Amazon WorkSpaces 的動作、資源和條件索引鍵

Amazon WorkSpaces （服務字首：workspaces) 提供下列服務特定的資源、動作和條件內容索引鍵，可用於 IAM 許可政策。

參考資料：

了解如何設定此服務。
檢視此服務可用的 API 操作清單。
了解如何使用 IAM 許可政策來保護此服務及其資源。

主題

Amazon WorkSpaces 定義的動作
Amazon WorkSpaces 定義的資源類型
Amazon WorkSpaces 的條件索引鍵

Amazon WorkSpaces 定義的動作

您可以在 IAM 政策陳述式的 Action元素中指定下列動作。使用政策來授予在 AWS中執行操作的許可。當您在政策中使用動作時，通常會允許或拒絕存取具有相同名稱的 API 操作或 CLI 命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。

「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作的陳述式中指定該類型的 ARN。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您在 IAM 政策中使用 Resource元素限制資源存取，則必須為每個必要的資源類型包含 ARN 或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。

「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。

注意

資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。

如需下表各欄的詳細資訊，請參閱動作資料表。

動作	描述	存取層級	資源類型 (*必填項目)	條件索引鍵	相依動作
AcceptAccountLinkInvitation	准許接受來自其他 AWS 帳戶的邀請，以共用相同的 WorkSpaces BYOLWord 組態	寫入
AssociateConnectionAlias	准許將連線別名與目錄關聯	寫入	connectionalias*
AssociateConnectionAlias	准許將連線別名與目錄關聯	寫入	directoryid*
AssociateIpGroups	准許將 IP 存取控制群組與目錄關聯	寫入	directoryid*
AssociateIpGroups	准許將 IP 存取控制群組與目錄關聯	寫入	workspaceipgroup*
AssociateWorkspaceApplication	准許將工作區應用程式與 a WorkSpace 建立關聯	寫入	workspaceapplication*
			workspaceid*
				aws:ResourceTag/${TagKey}
AuthorizeIpRules	准許新增規則至 IP 存取控制群組	寫入	workspaceipgroup*		workspaces:UpdateRulesOfIpGroup
CopyWorkspaceImage	准許複製 a WorkSpace 映像	寫入	workspaceimage*		workspaces:DescribeWorkspaceImages
CopyWorkspaceImage	准許複製 a WorkSpace 映像	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateAccountLinkInvitation	准許邀請其他 AWS 帳戶共用相同的 WorkSpaces BYOLWord 組態	寫入
CreateConnectClientAddIn	准許在目錄中建立 Amazon Connect 用戶端增益集	寫入	directoryid*
CreateConnectionAlias	准許建立連線別名以搭配跨區域重新導向使用	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateIpGroup	准許建立 IP 存取控制群組	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateStandbyWorkspaces	准許建立一或多個 Standby WorkSpaces	寫入	directoryid*
			workspaceid*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateTags	准許為 WorkSpaces 資源建立標籤	標記		aws:RequestTag/${TagKey} aws:TagKeys
CreateUpdatedWorkspaceImage	准許建立更新的 WorkSpace 映像	寫入	workspaceimage*
CreateUpdatedWorkspaceImage	准許建立更新的 WorkSpace 映像	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspaceBundle	准許建立 a WorkSpace 套件	寫入	workspacebundle*		workspaces:CreateTags
			workspaceimage*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspaceImage	准許建立新的 WorkSpace 映像	寫入	workspaceid*
CreateWorkspaceImage	准許建立新的 WorkSpace 映像	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspaces	准許建立一或多個 WorkSpaces	寫入	directoryid*
			workspacebundle*
			workspaceid*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspacesPool	准許建立 a WorkSpaces 集區	寫入	directoryid*
			workspacebundle*
			workspacespoolid*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAccountLinkInvitation	准許刪除其他 AWS 帳戶的邀請，以共用相同的 WorkSpaces BYOLWord 組態	寫入
DeleteClientBranding	准許刪除目錄中的 AWS WorkSpaces Client 品牌資料	寫入	directoryid*
DeleteConnectClientAddIn	准許在目錄中刪除已在目錄中設定的 Amazon Connect 用戶端增益集	寫入	directoryid*
DeleteConnectionAlias	准許刪除連線別名	寫入	connectionalias*
DeleteIpGroup	准許刪除 IP 存取控制群組	寫入	workspaceipgroup*
DeleteTags	准許從 WorkSpaces 資源中刪除標籤	標記		aws:RequestTag/${TagKey} aws:TagKeys
DeleteWorkspaceBundle	准許刪除 WorkSpace 套件	寫入	workspacebundle*
DeleteWorkspaceImage	准許 delete WorkSpace 映像	寫入	workspaceimage*
DeployWorkspaceApplications	准許在 a WorkSpace 上部署所有待處理的工作區應用程式	寫入	workspaceid*
DeployWorkspaceApplications	准許在 a WorkSpace 上部署所有待處理的工作區應用程式	寫入		aws:ResourceTag/${TagKey}
DeregisterWorkspaceDirectory	准許取消註冊目錄以與 Amazon WorkSpaces 搭配使用	寫入	directoryid*
DescribeAccount	准許擷取 Bring Your Own License (BYOL) for WorkSpaces 帳戶的組態	讀取
DescribeAccountModifications	准許擷取對 Bring Your Own License (BYOL) for WorkSpaces 帳戶的組態的修改	讀取
DescribeApplicationAssociations	准許擷取與 a WorkSpace 應用程式相關聯的資源資訊	清單	workspaceapplication*
DescribeApplicationAssociations	准許擷取與 a WorkSpace 應用程式相關聯的資源資訊	清單		aws:ResourceTag/${TagKey}
DescribeApplications	准許取得 WorkSpace 應用程式的相關資訊	清單
DescribeBundleAssociations	准許擷取與 a WorkSpace 套件相關聯的資源資訊	清單	workspacebundle*
DescribeBundleAssociations	准許擷取與 a WorkSpace 套件相關聯的資源資訊	清單		aws:ResourceTag/${TagKey}
DescribeClientBranding	准許擷取目錄中的 AWS WorkSpaces Client 品牌資料	讀取	directoryid*
DescribeClientProperties	准許擷取有關 WorkSpaces 用戶端的資訊	清單	directoryid*
DescribeConnectClientAddIns	准許擷取已建立的 Amazon Connect 用戶端增益集清單	清單	directoryid*
DescribeConnectionAliasPermissions	准許擷取連線別名擁有者已授予其他 AWS 帳戶用於連線別名的許可	讀取	connectionalias*
DescribeConnectionAliases	准許擷取描述用於跨區域重新導向之連線別名的清單	讀取
DescribeImageAssociations	准許擷取與 a WorkSpace 映像相關聯的資源資訊	清單	workspaceimage*
DescribeImageAssociations	准許擷取與 a WorkSpace 映像相關聯的資源資訊	清單		aws:ResourceTag/${TagKey}
DescribeIpGroups	准許擷取 IP 存取控制群組的相關資訊	讀取	workspaceipgroup*
DescribeTags	准許描述 WorkSpaces 資源的標籤	讀取
DescribeWorkspaceAssociations	准許擷取與 a WorkSpace 相關聯的資源資訊	清單	workspaceid*
DescribeWorkspaceAssociations	准許擷取與 a WorkSpace 相關聯的資源資訊	清單		aws:ResourceTag/${TagKey}
DescribeWorkspaceBundles	准許取得有關 WorkSpace 套件的資訊	清單
DescribeWorkspaceDirectories	准許擷取已向 WorkSpaces 註冊的目錄資訊	讀取
DescribeWorkspaceImagePermissions	准許擷取有關 WorkSpace 映像許可的資訊	讀取	workspaceimage*
DescribeWorkspaceImages	准許擷取有關 WorkSpace 映像的資訊	清單
DescribeWorkspaceSnapshots	准許擷取有關 WorkSpace 快照的資訊	清單	workspaceid*
DescribeWorkspaces	准許取得有關 WorkSpaces 的資訊	清單
DescribeWorkspacesConnectionStatus	准許取得 WorkSpaces 的連線狀態	讀取
DescribeWorkspacesPoolSessions	准許擷取有關 a WorkSpaces 集區工作階段的資訊	清單	workspacespoolid*
DescribeWorkspacesPools	准許擷取有關 WorkSpaces 集區的資訊	清單
DisassociateConnectionAlias	准許取消連線別名與目錄的關聯	寫入	connectionalias*
DisassociateIpGroups	准許取消 IP 存取控制群組與目錄的關聯	寫入	directoryid*
DisassociateIpGroups	准許取消 IP 存取控制群組與目錄的關聯	寫入	workspaceipgroup*
DisassociateWorkspaceApplication	准許取消工作區應用程式與 a WorkSpace 的關聯	寫入	workspaceapplication*
			workspaceid*
				aws:ResourceTag/${TagKey}
GetAccountLink	准許使用另一個 AWS 帳戶擷取連結，以共用 WorkSpaces BYOLWord 的組態	讀取
ImportClientBranding	准許在目錄中匯入 AWS WorkSpaces Client 品牌資料	寫入	directoryid*
ImportWorkspaceImage	准許將自有授權 (BYOL) 映像匯入 Amazon WorkSpaces	寫入			ec2:DescribeImages ec2:ModifyImageAttribute
ListAccountLinks	准許使用共用您 for WorkSpaces BYOLWord 組態 AWS 的帳戶（帳戶）擷取連結	清單
ListAvailableManagementCidrRanges	准許列出可用於啟用自攜授權 (BYOL) forWord 帳戶的可用 CIDR WorkSpaces 範圍	清單
MigrateWorkspace	准許 migrate WorkSpaces	寫入	workspacebundle*
MigrateWorkspace	准許 migrate WorkSpaces	寫入	workspaceid*
ModifyAccount	准許修改 Bring Your Own License (BYOL) for WorkSpaces 帳戶的組態	寫入
ModifyCertificateBasedAuthProperties	准許修改目錄的憑證型授權屬性	寫入	directoryid*
ModifyClientProperties	准許修改 WorkSpaces 用戶端的屬性	寫入	directoryid*
ModifySamlProperties	准許修改目錄的 SAML 屬性	寫入	directoryid*
ModifySelfservicePermissions	准許修改使用者的自助式 WorkSpace 管理功能	許可管理	directoryid*
ModifyStreamingProperties	准許修改串流屬性	寫入	directoryid*
ModifyWorkspaceAccessProperties	准許指定使用者可以用來存取其 WorkSpaces 的裝置和作業系統	寫入	directoryid*
ModifyWorkspaceCreationProperties	准許修改用於 create WorkSpaces 的預設屬性	寫入	directoryid*
ModifyWorkspaceProperties	准許修改 WorkSpace 屬性，包括執行模式和 AutoStop 期間	寫入	workspaceid*
ModifyWorkspaceState	准許修改 WorkSpaces 狀態	寫入	workspaceid*
RebootWorkspaces	准許 reboot WorkSpaces	寫入	workspaceid*
RebuildWorkspaces	准許 rebuild WorkSpaces	寫入	workspaceid*
RegisterWorkspaceDirectory	准許註冊目錄以搭配 Amazon WorkSpaces 使用	寫入	directoryid*
RegisterWorkspaceDirectory	准許註冊目錄以搭配 Amazon WorkSpaces 使用	寫入		aws:RequestTag/${TagKey} aws:TagKeys
RejectAccountLinkInvitation	准許拒絕來自其他 AWS 帳戶的邀請，以共用相同的 WorkSpaces BYOLWord 組態	寫入
RestoreWorkspace	准許 restore WorkSpaces	寫入	workspaceid*
RevokeIpRules	准許從 IP 存取控制群組移除規則	寫入	workspaceipgroup*		workspaces:UpdateRulesOfIpGroup
StartWorkspaces	准許 start AutoStop WorkSpacesWord	寫入	workspaceid*
StartWorkspacesPool	准許啟動 a WorkSpaces 集區	寫入	workspacespoolid*
StopWorkspaces	准許 stop AutoStop WorkSpacesWord	寫入	workspaceid*
StopWorkspacesPool	准許停止 a WorkSpaces 集區	寫入	workspacespoolid*
Stream	准許聯合身分使用者透過使用現有的憑證及串流工作空間來登入	寫入	directoryid*
Stream	准許聯合身分使用者透過使用現有的憑證及串流工作空間來登入	寫入		workspaces:userId
TerminateWorkspaces	准許 terminate WorkSpaces	寫入	workspaceid*
TerminateWorkspacesPool	准許終止 a WorkSpaces 集區	寫入	workspacespoolid*
TerminateWorkspacesPoolSession	准許終止 a WorkSpaces 集區工作階段	寫入
UpdateConnectClientAddIn	准許更新 Amazon Connect 用戶端增益集。使用此動作更新 Amazon Connect 用戶端增益集的名稱和端點 URL	寫入	directoryid*
UpdateConnectionAliasPermission	准許與其他帳戶共享或取消共享連線別名	許可管理	connectionalias*
UpdateRulesOfIpGroup	准許取代 IP 存取控制群組的規則	寫入	workspaceipgroup*		workspaces:AuthorizeIpRules workspaces:RevokeIpRules
UpdateWorkspaceBundle	准許更新在 WorkSpace 套件中使用的 WorkSpace 映像	寫入	workspacebundle*
UpdateWorkspaceBundle	准許更新在 WorkSpace 套件中使用的 WorkSpace 映像	寫入	workspaceimage*
UpdateWorkspaceImagePermission	指定其他帳戶是否具有複製映像的許可，以准許與其他帳戶共用或取消共用 WorkSpace 映像	許可管理	workspaceimage*
UpdateWorkspacesPool	准許更新 WorkSpaces 集區	寫入	workspacespoolid*

Amazon WorkSpaces 定義的資源類型

下列資源類型由此服務定義，可用於 IAM 許可政策陳述式的 Resource元素。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。

資源類型	ARN	條件索引鍵
directoryid	`arn:${Partition}:workspaces:${Region}:${Account}:directory/${DirectoryId}`	aws:ResourceTag/${TagKey}
workspacebundle	`arn:${Partition}:workspaces:${Region}:${Account}:workspacebundle/${BundleId}`	aws:ResourceTag/${TagKey}
workspaceid	`arn:${Partition}:workspaces:${Region}:${Account}:workspace/${WorkspaceId}`	aws:ResourceTag/${TagKey}
workspaceimage	`arn:${Partition}:workspaces:${Region}:${Account}:workspaceimage/${ImageId}`	aws:ResourceTag/${TagKey}
workspaceipgroup	`arn:${Partition}:workspaces:${Region}:${Account}:workspaceipgroup/${GroupId}`	aws:ResourceTag/${TagKey}
workspacespoolid	`arn:${Partition}:workspaces:${Region}:${Account}:workspacespool/${PoolId}`	aws:ResourceTag/${TagKey}
connectionalias	`arn:${Partition}:workspaces:${Region}:${Account}:connectionalias/${ConnectionAliasId}`	aws:ResourceTag/${TagKey}
workspaceapplication	`arn:${Partition}:workspaces:${Region}:${Account}:workspaceapplication/${WorkSpaceApplicationId}`	aws:ResourceTag/${TagKey}

Amazon WorkSpaces 的條件索引鍵

Amazon WorkSpaces 定義下列條件索引鍵，可用於 IAM 政策的 Condition元素。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵表。

若要檢視所有服務都可使用的全域條件鍵，請參閱可用全域條件鍵。

條件索引鍵	描述	類型
aws:RequestTag/${TagKey}	根據請求中傳遞的標籤來篩選存取權	字串
aws:ResourceTag/${TagKey}	根據與資源關聯的標籤來篩選存取權	字串
aws:TagKeys	根據請求中傳遞的標籤索引鍵來篩選存取權	ArrayOfString
workspaces:userId	依 Workspaces 使用者的 ID 篩選存取權	字串

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

Amazon WorkMail 訊息流程

Amazon WorkSpaces Application Manager