Acciones, recursos y claves de condición para AWS Clean Rooms

AWS Clean Rooms (prefijo de servicio:cleanrooms) proporciona los siguientes recursos, acciones y claves de contexto de condiciones específicos del servicio para su uso en las políticas de permisos. IAM

Referencias:

• Obtenga información para configurar este servicio.

• Vea una lista de las APIoperaciones disponibles para este servicio.

• Aprenda a proteger este servicio y sus recursos mediante políticas de IAM permisos.

Acciones definidas por AWS Clean Rooms

Puede especificar las siguientes acciones en el Action elemento de una declaración de IAM política. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando se utiliza una acción en una política, normalmente se permite o deniega el acceso a la API operación o CLI comando con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar uno ARN de ese tipo en una declaración con esa acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el Resource elemento de una IAM política, debe incluir un patrón ARN o para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
BatchGetCollaborationAnalysisTemplate	Otorga permiso para ver los detalles de las analysisTemplates entidades asociadas a la colaboración	Leer	analysistemplate*		cleanrooms:GetCollaborationAnalysisTemplate
			collaboration*
BatchGetSchema	Concede permiso para ver los detalles de esquemas	Leer	collaboration*		cleanrooms:GetSchema
			configuredtableassociation
			idmappingtable
BatchGetSchemaAnalysisRule	Otorga permiso para ver las reglas de análisis asociadas a los esquemas	Leer	collaboration*		cleanrooms:GetSchema
			configuredtableassociation
			idmappingtable
CreateAnalysisTemplate	Concede permiso para crear una nueva plantilla de análisis	Escritura	analysistemplate*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateCollaboration	Concede permiso para crear una nueva colaboración, un entorno de colaboración de datos compartidos	Escritura	collaboration*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateConfiguredAudienceModelAssociation	Concede permiso para vincular un modelo de audiencia configurada con Cleanrooms ML con una colaboración mediante la creación de una nueva asociación	Escritura	configuredaudiencemodelassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	cleanrooms-ml:GetConfiguredAudienceModel cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateConfiguredTable	Concede permiso para crear una nueva tabla configurada	Escritura	configuredtable*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	glue:BatchGetPartition glue:GetDatabase glue:GetDatabases glue:GetPartition glue:GetPartitions glue:GetSchemaVersion glue:GetTable glue:GetTables
CreateConfiguredTableAnalysisRule	Concede permiso para crear una regla de análisis para una tabla configurada	Escritura	configuredtable*
CreateConfiguredTableAssociation	Concede permiso para vincular una tabla configurada con una colaboración mediante la creación de una nueva asociación	Escritura	configuredtable*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	iam:PassRole
			configuredtableassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateConfiguredTableAssociationAnalysisRule	Otorga permiso para crear una regla de análisis para una asociación de tablas configurada	Escritura	configuredtableassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateIdMappingTable	Otorga permiso para vincular un flujo de trabajo de mapeo de identificadores con una colaboración mediante la creación de una nueva tabla de mapeo de identificadores	Escritura	idmappingtable*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	entityresolution:AddPolicyStatement entityresolution:GetIdMappingWorkflow
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateIdNamespaceAssociation	Concede permiso para vincular un espacio de nombres de ID de resolución de AWS entidades con una colaboración mediante la creación de una nueva asociación	Escritura	idnamespaceassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	entityresolution:AddPolicyStatement entityresolution:GetIdNamespace
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateMembership	Concede permiso para unirse a colaboraciones mediante la creación de una suscripción	Escritura	collaboration*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	iam:PassRole logs:CreateLogDelivery logs:CreateLogGroup logs:DeleteLogDelivery logs:DescribeLogGroups logs:DescribeResourcePolicies logs:GetLogDelivery logs:ListLogDeliveries logs:PutResourcePolicy logs:UpdateLogDelivery s3:GetBucketLocation
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreatePrivacyBudgetTemplate	Concede permiso para crear una nueva plantilla de presupuesto para privacidad	Escritura	membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
			privacybudgettemplate*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
DeleteAnalysisTemplate	Concede permiso para eliminar una plantilla de análisis existente	Escritura	analysistemplate*
DeleteCollaboration	Concede permiso para eliminar una colaboración existente	Escritura	collaboration*		cleanrooms-ml:DeleteConfiguredAudienceModelPolicy cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
DeleteConfiguredAudienceModelAssociation	Concede permisos para eliminar una asociación existente de modelo de audiencia configurada	Escritura	configuredaudiencemodelassociation*		cleanrooms-ml:DeleteConfiguredAudienceModelPolicy cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
DeleteConfiguredTable	Concede permiso para eliminar una tabla configurada	Escritura	configuredtable*
DeleteConfiguredTableAnalysisRule	Concede permiso para eliminar una regla de análisis existente	Escritura	configuredtable*
DeleteConfiguredTableAssociation	Concede permiso para eliminar una asociación de tabla configurada de una colaboración	Escritura	configuredtableassociation*
DeleteConfiguredTableAssociationAnalysisRule	Otorga permiso para eliminar una regla de análisis de asociación de tablas configurada existente	Escritura	configuredtableassociation*
DeleteIdMappingTable	Otorga permiso para eliminar una tabla de mapeo de identificadores de una colaboración	Escritura	idmappingtable*		entityresolution:DeletePolicyStatement
			membership*
DeleteIdNamespaceAssociation	Otorga permiso para eliminar una asociación de espacios de nombres de ID de una colaboración	Escritura	idnamespaceassociation*		entityresolution:DeletePolicyStatement
			membership*
DeleteMember	Concede permiso para eliminar miembros de una colaboración	Escritura	collaboration*		cleanrooms-ml:DeleteConfiguredAudienceModelPolicy cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
DeleteMembership	Concede permiso para abandonar las colaboraciones mediante la eliminación de un suscripción	Escritura	membership*
DeletePrivacyBudgetTemplate	Concede permiso para eliminar una plantilla existente de presupuesto para privacidad	Escritura	privacybudgettemplate*
GetAnalysisTemplate	Concede permiso para ver los detalles de una plantilla de análisis	Leer	analysistemplate*
GetCollaboration	Concede permiso para ver los detalles de una colaboración	Leer	collaboration*
GetCollaborationAnalysisTemplate	Concede permiso para ver los detalles de una plantilla de análisis dentro de una colaboración	Leer	analysistemplate*
			collaboration*
GetCollaborationConfiguredAudienceModelAssociation	Concede permiso para ver los detalles de una asociación de modelo de audiencia configurada dentro de una colaboración	Leer	collaboration*
			configuredaudiencemodelassociation*
GetCollaborationIdNamespaceAssociation	Otorga permiso para obtener una identificación de una asociación de espacios de nombres dentro de una colaboración	Leer	collaboration*
			idnamespaceassociation*
GetCollaborationPrivacyBudgetTemplate	Concede permiso para ver los detalles de una plantilla de presupuesto para privacidad dentro de una colaboración	Leer	collaboration*
			privacybudgettemplate*
GetConfiguredAudienceModelAssociation	Concede permiso para ver los detalles para una asociación de modelo configurada	Leer	configuredaudiencemodelassociation*
GetConfiguredTable	Concede permiso para ver los detalles de una tabla configurada	Leer	configuredtable*
GetConfiguredTableAnalysisRule	Concede permiso para ver las reglas de análisis de una tabla configurada	Leer	configuredtable*
GetConfiguredTableAssociation	Concede permiso para ver los detalles de una asociación de tabla configurada	Leer	configuredtableassociation*
GetConfiguredTableAssociationAnalysisRule	Otorga permiso para ver las reglas de análisis de una asociación de tablas configurada	Leer	configuredtableassociation*
GetIdMappingTable	Otorga permiso para ver los detalles de una tabla de mapeo de identificadores	Leer	idmappingtable*
			membership*
GetIdNamespaceAssociation	Otorga permiso para ver los detalles de una asociación de espacios de nombres de identificación	Leer	idnamespaceassociation*		entityresolution:GetIdNamespace
			membership*
GetMembership	Concede permiso para ver los detalles de una suscripción	Leer	membership*
GetPrivacyBudgetTemplate	Concede permiso para ver los detalles de una plantilla de presupuesto para privacidad	Leer	privacybudgettemplate*
GetProtectedQuery	Concede permiso para ver una consulta protegida	Leer	membership*
GetSchema	Concede permiso para ver los detalles de un esquema	Leer	collaboration*
			configuredtableassociation*
GetSchemaAnalysisRule	Concede permiso para ver las reglas de análisis asociadas a un esquema	Leer	collaboration*		cleanrooms:GetSchema
			configuredtableassociation*
ListAnalysisTemplates	Concede permiso para enumerar las plantillas de análisis disponibles	Enumeración	analysistemplate*
			membership*
ListCollaborationAnalysisTemplates	Concede permiso para enumerar las plantillas de análisis disponibles dentro de una colaboración	Enumeración	collaboration*
ListCollaborationConfiguredAudienceModelAssociations	Concede permiso para mostrar una lista de las asociaciones de modelos de audiencia configurada disponibles dentro de una colaboración	Enumeración	collaboration*
ListCollaborationIdNamespaceAssociations	Otorga permiso para incluir el espacio de nombres de identificación dentro de una colaboración	Enumeración	collaboration*
ListCollaborationPrivacyBudgetTemplates	Concede permiso para enumerar las plantillas de presupuesto para privacidad disponibles dentro de una colaboración	Enumeración	collaboration*
ListCollaborationPrivacyBudgets	Concede permiso para enumerar los presupuestos para privacidad dentro de una colaboración	Enumeración	collaboration*
ListCollaborations	Concede permiso para enumerar las colaboraciones disponibles	Enumeración
ListConfiguredAudienceModelAssociations	Concede permiso para enumerar las asociaciones de modelo de audiencia configuradas disponibles para una suscripción	Enumeración	configuredaudiencemodelassociation*
			membership*
ListConfiguredTableAssociations	Concede permiso para enumerar las asociaciones de tabla configurada disponibles para una suscripción	Enumeración	configuredtableassociation*
			membership*
ListConfiguredTables	Concede permiso para enumerar las tablas configuradas disponibles	Enumeración
ListIdMappingTables	Otorga permiso para enumerar las tablas de mapeo de identificadores disponibles para una membresía	Enumeración	idmappingtable*
			membership*
ListIdNamespaceAssociations	Otorga permiso para incluir en una lista las asociaciones de datos de resolución de entidades para una membresía	Enumeración	idnamespaceassociation*
			membership*
ListMembers	Concede permiso para enumerar a los miembros de una colaboración	Enumeración	collaboration*
ListMemberships	Concede permiso para enumerar las suscripciones disponibles	Enumeración
ListPrivacyBudgetTemplates	Concede permiso para enumerar las plantillas de presupuesto para privacidad disponibles	Enumeración	membership*
			privacybudgettemplate*
ListPrivacyBudgets	Concede permiso para enumerar los presupuestos de privacidad disponibles	Enumeración	membership*
ListProtectedQueries	Concede permiso para enumerar las consultas protegidas	Enumeración	membership*
ListSchemas	Concede permiso para ver los esquemas disponibles para una colaboración	Enumeración	collaboration*
ListTagsForResource	Concede permiso para obtener una lista de etiquetas para un recurso.	Enumeración	analysistemplate
			collaboration
			configuredaudiencemodelassociation
			configuredtable
			configuredtableassociation
			membership
			privacybudgettemplate
PopulateIdMappingTable	Otorga permiso para iniciar un trabajo de mapeo de identidad en AWS Entity Resolution a fin de generar resultados de mapeo de identidad en la colaboración de salas limpias.	Escritura	idmappingtable*		entityresolution:GetIdMappingWorkflow
			membership*
PreviewPrivacyImpact	Otorga permiso para previsualizar la configuración de la plantilla de presupuesto para privacidad	Leer	membership*
StartProtectedQuery	Concede permiso para iniciar consultas protegidas	Escritura	membership*		cleanrooms:GetCollaborationAnalysisTemplate cleanrooms:GetSchema s3:GetBucketLocation s3:ListBucket s3:PutObject
			analysistemplate
			configuredtableassociation
			idmappingtable
TagResource	Concede permiso para etiquetar un recurso	Etiquetado	analysistemplate
			collaboration
			configuredaudiencemodelassociation
			configuredtable
			configuredtableassociation
			idmappingtable
			idnamespaceassociation
			membership
			privacybudgettemplate
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	Concede permiso para eliminar etiquetas en un recurso	Etiquetado	analysistemplate
			collaboration
			configuredaudiencemodelassociation
			configuredtable
			configuredtableassociation
			idmappingtable
			idnamespaceassociation
			membership
			privacybudgettemplate
				aws:TagKeys
UpdateAnalysisTemplate	Concede permiso para actualizar los detalles de la plantilla de análisis	Escritura	analysistemplate*
UpdateCollaboration	Concede permiso para actualizar los detalles de la colaboración	Escritura	collaboration*
UpdateConfiguredAudienceModelAssociation	Concede permiso para actualizar una asociación de modelo de audiencia configurada	Escritura	configuredaudiencemodelassociation*
UpdateConfiguredTable	Concede permiso para actualizar una tabla configurada existente	Escritura	configuredtable*
UpdateConfiguredTableAnalysisRule	Concede permiso para actualizar las reglas de análisis de una tabla configurada	Escritura	configuredtable*
UpdateConfiguredTableAssociation	Concede permiso para actualizar una asociación de tabla configurada	Escritura	configuredtableassociation*		iam:PassRole
UpdateConfiguredTableAssociationAnalysisRule	Otorga permiso para actualizar las reglas de análisis de una asociación de tablas configurada	Escritura	configuredtableassociation*
UpdateIdMappingTable	Otorga permiso para actualizar una tabla de mapeo de identificadores	Escritura	idmappingtable*
			membership*
UpdateIdNamespaceAssociation	Otorga permiso para actualizar una asociación de entradas de resolución de entidades	Escritura	idnamespaceassociation*		entityresolution:GetIdNamespace
			membership*
UpdateMembership	Concede permiso para actualizar los detalles de una suscripción	Escritura	membership*		iam:PassRole logs:CreateLogDelivery logs:CreateLogGroup logs:DeleteLogDelivery logs:DescribeLogGroups logs:DescribeResourcePolicies logs:GetLogDelivery logs:ListLogDeliveries logs:PutResourcePolicy logs:UpdateLogDelivery s3:GetBucketLocation
UpdatePrivacyBudgetTemplate	Concede permiso para actualizar los detalles de la plantilla de presupuesto para privacidad	Escritura	privacybudgettemplate*
UpdateProtectedQuery	Concede permiso para actualizar las consultas protegidas	Escritura	membership*

Tipos de recursos definidos por AWS Clean Rooms

Este servicio define los siguientes tipos de recursos y se pueden utilizar como Resource elemento de las declaraciones de política de IAM permisos. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso	ARN	Claves de condición
analysistemplate	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/analysistemplate/${AnalysisTemplateId}	aws:ResourceTag/${TagKey}
collaboration	arn:${Partition}:cleanrooms:${Region}:${Account}:collaboration/${CollaborationId}	aws:ResourceTag/${TagKey}
configuredaudiencemodelassociation	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/configuredaudiencemodelassociation/${ConfiguredAudienceModelAssociationId}	aws:ResourceTag/${TagKey}
configuredtable	arn:${Partition}:cleanrooms:${Region}:${Account}:configuredtable/${ConfiguredTableId}	aws:ResourceTag/${TagKey}
configuredtableassociation	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/configuredtableassociation/${ConfiguredTableAssociationId}	aws:ResourceTag/${TagKey}
idmappingtable	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/idmappingtable/${IdMappingTableId}	aws:ResourceTag/${TagKey}
idnamespaceassociation	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/idnamespaceassociation/${IdNamespaceAssociationId}	aws:ResourceTag/${TagKey}
membership	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}	aws:ResourceTag/${TagKey}
privacybudgettemplate	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/privacybudgettemplate/${PrivacyBudgetTemplateId}	aws:ResourceTag/${TagKey}

Claves de condición para AWS Clean Rooms

AWS Clean Rooms define las siguientes claves de condición que se pueden utilizar en el Condition elemento de una IAM política. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso por las etiquetas que se pasan en la solicitud	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso por las etiquetas asociadas al recurso	Cadena
aws:TagKeys	Filtra el acceso por las claves de etiquetas que se pasan en la solicitud	ArrayOfString