Aktionen, Ressourcen und Bedingungsschlüssel für AWS Security Token Service

AWS Der Security Token Service (Dienstpräfix:sts) stellt die folgenden dienstspezifischen Ressourcen, Aktionen und Bedingungskontextschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

• Erfahren Sie, wie Sie diesen Service konfigurieren.

• Zeigen Sie eine Liste der API-Vorgänge an, die für diesen Service verfügbar sind.

• Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.

Von AWS Security Token Service definierte Aktionen

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Die Spalte Resource types (Ressourcentypen) der Aktionstabelle gibt an, ob die Aktion Berechtigungen auf Ressourcenebene unterstützt. Wenn es keinen Wert für diese Spalte gibt, müssen Sie alle Ressourcen ("*") im Element Resource Ihrer Richtlinienanweisung angeben. Wenn die Spalte einen Ressourcentyp enthält, können Sie einen ARN dieses Typs in einer Anweisung mit dieser Aktion angeben. Wenn für die Aktion eine oder mehrere Ressourcen erforderlich sind, muss der Aufrufer die Erlaubnis haben, die Aktion mit diesen Ressourcen zu verwenden. Erforderliche Ressourcen sind in der Tabelle mit einem Sternchen (*) gekennzeichnet. Wenn Sie den Ressourcenzugriff mit dem Element Resource in einer IAM-Richtlinie einschränken, müssen Sie für jeden erforderlichen Ressourcentyp einen ARN oder ein Muster angeben. Einige Aktionen unterstützen mehrere Ressourcentypen. Wenn der Ressourcentyp optional ist (nicht als erforderlich angegeben), können Sie sich für einen der optionalen Ressourcentypen entscheiden.

Die Spalte Bedingungsschlüssel der Tabelle der Aktionen enthält Schlüssel, die Sie im Element Condition einer Richtlinienanweisung angeben können. Weitere Informationen zu den Bedingungsschlüsseln, die den Ressourcen für den Service zugeordnet sind, finden Sie in der Spalte Bedingungsschlüssel der Tabelle der Ressourcentypen.

Anmerkung

Die Ressourcenbedingungsschlüssel sind in der Tabelle Ressourcentypen enthalten. Sie finden einen Link zu dem Ressourcentyp, der für eine Aktion gilt, in der Spalte Ressourcentypen (*erforderlich) der Tabelle „Aktionen“. Der Ressourcentyp in der Tabelle „Ressourcentypen“ enthält die Spalte Bedingungsschlüssel. Das sind die Ressourcenbedingungsschlüssel, die für eine Aktion in der Tabelle „Aktionen“ gelten.

Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Aktionen

Aktionen	Beschreibung	Zugriffsebene	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Abhängige Aktionen
AssumeRole	Erteilt die Berechtigung zum Abrufen einer Reihe temporärer Sicherheitsanmeldedaten, mit denen Sie auf AWS Ressourcen zugreifen können, auf die Sie normalerweise keinen Zugriff haben	Schreiben	role*
				aws:TagKeys aws:RequestTag/${TagKey} sts:TransitiveTagKeys sts:ExternalId sts:RoleSessionName iam:ResourceTag/${TagKey} sts:SourceIdentity cognito-identity.amazonaws.com:amr cognito-identity.amazonaws.com:aud cognito-identity.amazonaws.com:sub www.amazon.com:app_id www.amazon.com:user_id graph.facebook.com:app_id graph.facebook.com:id accounts.google.com:aud accounts.google.com:sub saml:namequalifier saml:sub saml:sub_type
AssumeRoleWithSAML	Gewährt die Berechtigung, einen Satz temporärer Sicherheits-Anmeldeinformationen für Benutzer abzurufen, die mittels SAML-Authentifizierungsantwort authentifiziert wurden	Schreiben	role*
				saml:namequalifier saml:sub saml:sub_type saml:aud saml:iss saml:doc saml:cn saml:commonName saml:eduorghomepageuri saml:eduorgidentityauthnpolicyuri saml:eduorglegalname saml:eduorgsuperioruri saml:eduorgwhitepagesuri saml:edupersonaffiliation saml:edupersonassurance saml:edupersonentitlement saml:edupersonnickname saml:edupersonorgdn saml:edupersonorgunitdn saml:edupersonprimaryaffiliation saml:edupersonprimaryorgunitdn saml:edupersonprincipalname saml:edupersonscopedaffiliation saml:edupersontargetedid saml:givenName saml:mail saml:name saml:organizationStatus saml:primaryGroupSID saml:surname saml:uid saml:x500UniqueIdentifier aws:TagKeys aws:RequestTag/${TagKey} sts:TransitiveTagKeys sts:SourceIdentity sts:RoleSessionName
AssumeRoleWithWebIdentity	Gewährt die Berechtigung, einen Satz temporärer Sicherheits-Anmeldeinformationen für Benutzer abzurufen, die in einer mobilen App oder Webanwendung mit einem Web-Identitätsanbieter authentifiziert wurden	Schreiben	role*
				cognito-identity.amazonaws.com:amr cognito-identity.amazonaws.com:aud cognito-identity.amazonaws.com:sub www.amazon.com:app_id www.amazon.com:user_id graph.facebook.com:app_id graph.facebook.com:id accounts.google.com:aud accounts.google.com:oaud accounts.google.com:sub aws:TagKeys aws:RequestTag/${TagKey} sts:TransitiveTagKeys sts:SourceIdentity sts:RoleSessionName
DecodeAuthorizationMessage	Erteilt die Berechtigung, zusätzliche Informationen über den Autorisierungsstatus einer Anfrage aus einer codierten Nachricht zu dekodieren, die als Antwort auf eine Anfrage zurückgegeben wird AWS	Schreiben
GetAccessKeyInfo	Gewährt die Berechtigung zum Abrufen von Details über die Zugriffsschlüssel-ID, die als Parameter an die Anforderung übergeben wurde	Lesen
GetCallerIdentity	Gewährt die Berechtigung zum Abrufen von Details über die IAM-Identität, deren Anmeldeinformationen zum Aufrufen der API verwendet wurden	Lesen
GetFederationToken	Gewährt die Berechtigung, einen Satz temporärer Sicherheits-Anmeldeinformationen (bestehend aus Zugriffsschlüssel-ID, geheimem Zugriffsschlüssel und Sicherheits-Token) für einen verbundenen Benutzer abzurufen	Lesen	user
				aws:TagKeys aws:RequestTag/${TagKey}
GetServiceBearerToken [nur Berechtigung]	Erteilt die Berechtigung zum Abrufen eines STS-Bearer-Tokens für einen AWS Root-Benutzer, eine IAM-Rolle oder einen IAM-Benutzer	Lesen		sts:AWSServiceName sts:DurationSeconds
GetSessionToken	Erteilt die Berechtigung zum Abrufen eines Satzes temporärer Sicherheitsanmeldeinformationen (bestehend aus einer Zugriffsschlüssel-ID, einem geheimen Zugriffsschlüssel und einem Sicherheitstoken) für einen AWS-Konto oder IAM-Benutzer	Lesen
SetContext [nur Berechtigung]	Gewährt die Berechtigung, Kontextschlüssel für eine STS-Sitzung festzulegen	Schreiben	role
			self-session
				sts:RequestContext/${ContextKey} sts:RequestContextProviders
SetSourceIdentity [nur Berechtigung]	Gewährt die Berechtigung, eine Quellenidentität für eine STS-Sitzung festzulegen	Write	role
			user
				sts:SourceIdentity
TagSession [nur Berechtigung]	Gewährt die Berechtigung zum Hinzufügen von Tags zu einer STS-Sitzung.	Markieren	role
			user
				aws:TagKeys aws:RequestTag/${TagKey} sts:TransitiveTagKeys saml:aud

Vom AWS Security Token Service definierte Ressourcentypen

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden. Jede Aktion in der Tabelle „Aktionen“ identifiziert die Ressourcentypen, die mit der Aktion angegeben werden können. Ein Ressourcentyp kann auch definieren, welche Bedingungsschlüssel Sie in einer Richtlinie einschließen können. Diese Schlüssel werden in der letzten Spalte der Tabelle angezeigt. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Resource types (Ressourcen-Typen).

Ressourcentypen	ARN	Bedingungsschlüssel
role	arn:${Partition}:iam::${Account}:role/${RoleNameWithPath}	aws:ResourceTag/${TagKey} iam:ResourceTag/${TagKey}
user	arn:${Partition}:iam::${Account}:user/${UserNameWithPath}
self-session	arn:${Partition}:sts::${Account}:self

Bedingungsschlüssel für AWS Security Token Service

AWS Der Security Token Service definiert die folgenden Bedingungsschlüssel, die im Condition Element einer IAM-Richtlinie verwendet werden können. Diese Schlüssel können Sie verwenden, um die Bedingungen zu verfeinern, unter denen die Richtlinienanweisung angewendet wird. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Bedingungsschlüssel.

Eine Liste der globalen Bedingungsschlüssel, die für alle Services verfügbar sind, finden Sie unter Verfügbare globale Bedingungsschlüssel.

Bedingungsschlüssel	Beschreibung	Typ
accounts.google.com:aud	Filtert den Zugriff nach der Google-Anwendungs-ID	String
accounts.google.com:oaud	Filtert den Zugriff nach der Google-Zielgruppe	String
accounts.google.com:sub	Filtert den Zugriff nach dem Gegenstand des Antrags (die ID des Google-Benutzers)	String
aws:RequestTag/${TagKey}	Filtert den Zugriff durch die Tags, die in der Anfrage übergeben werden	Zeichenfolge
aws:ResourceTag/${TagKey}	Filtert den Zugriff basierend auf den Tags, die der Ressource zugeordnet sind.	Zeichenfolge
aws:TagKeys	Filtert den Zugriff basierend auf den Tag-Schlüssel, die in der Anfrage übergeben werden	ArrayOfString
cognito-identity.amazonaws.com:amr	Filtert den Zugriff nach den Anmeldeinformationen für Amazon Cognito	String
cognito-identity.amazonaws.com:aud	Filtert den Zugriff nach der ID des Amazon-Cognito-Identitäten-Pools	String
cognito-identity.amazonaws.com:sub	Filtert den Zugriff nach dem Gegenstand des Antrags (der ID des Amazon-Cognito-Benutzers)	String
graph.facebook.com:app_id	Filtert den Zugriff nach der ID der Facebook-Anwendung	String
graph.facebook.com:id	Filtert den Zugriff nach der ID des Facebook-Benutzers	String
iam:ResourceTag/${TagKey}	Filtert den Zugriff nach den Tags, die der Rolle zugeordnet sind, die angenommen wird	String
saml:aud	Filtert den Zugriff nach der Endpunkt-URL, für die SAML-Zusicherungen angezeigt werden	String
saml:cn	Filtert Zugriff nach dem eduOrg-Attribut	ArrayOfString
saml:commonName	Filtert den Zugriff nach dem commonName-Attribut	String
saml:doc	Filtert den Zugriff nachdem Prinzipal, der zum Übernehmen der Rolle verwendet wurde	String
saml:eduorghomepageuri	Filtert Zugriff nach dem eduOrg-Attribut	ArrayOfString
saml:eduorgidentityauthnpolicyuri	Filtert Zugriff nach dem eduOrg-Attribut	ArrayOfString
saml:eduorglegalname	Filtert Zugriff nach dem eduOrg-Attribut	ArrayOfString
saml:eduorgsuperioruri	Filtert Zugriff nach dem eduOrg-Attribut	ArrayOfString
saml:eduorgwhitepagesuri	Filtert Zugriff nach dem eduOrg-Attribut	ArrayOfString
saml:edupersonaffiliation	Filtert Zugriff nach dem eduPerson-Attribut	ArrayOfString
saml:edupersonassurance	Filtert Zugriff nach dem eduPerson-Attribut	ArrayOfString
saml:edupersonentitlement	Filtert Zugriff nach dem eduPerson-Attribut	ArrayOfString
saml:edupersonnickname	Filtert Zugriff nach dem eduPerson-Attribut	ArrayOfString
saml:edupersonorgdn	Filtert Zugriff nach dem eduPerson-Attribut	String
saml:edupersonorgunitdn	Filtert Zugriff nach dem eduPerson-Attribut	ArrayOfString
saml:edupersonprimaryaffiliation	Filtert Zugriff nach dem eduPerson-Attribut	String
saml:edupersonprimaryorgunitdn	Filtert Zugriff nach dem eduPerson-Attribut	String
saml:edupersonprincipalname	Filtert Zugriff nach dem eduPerson-Attribut	String
saml:edupersonscopedaffiliation	Filtert Zugriff nach dem eduPerson-Attribut	ArrayOfString
saml:edupersontargetedid	Filtert Zugriff nach dem eduPerson-Attribut	ArrayOfString
saml:givenName	Filtert den Zugriff nach dem givenName-Attribut	String
saml:iss	Filtert den Zugriff nach dem Aussteller, der durch einen URN dargestellt wird	String
saml:mail	Filtert den Zugriff nach dem mail-Attribut	String
saml:name	Filtert den Zugriff nach dem name-Attribut	String
saml:namequalifier	Filtert den Zugriff nach dem Hash-Wert des Ausstellers, der Konto-ID und dem Anzeigenamen	String
saml:organizationStatus	Filtert den Zugriff nach dem organizationStatus-Attribut	String
saml:primaryGroupSID	Filtert den Zugriff nach dem primaryGroupSID-Attribut	String
saml:sub	Filtert den Zugriff nach dem Gegenstand des Antrags (die ID des SAML-Benutzers)	String
saml:sub_type	Filtert den Zugriff nach dem Wert „persistent“, „transient“ oder dem vollständigen Format-URI	String
saml:surname	Filtert den Zugriff nach dem surname-Attribut	String
saml:uid	Filtert den Zugriff nach dem uid-Attribut	String
saml:x500UniqueIdentifier	Filtert den Zugriff nach dem uid-Attribut	String
sts:AWSServiceName	Filtert den Zugriff nach dem Service, der ein Inhaber-Token erhält	String
sts:DurationSeconds	Filtert den Zugriff nach der Dauer in Sekunden, wenn ein Inhaber-Token abgerufen wird	String
sts:ExternalId	Filtert den Zugriff nach der eindeutigen Kennung, die erforderlich ist, wenn Sie eine Rolle in einem anderen Konto übernehmen	String
sts:RequestContext/${ContextKey}	Filtert den Zugriff anhand der Schlüssel-Wert-Paare aus dem Sitzungskontext, eingebettet in die signierte Kontext-Assertion, die von einem vertrauenswürdigen Kontextanbieter abgerufen wurde	String
sts:RequestContextProviders	Filtert den Zugriff nach Context-Provider-ARNs	ArrayOfARN
sts:RoleSessionName	Filtert den Zugriff nach dem Namen der Rollensitzung, der erforderlich ist, wenn Sie eine Rolle übernehmen	String
sts:SourceIdentity	Filtert den Zugriff nach der Quellenidentität, die in der Anfrage übergeben wird	String
sts:TransitiveTagKeys	Filtert den Zugriff nach den transitiven Tag-Schlüsseln, die in der Anforderung übergeben werden	ArrayOfString
www.amazon.com:app_id	Filtert den Zugriff nach der Anwendungs-ID von Login with Amazon	String
www.amazon.com:user_id	Filtert den Zugriff nach der Benutzer-ID von Login with Amazon	String