Acciones, recursos y claves de condición para AWS Control Tower

AWS Control Tower (prefijo de servicio:controltower) proporciona los siguientes recursos, acciones y claves de contexto de condiciones específicos del servicio para su uso en las políticas de permisos de IAM.

Referencias:

• Obtenga información para configurar este servicio.

• Vea una lista de las operaciones de API disponibles para este servicio.

• Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.

Acciones definidas por AWS Control Tower

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
CreateLandingZone	Concede permiso para crear una zona de aterrizaje	Escritura		aws:RequestTag/${TagKey} aws:TagKeys	controltower:TagResource
CreateManagedAccount [solo permiso]	Otorga permiso para crear una cuenta gestionada por AWS Control Tower	Escritura
DeleteLandingZone	Concede permiso para eliminar la zona de aterrizaje de AWS Control Tower	Escritura	LandingZone*
DeregisterManagedAccount [solo permiso]	Otorga permiso para anular el registro de una cuenta creada a través de la fábrica de cuentas de Control Tower AWS	Escritura
DeregisterOrganizationalUnit [solo permiso]	Otorga permiso para anular el registro de una unidad organizativa de la administración de la Torre de AWS Control	Escritura
DescribeAccountFactoryConfig [solo permiso]	Concede permiso para describir la configuración de creación de cuentas actual	Leer
DescribeCoreService [solo permiso]	Otorga permiso para describir los recursos gestionados por las cuentas principales de la Torre AWS de Control	Leer
DescribeGuardrail [solo permiso]	Concede permiso para describir una barrera de protección	Leer
DescribeGuardrailForTarget [solo permiso]	Concede permiso para describir una barrera de protección para una unidad organizativa	Leer
DescribeLandingZoneConfiguration [solo permiso]	Concede permiso para describir la configuración de la zona de aterrizaje actual	Leer
DescribeManagedAccount [solo permiso]	Concede permiso para describir una cuenta creada a través de la creación de cuentas	Leer
DescribeManagedOrganizationalUnit [solo permiso]	Otorga permiso para describir la unidad AWS organizativa de una organización gestionada por AWS Control Tower	Leer
DescribeRegisterOrganizationalUnitOperation [solo permiso]	Concede permiso para describir una operación de una unidad organizativa de registro	Leer
DescribeSingleSignOn [solo permiso]	Otorga permiso para describir la configuración actual del Centro de Identidad de IAM de la Torre de AWS Control Tower	Leer
DisableBaseline	Otorga permiso para deshabilitar una línea base en un objetivo	Escritura	EnabledBaseline*
DisableControl	Concede permiso para quitar un control de una unidad organizativa	Escritura	EnabledControl*
DisableGuardrail [solo permiso]	Concede permiso para desactivar una barrera de protección de una unidad organizativa	Escritura
EnableBaseline	Otorga permiso para activar una línea base en un objetivo	Escritura		aws:RequestTag/${TagKey} aws:TagKeys	controltower:TagResource
EnableControl	Concede permiso para activar un control para una unidad organizativa	Escritura	EnabledControl		controltower:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys
EnableGuardrail [solo permiso]	Concede permiso para habilitar una barrera de protección para una unidad organizativa	Escritura
GetAccountInfo [solo permiso]	Concede permiso para describir el correo electrónico de una cuenta y validar que existe	Leer
GetAvailableUpdates [solo permiso]	Otorga permiso para enumerar las actualizaciones disponibles para el despliegue actual AWS de la Torre de Control	Leer
GetBaseline	Otorga permiso para obtener los detalles de Baseline	Leer	Baseline*
GetBaselineOperation	Otorga permiso para obtener el estado actual de una operación de referencia concreta	Leer
GetControlOperation	Otorga permiso para obtener el estado actual de una DisableControl operación EnabledControl u operación en particular	Leer
GetEnabledBaseline	Otorga permiso para activar una línea base	Leer	EnabledBaseline*
GetEnabledControl	Concede permiso para obtener un control habilitado de una unidad organizativa	Leer	EnabledControl*
GetGuardrailComplianceStatus [solo permiso]	Concede permiso para obtener el estado de cumplimiento actual de una barrera de protección	Leer
GetHomeRegion [solo permiso]	Otorga permiso para configurar la región de origen de la Torre de AWS Control	Leer
GetLandingZone	Concede permiso para obtener el estado actual de la configuración de la zona de aterrizaje	Leer	LandingZone*
GetLandingZoneDriftStatus	Concede permiso para obtener el estado de desviación de la zona de aterrizaje actual	Leer
GetLandingZoneOperation	Concede permiso para obtener el estado actual de una operación específica de zona de aterrizaje	Leer
GetLandingZoneStatus [solo permiso]	Concede permiso para obtener el estado actual de la configuración de la zona de aterrizaje	Leer
ListBaselines	Otorga permiso para incluir las líneas de base	Enumeración
ListDirectoryGroups [solo permiso]	Otorga permiso para enumerar los grupos de directorios actuales disponibles a través del Centro de identidad de IAM	Enumeración
ListDriftDetails	Otorga permiso para enumerar los casos de deriva en la Torre AWS de Control	Leer
ListEnabledBaselines	Otorga permiso para enumerar las líneas de base habilitadas	Enumeración
ListEnabledControls	Concede permiso para enumerar todos los controles habilitados en una unidad organizativa especificada	Enumeración
ListEnabledGuardrails [solo permiso]	Concede permiso para enumerar las barreras de protección habilitadas actualmente	Enumeración
ListExtendGovernancePrecheckDetails [solo permiso]	Concede permiso para enumerar los detalles de comprobación previa de una unidad organizativa	Enumeración
ListExternalConfigRuleCompliance	Otorga permiso para enumerar el cumplimiento de las reglas de AWS Config externas	Leer
ListGuardrailViolations [solo permiso]	Concede permiso para enumerar las infracciones de barreras de protección existentes	Enumeración
ListGuardrails [solo permiso]	Concede permiso para enumerar todas las barreras de protección disponibles	Enumeración
ListGuardrailsForTarget [solo permiso]	Concede permiso para enumerar las barreras de protección y su estado actual para una unidad organizativa	Enumeración
ListLandingZones	Concede permiso para enumerar todas las zonas de aterrizaje	Enumeración
ListManagedAccounts [solo permiso]	Otorga permiso para enumerar las cuentas administradas a través de la Torre AWS de Control	Enumeración
ListManagedAccountsForGuardrail [solo permiso]	Concede permiso para enumerar cuentas administradas con una barrera de protección especificada aplicada	Enumeración
ListManagedAccountsForParent [solo permiso]	Concede permiso para enumerar cuentas administradas en una unidad organizativa	Enumeración
ListManagedOrganizationalUnits [solo permiso]	Otorga permiso para enumerar las unidades organizativas administradas por la Torre AWS de Control	Enumeración
ListManagedOrganizationalUnitsForGuardrail [solo permiso]	Concede permiso para enumerar las unidades organizativas administradas con una barrera de protección especificada aplicada	Enumeración
ListTagsForResource	Concede permiso para enumerar las etiquetas de un recurso	Leer	EnabledBaseline
			EnabledControl
			LandingZone
ManageOrganizationalUnit [solo permiso]	Otorga permiso para configurar una unidad organizativa que será gestionada por AWS Control Tower	Escritura
PerformPreLaunchChecks [solo permiso]	Concede permiso para realizar validaciones en una cuenta	Leer
ResetEnabledBaseline	Otorga permiso para restablecer una línea base habilitada	Escritura	EnabledBaseline*
ResetLandingZone	Concede permiso para restablecer una zona de aterrizaje	Escritura	LandingZone*
SetupLandingZone [solo permiso]	Otorga permiso para configurar o actualizar la zona de aterrizaje AWS de la Torre de Control	Escritura
TagResource	Otorga permiso para agregar etiquetas a un recurso	Etiquetado	EnabledBaseline
			EnabledControl
			LandingZone
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Concede permiso para eliminar etiquetas de un recurso	Etiquetado	EnabledBaseline
			EnabledControl
			LandingZone
				aws:TagKeys
UpdateAccountFactoryConfig [solo permiso]	Concede permiso para actualizar la configuración de la creación de cuentas	Escritura
UpdateEnabledBaseline	Otorga permiso para actualizar una línea base habilitada	Escritura	EnabledBaseline*
UpdateEnabledControl	Concede permiso para actualizar un control habilitado para una unidad organizativa	Escritura	EnabledControl*
UpdateLandingZone	Concede permiso para actualizar una zona de aterrizaje	Escritura	LandingZone*

Tipos de recursos definidos por AWS Control Tower

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso	ARN	Claves de condición
EnabledControl	arn:${Partition}:controltower:${Region}:${Account}:enabledcontrol/${EnabledControlId}	aws:ResourceTag/${TagKey}
Baseline	arn:${Partition}:controltower:${Region}::baseline/${BaselineId}
EnabledBaseline	arn:${Partition}:controltower:${Region}:${Account}:enabledbaseline/${EnabledBaselineId}	aws:ResourceTag/${TagKey}
LandingZone	arn:${Partition}:controltower:${Region}:${Account}:landingzone/${LandingZoneId}	aws:ResourceTag/${TagKey}

Claves de condición para AWS Control Tower

AWS Control Tower define las siguientes claves de condición que se pueden usar en el Condition elemento de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso por las etiquetas que se pasan en la solicitud	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso por las etiquetas asociadas al recurso	Cadena
aws:TagKeys	Filtra el acceso por las claves de etiquetas que se pasan en la solicitud	ArrayOfString