Aktionen, Ressourcen und Bedingungsschlüssel für AWS Directory Service

AWS Directory Service (Servicepräfix: ds) stellt die folgenden servicespezifischen Ressourcen, Aktionen und Bedingungskontextschlüssel für die Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

• Erfahren Sie, wie Sie diesen Service konfigurieren.

• Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.

• Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.

Von AWS Directory Service definierte Aktionen

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Die Spalte Resource types (Ressourcentypen) der Aktionstabelle gibt an, ob die Aktion Berechtigungen auf Ressourcenebene unterstützt. Wenn es keinen Wert für diese Spalte gibt, müssen Sie alle Ressourcen ("*") im Element Resource Ihrer Richtlinienanweisung angeben. Wenn die Spalte einen Ressourcentyp enthält, können Sie einen ARN dieses Typs in einer Anweisung mit dieser Aktion angeben. Wenn für die Aktion eine oder mehrere Ressourcen erforderlich sind, muss der Aufrufer die Erlaubnis haben, die Aktion mit diesen Ressourcen zu verwenden. Erforderliche Ressourcen sind in der Tabelle mit einem Sternchen (*) gekennzeichnet. Wenn Sie den Ressourcenzugriff mit dem Element Resource in einer IAM-Richtlinie einschränken, müssen Sie für jeden erforderlichen Ressourcentyp einen ARN oder ein Muster angeben. Einige Aktionen unterstützen mehrere Ressourcentypen. Wenn der Ressourcentyp optional ist (nicht als erforderlich angegeben), können Sie sich für einen der optionalen Ressourcentypen entscheiden.

Die Spalte Bedingungsschlüssel der Tabelle der Aktionen enthält Schlüssel, die Sie im Element Condition einer Richtlinienanweisung angeben können. Weitere Informationen zu den Bedingungsschlüsseln, die den Ressourcen für den Service zugeordnet sind, finden Sie in der Spalte Bedingungsschlüssel der Tabelle der Ressourcentypen.

Anmerkung

Die Ressourcenbedingungsschlüssel sind in der Tabelle Ressourcentypen enthalten. Sie finden einen Link zu dem Ressourcentyp, der für eine Aktion gilt, in der Spalte Ressourcentypen (*erforderlich) der Tabelle „Aktionen“. Der Ressourcentyp in der Tabelle „Ressourcentypen“ enthält die Spalte Bedingungsschlüssel. Das sind die Ressourcenbedingungsschlüssel, die für eine Aktion in der Tabelle „Aktionen“ gelten.

Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Aktionen

Aktionen	Beschreibung	Zugriffsebene	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Abhängige Aktionen
AcceptSharedDirectory	Gewährt die Berechtigung zum Annehmen einer Verzeichnisfreigabeanforderung, die vom Konto des Verzeichniseigentümers gesendet wurde	Schreiben	directory*
AddIpRoutes	Gewährt die Berechtigung zum Hinzufügen eines CIDR-Adressblocks für die korrekte Weiterleitung des Datenverkehrs zu und von Ihrem Microsoft AD in Amazon Web Services	Schreiben	directory*		ec2:AuthorizeSecurityGroupEgress ec2:AuthorizeSecurityGroupIngress ec2:DescribeSecurityGroups
AddRegion	Gewährt die Berechtigung zum Hinzufügen von zwei Domain-Controllern in der angegebenen Region für das angegebene Verzeichnis	Schreiben	directory*		ec2:AuthorizeSecurityGroupEgress ec2:AuthorizeSecurityGroupIngress ec2:CreateNetworkInterface ec2:CreateSecurityGroup ec2:CreateTags ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs
AddTagsToResource	Gewährt die Berechtigung zum Hinzufügen oder Überschreiben von einem oder mehreren Tags für das angegebene Amazon-Directory-Service-Verzeichnis	Markierung	directory*		ec2:CreateTags
				aws:RequestTag/${TagKey} aws:TagKeys
AuthorizeApplication [nur Berechtigung]	Gewährt die Berechtigung zur Autorisierung einer Anwendung für Ihr AWS-Verzeichnis	Schreiben	directory*
CancelSchemaExtension	Gewährt die Berechtigung zum Abbrechen einer laufenden Schemaerweiterung auf ein Microsoft-AD-Verzeichnis	Schreiben	directory*
CheckAlias [nur Berechtigung]	Gewährt die Berechtigung zum Überprüfen, ob der Alias zur Verwendung verfügbar ist	Lesen
ConnectDirectory	Gewährt die Berechtigung zum Erstellen eines AD Connectors zum Verbinden mit einem On-Premises-Verzeichnis	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys	ec2:AuthorizeSecurityGroupEgress ec2:AuthorizeSecurityGroupIngress ec2:CreateNetworkInterface ec2:CreateSecurityGroup ec2:CreateTags ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs
CreateAlias	Gewährt die Berechtigung zum Erstellen einen Alias für ein Verzeichnis und weist den Alias dem Verzeichnis zu	Schreiben	directory*
CreateComputer	Gewährt die Berechtigung zum Erstellen eines Computerkontos im angegebenen Verzeichnis und verknüpft den Computer mit dem Verzeichnis	Schreiben	directory*
CreateConditionalForwarder	Gewährt die Berechtigung zum Erstellen einer bedingten Weiterleitung, die Ihrem AWS-Verzeichnis zugeordnet ist	Schreiben	directory*
CreateDirectory	Gewährt die Berechtigung zum Erstellen eines Simple AD-Verzeichnisses	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys	ec2:AuthorizeSecurityGroupEgress ec2:AuthorizeSecurityGroupIngress ec2:CreateNetworkInterface ec2:CreateSecurityGroup ec2:CreateTags ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs
CreateIdentityPoolDirectory [nur Berechtigung]	Gewährt die Berechtigung zum Erstellen eines IdentityPool-Verzeichnisses in der AWS Cloud	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys
CreateLogSubscription	Gewährt die Berechtigung zum Erstellen eines Abonnements zur Weiterleitung von Echtzeit-Sicherheitsprotokollen des Directory-Service-Domain-Controllers an die angegebene CloudWatch-Protokollgruppe in Ihrem AWS-Konto	Schreiben	directory*
CreateMicrosoftAD	Gewährt die Berechtigung zum Erstellen eines Microsoft AD in der AWS Cloud	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys	ec2:AuthorizeSecurityGroupEgress ec2:AuthorizeSecurityGroupIngress ec2:CreateNetworkInterface ec2:CreateSecurityGroup ec2:CreateTags ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs
CreateSnapshot	Gewährt die Berechtigung zum Erstellen eines Snapshots eines Simple AD- oder Microsoft AD-Verzeichnisses in der AWS Cloud	Schreiben	directory*
CreateTrust	Gewährt die Berechtigung zum Initiieren der Erstellung der AWS-Seite einer Vertrauensstellung zwischen einem Microsoft AD in der AWS Cloud und einer externen Domain	Schreiben	directory*
DeleteConditionalForwarder	Gewährt die Berechtigung zum Löschen einer bedingten Weiterleitung, die für Ihr AWS-Verzeichnis eingerichtet wurde.	Schreiben	directory*
DeleteDirectory	Gewährt die Berechtigung zum Löschen eines AWS-Directory-Service-Verzeichnisses	Schreiben	directory*		ec2:DeleteNetworkInterface ec2:DeleteSecurityGroup ec2:DescribeNetworkInterfaces ec2:RevokeSecurityGroupEgress ec2:RevokeSecurityGroupIngress
DeleteLogSubscription	Gewährt die Berechtigung zum Löschen der angegebenen Protokollabonnements	Schreiben	directory*
DeleteSnapshot	Gewährt die Berechtigung zum Löschen eines Verzeichnis-Snapshots	Schreiben	directory*
DeleteTrust	Gewährt die Berechtigung zum Löschen einer bestehenden Vertrauensstellung zwischen Ihrem Microsoft AD in der AWS Cloud und einer externen Domain	Schreiben	directory*
DeregisterCertificate	Gewährt die Berechtigung zum Löschen des Zertifikats, das für eine gesicherte LDAP-Verbindung registriert wurde, aus dem System	Schreiben	directory*
DeregisterEventTopic	Gewährt die Berechtigung zum Entfernen des angegebenen Verzeichnisses als Publisher für das angegebene SNS-Thema	Schreiben	directory*
DescribeCertificate	Gewährt die Berechtigung zum Anzeigen von Informationen über das Zertifikat, das für eine gesicherte LDAP-Verbindung registriert ist	Lesen	directory*
DescribeClientAuthenticationSettings	Gewährt die Berechtigung zum Abrufen von Informationen über den Typ der Clientauthentifizierung für das angegebene Verzeichnis, wenn der Typ angegeben ist. Wenn kein Typ angegeben ist, werden Informationen zu allen Client-Authentifizierungstypen abgerufen, die für das angegebene Verzeichnis unterstützt werden. Derzeit wird nur SmartCard unterstützt.	Lesen	directory*
DescribeConditionalForwarders	Gewährt die Berechtigung zum Erhalten von Informationen über die bedingten Weiterleitungen für dieses Konto	Lesen	directory*
DescribeDirectories	Gewährt die Berechtigung zum Erhalten von Informationen über die Verzeichnisse, die zu diesem Konto gehören	Auflisten
DescribeDomainControllers	Gewährt die Berechtigung zum Bereitstellen von Informationen über Domain-Controller in Ihrem Verzeichnis	Lesen	directory*
DescribeEventTopics	Gewährt die Berechtigung zum Erhalten von Informationen darüber, welche SNS-Themen Statusmeldungen vom angegebenen Verzeichnis erhalten	Lesen	directory*
DescribeLDAPSSettings	Gewährt die Berechtigung zum Beschreiben des Status der LDAP-Sicherheit für das angegebene Verzeichnis	Lesen	directory*
DescribeRegions	Gewährt die Berechtigung zum Bereitstellen von Informationen zu den Regionen, die für multiregionale Replikation konfiguriert sind	Lesen	directory*
DescribeSettings	Erteilt die Berechtigung zum Abrufen von Informationen zu den konfigurierbaren Einstellungen für das angegebene Verzeichnis.	Lesen	directory*
DescribeSharedDirectories	Gewährt die Berechtigung zum Zurückgeben der freigegebenen Verzeichnisse in Ihrem Konto	Lesen	directory*
DescribeSnapshots	Gewährt die Berechtigung zum Erhalten von Informationen über die Verzeichnis-Snapshots, die zu diesem Konto gehören	Lesen
DescribeTrusts	Gewährt die Berechtigung zum Erhalten von Informationen über die Vertrauensstellungen für dieses Konto	Lesen
DescribeUpdateDirectory	Gewährt die Berechtigung zum Beschreiben der Aktualisierungen eines Verzeichnisses für einen bestimmten Aktualisierungstyp	Lesen	directory*
DisableClientAuthentication	Gewährt die Berechtigung zum Deaktivieren alternativer Client-Authentifizierungsmethoden für das angegebene Verzeichnis	Schreiben	directory*
DisableLDAPS	Gewährt die Berechtigung zum Deaktivieren sicherer LDAP-Aufrufe für das angegebene Verzeichnis	Schreiben	directory*
DisableRadius	Gewährt die Berechtigung zum Deaktivieren von Multi-Faktor-Authentifizierung (MFA) mit dem Server des Remote Authentication Dial In User Service (RADIUS) für ein AD-Connector-Verzeichnis	Schreiben	directory*
DisableRoleAccess [nur Berechtigung]	Gewährt die Berechtigung zum Deaktivieren des AWS Management Console-Zugriffs auf Identitäten in Ihrem AWS-Verzeichnis	Schreiben	directory*
DisableSso	Gewährt die Berechtigung zum Deaktivieren von Single-Sign-On für ein Verzeichnis	Schreiben	directory*
EnableClientAuthentication	Gewährt die Berechtigung zum Aktivieren alternativer Client-Authentifizierungsmethoden für das angegebene Verzeichnis	Schreiben	directory*
EnableLDAPS	Gewährt die Berechtigung zum Aktivieren des Switches für das angegebene Verzeichnis, um immer sichere LDAP-Aufrufe zu verwenden	Schreiben	directory*
EnableRadius	Gewährt die Berechtigung zum Aktivieren von Multi-Faktor-Authentifizierung (MFA) mit dem Server des Remote Authentication Dial In User Service (RADIUS) für ein AD-Connector-Verzeichnis	Schreiben	directory*
EnableRoleAccess [nur Berechtigung]	Gewährt die Berechtigung zum Aktivieren des AWS Management Console-Zugriffs auf Identitäten in Ihrem AWS-Verzeichnis	Schreiben	directory*		iam:PassRole
EnableSso	Gewährt die Berechtigung zum Aktivieren von Single-Sign-On für ein Verzeichnis	Schreiben	directory*
GetAuthorizedApplicationDetails [nur Berechtigung]	Gewährt die Berechtigung zum Abrufen der Details der autorisierten Anwendungen in einem Verzeichnis	Lesen	directory*
GetDirectoryLimits	Gewährt die Berechtigung zum Erhalten von Informationen über das Verzeichnislimit für die aktuelle Region	Lesen
GetSnapshotLimits	Gewährt die Berechtigung zum Erhalten des manuellen Snapshot-Limits für ein Verzeichnis	Lesen	directory*
ListAuthorizedApplications [nur Berechtigung]	Gewährt die Berechtigung zum Erhalten der AWS-Anwendungen, die für ein Verzeichnis autorisiert sind	Lesen	directory*
ListCertificates	Gewährt die Berechtigung, alle Zertifikate, die für eine gesicherte LDAP-Verbindung registriert sind, für das angegebene Verzeichnis aufzulisten	Auflisten	directory*
ListIpRoutes	Gewährt die Berechtigung zum Auflisten der Adressblöcke, die Sie einem Verzeichnis hinzugefügt haben	Lesen	directory*
ListLogSubscriptions	Gewährt die Berechtigung zum Auflisten der aktiven Protokollabonnements für das AWS-Konto	Lesen
ListSchemaExtensions	Gewährt die Berechtigung zum Auflisten aller Schemaerweiterungen, die auf ein Microsoft AD-Verzeichnis angewendet wurden	Auflisten	directory*
ListTagsForResource	Gewährt die Berechtigung zum Auflisten aller Tags für ein Amazon-Directory-Service-Verzeichnis	Lesen	directory*
RegisterCertificate	Gewährt die Berechtigung zum Registrieren eines Zertifikats für eine gesicherte LDAP-Verbindung	Schreiben	directory*
RegisterEventTopic	Gewährt die Berechtigung zum Verknüpfen eines Verzeichnisses mit einem SNS-Thema	Schreiben	directory*		sns:GetTopicAttributes
RejectSharedDirectory	Gewährt die Berechtigung zum Ablehnen einer Verzeichnisfreigabeanforderung, die vom Konto des Verzeichniseigentümers gesendet wurde	Schreiben	directory*
RemoveIpRoutes	Gewährt die Berechtigung zum Entfernen von IP-Adressblöcken aus einem Verzeichnis	Schreiben	directory*
RemoveRegion	Gewährt die Berechtigung zum Stoppen der gesamten Replikation und entfernt die Domain-Controller aus der angegebenen Region Sie können mit diesem Vorgang die primäre Region nicht entfernen.	Schreiben	directory*
RemoveTagsFromResource	Gewährt die Berechtigung zum Entfernen von Tags aus einem Amazon-Directory-Service-Verzeichnis	Markierung	directory*		ec2:DeleteTags
				aws:RequestTag/${TagKey} aws:TagKeys
ResetUserPassword	Gewährt die Berechtigung zum Zurücksetzen des Passworts für Benutzer in Ihrem von AWS verwalteten Microsoft AD- oder Simple AD-Verzeichnis	Schreiben	directory*
RestoreFromSnapshot	Gewährt die Berechtigung zum Wiederherstellen eines Verzeichnisses mithilfe eines vorhandenen Verzeichnis-Snapshots	Schreiben	directory*
ShareDirectory	Gewährt die Berechtigung zum Freigeben eines angegebenen Verzeichnisses in Ihrem AWS-Konto (Verzeichnisbesitzer) für ein anderes AWS-Konto (Verzeichnisverbraucher). Für diesen Vorgang können Sie Ihr Verzeichnis aus einem beliebigen AWS-Konto und aus einer beliebigen Amazon VPC innerhalb einer AWS-Region verwenden.	Schreiben	directory*
StartSchemaExtension	Gewährt die Berechtigung zum Anwenden einer Schemaerweiterung auf ein Microsoft AD-Verzeichnis	Schreiben	directory*
UnauthorizeApplication [nur Berechtigung]	Gewährt die Berechtigung zum Aufheben der Autorisierung einer Anwendung für Ihr AWS-Verzeichnis	Schreiben	directory*
UnshareDirectory	Gewährt die Berechtigung zum Stoppen der Verzeichnisfreigabe zwischen den Konten des Verzeichnisbesitzers und -verbrauchers	Schreiben	directory*
UpdateAuthorizedApplication [nur Berechtigung]	Gewährt die Berechtigung zum Aktualisieren einer autorisierten Anwendung für Ihr AWS-Verzeichnis	Schreiben	directory*
UpdateConditionalForwarder	Gewährt die Berechtigung zum Aktualisieren einer bedingten Weiterleitung, die für Ihr AWS-Verzeichnis eingerichtet wurde	Schreiben	directory*
UpdateDirectory [nur Berechtigung]	Gewährt die Berechtigung zum Aktualisieren der Konfigurationen wie Servicekontoanmeldeinformationen oder DNS-Server-IP-Adressen für das angegebene Verzeichnis	Schreiben	directory*
UpdateDirectorySetup	Gewährt die Berechtigung zum Aktualisieren des Verzeichnisses für einen bestimmten Aktualisierungstyp	Schreiben	directory*
UpdateNumberOfDomainControllers	Gewährt die Berechtigung zum Hinzufügen oder Entfernen von Domain-Controllern zu bzw. aus dem Verzeichnis Basierend auf dem Unterschied zwischen dem aktuellen Wert und dem neuen Wert (der durch diesen API-Aufruf bereitgestellt wird), werden Domain-Controller hinzugefügt oder entfernt. Es kann bis zu 45 Minuten dauern, bis neue Domain-Controller vollständig aktiv werden, nachdem die angeforderte Anzahl von Domain-Controllern aktualisiert wurde. Während dieser Zeit können Sie keine andere Aktualisierungsanforderung durchführen.	Schreiben	directory*
UpdateRadius	Gewährt die Berechtigung zum Aktualisieren der Serverinformationen des Remote Authentication Dial In User Service (RADIUS) für ein AD-Connector-Verzeichnis	Schreiben	directory*
UpdateSettings	Gewährt die Berechtigung zum Aktualisieren der Beendigungseinstellungen für den angegebenen Voice Connector.	Schreiben	directory*
UpdateTrust	Gewährt die Berechtigung zum Aktualisieren der Vertrauensstellung, die zwischen Ihrem von AWS verwalteten Microsoft AD-Verzeichnis und einem On-Premises Active Directory eingerichtet wurde	Schreiben	directory*
VerifyTrust	Gewährt die Berechtigung zum Verifizieren einer Vertrauensstellung zwischen Ihrem Microsoft AD in der AWS Cloud und einer externen Domain	Lesen	directory*

Von AWS Directory Service definierte Ressourcentypen

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden. Jede Aktion in der Tabelle "Actions" (Aktionen) identifiziert die Ressourcentypen, die mit der Aktion angegeben werden können. Ein Ressourcentyp kann auch definieren, welche Bedingungsschlüssel Sie in einer Richtlinie einschließen können. Diese Schlüssel werden in der letzten Spalte der Tabelle der Ressourcentypen angezeigt. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Resource types.

Ressourcentypen	ARN	Bedingungsschlüssel
directory	arn:${Partition}:ds:${Region}:${Account}:directory/${DirectoryId}	aws:ResourceTag/${TagKey}

Bedingungsschlüssel für AWS Directory Service

AWS Directory Service definiert die folgenden Bedingungsschlüssel, die im Element Condition einer IAM-Richtlinie verwendet werden können. Diese Schlüssel können Sie verwenden, um die Bedingungen zu verfeinern, unter denen die Richtlinienanweisung angewendet wird. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Bedingungsschlüssel.

Eine Liste der globalen Bedingungsschlüssel, die für alle Services verfügbar sind, finden Sie unter Verfügbare globale Bedingungsschlüssel.

Bedingungsschlüssel	Beschreibung	Typ
aws:RequestTag/${TagKey}	Filtert den Zugriff nach dem Wert der Anforderung an AWS DS	Zeichenfolge
aws:ResourceTag/${TagKey}	Filtert den Zugriff nach der AWS-DS-Ressource, für die Maßnahmen ergriffen werden	Zeichenfolge
aws:TagKeys	Filtert den Zugriff basierend auf den Tag-Schlüssel, die in der Anfrage übergeben werden	ArrayOfString