Acciones, recursos y claves de condición para AWS CloudTrail

AWS CloudTrail (prefijo de servicio:cloudtrail) proporciona los siguientes recursos, acciones y claves de contexto de condiciones específicos del servicio para su uso en las políticas de permisos de IAM.

Referencias:

• Obtenga información para configurar este servicio.

• Vea una lista de las operaciones de API disponibles para este servicio.

• Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.

Acciones definidas por AWS CloudTrail

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
AddTags	Concede permiso para agregar una o más etiquetas a un seguimiento, almacén de datos de eventos o canal, hasta un máximo de 50	Etiquetado	channel
			eventdatastore
			trail
				aws:RequestTag/${TagKey} aws:TagKeys
CancelQuery	Concede permiso para cancelar una consulta en ejecución	Escritura	eventdatastore*
CreateChannel	Da permiso para crear un canal.	Escritura	channel*		cloudtrail:AddTags
			eventdatastore*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateEventDataStore	Concede permiso para crear un almacén de datos de eventos	Escritura	eventdatastore*		cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization
				aws:RequestTag/${TagKey} aws:TagKeys
CreateServiceLinkedChannel [solo permiso]	Otorga permiso para crear un canal vinculado a un servicio que especifique la configuración para la entrega de datos de registro a un servicio AWS	Escritura	channel*
CreateTrail	Da permiso para crear un registro de seguimiento que especifique la configuración de entrega de datos de registro a un bucket de Amazon S3.	Escritura	trail*		cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteChannel	Da permiso para eliminar un canal.	Escritura	channel*
DeleteEventDataStore	Concede permiso para eliminar almacén de datos de eventos	Escritura	eventdatastore*
DeleteResourcePolicy	Otorga permiso para eliminar la política de recursos de un recurso proporcionado	Escritura	channel*
DeleteServiceLinkedChannel [solo permiso]	Concede permiso para eliminar un canal vinculado a un servicio	Escritura	channel*
DeleteTrail	Da permiso para eliminar un registro de seguimiento.	Escritura	trail*
DeregisterOrganizationDelegatedAdmin	Otorga permiso para anular el registro de una cuenta de miembro de AWS Organizations como administrador delegado	Escritura			organizations:DeregisterDelegatedAdministrator organizations:ListAWSServiceAccessForOrganization
DescribeQuery	Concede permiso para enumerar los detalles de la consulta	Leer	eventdatastore*
DescribeTrails	Da permiso para enumerar la configuración de los registros de seguimiento asociados a la región actual de la cuenta.	Leer
DisableFederation	Concede permiso para deshabilitar la federación de los datos del almacén de datos de eventos mediante el catálogo de datos de AWS Glue	Escritura	eventdatastore*		glue:DeleteDatabase glue:DeleteTable glue:PassConnection lakeformation:DeregisterResource lakeformation:RegisterResource
EnableFederation	Otorga permiso para habilitar la federación de los datos del almacén de datos de eventos mediante el catálogo de datos de AWS Glue	Escritura	eventdatastore*		glue:CreateDatabase glue:CreateTable iam:GetRole iam:PassRole lakeformation:DeregisterResource lakeformation:RegisterResource
GetChannel	Concede permiso para devolver información acerca de un canal específico	Leer	channel*
GetEventDataStore	Concede permiso para enumerar las configuraciones para el almacén de datos de eventos	Leer	eventdatastore*
GetEventDataStoreData	Otorga permiso para obtener datos de un banco de datos de eventos mediante el catálogo de datos de AWS Glue	Leer	eventdatastore*		kms:Decrypt kms:GenerateDataKey
GetEventSelectors	Da permiso para obtener una lista de selectores de eventos configurados para un registro de seguimiento.	Leer	trail*
GetImport	Concede permiso para devolver información acerca de una importación específica	Leer
GetInsightSelectors	Otorga permiso para enumerar los selectores de CloudTrail Insights que están configurados para un banco de datos de senderos o eventos	Leer	eventdatastore
			trail
GetQueryResults	Concede permiso para obtener los resultados de una consulta completa	Leer	eventdatastore*		kms:Decrypt kms:GenerateDataKey
GetResourcePolicy	Otorga permiso para obtener la política de recursos asociada al recurso proporcionado	Leer	channel*
GetServiceLinkedChannel [solo permiso]	Concede permiso para enumerar los ajustes del canal vinculado a un servicio	Leer	channel*
GetTrail	Concede permiso para enumerar la configuración de la pista	Read	trail*
GetTrailStatus	Da permiso para recuperar una lista con formato JSON de información sobre el registro de seguimiento especificado.	Leer	trail*
ListChannels	Concede permiso para enumerar los canales de la cuenta actual y sus nombres de origen	Enumeración
ListEventDataStores	Concede permiso para enumerar los almacenes de datos de eventos asociados a la región actual de la cuenta	Enumeración
ListImportFailures	Concede permiso para devolver una lista de errores de la importación especificada	Leer
ListImports	Otorga permiso para devolver información sobre todas las importaciones o un conjunto selecto de importaciones por ImportStatus destino	Enumeración
ListPublicKeys	Da permiso para obtener una lista de las claves públicas cuyas claves privadas se hayan utilizado para firmar los archivos de resumen de seguimiento dentro de un intervalo de tiempo especificado.	Leer
ListQueries	Concede permiso para enumerar las consultas asociadas con un almacén de datos de eventos	Enumeración	eventdatastore*
ListServiceLinkedChannels [solo permiso]	Concede permiso para enumerar los canales vinculados a un servicio asociados a la región actual de una cuenta especificada	Enumeración
ListTags	Otorga permiso para enumerar las etiquetas de seguimientos, almacenes de datos de eventos o canales en la región actual	Leer	channel
			eventdatastore
			trail
ListTrails	Da permiso para enumerar los registros de seguimiento asociados a la región actual de la cuenta.	Enumeración
LookupEvents	Otorga permiso para buscar y recuperar datos métricos de los eventos de actividad de la API capturados por los CloudTrail que se crean, actualizan o eliminan recursos de tu cuenta	Leer
PutEventSelectors	Da permiso para crear y actualizar selectores de eventos para un registro de seguimiento.	Escritura	trail*
PutInsightSelectors	Otorga permiso para crear y actualizar los selectores de CloudTrail Insights para un almacén de datos de rutas o eventos	Escritura	eventdatastore
			trail
PutResourcePolicy	Otorga permiso para adjuntar una política de recursos a un recurso proporcionado.	Escritura	channel*
RegisterOrganizationDelegatedAdmin	Otorga permiso para registrar una AWS cuenta de miembro de Organizations como administrador delegado	Escritura			iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization organizations:RegisterDelegatedAdministrator
RemoveTags	Otorga permiso para eliminar etiquetas de seguimiento, almacenamiento de datos de eventos o canal	Etiquetado	channel
			eventdatastore
			trail
				aws:TagKeys
RestoreEventDataStore	Concede permiso para restaurar un almacén de datos de eventos	Escritura	eventdatastore*
StartEventDataStoreIngestion	Concede permiso para iniciar la ingesta en un almacén de datos de eventos	Escritura	eventdatastore*
StartImport	Concede permiso para iniciar una importación de eventos de seguimiento registrados desde un bucket de S3 de origen a un almacén de datos de eventos de destino	Escritura
StartLogging	Otorga permiso para iniciar la grabación de las llamadas a la AWS API y la entrega de archivos de registro para una ruta	Escritura	trail*
StartQuery	Concede permiso para iniciar una nueva consulta en almacén de datos de eventos especificado	Escritura	eventdatastore*		kms:Decrypt kms:GenerateDataKey
StopEventDataStoreIngestion	Concede permiso para detener la ingesta en un almacén de datos de eventos	Escritura	eventdatastore*
StopImport	Concede permiso para detener una importación especificada	Escritura
StopLogging	Otorga permiso para detener la grabación de las llamadas a la AWS API y la entrega de archivos de registro para un seguimiento	Escritura	trail*
UpdateChannel	Da permiso para actualizar un canal.	Escritura	channel*
UpdateEventDataStore	Concede permiso para actualizar un almacén de datos de eventos	Escritura	eventdatastore*		iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization
UpdateServiceLinkedChannel [solo permiso]	Da permiso para actualizar la configuración que especifica la entrega de los archivos de registro.	Escritura	channel*
UpdateTrail	Da permiso para actualizar la configuración que especifica la entrega de los archivos de registro.	Escritura	trail*		iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization

Tipos de recursos definidos por AWS CloudTrail

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

nota

En el caso de las políticas que controlan el acceso a CloudTrail las acciones, el elemento Recurso siempre está establecido en «*». Para obtener información sobre el uso de los ARN de recursos en una política de IAM, consulte Cómo AWS CloudTrail funciona con IAM en la Guía del AWS CloudTrail usuario.

Tipos de recurso	ARN	Claves de condición
trail	arn:${Partition}:cloudtrail:${Region}:${Account}:trail/${TrailName}
eventdatastore	arn:${Partition}:cloudtrail:${Region}:${Account}:eventdatastore/${EventDataStoreId}	aws:ResourceTag/${TagKey}
channel	arn:${Partition}:cloudtrail:${Region}:${Account}:channel/${ChannelId}	aws:ResourceTag/${TagKey}

Claves de condición de AWS CloudTrail

AWS CloudTrail define las siguientes claves de condición que se pueden utilizar en el Condition elemento de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso por los pares clave-valor de la etiqueta en la solicitud	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso por las etiquetas asociadas a un recurso	Cadena
aws:TagKeys	Filtra el acceso por las claves de etiqueta en una solicitud	ArrayOfString