Amazon 的動作、資源和條件索引鍵 CloudFront - 服務授權參考
動作資源類型條件索引鍵

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon 的動作、資源和條件索引鍵 CloudFront

Amazon CloudFront （服務字首：cloudfront) 提供下列服務特定的資源、動作和條件內容索引鍵，可用於 IAM 許可政策。

參考資料：

Amazon 定義的動作 CloudFront

您可在 IAM 政策陳述式的 Action 元素中指定以下動作。使用政策來授予在 AWS中執行操作的許可。當您在政策中使用 動作時，通常會允許或拒絕存取具有相同名稱API的操作或CLI命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。

「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作ARN的陳述式中指定該類型的 。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您在 IAM 政策中限制使用 Resource元素存取資源，您必須為每個必要的資源類型包含 ARN或 模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。

「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。

注意

資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。

如需下表各欄的詳細資訊，請參閱動作資料表。

動作 描述 存取層級 資源類型 (*必填項目) 條件索引鍵 相依動作
AllowVendedLogDeliveryForResource [僅限許可] 准許設定分佈的自動日誌交付 許可管理

distribution

AssociateAlias 准許將別名與 CloudFront 分佈建立關聯 寫入

distribution*

CopyDistribution 准許複製現有分佈並建立新的 Web 分佈 寫入

distribution*

cloudfront:CopyDistribution

cloudfront:CreateDistribution

cloudfront:GetDistribution

CreateAnycastIpList 准許建立 Anycast 靜態 IP 清單 寫入

anycast-ip-list*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCachePolicy 准許將新的快取政策新增至 CloudFront 寫入

cache-policy*

CreateCloudFrontOriginAccessIdentity 准許建立新的 CloudFront 原始存取身分 寫入

origin-access-identity*

CreateContinuousDeploymentPolicy 准許將新的持續部署政策新增至 CloudFront 寫入

continuous-deployment-policy*

CreateDistribution 准許建立新的 Web 分佈 寫入

distribution*

CreateFieldLevelEncryptionConfig 准許建立新的欄位層級加密組態 寫入
CreateFieldLevelEncryptionProfile 准許建立欄位層級加密的設定檔 寫入
CreateFunction 准許建立 CloudFront 函數 寫入

function*

CreateInvalidation 准許建立新的失效批次請求 寫入

distribution*

CreateKeyGroup 准許將新的金鑰群組新增至 CloudFront 寫入
CreateKeyValueStore 准許建立 CloudFront KeyValueStore 寫入

key-value-store*

CreateMonitoringSubscription 准許為指定的 CloudFront 分佈啟用其他 CloudWatch 指標。額外指標會產生額外費用 寫入
CreateOriginAccessControl 准許建立新原始存取控制 寫入
CreateOriginRequestPolicy 准許將新的原始伺服器請求政策新增至 CloudFront 寫入

origin-request-policy*

CreatePublicKey 准許將新的公有金鑰新增至 CloudFront 寫入
CreateRealtimeLogConfig 准許建立即時日誌安全組態 寫入

realtime-log-config*

CreateResponseHeadersPolicy 准許將新的回應標頭政策新增至 CloudFront 寫入

response-headers-policy*

CreateSavingsPlan [僅限許可] 准許建立新 Savings Plan 寫入
CreateStreamingDistribution 准許建立新的RTMP分佈 寫入

streaming-distribution*

CreateStreamingDistributionWithTags 准許使用標籤建立新的RTMP分佈 寫入

streaming-distribution*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateVpcOrigin 准許建立VPC原始伺服器 寫入

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAnycastIpList 准許刪除 Anycast 靜態 IP 清單 寫入

anycast-ip-list*

DeleteCachePolicy 准許刪除快取政策 寫入

cache-policy*

DeleteCloudFrontOriginAccessIdentity 准許刪除 CloudFront 原始存取身分 寫入

origin-access-identity*

DeleteContinuousDeploymentPolicy 准許刪除 continuous-deployment 政策 寫入

continuous-deployment-policy*

DeleteDistribution 准許刪除 Web 分佈 寫入

distribution*

DeleteFieldLevelEncryptionConfig 准許刪除欄位層級加密組態 寫入

field-level-encryption-config*

DeleteFieldLevelEncryptionProfile 准許刪除欄位層級加密的設定檔 寫入

field-level-encryption-profile*

DeleteFunction 准許刪除 CloudFront 函數 寫入

function*

DeleteKeyGroup 准許刪除金鑰群組 寫入
DeleteKeyValueStore 准許刪除 CloudFront KeyValueStore 寫入

key-value-store*

DeleteMonitoringSubscription 准許停用指定 CloudFront 分佈的其他 CloudWatch 指標 寫入
DeleteOriginAccessControl 准許刪除原始存取控制 寫入

origin-access-control*

DeleteOriginRequestPolicy 准許刪除原始請求政策 寫入

origin-request-policy*

DeletePublicKey 准許從 刪除公有金鑰 CloudFront 寫入
DeleteRealtimeLogConfig 准許刪除即時日誌安全組態 寫入

realtime-log-config*

DeleteResponseHeadersPolicy 准許刪除回應標頭政策 寫入

response-headers-policy*

DeleteStreamingDistribution 准許刪除RTMP分佈 寫入

streaming-distribution*

DeleteVpcOrigin 准許刪除VPC原始伺服器 寫入

vpcorigin*

DescribeFunction 准許取得 CloudFront 函數摘要 讀取

function*

DescribeKeyValueStore 准許取得 CloudFront KeyValueStore 摘要 讀取

key-value-store*

GetAnycastIpList 准許取得 Anycast 靜態 IP 清單 讀取

anycast-ip-list*

GetCachePolicy 准許取得快取政策 讀取

cache-policy*

GetCachePolicyConfig 准許取得快取政策組態 讀取

cache-policy*

GetCloudFrontOriginAccessIdentity 准許取得 CloudFront 原始存取身分的相關資訊 讀取

origin-access-identity*

GetCloudFrontOriginAccessIdentityConfig 准許取得 CloudFront 原始存取身分的相關組態資訊 讀取

origin-access-identity*

GetContinuousDeploymentPolicy 准許取得 continuous-deployment 政策 讀取

continuous-deployment-policy*

GetContinuousDeploymentPolicyConfig 准許取得 continuous-deployment 政策組態 讀取

continuous-deployment-policy*

GetDistribution 准許取得 Web 分佈的相關資訊 讀取

distribution*

GetDistributionConfig 准許取得分佈的相關組態資訊 讀取

distribution*

GetFieldLevelEncryption 准許取得欄位層級加密組態資訊 讀取

field-level-encryption-config*

GetFieldLevelEncryptionConfig 准許取得欄位層級加密組態資訊 讀取

field-level-encryption-config*

GetFieldLevelEncryptionProfile 准許取得欄位層級加密組態資訊 讀取

field-level-encryption-profile*

GetFieldLevelEncryptionProfileConfig 准許取得欄位層級加密的設定檔組態資訊 讀取

field-level-encryption-profile*

GetFunction 准許取得 CloudFront 函數的程式碼 讀取

function*

GetInvalidation 准許取得失效的資訊 讀取

distribution*

GetKeyGroup 准許取得金鑰群組 讀取
GetKeyGroupConfig 准許取得金鑰群組組態 讀取
GetMonitoringSubscription 准許取得指定 CloudFront 分佈是否啟用其他 CloudWatch 指標的相關資訊 讀取
GetOriginAccessControl 准許獲取原始存取控制 讀取

origin-access-control*

GetOriginAccessControlConfig 准許獲取原始存取控制組態 讀取

origin-access-control*

GetOriginRequestPolicy 准許取得原始請求政策 讀取

origin-request-policy*

GetOriginRequestPolicyConfig 准許取得原始請求政策組態 讀取

origin-request-policy*

GetPublicKey 准許取得公有金鑰資訊 讀取
GetPublicKeyConfig 准許取得公有金鑰組態資訊 讀取
GetRealtimeLogConfig 准許取得即時日誌安全組態 讀取

realtime-log-config*

GetResponseHeadersPolicy 准許取得回應標頭政策 讀取

response-headers-policy*

GetResponseHeadersPolicyConfig 准許取得回應標頭政策組態 讀取

response-headers-policy*

GetSavingsPlan [僅限許可] 准許獲取 Savings Plan 讀取
GetStreamingDistribution 准許取得 RTMP分佈的相關資訊 讀取

streaming-distribution*

GetStreamingDistributionConfig 准許取得串流分佈的相關組態資訊 讀取

streaming-distribution*

GetVpcOrigin 准許取得VPC原始伺服器的相關資訊 讀取

vpcorigin*

ListAnycastIpLists 准許列出您的 Anycast 靜態 IP 清單 清單
ListCachePolicies 准許列出 CloudFront 在此帳戶中建立的所有快取政策 清單
ListCloudFrontOriginAccessIdentities 准許列出您的 CloudFront 原始存取身分 清單
ListConflictingAliases 准許列出與 中指定別名衝突的所有別名 CloudFront 清單

distribution*

ListContinuousDeploymentPolicies 准許列出帳戶中的所有 continuous-deployment 政策 清單
ListDistributions 准許列出與您的 相關聯的分佈 AWS 帳戶 清單
ListDistributionsByAnycastIpListId 准許列出您帳戶中與指定 相關聯的分佈 AnycastIpListId 清單
ListDistributionsByCachePolicyId 准許列出具有與指定快取政策相關聯之快取行為的IDs分佈 清單
ListDistributionsByKeyGroup 准許列出具有與指定金鑰群組相關聯之快取行為的IDs分佈 清單
ListDistributionsByLambdaFunction [僅限許可] 准許列出與 Lambda 函數相關聯的發佈 清單
ListDistributionsByOriginRequestPolicyId 准許列出具有與指定原始伺服器請求政策相關聯之快取行為的IDs分佈 清單
ListDistributionsByRealtimeLogConfig 准許取得具有與指定即時日誌組態相關聯之快取行為的分佈清單 清單
ListDistributionsByResponseHeadersPolicyId 准許列出具有與指定回應標頭政策相關聯之快取行為的IDs分佈 清單
ListDistributionsByVpcOriginId 准許列出與指定VPC原始伺服器相關聯的IDs分佈 清單
ListDistributionsByWebACLId 准許列出 AWS 帳戶 與指定 AWS WAF Web 的 相關聯的分佈 ACL 清單
ListFieldLevelEncryptionConfigs 准許列出 CloudFront 在此帳戶中建立的所有欄位層級加密組態 清單
ListFieldLevelEncryptionProfiles 准許列出 CloudFront 在此帳戶中建立的所有欄位層級加密設定檔 清單
ListFunctions 准許取得 CloudFront 函數清單 清單
ListInvalidations 准許列出失效批次 清單

distribution*

ListKeyGroups 准許列出 CloudFront 在此帳戶中建立的所有金鑰群組 清單
ListKeyValueStores 准許取得 的清單 CloudFront KeyValueStores 清單
ListOriginAccessControls 准許列出帳戶中的所有原始存取控制 清單
ListOriginRequestPolicies 准許列出 CloudFront 在此帳戶中建立的所有原始伺服器請求政策 清單
ListPublicKeys 准許列出已新增至 CloudFront 此帳戶的所有公有金鑰 清單
ListRateCards [僅限許可] 准許列出帳戶的 CloudFront 費率卡 清單
ListRealtimeLogConfigs 准許取得即時日誌安全組態清單 清單
ListResponseHeadersPolicies 准許列出 CloudFront 在此帳戶中建立的所有回應標頭政策 清單
ListSavingsPlans [僅限許可] 准許列出帳戶中的 Savings Plans 清單
ListStreamingDistributions 准許列出您的RTMP分佈 清單
ListTagsForResource 准許列出 CloudFront 資源的標籤 讀取

anycast-ip-list

distribution

vpcorigin

ListUsages [僅限許可] 准許列出 CloudFront 用量 清單
ListVpcOrigins 准許列出VPC原始伺服器 清單
PublishFunction 准許發佈 CloudFront 函數 寫入

function*

TagResource 准許將標籤新增至 CloudFront 資源 標記

anycast-ip-list

distribution

streaming-distribution

vpcorigin

aws:RequestTag/${TagKey}

aws:TagKeys

TestFunction 准許測試 CloudFront 函數 寫入

function*

UntagResource 准許從 CloudFront 資源移除標籤 標記

anycast-ip-list

distribution

streaming-distribution

vpcorigin

aws:TagKeys

UpdateCachePolicy 准許更新快取政策 寫入

cache-policy*

UpdateCloudFrontOriginAccessIdentity 准許設定 CloudFront 原始存取身分的組態 寫入

origin-access-identity*

UpdateContinuousDeploymentPolicy 准許更新 continuous-deployment 政策 寫入

continuous-deployment-policy*

UpdateDistribution 准許更新 Web 分佈的組態 寫入

distribution*

UpdateDistributionWithStagingConfig 准許將組態從預備 Web 分佈複製到其對應的主要 Web 分佈 寫入

distribution*

UpdateFieldLevelEncryptionConfig 准許更新現場層級加密組態 寫入
UpdateFieldLevelEncryptionProfile 准許更新欄位層級加密的設定檔 寫入

field-level-encryption-profile*

UpdateFunction 准許更新 CloudFront 函數 寫入

function*

UpdateKeyGroup 准許更新金鑰群組 寫入
UpdateKeyValueStore 准許更新 CloudFront KeyValueStore 寫入

key-value-store*

UpdateOriginAccessControl 准許更新原始存取控制 寫入

origin-access-control*

UpdateOriginRequestPolicy 准許更新原始請求政策 寫入

origin-request-policy*

UpdatePublicKey 准許更新公有金鑰資訊 寫入
UpdateRealtimeLogConfig 准許更新即時日誌安全組態 寫入

realtime-log-config*

UpdateResponseHeadersPolicy 准許更新回應標頭政策 寫入

response-headers-policy*

UpdateSavingsPlan [僅限許可] 准許更新 Savings Plan 寫入
UpdateStreamingDistribution 准許更新RTMP分佈的組態 寫入

streaming-distribution*

UpdateVpcOrigin 准許更新VPC原始伺服器 寫入

vpcorigin*

Amazon 定義的資源類型 CloudFront

此服務會定義下列資源類型，並可用在 IAM 許可政策陳述式的 Resource 元素中。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。

資源類型 ARN 條件索引鍵
distribution arn:${Partition}:cloudfront::${Account}:distribution/${DistributionId}

aws:ResourceTag/${TagKey}

streaming-distribution arn:${Partition}:cloudfront::${Account}:streaming-distribution/${DistributionId}

aws:ResourceTag/${TagKey}

origin-access-identity arn:${Partition}:cloudfront::${Account}:origin-access-identity/${Id}
field-level-encryption-config arn:${Partition}:cloudfront::${Account}:field-level-encryption-config/${Id}
field-level-encryption-profile arn:${Partition}:cloudfront::${Account}:field-level-encryption-profile/${Id}
cache-policy arn:${Partition}:cloudfront::${Account}:cache-policy/${Id}
origin-request-policy arn:${Partition}:cloudfront::${Account}:origin-request-policy/${Id}
realtime-log-config arn:${Partition}:cloudfront::${Account}:realtime-log-config/${Name}
function arn:${Partition}:cloudfront::${Account}:function/${Name}
key-value-store arn:${Partition}:cloudfront::${Account}:key-value-store/${Name}
response-headers-policy arn:${Partition}:cloudfront::${Account}:response-headers-policy/${Id}
origin-access-control arn:${Partition}:cloudfront::${Account}:origin-access-control/${Id}
continuous-deployment-policy arn:${Partition}:cloudfront::${Account}:continuous-deployment-policy/${Id}
anycast-ip-list arn:${Partition}:cloudfront::${Account}:anycast-ip-list/${Id}

aws:ResourceTag/${TagKey}

vpcorigin arn:${Partition}:cloudfront::${Account}:vpcorigin/${Id}

aws:ResourceTag/${TagKey}

Amazon 的條件索引鍵 CloudFront

Amazon CloudFront 定義了下列條件索引鍵，可用於 IAM政策的 Condition元素。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵表。

若要檢視所有服務都可使用的全域條件鍵，請參閱可用全域條件鍵。

條件索引鍵 描述 Type
aws:RequestTag/${TagKey} 依請求中的標籤鍵值對是否存在篩選存取權 字串
aws:ResourceTag/${TagKey} 依連接到資源的標籤鍵值對篩選存取權 字串
aws:TagKeys 依請求中是否存在標籤索引鍵來篩選存取 ArrayOfString