Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Claves de acciones, recursos y condiciones para AWS CloudTrail
AWS CloudTrail (prefijo de servicio:cloudtrail) proporciona los siguientes recursos, acciones y claves de contexto de condiciones específicos del servicio para su uso en las políticas de permisos. IAM
Referencias:
-
Obtenga información para configurar este servicio.
-
Vea una lista de las APIoperaciones disponibles para este servicio.
-
Aprenda a proteger este servicio y sus recursos mediante políticas de IAM permisos.
Temas
Acciones definidas por AWS CloudTrail
Puede especificar las siguientes acciones en el Action elemento de una declaración de IAM política. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando se utiliza una acción en una política, normalmente se permite o deniega el acceso a la API operación o CLI comando con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.
La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar uno ARN de ese tipo en una declaración con esa acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el Resource elemento de una IAM política, debe incluir un patrón ARN o para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.
La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.
nota
Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.
Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.
| Acciones | Descripción | Nivel de acceso | Tipos de recursos (*necesarios) | Claves de condición | Acciones dependientes |
|---|---|---|---|---|---|
| AddTags | Otorga permiso para añadir una o más etiquetas a una ruta, un almacén de datos de eventos, un canal o un panel de control, hasta un límite de 50 | Etiquetado | |||
| CancelQuery | Concede permiso para cancelar una consulta en ejecución | Escritura | |||
| CreateChannel | Da permiso para crear un canal. | Escritura |
cloudtrail:AddTags |
||
| CreateDashboard | Otorga permiso para crear un panel | Escritura |
cloudtrail:AddTags cloudtrail:StartDashboardRefresh cloudtrail:StartQuery |
||
| CreateEventDataStore | Concede permiso para crear un almacén de datos de eventos | Escritura |
cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization |
||
| CreateServiceLinkedChannel [solo permiso] | Otorga permiso para crear un canal vinculado a un servicio que especifique la configuración para la entrega de datos de registro a un servicio AWS | Escritura | |||
| CreateTrail | Da permiso para crear un registro de seguimiento que especifique la configuración de entrega de datos de registro a un bucket de Amazon S3. | Escritura |
cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization |
||
| DeleteChannel | Da permiso para eliminar un canal. | Escritura | |||
| DeleteDashboard | Concede permiso para eliminar un panel | Escritura | |||
| DeleteEventDataStore | Concede permiso para eliminar almacén de datos de eventos | Escritura | |||
| DeleteResourcePolicy | Otorga permiso para eliminar la política de recursos de un recurso proporcionado | Escritura | |||
| DeleteServiceLinkedChannel [solo permiso] | Concede permiso para eliminar un canal vinculado a un servicio | Escritura | |||
| DeleteTrail | Da permiso para eliminar un registro de seguimiento. | Escritura | |||
| DeregisterOrganizationDelegatedAdmin | Otorga permiso para anular el registro de una cuenta de miembro de AWS Organizations como administrador delegado | Escritura |
organizations:DeregisterDelegatedAdministrator organizations:ListAWSServiceAccessForOrganization |
||
| DescribeQuery | Concede permiso para enumerar los detalles de la consulta | Lectura | |||
| DescribeTrails | Da permiso para enumerar la configuración de los registros de seguimiento asociados a la región actual de la cuenta. | Lectura | |||
| DisableFederation | Concede permiso para deshabilitar la federación de los datos del almacén de datos de eventos mediante el catálogo de datos de AWS Glue | Escritura |
glue:DeleteDatabase glue:DeleteTable glue:PassConnection lakeformation:DeregisterResource lakeformation:RegisterResource |
||
| EnableFederation | Otorga permiso para habilitar la federación de los datos del almacén de datos de eventos mediante el catálogo de datos de AWS Glue | Escritura |
glue:CreateDatabase glue:CreateTable iam:GetRole iam:PassRole lakeformation:DeregisterResource lakeformation:RegisterResource |
||
| GenerateQuery | Otorga permiso para generar una consulta para un banco de datos de eventos específico mediante el generador de consultas CloudTrail Lake | Escritura | |||
| GenerateQueryResultsSummary [solo permiso] | Otorga permiso para generar un resumen de resultados para consultas específicas mediante el generador de lenguaje CloudTrail natural | Lectura |
cloudtrail:GetQueryResults kms:Decrypt kms:GenerateDataKey |
||
| GetChannel | Concede permiso para devolver información acerca de un canal específico | Lectura | |||
| GetDashboard | Otorga permiso para enumerar la configuración del panel | Lectura | |||
| GetEventDataStore | Concede permiso para enumerar las configuraciones para el almacén de datos de eventos | Lectura | |||
| GetEventDataStoreData | Otorga permiso para obtener datos de un banco de datos de eventos mediante el catálogo de datos de AWS Glue | Lectura |
kms:Decrypt kms:GenerateDataKey |
||
| GetEventSelectors | Da permiso para obtener una lista de selectores de eventos configurados para un registro de seguimiento. | Lectura | |||
| GetImport | Concede permiso para devolver información acerca de una importación específica | Lectura | |||
| GetInsightSelectors | Otorga permiso para enumerar los selectores de CloudTrail Insights que están configurados para un banco de datos de senderos o eventos | Lectura | |||
| GetQueryResults | Concede permiso para obtener los resultados de una consulta completa | Lectura |
kms:Decrypt kms:GenerateDataKey |
||
| GetResourcePolicy | Otorga permiso para obtener la política de recursos asociada al recurso proporcionado | Lectura | |||
| GetServiceLinkedChannel [solo permiso] | Concede permiso para enumerar los ajustes del canal vinculado a un servicio | Lectura | |||
| GetTrail | Concede permiso para enumerar la configuración de la pista | Lectura | |||
| GetTrailStatus | Otorga permiso para recuperar una lista JSON con formato de información sobre la ruta especificada | Lectura | |||
| ListChannels | Concede permiso para enumerar los canales de la cuenta actual y sus nombres de origen | Enumeración | |||
| ListDashboards | Otorga permiso para enumerar los paneles asociados a la región actual de su cuenta | Enumeración | |||
| ListEventDataStores | Concede permiso para enumerar los almacenes de datos de eventos asociados a la región actual de la cuenta | Enumeración | |||
| ListImportFailures | Concede permiso para devolver una lista de errores de la importación especificada | Lectura | |||
| ListImports | Otorga permiso para devolver información sobre todas las importaciones o un conjunto selecto de importaciones por ImportStatus destino | Enumeración | |||
| ListPublicKeys | Da permiso para obtener una lista de las claves públicas cuyas claves privadas se hayan utilizado para firmar los archivos de resumen de seguimiento dentro de un intervalo de tiempo especificado. | Lectura | |||
| ListQueries | Concede permiso para enumerar las consultas asociadas con un almacén de datos de eventos | Enumeración | |||
| ListServiceLinkedChannels [solo permiso] | Concede permiso para enumerar los canales vinculados a un servicio asociados a la región actual de una cuenta especificada | Enumeración | |||
| ListTags | Otorga permiso para incluir las etiquetas de las rutas, los almacenes de datos de eventos, los canales o los paneles de control de la región actual | Lectura | |||
| ListTrails | Da permiso para enumerar los registros de seguimiento asociados a la región actual de la cuenta. | Enumeración | |||
| LookupEvents | Otorga permiso para buscar y recuperar datos métricos de los eventos de API actividad capturados por los CloudTrail que se crean, actualizan o eliminan recursos de tu cuenta | Lectura | |||
| PutEventSelectors | Da permiso para crear y actualizar selectores de eventos para un registro de seguimiento. | Escritura | |||
| PutInsightSelectors | Otorga permiso para crear y actualizar los selectores de CloudTrail Insights para un banco de datos de rutas o eventos | Escritura | |||
| PutResourcePolicy | Otorga permiso para adjuntar una política de recursos a un recurso proporcionado. | Escritura | |||
| RegisterOrganizationDelegatedAdmin | Otorga permiso para registrar una AWS cuenta de miembro de Organizations como administrador delegado | Escritura |
iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization organizations:RegisterDelegatedAdministrator |
||
| RemoveTags | Otorga permiso para eliminar etiquetas de una ruta, un almacén de datos de eventos, un canal o un panel | Etiquetado | |||
| RestoreEventDataStore | Concede permiso para restaurar un almacén de datos de eventos | Escritura | |||
| StartDashboardRefresh | Otorga permiso para iniciar una actualización en el panel especificado | Escritura |
cloudtrail:StartQuery |
||
| StartEventDataStoreIngestion | Concede permiso para iniciar la ingesta en un almacén de datos de eventos | Escritura | |||
| StartImport | Concede permiso para iniciar una importación de eventos de seguimiento registrados desde un bucket de S3 de origen a un almacén de datos de eventos de destino | Escritura | |||
| StartLogging | Otorga permiso para iniciar la grabación de las AWS API llamadas y la entrega de archivos de registro para una ruta | Escritura | |||
| StartQuery | Concede permiso para iniciar una nueva consulta en almacén de datos de eventos especificado | Escritura |
kms:Decrypt kms:GenerateDataKey |
||
| StopEventDataStoreIngestion | Concede permiso para detener la ingesta en un almacén de datos de eventos | Escritura | |||
| StopImport | Concede permiso para detener una importación especificada | Escritura | |||
| StopLogging | Otorga permiso para detener la grabación de las AWS API llamadas y registrar la entrega de archivos para una ruta | Escritura | |||
| UpdateChannel | Da permiso para actualizar un canal. | Escritura | |||
| UpdateDashboard | Concede permiso para actualizar un panel | Escritura |
cloudtrail:StartDashboardRefresh cloudtrail:StartQuery |
||
| UpdateEventDataStore | Concede permiso para actualizar un almacén de datos de eventos | Escritura |
iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization |
||
| UpdateServiceLinkedChannel [solo permiso] | Otorga permiso para actualizar la configuración del canal vinculado al servicio para la entrega de datos de registro a un servicio AWS | Escritura | |||
| UpdateTrail | Da permiso para actualizar la configuración que especifica la entrega de los archivos de registro. | Escritura |
iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization |
Tipos de recursos definidos por AWS CloudTrail
Este servicio define los siguientes tipos de recursos y se pueden utilizar como Resource elemento de las declaraciones de política de IAM permisos. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.
nota
En el caso de las políticas que controlan el acceso a CloudTrail las acciones, el elemento Recurso siempre está establecido en «*». Para obtener información sobre el uso de los recursos ARNs en una IAM política, consulte Cómo AWS CloudTrail funciona IAM en la Guía del AWS CloudTrail usuario.
| Tipos de recurso | ARN | Claves de condición |
|---|---|---|
| trail |
arn:${Partition}:cloudtrail:${Region}:${Account}:trail/${TrailName}
|
|
| eventdatastore |
arn:${Partition}:cloudtrail:${Region}:${Account}:eventdatastore/${EventDataStoreId}
|
|
| channel |
arn:${Partition}:cloudtrail:${Region}:${Account}:channel/${ChannelId}
|
|
| dashboard |
arn:${Partition}:cloudtrail:${Region}:${Account}:dashboard/${DashboardName}
|
Claves de condición de AWS CloudTrail
AWS CloudTrail define las siguientes claves de condición que se pueden utilizar en el Condition elemento de una IAM política. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.
Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.
| Claves de condición | Descripción | Tipo |
|---|---|---|
| aws:RequestTag/${TagKey} | Filtra el acceso por los pares clave-valor de la etiqueta en la solicitud | Cadena |
| aws:ResourceTag/${TagKey} | Filtra el acceso por las etiquetas asociadas a un recurso | Cadena |
| aws:TagKeys | Filtra el acceso por las claves de etiqueta en una solicitud | ArrayOfString |
