OpenSearch Service) 網域的詳細資訊，以及取得特定 Amazon Relational Database Service (Amazon RDS) 資料庫參數群組的詳細參數清單。此政策也授予可取得 Amazon ElastiCache 快照詳細資訊的許可。 | 2021 年 9 月 8 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 es:DescribeDomain, es:DescribeDomains, rds:DescribeDBParameters, and, elasticache:DescribeSnapshots | 此政策現在授予的許可，可取得一或多個 Amazon OpenSearch Service (OpenSearch Service) 網域的詳細資訊，以及取得特定 Amazon Relational Database Service (Amazon RDS) 資料庫參數群組的詳細參數清單。此政策也授予可取得 Amazon ElastiCache 快照詳細資訊的許可。 | 2021 年 9 月 8 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 logs:ListTagsLogGroup, states:ListTagsForResource, states:ListStateMachines, states:DescribeStateMachine和資源 AWS 類型的其他許可 | 此政策現在授予的許可，可列出日誌群組標籤、列出狀態機器標籤，以及列出所有狀態機器。此政策現在會授予可取得狀態機器詳細資訊的許可。此政策現在也支援 Amazon EC2 Systems Manager (SSM)、Amazon Elastic Container Registry、Amazon FSx、Amazon Data Firehose、Amazon Managed Streaming for Apache Kafka (Amazon MSK) AWS Global Accelerator、Amazon Relational Database Service (Amazon RDS)、Amazon Route 53、Amazon SageMaker AI、Amazon Simple Notification Service AWS Database Migration Service、 和 的其他許可 AWS Storage Gateway。 | 2021 年 7 月 28 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 AWS 資源類型的 l ogs:ListTagsLogGroup, states:ListTagsForResource, states:ListStateMachines, states:DescribeStateMachine和其他許可 | 此政策現在授予的許可，可列出日誌群組標籤、列出狀態機器標籤，以及列出所有狀態機器。此政策現在會授予可取得狀態機器詳細資訊的許可。此政策現在也支援 Amazon EC2 Systems Manager (SSM)、Amazon Elastic Container Registry、Amazon FSx、Amazon Data Firehose、Amazon Managed Streaming for Apache Kafka (Amazon MSK) AWS Global Accelerator、Amazon Relational Database Service (Amazon RDS)、Amazon Route 53、Amazon SageMaker AI、Amazon Simple Notification Service AWS Database Migration Service、 和 的其他許可 AWS Storage Gateway。 | 2021 年 7 月 28 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 AWS 資源類型的 ssm:DescribeDocumentPermission和其他許可 | 此政策現在會授予可檢視 AWS Systems Manager 文件許可和 IAM Access Analyzer 相關資訊的許可。此政策現在支援 Amazon Kinesis、Amazon ElastiCache、Amazon EMR AWS Network Firewall、Amazon Route 53 和 Amazon Relational Database Service (Amazon RDS) 的其他 AWS 資源類型。這些許可變更允許 AWS Config 叫用支援這些資源類型所需的唯讀 APIs。此政策現在也支援篩選 [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) 受管規則的 Lambda AWS Config @Edge 函數。 | 2021 年 6 月 8 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 AWS 資源類型的 ssm:DescribeDocumentPermission和其他許可 | 此政策現在會授予可檢視 AWS Systems Manager 文件許可和 IAM Access Analyzer 相關資訊的許可。此政策現在支援 Amazon Kinesis、Amazon ElastiCache、Amazon EMR AWS Network Firewall、Amazon Route 53 和 Amazon Relational Database Service (Amazon RDS) 的其他 AWS 資源類型。這些許可變更允許 AWS Config 叫用支援這些資源類型所需的唯讀 APIs。此政策現在也支援篩選 [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) 受管規則的 Lambda AWS Config @Edge 函數。 | 2021 年 6 月 8 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) - 新增可向 API Gateway 發出唯讀 GET 呼叫的 apigateway:GET 許可，以及可調用 Amazon S3 唯讀 API 的 s3:GetAccessPointPolicy 許可和 s3:GetAccessPointPolicyStatus 許可 | 此政策現在授予許可， AWS Config 允許 對 API Gateway 進行唯讀 GET 呼叫，以支援 API Gateway 的 AWS Config 規則。此政策也會新增許可， AWS Config 允許 叫用 Amazon Simple Storage Service (Amazon S3) 唯讀 APIs，這是支援新`AWS::S3::AccessPoint`資源類型的必要項目。 | 2021 年 5 月 10 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增可向 API Gateway 發出唯讀 GET 呼叫的 apigateway:GET 許可，以及可調用 Amazon S3 唯讀 API 的 s3:GetAccessPointPolicy 許可和 s3:GetAccessPointPolicyStatus 許可 | 此政策現在授予許可， AWS Config 允許 對 API Gateway 進行唯讀 GET 呼叫，以支援 API Gateway AWS Config 的 。此政策也會新增許可， AWS Config 允許 叫用 Amazon Simple Storage Service (Amazon S3) 唯讀 APIs，這是支援新`AWS::S3::AccessPoint`資源類型的必要項目。 | 2021 年 5 月 10 日 |
| [AWSConfigServiceRolePolicy](#security-iam-awsmanpol-AWSConfigServiceRolePolicy) – 新增 AWS 資源類型的ssm:ListDocuments許可和其他許可 | 此政策現在會授予可檢視 AWS Systems Manager 指定文件相關資訊的許可。此政策現在也支援 Amazon Elastic File System AWS Backup、Amazon ElastiCache、Amazon Simple Storage Service (Amazon S3)、Amazon Elastic Compute Cloud (Amazon EC2) AWS Database Migration Service、Amazon Kinesis、Amazon SageMaker AI 和 Amazon Route 53 的其他 AWS 資源類型。這些許可變更允許 AWS Config 叫用支援這些資源類型所需的唯讀 APIs。 | 2021 年 4 月 1 日 |
| [AWS\$1ConfigRole](#security-iam-awsmanpol-AWS_ConfigRole) – 新增 AWS 資源類型的ssm:ListDocuments許可和其他許可 | 此政策現在會授予可檢視 AWS Systems Manager 指定文件相關資訊的許可。此政策現在也支援 Amazon Elastic File System AWS Backup、Amazon ElastiCache、Amazon Simple Storage Service (Amazon S3)、Amazon Elastic Compute Cloud (Amazon EC2) AWS Database Migration Service、Amazon Kinesis、Amazon SageMaker AI 和 Amazon Route 53 的其他 AWS 資源類型。這些許可變更允許 AWS Config 叫用支援這些資源類型所需的唯讀 APIs。 | 2021 年 4 月 1 日 |
| `AWSConfigRole` 已棄用 | `AWSConfigRole` 已棄用。替換政策是 `AWS_ConfigRole`。 | 2021 年 4 月 1 日 |
| AWS Config 已開始追蹤變更 | AWS Config 已開始追蹤其 AWS 受管政策的變更。 | 2021 年 4 月 1 日 |
# 指派給 的 IAM 角色許可 AWS Config
IAM 角色可讓您定義一組許可。 AWS Config 會擔任您指派給該角色的角色，以寫入 S3 儲存貯體、發佈至 SNS 主題，以及發出 `Describe`或 `List` API 請求，以取得 AWS 資源的組態詳細資訊。如需 IAM 角色的更多相關資訊，請參閱 *IAM 使用者指南*中的 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/WorkingWithRoles.html)。
當您使用 AWS Config 主控台建立或更新 IAM 角色時， AWS Config 會自動為您連接必要的許可。如需詳細資訊，請參閱[AWS Config 使用主控台設定](gs-console.md)。
**政策和合規結果**
在 中管理的 [IAM 政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)和其他政策可能會影響 是否 AWS Config 具有記錄 資源組態變更的許可。 [AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies.html)此外，規則會直接評估資源的組態，而且在執行評估時，規則不會考慮這些政策。確定有效政策符合您打算使用的方式 AWS Config。
**Contents**
+ [建立 IAM 角色 政策](#iam-role-policies)
+ [將 IAM 信任政策新增至您的角色](#iam-trust-policy)
+ [適用於 S3 儲存貯體的 IAM 角色政策](#iam-role-policies-S3-bucket)
+ [適用於 KMS Key 的 IAM 角色政策](#iam-role-policies-S3-kms-key)
+ [適用於 Amazon SNS 主題的 IAM 角色政策](#iam-role-policies-sns-topic)
+ [用以取得組態詳細資訊的 IAM 角色政策](#iam-role-policies-describe-apis)
+ [管理 S3 儲存貯體記錄的許可](#troubleshooting-recording-s3-bucket-policy)
## 建立 IAM 角色 政策
當您使用 AWS Config 主控台建立 IAM 角色時， AWS Config 會自動為您將必要的許可連接到角色。
如果您使用 AWS CLI 來設定 AWS Config 或更新現有的 IAM 角色，則必須手動更新政策， AWS Config 以允許 存取 S3 儲存貯體、發佈至 SNS 主題，以及取得 資源的組態詳細資訊。
### 將 IAM 信任政策新增至您的角色
您可以建立 IAM 信任政策， AWS Config 讓 擔任角色並使用它來追蹤您的 資源。如需有關信任政策的詳細資訊，請參閱《*IAM 使用者指南*》中的《[角色術語和概念](https://docs.aws.amazon.com/IAM/latest/UserGuide/d_roles_terms-and-concepts.html)》。
以下是 AWS Config 角色的信任政策範例：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "",
"Effect": "Allow",
"Principal": {
"Service": "config.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "sourceAccountID"
}
}
}
]
}
```
------
您可以使用上述 IAM 角色信任關係中的 `AWS:SourceAccount` 條件，限制 Config 服務主體在代表特定帳戶執行操作時，僅能與 AWS IAM 角色互動。
AWS Config 也支援 `AWS:SourceArn`條件，限制 Config 服務主體在代表擁有的帳戶執行操作時，只能擔任 IAM 角色。使用 AWS Config 服務主體時， `AWS:SourceArn` 屬性一律會設定為 ，`arn:aws:config:sourceRegion:sourceAccountID:*`其中 `sourceRegion`是客戶受管組態記錄器的區域，而 `sourceAccountID`是包含客戶受管組態記錄器的帳戶 ID。
例如，新增下列條件限制 Config 服務主體只能代表`us-east-1`帳戶 區域中的客戶受管組態記錄器擔任 IAM 角色`123456789012`：`"ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:*"}`。
### 適用於 S3 儲存貯體的 IAM 角色政策
下列範例政策會授予存取 S3 儲存貯體的 AWS Config 許可：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"s3:PutObject",
"s3:PutObjectAcl"
],
"Resource":[
"arn:aws:s3:::amzn-s3-demo-bucket/prefix/AWSLogs/myAccountID/*"
],
"Condition":{
"StringLike":{
"s3:x-amz-acl":"bucket-owner-full-control"
}
}
},
{
"Effect":"Allow",
"Action":[
"s3:GetBucketAcl"
],
"Resource":"arn:aws:s3:::amzn-s3-demo-bucket"
}
]
}
```
------
### 適用於 KMS Key 的 IAM 角色政策
下列範例政策授予 AWS Config 許可，以對 S3 儲存貯體交付的新物件使用 KMS 型加密：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Resource": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
}
]
}
```
------
### 適用於 Amazon SNS 主題的 IAM 角色政策
下列範例政策會授予存取 SNS 主題的 AWS Config 許可：
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":
[
{
"Effect":"Allow",
"Action":"sns:Publish",
"Resource":"arn:aws:sns:us-east-1:123456789012:MyTopic"
}
]
}
```
------
如果您的 SNS 主題已按照其他設定指示加密，請參閱《Amazon Simple Notification Service 開發人員指南》**中的《[設定 AWS KMS 許可](https://docs.aws.amazon.com/sns/latest/dg/sns-server-side-encryption.html#sns-what-permissions-for-sse)》。
### 用以取得組態詳細資訊的 IAM 角色政策
建議使用 AWS Config 服務連結角色：`AWSServiceRoleForConfig`。服務連結角色已預先定義，並包含呼叫其他 AWS Config 所需的所有許可 AWS 服務。 AWS Config 服務連結組態記錄器需要 服務連結角色。如需詳細資訊，請參閱[使用 AWS Config的服務連結角色](https://docs.aws.amazon.com/config/latest/developerguide/using-service-linked-roles.html)。
如果您使用主控台建立或更新角色， 會為您 AWS Config 連接 **AWSServiceRoleForConfig**。
如果您使用 AWS CLI，請使用 `attach-role-policy`命令並指定 **AWSServiceRoleForConfig** 的 Amazon Resource Name (ARN)：
```
$ aws iam attach-role-policy --role-name myConfigRole --policy-arn arn:aws:iam::aws:policy/aws-service-role/AWSServiceRoleForConfig
```
### 管理 S3 儲存貯體記錄的許可
AWS Config 會在建立、更新或刪除 S3 儲存貯體時記錄和傳送通知。
建議使用 AWS Config 服務連結角色：`AWSServiceRoleForConfig`。服務連結角色已預先定義，並包含呼叫其他 AWS Config 所需的所有許可 AWS 服務。 AWS Config 服務連結組態記錄器需要 服務連結角色。如需詳細資訊，請參閱[使用 AWS Config的服務連結角色](https://docs.aws.amazon.com/config/latest/developerguide/using-service-linked-roles.html)。
# 更新客戶受管組態記錄器的 IAM 角色
您可以更新客戶受管組態記錄器所使用的 IAM 角色。請在更新 IAM 角色前，確認您已建立新的角色來取代舊的角色。您必須將政策連接至授予 許可的新角色 AWS Config ，以記錄組態並將其交付至您的交付管道。
如需建立 IAM 角色並將必要政策連接至 IAM 角色的資訊，請參閱《[步驟 3：建立 IAM 角色](gs-cli-prereq.md#gs-cli-create-iamrole)》。
**注意**
若要尋找現有 IAM 角色的 ARN，請前往位於 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) 的 IAM 主控台。在導覽窗格中，選擇 **Roles (角色)**。然後選擇需要角色的名稱，並在 **Summary (摘要)** 頁面的頂端尋找 ARN。
## 更新 IAM 角色
您可以使用 AWS 管理主控台 或 更新您的 IAM 角色 AWS CLI。
------
#### [ To update the IAM role (Console) ]
1. 登入 AWS 管理主控台 並在 https：//[https://console.aws.amazon.com/config/home](https://console.aws.amazon.com/config/home) 開啟 AWS Config 主控台。
1. 在導覽窗格中選擇 **Settings (設定)**。
1. 在**客戶受管記錄器**索引標籤上，選擇設定頁面上的**編輯**。
1. 在**資料控管**區段中，選擇 IAM 角色 AWS Config：
+ **使用現有的 AWS Config 服務連結角色** – AWS Config 建立具有必要許可的角色。
+ **從您的帳戶選擇角色** – 針對**現有角色**，選擇帳戶中的 IAM 角色。
1. 選擇**儲存**。
------
#### [ To update the IAM role (AWS CLI) ]
使用 [https://docs.aws.amazon.com/cli/latest/reference/configservice/put-configuration-recorder.html](https://docs.aws.amazon.com/cli/latest/reference/configservice/put-configuration-recorder.html) 命令並指定新角色的 Amazon Resource Name (ARN)：
```
$ aws configservice put-configuration-recorder --configuration-recorder name=configRecorderName,roleARN=arn:aws:iam::012345678912:role/myConfigRole
```
------
# AWS Config 交付管道的 Amazon S3 儲存貯體許可
**重要**
此頁面是關於設定 AWS Config 交付管道的 Amazon S3 儲存貯體。此頁面與 AWS Config 組態記錄器可以記錄`AWS::S3::Bucket`的資源類型無關。
Amazon S3 儲存貯體和物件預設為私有。只有建立儲存貯 AWS 帳戶 體的 （資源擁有者） 具有存取許可。資源擁有者可以透過建立存取政策，將存取權授予其他資源和使用者。
當 AWS Config 自動為您建立 S3 儲存貯體時，它會新增必要的許可。不過，如果您指定現有的 S3 儲存貯體，則必須手動新增這些許可。
**Topics**
+ [使用 IAM 角色時](#required-permissions-in-another-account)
+ [使用服務連結角色時](#required-permissions-using-servicelinkedrole)
+ [授予 AWS Config 存取權](#granting-access-in-another-account)
+ [跨帳戶交付](#required-permissions-cross-account)
## 使用 IAM 角色時的 Amazon S3 儲存貯體必要許可
AWS Config 會使用您指派給組態記錄器的 IAM 角色，將組態歷史記錄和快照交付至您帳戶中的 S3 儲存貯體。對於跨帳戶交付， AWS Config 會先嘗試使用指派的 IAM 角色。如果儲存貯體政策未授予 IAM 角色的`WRITE`存取權， AWS Config 會使用 `config.amazonaws.com`服務主體。儲存貯體政策必須授予 的`WRITE`存取權，`config.amazonaws.com`才能完成交付。成功交付後， AWS Config 會維護交付至跨帳戶 S3 儲存貯體之所有物件的擁有權。
AWS Config 會使用您指派給組態記錄器的 IAM 角色呼叫 Amazon S3 [HeadBucket](https://docs.aws.amazon.com/AmazonS3/latest/API/API_RESTBucketHEAD.html) API，以確認 S3 儲存貯體是否存在及其位置。如果您沒有確認的必要許可 AWS Config ，您會在 AWS CloudTrail 日誌中看到`AccessDenied`錯誤。不過，即使 AWS Config 沒有確認 S3 儲存貯體是否存在及其位置所需的許可， 仍然 AWS Config 可以交付組態歷史記錄和快照。
**最低許可**
Amazon S3 `HeadBucket` API 需要 `s3:ListBucket`動作。
## 使用服務連結角色時的 Amazon S3 儲存貯體必要許可
AWS Config 服務連結角色沒有將物件放入 Amazon S3 儲存貯體的許可。如果您 AWS Config 使用服務連結角色設定 ， AWS Config 將使用`config.amazonaws.com`服務主體來傳遞組態歷史記錄和快照。您帳戶或跨帳戶目的地中的 S3 儲存貯體政策必須包含 AWS Config 服務主體寫入物件的許可。
## 授予 Amazon S3 儲存貯體的 AWS Config 存取權
完成下列步驟，讓 AWS Config 將組態歷史記錄和快照交付至 Amazon S3 儲存貯體。
1. AWS 管理主控台 使用具有 S3 儲存貯體的帳戶登入 。
1. 開啟位於 [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/) 的 Amazon S3 主控台。
1. 選取 AWS Config 您要用來交付組態項目的儲存貯體，然後選擇**屬性**。
1. 選擇**許可**。
1. 選擇 **Edit Bucket Policy** (編輯儲存貯體政策)。
1. 將下列政策複製到 **Bucket Policy Editor (儲存貯體政策編輯器)** 視窗：
**安全最佳實務**
我們強烈建議您使用 `AWS:SourceAccount`條件限制儲存貯體政策中的存取。這可確保 AWS Config 僅代表預期的使用者授予存取權。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AWSConfigBucketPermissionsCheck",
"Effect": "Allow",
"Principal": {
"Service": "config.amazonaws.com"
},
"Action": "s3:GetBucketAcl",
"Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "sourceAccountID"
}
}
},
{
"Sid": "AWSConfigBucketExistenceCheck",
"Effect": "Allow",
"Principal": {
"Service": "config.amazonaws.com"
},
"Action": "s3:ListBucket",
"Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "sourceAccountID"
}
}
},
{
"Sid": "AWSConfigBucketDelivery",
"Effect": "Allow",
"Principal": {
"Service": "config.amazonaws.com"
},
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::amzn-s3-demo-bucket/[optional] prefix/AWSLogs/sourceAccountID/Config/*",
"Condition": {
"StringEquals": {
"s3:x-amz-acl": "bucket-owner-full-control",
"AWS:SourceAccount": "sourceAccountID"
}
}
}
]
}
```
------
1. 取代儲存貯體政策中的下列數值：
+ *amzn-s3-demo-bucket* – AWS Config 將交付組態歷史記錄和快照的 Amazon S3 儲存貯體名稱。
+ *[選用] 字首* - Amazon S3 物件金鑰的選用新增項目，有助於在儲存貯體中建立類似資料夾的組織。
+ *sourceAccountID* – AWS Config 將交付組態歷史記錄和快照的帳戶 ID。
1. 選擇 **Save (儲存)** 然後 **Close (關閉)**。
`AWS:SourceAccount` 條件會將 AWS Config 操作限制為指定的操作 AWS 帳戶。對於交付至單一 S3 儲存貯體的組織內的多帳戶組態，請使用具有 AWS Organizations 條件索引鍵的 IAM 角色，而非服務連結角色。例如 `AWS:PrincipalOrgID`。如需詳細資訊，請參閱*AWS Organizations 《 使用者指南*》中的[管理組織的存取許可](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_permissions_overview.html)。
`AWS:SourceArn` 條件會將 AWS Config 操作限制為指定的交付管道。`AWS:SourceArn` 格式如下：`arn:aws:config:sourceRegion:123456789012`。
例如，若要限制 S3 儲存貯體存取 帳戶 123456789012 的美國東部 （維吉尼亞北部） 區域中的交付管道，請新增下列條件：
```
"ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:"}
```
## 交付跨帳戶時 Amazon S3 儲存貯體的必要許可
當 AWS Config 設定為將組態歷史記錄和快照交付至不同帳戶中的 Amazon S3 儲存貯體 （跨帳戶設定），其中為交付通道指定的組態記錄器和 S3 儲存貯體不同時 AWS 帳戶，需要下列許可：
+ 您指派給組態記錄器的 IAM 角色需要明確許可才能執行`s3:ListBucket`操作。這是因為 使用此 IAM 角色 AWS Config 呼叫 Amazon S3 [HeadBucket](https://docs.aws.amazon.com/AmazonS3/latest/API/API_RESTBucketHEAD.html) API 來判斷儲存貯體位置。
+ S3 儲存貯體政策必須包含指派給組態記錄器之 IAM 角色的許可。
以下是儲存貯體政策組態的範例：
```
{
"Sid": "AWSConfigBucketExistenceCheck",
"Effect": "Allow",
"Principal": {
"AWS": "IAM Role-Arn assigned to the configuration recorder"
},
"Action": "s3:ListBucket",
"Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
}
```
# AWS Config 交付管道的 KMS 金鑰許可
如果您想要為 S3 儲存貯體的 AWS KMS 金鑰建立政策，以允許您針對 S3 儲存貯體交付 AWS Config 的物件使用 KMS 型加密，請使用本主題中的資訊。
**Contents**
+ [使用 IAM 角色時的 KMS Key 必要許可 (S3 儲存貯體交付)](#required-permissions-s3-kms-key-using-iam-role)
+ [使用服務連結角色時 AWS KMS 金鑰的必要許可 (S3 儲存貯體交付）](#required-permissions-s3-kms-key-using-servicelinkedrole)
+ [授予 AWS KMS 金鑰的 AWS Config 存取權](#granting-access-s3-kms-key)
## 使用 IAM 角色時的 KMS Key 必要許可 (S3 儲存貯體交付)
如果您 AWS Config 使用 IAM 角色設定 ，您可以將下列許可政策連接至 KMS 金鑰：
```
{
"Id": "Policy_ID",
"Statement": [
{
"Sid": "AWSConfigKMSPolicy",
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Effect": "Allow",
"Resource": "*myKMSKeyARN*",
"Principal": {
"AWS": [
"account-id1",
"account-id2",
"account-id3"
]
}
}
]
}
```
**注意**
如果 IAM 角色、Amazon S3 儲存貯體政策或 AWS KMS 金鑰未提供適當的存取權 AWS Config，則 AWS Config嘗試將組態資訊傳送至 Amazon S3 儲存貯體將會失敗。在此情況下， 會再次 AWS Config 傳送資訊，這次會以 AWS Config 服務委託人身分傳送。在此情況下，您必須將下文提及的許可政策連接至 AWS KMS 金鑰，以授予在將資訊交付至 Amazon S3 儲存貯體時使用金鑰的 AWS Config 存取權。
## 使用服務連結角色時 AWS KMS 金鑰的必要許可 (S3 儲存貯體交付）
AWS Config 服務連結角色沒有存取 AWS KMS 金鑰的許可。因此，如果您 AWS Config 使用服務連結角色設定 ， AWS Config 會改為以 AWS Config 服務主體身分傳送資訊。您將需要將如下所述的存取政策連接至 AWS KMS 金鑰，以授予在將資訊交付至 Amazon S3 儲存貯體時使用 AWS KMS 金鑰的 AWS Config 存取權。
## 授予 AWS KMS 金鑰的 AWS Config 存取權
此政策允許 在將資訊交付至 Amazon S3 儲存貯體時使用 AWS Config AWS KMS 金鑰
```
{
"Id": "Policy_ID",
"Statement": [
{
"Sid": "AWSConfigKMSPolicy",
"Effect": "Allow",
"Principal": {
"Service": "config.amazonaws.com"
},
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Resource": "myKMSKeyARN",
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "sourceAccountID"
}
}
}
]
}
```
替換金鑰政策中的下列值：
+ *myKMSKeyARN* – 用於加密 AWS Config 將交付組態項目之 Amazon S3 儲存貯體中資料的 AWS KMS 金鑰 ARN。
+ *sourceAccountID* - 帳戶 ID， AWS Config 會為其交付組態項目。
您可以使用上述 AWS KMS 金鑰政策中的 `AWS:SourceAccount`條件，限制 Config 服務主體僅在代表特定帳戶執行操作時與 AWS KMS 金鑰互動。
AWS Config 也支援 `AWS:SourceArn`條件，限制 Config 服務主體在代表特定 AWS Config 交付管道執行操作時，只能與 Amazon S3 儲存貯體互動。使用 AWS Config 服務主體時， `AWS:SourceArn` 屬性一律會設定為 ，`arn:aws:config:sourceRegion:sourceAccountID:*`其中 `sourceRegion`是交付管道的區域，而 `sourceAccountID`是包含交付管道的帳戶 ID。如需 AWS Config 交付管道的詳細資訊，請參閱[管理交付管道](https://docs.aws.amazon.com/config/latest/developerguide/manage-delivery-channel.html)。例如，新增下列條件以限制 Config 服務主體在代表帳戶 `123456789012` 在 `us-east-1` 區域中的交付通道 `"ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:*"}` 時，僅能與 Amazon S3 儲存貯體互動。
# Amazon SNS 主題的許可
**不支援加密的 Amazon SNS**
AWS Config 不支援加密的 Amazon SNS 主題。
本主題說明如何設定 AWS Config 以交付不同帳戶所擁有的 Amazon SNS 主題。 AWS Config 必須具備將通知傳送至 Amazon SNS 主題的必要許可。
當 AWS Config 主控台為您建立新的 Amazon SNS 主題時， 會 AWS Config 授予必要的許可。如果您選擇現有的 Amazon SNS 主題， 會確保 Amazon SNS 主題包含必要的許可，並遵循安全最佳實務。
**不支援跨區域 Amazon SNS 主題**
AWS Config 目前僅支援相同帳戶內 AWS 區域 和跨帳戶的存取。
**Contents**
+ [使用 IAM 角色時的 Amazon SNS 主題必要許可](#required-permissions-snstopic-in-another-account)
+ [使用服務連結角色時的 Amazon SNS 主題必要許可](#required-permissions-snstopic-using-servicelinkedrole)
+ [授予 Amazon SNS 主題的 AWS Config 存取權](#granting-access-snstopic)
+ [Amazon SNS 主題故障診斷](#troubleshooting-for-snstopic-using-servicelinkedrole)
## 使用 IAM 角色時的 Amazon SNS 主題必要許可
您可以將許可政策連接到其他帳戶擁有的 Amazon SNS 主題。如果想要使用其他帳戶的 Amazon SNS 主題，請務必將下列政策連接至現有的 Amazon SNS 主題。
```
{
"Id": "Policy_ID",
"Statement": [
{
"Sid": "AWSConfigSNSPolicy",
"Action": [
"sns:Publish"
],
"Effect": "Allow",
"Resource": "arn:aws:sns:region:account-id:myTopic",
"Principal": {
"AWS": [
"account-id1",
"account-id2",
"account-id3"
]
}
}
]
}
```
對 `Resource` 金鑰而言，*account-id* 是主題擁有者的 AWS 帳戶編號。對於 *account-id1*、*account-id2* 和 *account-id3*，請使用 AWS 帳戶 將資料傳送到 Amazon SNS 主題。您可將 *region* 和 *myTopic* 替換為適當的值。
當 AWS Config 傳送通知至 Amazon SNS 主題時，會先嘗試使用 IAM 角色，但如果角色或 AWS 帳戶 沒有發佈至主題的許可，則此嘗試會失敗。在此情況下， 會再次 AWS Config 傳送通知，這次會以 AWS Config 服務委託人名稱 (SPN) 的形式傳送。發布成功之前，主題的存取政策必須授與 `config.amazonaws.com` 主體名稱的 `sns:Publish` 存取權。如果 IAM 角色無權向主題發布通知，您必須將存取政策 (下節說明) 連接至 Amazon SNS 主題，才能授權 AWS Config 存取 Amazon SNS 主題。
## 使用服務連結角色時的 Amazon SNS 主題必要許可
AWS Config 服務連結角色沒有存取 Amazon SNS 主題的許可。因此，如果您 AWS Config 使用服務連結角色 (SLR) 設定 ， AWS Config 會改為以 AWS Config 服務主體身分傳送資訊。您需要將以下提及的存取政策連接至 Amazon SNS 主題，以授予將資訊傳送至 Amazon SNS 主題的 AWS Config 存取權。
在相同帳戶設定中，當 Amazon SNS 主題和 SLR 位於同一帳戶，且 Amazon SNS 政策授予 SLR "`sns:Publish`" 許可時，您不需要使用 AWS Config SPN。以下許可政策和安全性最佳實務建議適用於跨帳戶設定。
## 授予 Amazon SNS 主題的 AWS Config 存取權
此政策允許 AWS Config 傳送通知至 Amazon SNS 主題。若要授予從另一個帳戶 AWS Config 存取 Amazon SNS 主題的權限，您需要連接下列許可政策。
**注意**
作為安全最佳實務，強烈建議您確保 僅透過限制對`AWS:SourceAccount`條件中所列帳戶的存取，代表預期的使用者 AWS Config 存取資源。
```
{
"Id": "Policy_ID",
"Statement": [
{
"Sid": "AWSConfigSNSPolicy",
"Effect": "Allow",
"Principal": {
"Service": "config.amazonaws.com"
},
"Action": "sns:Publish",
"Resource": "arn:aws:sns:region:account-id:myTopic",
"Condition" : {
"StringEquals": {
"AWS:SourceAccount": [
"account-id1",
"account-id2",
"account-id3"
]
}
}
}
]
}
```
對 `Resource` 金鑰而言，*account-id* 是主題擁有者的 AWS 帳戶編號。對於 *account-id1*、*account-id2* 和 *account-id3*，請使用 AWS 帳戶 將資料傳送至 Amazon SNS 主題。您可將 *region* 和 *myTopic* 替換為適當的值。
您可以使用先前 Amazon SNS 主題政策中的 `AWS:SourceAccount`條件，限制 AWS Config 服務主體名稱 (SPN) 在代表特定帳戶執行操作時僅與 Amazon SNS 主題互動。
AWS Config 也支援限制服務主體名稱 AWS Config (SPN) 在代表特定 AWS Config 交付管道執行操作時僅與 S3 儲存貯體互動`AWS:SourceArn`的條件。使用 AWS Config 服務主體名稱 (SPN) 時， `AWS:SourceArn` 屬性一律會設定為 ，`arn:aws:config:sourceRegion:sourceAccountID:*`其中 `sourceRegion`是交付管道的區域，而 `sourceAccountID`是包含交付管道的帳戶 ID。如需 AWS Config 交付管道的詳細資訊，請參閱[管理交付管道](https://docs.aws.amazon.com/config/latest/developerguide/manage-delivery-channel.html)。例如，新增下列條件來限制 AWS Config 服務主體名稱 (SPN) 僅代表帳戶 中`us-east-1`區域中的交付管道與您的 S3 儲存貯體互動`123456789012`：`"ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:*"}`。
## Amazon SNS 主題故障診斷
AWS Config 必須具有將通知傳送至 Amazon SNS 主題的許可。如果 Amazon SNS 主題無法接收通知，請確認擔任 AWS Config 的 IAM 角色具有必要的`sns:Publish`許可。
# 對 AWS Config 身分和存取進行故障診斷
使用以下資訊來協助您診斷和修正使用 AWS Config 和 IAM 時可能遇到的常見問題。
**Topics**
+ [我無權在 中執行動作 AWS Config](#security_iam_troubleshoot-no-permissions)
+ [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole)
+ [我想要允許 以外的人員 AWS 帳戶 存取我的 AWS Config 資源](#security_iam_troubleshoot-cross-account-access)
## 我無權在 中執行動作 AWS Config
如果您收到錯誤，告知您未獲授權執行動作，您的政策必須更新，允許您執行動作。
下列範例錯誤會在`mateojackson` IAM 使用者嘗試使用主控台檢視一個虛構 `my-example-widget` 資源的詳細資訊，但卻無虛構 `config:GetWidget` 許可時發生。
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: config:GetWidget on resource: my-example-widget
```
在此情況下，必須更新 Mateo 政策，允許他使用 `config:GetWidget` 動作存取 `my-example-widget` 資源。
如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。
## 我未獲得執行 iam:PassRole 的授權
如果您收到錯誤，告知您未獲授權執行 `iam:PassRole` 動作，您的政策必須更新，允許您將角色傳遞給 AWS Config。
有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。
名為 `marymajor` 的 IAM 使用者嘗試使用主控台在 AWS Config中執行動作時，發生下列範例錯誤。但是，動作要求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。
如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。
## 我想要允許 以外的人員 AWS 帳戶 存取我的 AWS Config 資源
您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。
如需進一步了解，請參閱以下內容：
+ 若要了解 是否 AWS Config 支援這些功能，請參閱 [AWS Config 如何使用 IAM](security_iam_service-with-iam.md)。
+ 若要了解如何 AWS 帳戶 在您擁有的 資源之間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 **
+ 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。
+ 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。
+ 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。
# 使用 的服務連結角色 AWS Config
AWS Config use AWS Identity and Access Management (IAM)[ 服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。服務連結角色是直接連結至 的唯一 IAM 角色類型 AWS Config。服務連結角色由 預先定義， AWS Config 並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。
服務連結角色可讓您更 AWS Config 輕鬆地設定，因為您不必手動新增必要的許可。 AWS Config 會定義其服務連結角色的許可，除非另有定義，否則只能 AWS Config 擔任其角色。定義的許可包括信任政策和許可政策，並且該許可政策不能連接到任何其他 IAM 實體。
如需關於支援服務連結角色的其他服務的資訊，請參閱[可搭配 IAM 運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並尋找 **Service-Linked Role** (服務連結角色) 欄顯示為 **Yes** (是) 的服務。選擇具有連結的**是**，以檢視該服務的服務連結角色文件。
## 的服務連結角色許可 AWS Config
AWS Config 使用名為 **AwsServiceRoleForConfig** 的服務連結角色 – AWS Config 使用此服務連結角色代表您呼叫其他 AWS 服務。若要檢視最新的更新，請參閱 [AWS Config AWS 受管政策的更新](security-iam-awsmanpol.md#security-iam-awsmanpol-updates)。
**AwsServiceRoleForConfig** 服務連結角色信任`config.amazonaws.com`服務擔任該角色。
`AwsServiceRoleForConfig` 角色的許可政策包含 AWS Config 資源的唯讀和唯讀許可，以及 AWS Config 支援的其他 服務中 資源的唯讀許可。若要檢視 **AwsServiceRoleForConfig** 的 受管政策，請參閱 [AWS 的 受管政策 AWS Config](https://docs.aws.amazon.com/config/latest/developerguide/security-iam-awsmanpol.html#security-iam-awsmanpol-AWSConfigServiceRolePolicy)。
您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[服務連結角色許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。
若要搭配 使用服務連結角色 AWS Config，您必須在 Amazon S3 儲存貯體和 Amazon SNS 主題上設定許可。如需詳細資訊，請參閱[使用服務連結角色時的 Amazon S3 儲存貯體必要許可交付跨帳戶時 Amazon S3 儲存貯體的必要許可](s3-bucket-policy.md#required-permissions-using-servicelinkedrole)、[使用服務連結角色時 AWS KMS 金鑰的必要許可 (S3 儲存貯體交付）](s3-kms-key-policy.md#required-permissions-s3-kms-key-using-servicelinkedrole)及[使用服務連結角色時的 Amazon SNS 主題必要許可](sns-topic-policy.md#required-permissions-snstopic-using-servicelinkedrole)。
## 為 建立服務連結角色 AWS Config
在 IAM CLI 或 IAM API 中，建立一個使用 `config.amazonaws.com` 服務名稱的服務連結角色。如需詳細資訊，請參閱 *IAM 使用者指南*中的[建立服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)。如果您刪除此服務連結角色，您可以使用此相同的程序以再次建立該角色。
## 編輯 的服務連結角色 AWS Config
AWS Config 不允許您編輯 **AwsServiceRoleForConfig** 服務連結角色。因為有各種實體可能會參考服務連結角色，所以您無法在建立角色之後變更角色名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。
## 刪除 的服務連結角色 AWS Config
若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。如此一來，您就沒有未主動監控或維護的未使用實體。然而，在手動刪除服務連結角色之前，您必須先清除資源。
**注意**
如果 AWS Config 服務在您嘗試刪除資源時使用角色，則刪除可能會失敗。若此情況發生，請等待數分鐘後並再次嘗試操作。
**刪除 **AwsServiceRoleForConfig** 使用 AWS Config 的資源**
請確定您沒有使用服務連結角色的 `ConfigurationRecorders`。您可以使用 AWS Config 主控台來停止組態記錄器。若要停止記錄，請在 **Recording is on (記錄已開啟)** 下方選擇 **Turn off (關閉)**。
您可以使用 `ConfigurationRecorder` AWS Config API 刪除 。若要刪除，請使用 `delete-configuration-recorder` 命令。
```
$ aws configservice delete-configuration-recorder --configuration-recorder-name default
```
**使用 IAM 手動刪除服務連結角色**
使用 IAM 主控台、IAM CLI 或 IAM API 來刪除 AwsServiceRoleForConfig 服務連結角色。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。
# 中的事件回應 AWS Config
安全是 AWS最重視的一環。作為 AWS 雲端[共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model)的一部分， AWS 管理符合最安全敏感組織需求的資料中心、網路和軟體架構。 AWS 負責 AWS Config 回應任何與服務本身相關的事件。此外，身為 AWS 客戶，您需共同負責維護雲端的安全性。這表示您可以從可存取的 AWS 工具和功能控制您選擇實作的安全性，並負責在共同責任模型方面回應事件。
建立安全基準以達到讓應用程式在雲端中執行的目標，您就可以偵測偏差並加以回應。由於安全事件回應可能是一個複雜的主題，因此建議您檢閱下列資源，以便更了解事件回應 (IR) 和您的選擇對您公司目標的影響：[AWS 安全事件回應指南](https://docs.aws.amazon.com/whitepapers/latest/aws-security-incident-response-guide/welcome.html)、[AWS 安全最佳實務](https://aws.amazon.com/architecture/security-identity-compliance/?cards-all.sort-by=item.additionalFields.sortDate&cards-all.sort-order=desc)白皮書，以及[AWS 雲端採用架構 (CAF) 的安全觀點](https://d1.awsstatic.com/whitepapers/AWS_CAF_Security_Perspective.pdf)白皮書。
# 的合規驗證 AWS Config
在多個 AWS 合規計畫 AWS Config 中，第三方稽核人員會評估 的安全與合規。這些計劃包括 SOC、PCI、FedRAMP、HIPAA 等等。
若要了解 是否 AWS 服務 在特定合規計劃範圍內，請參閱[AWS 服務 合規計劃範圍內](https://aws.amazon.com/compliance/services-in-scope/)然後選擇您感興趣的合規計劃。如需一般資訊，請參閱[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)。
您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[下載報告 in AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)
您使用 時的合規責任 AWS 服務 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。如需使用 時合規責任的詳細資訊 AWS 服務，請參閱 [AWS 安全文件](https://docs.aws.amazon.com/security/)。
# 中的彈性 AWS Config
AWS 全球基礎設施是以 AWS 區域和可用區域為基礎建置。 AWS 區域提供多個實體分隔和隔離的可用區域，這些可用區域以低延遲、高輸送量和高備援聯網連接。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。
如需 AWS 區域和可用區域的詳細資訊，請參閱 [AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。
# 中的基礎設施安全 AWS Config
作為受管服務， AWS Config 受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及如何 AWS 保護基礎設施的資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務來設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。
您可以使用 AWS 發佈的 API 呼叫， AWS Config 透過網路存取 。使用者端必須支援下列專案：
+ Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。
+ 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。
## 組態與漏洞分析
對於 AWS Config， AWS 會處理基本安全任務，例如訪客作業系統 (OS) 和資料庫修補、防火牆組態和災難復原。
# 預防跨服務混淆代理人
混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (*呼叫服務*) 呼叫另一個服務 (*被呼叫服務*) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。
我們建議在資源政策中使用 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)和 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount)全域條件內容索引鍵，以限制將另一個 服務 AWS Config 提供給資源的許可。如果您想要僅允許一個資源與跨服務存取相關聯，則請使用 `aws:SourceArn`。如果您想要允許該帳戶中的任何資源與跨服務使用相關聯，請使用 `aws:SourceAccount`。
防範混淆代理人問題的最有效方法是使用 `aws:SourceArn` 全域條件內容索引鍵，以及資源的完整 ARN。如果不知道資源的完整 ARN，或者如果您指定了多個資源，請使用 `aws:SourceArn` 全域內容條件索引鍵搭配萬用字元 (`*`) 來表示 ARN 的未知部分。例如 `arn:aws:servicename:*:123456789012:*`。
如果 `aws:SourceArn` 值不包含帳戶 ID (例如 Amazon S3 儲存貯體 ARN)，您必須使用這兩個全域條件內容索引鍵來限制許可。
下列範例示範如何在 中使用 `aws:SourceArn`和 `aws:SourceAccount`全域條件內容金鑰 AWS Config ，以防止混淆代理人問題：[授予 Amazon S3 儲存貯體的 AWS Config 存取權](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-policy.html)。
# 的安全最佳實務 AWS Config
AWS Config 提供許多安全功能，供您在開發和實作自己的安全政策時考慮。以下最佳實務為一般準則，並不代表完整的安全解決方案。這些最佳實務可能不適用或無法滿足您的環境需求，因此請將其視為實用建議就好，而不要當作是指示。
+ 利用標記 AWS Config，讓 更容易管理、搜尋和篩選資源。
+ 確認您的[交付管道](https://docs.aws.amazon.com/config/latest/developerguide/manage-delivery-channel.html)已正確設定，一旦確認，請確認 AWS Config 已[正確記錄](https://docs.aws.amazon.com/config/latest/developerguide/stop-start-recorder.html)。
如需詳細資訊，請參閱《[AWS Config 最佳實務](https://aws.amazon.com/blogs/mt/aws-config-best-practices/)》部落格。