Unterstützte Berechtigungen auf Ressourcenebene für AWS Batch-API-Aktionen

Der Begriff Berechtigungen auf Ressourcenebene bezieht sich auf die Möglichkeit, die Ressourcen anzugeben, für die Benutzer Aktionen ausführen dürfen. AWS Batch unterstützt teilweise Berechtigungen auf Ressourcenebene. Bei einigen AWS Batch Aktionen können Sie steuern, wann Benutzer diese Aktionen verwenden dürfen, basierend auf Bedingungen, die erfüllt sein müssen. Sie können auch anhand der spezifischen Ressourcen steuern, die Benutzer verwenden dürfen. Zum Beispiel können Sie Benutzern die Berechtigungen dazu erteilen, Aufträge zu übergeben, jedoch nur an eine bestimmte Auftragswarteschlange und nur mit einer bestimmten Auftragsdefinition.

In der folgenden Liste werden die AWS Batch API-Aktionen beschrieben, die derzeit Berechtigungen auf Ressourcenebene unterstützen. Die Liste beschreibt auch die unterstützten Ressourcen, Ressourcen-ARNs und Bedingungsschlüssel für jede Aktion.

Wichtig

Wenn eine AWS Batch API-Aktion nicht in dieser Liste aufgeführt ist, unterstützt sie keine Berechtigungen auf Ressourcenebene. Wenn eine AWS Batch API-Aktion keine Berechtigungen auf Ressourcenebene unterstützt, können Sie Benutzern die Berechtigung zur Verwendung der Aktion erteilen. Sie müssen jedoch einen Platzhalter (*) für das Ressourcenelement Ihrer Richtlinienanweisung einfügen.

Aktionen

CancelJob, CreateComputeEnvironment, CreateJobQueue, CreateSchedulingPolicy, DeleteComputeEnvironment, DeleteJobQueue, DeleteSchedulingPolicy, DeregisterJobDefinition, ListTagsForResource, RegisterJobDefinition, SubmitJob, TagResource, TerminateJob, UntagResource, UpdateComputeEnvironment, UpdateSchedulingPolicy, UpdateJobQueue

CancelJob

Bricht einen Auftrag in einer AWS Batch-Warteschlange ab.

Ressource

Job

arn:aws:batch:region :account :job/jobId

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

CreateComputeEnvironment

Erstellt eine -AWS BatchDatenverarbeitungsumgebung.

Ressource

Datenverarbeitungsumgebung

arn:aws:batch:region :account :compute-environment/compute-environment-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Bedingungsschlüssel

aws:RequestTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die in der Anforderung übergeben werden.

aws:TagKeys (Zeichenfolge)

Filtert Aktionen basierend auf den Tag-Schlüsseln, die in der Anforderung übergeben werden.

CreateJobQueue

Erstellt eine -AWS BatchAuftragswarteschlange.

Ressource

Datenverarbeitungsumgebung

arn:aws:batch:region :account :compute-environment/compute-environment-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Auftragswarteschlange

arn:aws:batch:region :account :job-queue/queue-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Planungsrichtlinie

arn:aws:batch:region :account :scheduling-policy/scheduling-policy-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Bedingungsschlüssel

aws:RequestTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die in der Anforderung übergeben werden.

aws:TagKeys (Zeichenfolge)

Filtert Aktionen basierend auf den Tag-Schlüsseln, die in der Anforderung übergeben werden.

DeleteComputeEnvironment

Löscht eine -AWS BatchRechenumgebung.

Ressource

Datenverarbeitungsumgebung

arn:aws:batch:region :account :compute-environment/compute-environment-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

CreateSchedulingPolicy

Erstellt eine -AWS BatchPlanungsrichtlinie.

Ressource

Planungsrichtlinie

arn:aws:batch:region :account :scheduling-policy/scheduling-policy-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Bedingungsschlüssel

aws:RequestTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die in der Anforderung übergeben werden.

aws:TagKeys (Zeichenfolge)

Filtert Aktionen basierend auf den Tag-Schlüsseln, die in der Anforderung übergeben werden.

DeleteJobQueue

Löscht die angegebene Auftragswarteschlange Durch das Löschen der Auftragswarteschlange werden schließlich alle Aufträge in der Warteschlange gelöscht. Aufträge werden mit einer Geschwindigkeit von etwa 16 Aufträgen pro Sekunde gelöscht.

Ressource

Auftragswarteschlange

arn:aws:batch:region :account :job-queue/queue-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

DeleteSchedulingPolicy

Löscht die angegebene Planungsrichtlinie.

Ressource

Planungsrichtlinie

arn:aws:batch:region :account :scheduling-policy/scheduling-policy-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

DeregisterJobDefinition

Hebt die Registrierung einer -AWS BatchAuftragsdefinition auf.

Ressource

Auftragsdefinition

arn:aws:batch:region :account :job-definition/definition-name :revision

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

ListTagsForResource

Listet die Tags für die angegebene Ressource auf.

Ressource

Datenverarbeitungsumgebung

arn:aws:batch:region :account :compute-environment/compute-environment-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Job

arn:aws:batch:region :account :job/jobId

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Auftragsdefinition

arn:aws:batch:region :account :job-definition/definition-name :revision

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Auftragswarteschlange

arn:aws:batch:region :account :job-queue/queue-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Planungsrichtlinie

arn:aws:batch:region :account :scheduling-policy/scheduling-policy-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

RegisterJobDefinition

Registriert eine -AWS BatchDefinition.

Ressource

Auftragsdefinition

arn:aws:batch:region :account :job-definition/definition-name

Bedingungsschlüssel

batch:AWSLogsCreateGroup (Boolean)

Wenn dieser Parameter wahr ist, awslogs-group wird für die Protokolle erstellt.

batch:AWSLogsGroup (Zeichenfolge)

Die awslogs Gruppe, in der sich die Protokolle befinden.

batch:AWSLogsRegion (Zeichenfolge)

Die -Region, an die die Protokolle gesendet werden.

batch:AWSLogsStreamPrefix (Zeichenfolge)

Das Präfix des awslogs Protokollstreams.

batch:Image (Zeichenfolge)

Das Docker-Image, das zum Starten eines Auftrags verwendet wird.

batch:LogDriver (Zeichenfolge)

Der für den Auftrag verwendete Protokolltreiber.

batch:Privileged (Boolean)

Wenn dieser Parameter „true“ ist, erhält der Container für den Auftrag erhöhte Berechtigungen auf der Host-Container-Instance.

batch:User (Zeichenfolge)

Der Benutzername oder die numerische UID, die im Container für den Auftrag verwendet werden soll.

aws:RequestTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die in der Anforderung übergeben werden.

aws:TagKeys (Zeichenfolge)

Filtert Aktionen basierend auf den Tag-Schlüsseln, die in der Anforderung übergeben werden.

SubmitJob

Sendet einen -AWS BatchAuftrag aus einer Auftragsdefinition.

Ressource

Job

arn:aws:batch:region :account :job/jobId

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Auftragsdefinition

arn:aws:batch:region :account :job-definition/definition-name [:revision ]

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Anmerkung

Dieser Schlüssel kann nur verwendet werden, wenn der Amazon-Ressourcenname (ARN) der Auftragsdefinition das Format hat. arn:aws:batch:region:account_number:job-definition/definition-name:revision.

Auftragswarteschlange

arn:aws:batch:region :account :job-queue/queue-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

TagResource

Markiert die angegebene Ressource.

Ressource

Datenverarbeitungsumgebung

arn:aws:batch:region :account :compute-environment/compute-environment-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Job

arn:aws:batch:region :account :job/jobId

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Auftragsdefinition

arn:aws:batch:region :account :job-definition/definition-name :revision

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Auftragswarteschlange

arn:aws:batch:region :account :job-queue/queue-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Planungsrichtlinie

arn:aws:batch:region :account :scheduling-policy/scheduling-policy-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Bedingungsschlüssel

aws:RequestTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die in der Anforderung übergeben werden.

aws:TagKeys (Zeichenfolge)

Filtert Aktionen basierend auf den Tag-Schlüsseln, die in der Anforderung übergeben werden.

TerminateJob

Beendet einen Auftrag in einer -AWS BatchAuftragswarteschlange.

Ressource

Job

arn:aws:batch:region :account :job/jobId

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

UntagResource

Entfernt die Markierung der angegebenen Ressource.

Ressource

Datenverarbeitungsumgebung

arn:aws:batch:region :account :compute-environment/compute-environment-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Job

arn:aws:batch:region :account :job/jobId

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Auftragsdefinition

arn:aws:batch:region :account :job-definition/definition-name :revision

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Auftragswarteschlange

arn:aws:batch:region :account :job-queue/queue-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Planungsrichtlinie

arn:aws:batch:region :account :scheduling-policy/scheduling-policy-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Bedingungsschlüssel

aws:TagKeys (Zeichenfolge)

Filtert Aktionen basierend auf den Tag-Schlüsseln, die in der Anforderung übergeben werden.

UpdateComputeEnvironment

Aktualisiert eine AWS Batch-Rechenumgebung.

Ressource

Datenverarbeitungsumgebung

arn:aws:batch:region :account :compute-environment/compute-environment-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

UpdateJobQueue

Aktualisiert eine Auftragswarteschlange

Ressource

Auftragswarteschlange

arn:aws:batch:region :account :job-queue/queue-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Planungsrichtlinie

arn:aws:batch:region :account :scheduling-policy/scheduling-policy-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

UpdateSchedulingPolicy

Aktualisiert eine Planungsrichtlinie.

Ressource

Planungsrichtlinie

arn:aws:batch:region :account :scheduling-policy/scheduling-policy-name

Bedingungsschlüssel

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

Bedingungsschlüssel für AWS Batch API-Aktionen

AWS Batch definiert die folgenden Bedingungsschlüssel, die im Condition Element einer IAM-Richtlinie verwendet werden. Sie können diese Schlüssel verwenden, um die Bedingungen zu verfeinern, für die die Richtlinienanweisung gilt. Informationen zum Anzeigen der globalen Bedingungsschlüssel, die für alle Services verfügbar sind, finden Sie unter Verfügbare globale Bedingungsschlüssel im IAM-Benutzerhandbuch.

batch:AWSLogsCreateGroup (Boolean)

Wenn dieser Parameter wahr ist, awslogs-group wird für die Protokolle erstellt.

batch:AWSLogsGroup (Zeichenfolge)

Die awslogs Gruppe, in der sich die Protokolle befinden.

batch:AWSLogsRegion (Zeichenfolge)

Die AWS-Region, an die die Protokolle gesendet werden.

batch:AWSLogsStreamPrefix (Zeichenfolge)

Das Präfix des awslogs Protokollstreams.

batch:Image (Zeichenfolge)

Das Docker-Image, das zum Starten eines Auftrags verwendet wird.

batch:LogDriver (Zeichenfolge)

Der für den Auftrag verwendete Protokolltreiber.

batch:Privileged (Boolean)

Wenn dieser Parameter „true“ ist, erhält der Container für den Auftrag erhöhte Berechtigungen auf der Host-Container-Instance (ähnlich wie der Root-Benutzer).

aws:ResourceTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die der Ressource zugeordnet sind.

aws:RequestTag/${TagKey} (Zeichenfolge)

Filtert Aktionen basierend auf den Tags, die in der Anforderung übergeben werden.

batch:ShareIdentifier (Zeichenfolge)

Filtert Aktionen basierend auf dem an gesendeten shareIdentifier ParameterSubmitJob.

aws:TagKeys (Zeichenfolge)

Filtert Aktionen basierend auf den Tag-Schlüsseln, die in der Anforderung übergeben werden.

batch:User (Zeichenfolge)

Der Benutzername oder die numerische Benutzer-ID (uid), die im Container für den Auftrag verwendet werden soll.