Acciones, recursos y claves de condición de Amazon CloudFront

Amazon CloudFront (prefijo de servicio:cloudfront) proporciona los siguientes recursos, acciones y claves de contexto de condiciones específicos del servicio para su uso en las políticas de permisos de IAM.

Referencias:

• Obtenga información para configurar este servicio.

• Vea una lista de las operaciones de API disponibles para este servicio.

• Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.

Acciones definidas por Amazon CloudFront

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
AssociateAlias	Otorga permiso para asociar un alias a una CloudFront distribución	Escritura	distribution*
CopyDistribution	Otorga permiso para copiar una distribución existente y crear una nueva distribución web	Escritura	distribution*		cloudfront:CopyDistribution cloudfront:CreateDistribution cloudfront:GetDistribution
CreateCachePolicy	Otorga permiso para añadir una nueva política de caché a CloudFront	Escritura	cache-policy*
CreateCloudFrontOriginAccessIdentity	Otorga permiso para crear una nueva identidad de acceso al CloudFront origen	Escritura	origin-access-identity*
CreateContinuousDeploymentPolicy	Otorga permiso para añadir una nueva política de despliegue continuo a CloudFront	Escritura	continuous-deployment-policy*
CreateDistribution	Concede permiso para crear una nueva distribución web	Escritura	distribution*
CreateFieldLevelEncryptionConfig	Concede permiso para crear una nueva configuración de cifrado en el nivel de campo	Write
CreateFieldLevelEncryptionProfile	Concede permiso para crear un perfil de cifrado en el nivel de campo	Escritura
CreateFunction	Otorga permiso para crear una función CloudFront	Escritura	function*
CreateInvalidation	Concede permiso para crear una nueva solicitud de lote de invalidación	Escritura	distribution*
CreateKeyGroup	Otorga permiso para añadir un nuevo grupo de claves a CloudFront	Escritura
CreateKeyValueStore	Otorga permiso para crear un CloudFront KeyValueStore	Escritura	key-value-store*
CreateMonitoringSubscription	Otorga permiso para habilitar CloudWatch métricas adicionales para la CloudFront distribución especificada. Las métricas adicionales incurren en un costo adicional	Escritura
CreateOriginAccessControl	Concede permiso para crear un nuevo control de acceso de origen	Escritura
CreateOriginRequestPolicy	Otorga permiso para añadir una nueva política de solicitudes de origen a CloudFront	Escritura	origin-request-policy*
CreatePublicKey	Otorga permiso para añadir una nueva clave pública a CloudFront	Escritura
CreateRealtimeLogConfig	Concede permiso para crear una configuración de registro en tiempo real	Escritura	realtime-log-config*
CreateResponseHeadersPolicy	Otorga permiso para añadir una nueva política de encabezados de respuesta a CloudFront	Escritura	response-headers-policy*
CreateSavingsPlan [solo permiso]	Concede permiso para crear un nuevo Savings Plan	Escritura
CreateStreamingDistribution	Concede permiso para crear una nueva distribución RTMP	Write	streaming-distribution*
CreateStreamingDistributionWithTags	Concede permiso para crear una nueva distribución RTMP con etiquetas	Escritura	streaming-distribution*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteCachePolicy	Concede permiso para eliminar una política de caché	Escritura	cache-policy*
DeleteCloudFrontOriginAccessIdentity	Otorga permiso para eliminar una identidad de acceso a un CloudFront origen	Escritura	origin-access-identity*
DeleteContinuousDeploymentPolicy	Otorga permiso para eliminar una política de implementación continua	Escritura	continuous-deployment-policy*
DeleteDistribution	Concede permiso para eliminar una distribución web	Write	distribution*
DeleteFieldLevelEncryptionConfig	Concede permiso para eliminar una configuración de cifrado en el nivel de campo	Write	field-level-encryption-config*
DeleteFieldLevelEncryptionProfile	Concede permiso para eliminar un perfil de cifrado en el nivel de campo	Escritura	field-level-encryption-profile*
DeleteFunction	Otorga permiso para eliminar una CloudFront función	Escritura	function*
DeleteKeyGroup	Concede permiso para eliminar un grupo de claves	Escritura
DeleteKeyValueStore	Otorga permiso para eliminar una CloudFront KeyValueStore	Escritura	key-value-store*
DeleteMonitoringSubscription	Otorga permiso para deshabilitar CloudWatch métricas adicionales para la CloudFront distribución especificada	Escritura
DeleteOriginAccessControl	Concede permiso para eliminar un control de acceso de origen	Escritura	origin-access-control*
DeleteOriginRequestPolicy	Concede permiso para eliminar una política de solicitud de origen	Escritura	origin-request-policy*
DeletePublicKey	Otorga permiso para eliminar una clave pública de CloudFront	Escritura
DeleteRealtimeLogConfig	Concede permiso para eliminar una configuración de registro en tiempo real	Escritura	realtime-log-config*
DeleteResponseHeadersPolicy	Concede permiso para eliminar una política de encabezados de respuesta.	Escritura	response-headers-policy*
DeleteStreamingDistribution	Concede permiso para eliminar una distribución RTMP	Escritura	streaming-distribution*
DescribeFunction	Otorga permiso para obtener un resumen de CloudFront funciones	Leer	function*
DescribeKeyValueStore	Otorga permiso para obtener un CloudFront KeyValueStore resumen	Leer	key-value-store*
GetCachePolicy	Concede permiso para obtener la política de caché	Read	cache-policy*
GetCachePolicyConfig	Concede permiso para obtener la configuración de la política de caché	Leer	cache-policy*
GetCloudFrontOriginAccessIdentity	Otorga permiso para obtener la información sobre una identidad de acceso de CloudFront origen	Leer	origin-access-identity*
GetCloudFrontOriginAccessIdentityConfig	Concede permiso para obtener información de configuración sobre una identidad de acceso de origen de CloudFront	Leer	origin-access-identity*
GetContinuousDeploymentPolicy	Otorga permiso para obtener la política de implementación continua	Leer	continuous-deployment-policy*
GetContinuousDeploymentPolicyConfig	Otorga permiso para obtener la configuración de la política de implementación continua	Leer	continuous-deployment-policy*
GetDistribution	Concede permiso para obtener información acerca de la distribución web	Read	distribution*
GetDistributionConfig	Concede permiso para obtener información de configuración acerca de una distribución	Read	distribution*
GetFieldLevelEncryption	Concede permiso para obtener la información de configuración de cifrado en el nivel de campo	Read	field-level-encryption-config*
GetFieldLevelEncryptionConfig	Concede permiso para obtener la información de configuración de cifrado en el nivel de campo	Read	field-level-encryption-config*
GetFieldLevelEncryptionProfile	Concede permiso para obtener la información de configuración de cifrado en el nivel de campo	Read	field-level-encryption-profile*
GetFieldLevelEncryptionProfileConfig	Concede permiso para obtener la información de configuración del perfil de cifrado en el nivel de campo	Leer	field-level-encryption-profile*
GetFunction	Otorga permiso para obtener el código de una CloudFront función	Leer	function*
GetInvalidation	Concede permiso para obtener información sobre una invalidación	Read	distribution*
GetKeyGroup	Concede permiso para obtener un grupo de claves	Read
GetKeyGroupConfig	Concede permiso para obtener una configuración de grupo de claves	Leer
GetMonitoringSubscription	Otorga permiso para obtener información sobre si están habilitadas CloudWatch métricas adicionales para la CloudFront distribución especificada	Leer
GetOriginAccessControl	Concede permiso para obtener el control de acceso de origen	Leer	origin-access-control*
GetOriginAccessControlConfig	Concede permiso para obtener la configuración del control de acceso de origen	Leer	origin-access-control*
GetOriginRequestPolicy	Concede permiso para obtener la política de solicitud de origen	Read	origin-request-policy*
GetOriginRequestPolicyConfig	Concede permiso para obtener la configuración de la política de solicitud de origen	Read	origin-request-policy*
GetPublicKey	Concede permiso para obtener la información de clave pública	Read
GetPublicKeyConfig	Concede permiso para obtener la información de la configuración de clave pública	Read
GetRealtimeLogConfig	Concede permiso para obtener una configuración de registro en tiempo real	Leer	realtime-log-config*
GetResponseHeadersPolicy	Concede permiso para obtener la política de encabezados de respuesta.	Leer	response-headers-policy*
GetResponseHeadersPolicyConfig	Concede permiso para obtener la configuración de la política de encabezados de respuesta.	Leer	response-headers-policy*
GetSavingsPlan [solo permiso]	Concede permiso para obtener un Savings Plan	Leer
GetStreamingDistribution	Concede permiso para obtener información acerca de la distribución RTMP	Read	streaming-distribution*
GetStreamingDistributionConfig	Concede permiso para obtener información de configuración acerca de una distribución de streaming	Leer	streaming-distribution*
ListCachePolicies	Otorga permiso para enumerar todas las políticas de caché que se han creado CloudFront para esta cuenta	Enumeración
ListCloudFrontOriginAccessIdentities	Otorga permiso para enumerar tus identidades de acceso a CloudFront origen	Enumeración
ListConflictingAliases	Otorga permiso para enumerar todos los alias que entran en conflicto con el alias indicado en CloudFront	Enumeración	distribution*
ListContinuousDeploymentPolicies	Otorga permiso para enumerar todas las políticas de implementación continua de la cuenta	Enumeración
ListDistributions	Otorga permiso para enumerar las distribuciones asociadas a su Cuenta de AWS	Enumeración
ListDistributionsByCachePolicyId	Concede permiso para enumerar los ID de distribución para distribuciones que tienen un comportamiento de caché asociado a la política de caché especificada	List
ListDistributionsByKeyGroup	Concede permiso para enumerar los ID de distribución para distribuciones que tienen un comportamiento de caché asociado al grupo de claves especificado	Enumeración
ListDistributionsByLambdaFunction [solo permiso]	Concede permiso para enumerar las distribuciones asociadas a la función de Lambda	Enumeración
ListDistributionsByOriginRequestPolicyId	Concede permiso para enumerar los ID de distribución para distribuciones que tienen un comportamiento de caché asociado a la política de solicitud de origen especificada	List
ListDistributionsByRealtimeLogConfig	Concede permiso para obtener una lista de distribuciones que tienen un comportamiento de caché asociado a la configuración de registro en tiempo real especificada	Enumeración
ListDistributionsByResponseHeadersPolicyId	Concede permiso para enumerar los ID de distribución para distribuciones que tienen un comportamiento de caché asociado a la política de encabezados de respuesta especificada.	Enumeración
ListDistributionsByWebACLId	Otorga permiso para enumerar las distribuciones asociadas a su ACL web Cuenta de AWS de AWS WAF determinada	Enumeración
ListFieldLevelEncryptionConfigs	Otorga permiso para enumerar todas las configuraciones de cifrado a nivel de campo que se han creado para esta cuenta CloudFront	Enumeración
ListFieldLevelEncryptionProfiles	Otorga permiso para enumerar todos los perfiles de cifrado a nivel de campo que se han creado para esta cuenta CloudFront	Enumeración
ListFunctions	Otorga permiso para obtener una lista de funciones CloudFront	Enumeración
ListInvalidations	Concede permiso para enumerar los lotes de invalidación	Enumeración	distribution*
ListKeyGroups	Otorga permiso para enumerar todos los grupos clave que se han creado CloudFront para esta cuenta	Enumeración
ListKeyValueStores	Otorga permiso para obtener una lista de CloudFront KeyValueStores	Enumeración
ListOriginAccessControls	Concede permiso para enumerar todos los controles de acceso de origen de la cuenta	Enumeración
ListOriginRequestPolicies	Otorga permiso para enumerar todas las políticas de solicitudes de origen que se han creado CloudFront para esta cuenta	Enumeración
ListPublicKeys	Otorga permiso para enumerar todas las claves públicas que se han agregado CloudFront a esta cuenta	Enumeración
ListRateCards [solo permiso]	Otorga permiso para incluir las tarjetas CloudFront de tarifas de la cuenta	Enumeración
ListRealtimeLogConfigs	Concede permiso para obtener una lista de configuraciones de registro en tiempo real	Enumeración
ListResponseHeadersPolicies	Otorga permiso para enumerar todas las políticas de encabezados de respuesta que se han creado CloudFront para esta cuenta	Enumeración
ListSavingsPlans [solo permiso]	Concede permiso para enumerar los Savings Plans de la cuenta	Enumeración
ListStreamingDistributions	Concede permiso para enumerar sus distribuciones RTMP	Enumeración
ListTagsForResource	Otorga permiso para enumerar las etiquetas de un recurso CloudFront	Leer	distribution
ListUsages [solo permiso]	Otorga permiso para enumerar CloudFront el uso	Enumeración
PublishFunction	Otorga permiso para publicar una CloudFront función	Escritura	function*
TagResource	Otorga permiso para añadir etiquetas a un CloudFront recurso	Etiquetado	distribution
			streaming-distribution
				aws:RequestTag/${TagKey} aws:TagKeys
TestFunction	Otorga permiso para probar una CloudFront función	Escritura	function*
UntagResource	Otorga permiso para eliminar etiquetas de un CloudFront recurso	Etiquetado	distribution
			streaming-distribution
				aws:TagKeys
UpdateCachePolicy	Concede permiso para actualizar una política de caché	Escritura	cache-policy*
UpdateCloudFrontOriginAccessIdentity	Otorga permiso para establecer la configuración de una identidad de acceso de CloudFront origen	Escritura	origin-access-identity*
UpdateContinuousDeploymentPolicy	Otorga permiso para actualizar una política de implementación continua	Escritura	continuous-deployment-policy*
UpdateDistribution	Concede permiso para actualizar la configuración de una distribución web	Write	distribution*
UpdateFieldLevelEncryptionConfig	Concede permiso para actualizar la configuración de cifrado en el nivel de campo	Write
UpdateFieldLevelEncryptionProfile	Concede permiso para actualizar un perfil de cifrado en el nivel de campo	Escritura	field-level-encryption-profile*
UpdateFunction	Otorga permiso para actualizar una CloudFront función	Escritura	function*
UpdateKeyGroup	Concede permiso para actualizar un grupo de claves	Escritura
UpdateKeyValueStore	Otorga permiso para actualizar una CloudFront KeyValueStore	Escritura	key-value-store*
UpdateOriginAccessControl	Concede permiso para actualizar un control de acceso de origen	Escritura	origin-access-control*
UpdateOriginRequestPolicy	Concede permiso para actualizar una política de solicitud de origen	Write	origin-request-policy*
UpdatePublicKey	Concede permiso para actualizar la información de clave pública	Write
UpdateRealtimeLogConfig	Concede permiso para actualizar una configuración de registro en tiempo real	Escritura	realtime-log-config*
UpdateResponseHeadersPolicy	Concede permiso para actualizar una política de encabezados de respuesta.	Escritura	response-headers-policy*
UpdateSavingsPlan [solo permiso]	Concede permiso para actualizar un Savings Plan	Escritura
UpdateStreamingDistribution	Concede permiso para actualizar la configuración de una distribución RTMP	Escritura	streaming-distribution*

Tipos de recursos definidos por Amazon CloudFront

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso	ARN	Claves de condición
distribution	arn:${Partition}:cloudfront::${Account}:distribution/${DistributionId}	aws:ResourceTag/${TagKey}
streaming-distribution	arn:${Partition}:cloudfront::${Account}:streaming-distribution/${DistributionId}	aws:ResourceTag/${TagKey}
origin-access-identity	arn:${Partition}:cloudfront::${Account}:origin-access-identity/${Id}
field-level-encryption-config	arn:${Partition}:cloudfront::${Account}:field-level-encryption-config/${Id}
field-level-encryption-profile	arn:${Partition}:cloudfront::${Account}:field-level-encryption-profile/${Id}
cache-policy	arn:${Partition}:cloudfront::${Account}:cache-policy/${Id}
origin-request-policy	arn:${Partition}:cloudfront::${Account}:origin-request-policy/${Id}
realtime-log-config	arn:${Partition}:cloudfront::${Account}:realtime-log-config/${Name}
function	arn:${Partition}:cloudfront::${Account}:function/${Name}
key-value-store	arn:${Partition}:cloudfront::${Account}:key-value-store/${Name}
response-headers-policy	arn:${Partition}:cloudfront::${Account}:response-headers-policy/${Id}
origin-access-control	arn:${Partition}:cloudfront::${Account}:origin-access-control/${Id}
continuous-deployment-policy	arn:${Partition}:cloudfront::${Account}:continuous-deployment-policy/${Id}

Claves de estado de Amazon CloudFront

Amazon CloudFront define las siguientes claves de condición que se pueden utilizar en el Condition elemento de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso según si hay pares de clave-valor de etiqueta en la solicitud.	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso por los pares de clave-valor de etiqueta adjuntados al recurso	Cadena
aws:TagKeys	Filtra el acceso en función de la presencia de claves de etiqueta en la solicitud	ArrayOfString