Acciones, recursos y claves de condición para el Administrador de red de AWS

El administrador de red de AWS (prefijo de servicio: networkmanager) proporciona las siguientes claves de contexto de condición, acciones y recursos específicas del servicio para su uso en las políticas de permisos de IAM.

Referencias:

• Obtenga información para configurar este servicio.

• Vea una lista de las operaciones de API disponibles para este servicio.

• Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.

Acciones definidas por el administrador de red de AWS

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
AcceptAttachment	Concede permiso para aceptar la creación de un adjunto entre un origen y un destino en una red principal.	Escritura	attachment*
AssociateConnectPeer	Concede permiso para asociar un Connect Peer.	Escritura	device*
			global-network*
AssociateCustomerGateway	Concede permiso para asociar una gateway de cliente a un dispositivo	Write	device*
			global-network*
			link
				networkmanager:cgwArn
AssociateLink	Concede permiso para asociar un vínculo a un dispositivo.	Write	device*
			global-network*
			link*
AssociateTransitGatewayConnectPeer	Concede el permiso para asociar un par de conexión de puerta de enlace de tránsito a un dispositivo.	Escritura	device*
			global-network*
			link
				networkmanager:tgwConnectPeerArn
CreateConnectAttachment	Concede permiso para crear un adjunto Connect.	Escritura	attachment*
			core-network*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateConnectPeer	Concede permiso para crear una conexión Connect Peer.	Escritura	attachment*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateConnection	Concede permiso para crear una conexión nueva.	Escritura	global-network*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateCoreNetwork	Concede permiso para crear una red principal nueva.	Escritura	global-network*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateDevice	Concede permiso para crear un dispositivo nuevo.	Write	global-network*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateGlobalNetwork	Concede permiso para crear una red global nueva.	Write		aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole
CreateLink	Concede permiso para crear un enlace nuevo.	Write	global-network*
			site
				aws:RequestTag/${TagKey} aws:TagKeys
CreateSite	Concede permiso para crear un sitio nuevo.	Escritura	global-network*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateSiteToSiteVpnAttachment	Concede permiso para crear un adjunto Site-to-Site VPN.	Escritura	core-network*
				aws:RequestTag/${TagKey} aws:TagKeys networkmanager:vpnConnectionArn
CreateTransitGatewayPeering	Otorga permiso para crear un emparejamiento de Transit Gateway.	Escritura	core-network*
				aws:RequestTag/${TagKey} aws:TagKeys networkmanager:tgwArn
CreateTransitGatewayRouteTableAttachment	Otorga permiso para crear una conexión de tabla de enrutamiento de Transit Gateway.	Escritura	peering*
				aws:RequestTag/${TagKey} aws:TagKeys networkmanager:tgwRtbArn
CreateVpcAttachment	Concede permiso para crear un adjunto VPC.	Escritura	core-network*
				aws:RequestTag/${TagKey} aws:TagKeys networkmanager:vpcArn networkmanager:subnetArns
DeleteAttachment	Concede permiso para eliminar un adjunto.	Escritura	attachment*
DeleteConnectPeer	Concede permiso para eliminar un Connect Peer.	Escritura	connect-peer*
DeleteConnection	Concede permiso para eliminar una conexión.	Escritura	connection*
			global-network*
DeleteCoreNetwork	Concede permiso para eliminar una red principal.	Escritura	core-network*
DeleteCoreNetworkPolicyVersion	Concede permiso para eliminar la versión principal de la política de red.	Escritura	core-network*
DeleteDevice	Concede permiso para eliminar un dispositivo.	Write	device*
			global-network*
DeleteGlobalNetwork	Concede permiso para eliminar una red global.	Write	global-network*
DeleteLink	Concede permisos para eliminar un enlace.	Escritura	global-network*
			link*
DeletePeering	Otorga permiso para eliminar un emparejamiento.	Escritura	peering*
DeleteResourcePolicy	Concede permiso para eliminar un recurso.	Escritura	core-network*
DeleteSite	Concede permiso para eliminar un sitio	Write	global-network*
			site*
DeregisterTransitGateway	Concede permiso para anular el registro de una gateway de tránsito de una red global.	Write	global-network*
				networkmanager:tgwArn
DescribeGlobalNetworks	Concede permiso para describir redes globales.	Enumeración	global-network
DisassociateConnectPeer	Concede permiso para disociar un Connect Peer.	Escritura	global-network*
DisassociateCustomerGateway	Concede permiso para desasociar una gateway de cliente de un dispositivo.	Write	global-network*
				networkmanager:cgwArn
DisassociateLink	Concede permiso para desasociar un enlace de un dispositivo.	Write	device*
			global-network*
			link*
DisassociateTransitGatewayConnectPeer	Concede el permiso para desasociar un par de conexión de puerta de enlace de tránsito de un dispositivo.	Escritura	global-network*
				networkmanager:tgwConnectPeerArn
ExecuteCoreNetworkChangeSet	Concede permiso para aplicar cambios en la red principal.	Escritura	core-network*
GetConnectAttachment	Concede permiso para recuperar un adjunto Connect.	Lectura	attachment*
GetConnectPeer	Concede permiso para recuperar un Connect Peer.	Lectura	connect-peer*
GetConnectPeerAssociations	Concede permiso para describir asociaciones de Connect Peer.	Lectura	global-network*
GetConnections	Concede el permiso para describir conexiones.	Enumeración	global-network*
			connection
GetCoreNetwork	Concede permiso para recuperar una red principal.	Lectura	core-network*
GetCoreNetworkChangeEvents	Otorga permiso para recuperar una lista de eventos de cambios de red principal.	Lectura	core-network*
GetCoreNetworkChangeSet	Concede permiso para recuperar una lista de conjuntos de cambios de red principal.	Lectura	core-network*
GetCoreNetworkPolicy	Concede permiso para recuperar la política de red principal.	Lectura	core-network*
GetCustomerGatewayAssociations	Concede permiso para describir asociaciones de gateway de clientes.	List	global-network*
GetDevices	Concede permiso para describir dispositivos.	List	global-network*
			device
GetLinkAssociations	Concede permiso para describir asociaciones de enlaces.	List	global-network*
			device
			link
GetLinks	Concede permiso para describir enlaces.	Enumeración	global-network*
			link
GetNetworkResourceCounts	Concede permiso para devolver el número de recursos de una red global agrupada por tipo.	Lectura	global-network*
GetNetworkResourceRelationships	Concede permiso para recuperar recursos relacionados de un recurso de red global.	Lectura	global-network*
GetNetworkResources	Concede permiso para recuperar un recurso de red global.	Lectura	global-network*
GetNetworkRoutes	Concede permiso para recuperar rutas para una tabla de enrutamiento dentro de la red global.	Lectura	global-network*
GetNetworkTelemetry	Concede permiso para recuperar objetos de telemetría de red para red global.	Lectura	global-network*
GetResourcePolicy	Concede permiso para recuperar una política de recursos.	Lectura	core-network*
GetRouteAnalysis	Concede permiso para recuperar una configuración y un resultado de análisis de ruta.	Lectura	global-network*
GetSiteToSiteVpnAttachment	Concede permiso para recuperar un adjunto Site-to-Site VPN.	Lectura	attachment*
GetSites	Concede permiso para describir redes globales.	List	global-network*
			site
GetTransitGatewayConnectPeerAssociations	Concede el permiso para describir asociaciones de pares de conexión de puerta de enlace de tránsito.	Enumeración	global-network*
GetTransitGatewayPeering	Otorga permiso para recuperar un emparejamiento de Transit Gateway.	Lectura	peering*
GetTransitGatewayRegistrations	Concede permiso para describir los registros de gateway de tránsito.	Enumeración	global-network*
GetTransitGatewayRouteTableAttachment	Otorga permiso para recuperar una conexión de tabla de enrutamiento de Transit Gateway.	Lectura	attachment*
GetVpcAttachment	Concede permiso para recuperar un adjunto de VPC.	Lectura	attachment*
ListAttachments	Concede permiso para describir archivos adjuntos.	Enumeración	attachment*
ListConnectPeers	Concede permiso para describir Connect Peers.	Enumeración	connect-peer*
ListCoreNetworkPolicyVersions	Concede permiso para enumerar versiones principales de la política de red.	Enumeración	core-network*
ListCoreNetworks	Concede permiso para enumerar redes principales.	Enumeración
ListOrganizationServiceAccessStatus	Concede permiso para ver una lista del estado de acceso a los servicios de la organización	Enumeración
ListPeerings	Otorga el permiso para describir emparejamientos.	Enumeración
ListTagsForResource	Concede permiso para enumerar etiquetas para un recurso del administrador de red.	Lectura	attachment
			connect-peer
			connection
			core-network
			device
			global-network
			link
			peering
			site
				aws:ResourceTag/${TagKey}
PutCoreNetworkPolicy	Concede permiso para crear una política principal de red.	Escritura	core-network*
PutResourcePolicy	Concede permiso para crear o actualizar una política de recursos.	Escritura	core-network*
RegisterTransitGateway	Concede permiso para registrar una gateway de tránsito en una red global.	Escritura	global-network*
				networkmanager:tgwArn
RejectAttachment	Concede permiso para rechazar la solicitud de adjuntos.	Escritura	attachment*
RestoreCoreNetworkPolicyVersion	Concede permiso para restaurar la política de red principal a una versión anterior.	Escritura	core-network*
StartOrganizationServiceAccessUpdate	Concede permiso para iniciar la actualización del acceso a los servicios de la organización	Escritura
StartRouteAnalysis	Concede permiso para iniciar un análisis de rutas y almacena una configuración de análisis.	Escritura	global-network*
TagResource	Concede permiso para etiquetar un recurso del administrador de red.	Etiquetado	attachment
			connect-peer
			connection
			core-network
			device
			global-network
			link
			peering
			site
				aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
UntagResource	Concede permiso para desetiquetar un recurso del administrador de red.	Etiquetado	attachment
			connect-peer
			connection
			core-network
			device
			global-network
			link
			peering
			site
				aws:TagKeys
UpdateConnection	Concede permiso para actualizar una conexión.	Escritura	connection*
			global-network*
UpdateCoreNetwork	Concede permiso para actualizar una red principal.	Escritura	core-network*
UpdateDevice	Concede permiso para actualizar un dispositivo.	Write	device*
			global-network*
UpdateGlobalNetwork	Concede permiso para actualizar una red global.	Write	global-network*
UpdateLink	Concede permiso para actualizar un enlace.	Escritura	global-network*
			link*
UpdateNetworkResourceMetadata	Concede permiso para agregar o actualizar pares de clave/valor de metadatos en el recurso de red.	Escritura	global-network*
UpdateSite	Concede permiso para actualizar un sitio	Escritura	global-network*
			site*
UpdateVpcAttachment	Concede permiso para actualizar un adjunto de VPC.	Escritura	attachment*
				aws:RequestTag/${TagKey} aws:TagKeys networkmanager:subnetArns

Tipos de recurso definidos por el administrador de red de AWS

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso	ARN	Claves de condición
global-network	arn:${Partition}:networkmanager::${Account}:global-network/${ResourceId}	aws:ResourceTag/${TagKey}
site	arn:${Partition}:networkmanager::${Account}:site/${GlobalNetworkId}/${ResourceId}	aws:ResourceTag/${TagKey}
link	arn:${Partition}:networkmanager::${Account}:link/${GlobalNetworkId}/${ResourceId}	aws:ResourceTag/${TagKey}
device	arn:${Partition}:networkmanager::${Account}:device/${GlobalNetworkId}/${ResourceId}	aws:ResourceTag/${TagKey}
connection	arn:${Partition}:networkmanager::${Account}:connection/${GlobalNetworkId}/${ResourceId}	aws:ResourceTag/${TagKey}
core-network	arn:${Partition}:networkmanager::${Account}:core-network/${ResourceId}	aws:ResourceTag/${TagKey}
attachment	arn:${Partition}:networkmanager::${Account}:attachment/${ResourceId}	aws:ResourceTag/${TagKey}
connect-peer	arn:${Partition}:networkmanager::${Account}:connect-peer/${ResourceId}	aws:ResourceTag/${TagKey}
peering	arn:${Partition}:networkmanager::${Account}:peering/${ResourceId}	aws:ResourceTag/${TagKey}

Claves de condición para el administrador de red de AWS

El administrado de red de AWS define las siguientes claves de condiciones que se puede utilizar en el elemento Condition de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso por las etiquetas que se pasan en la solicitud	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso por las etiquetas asociadas al recurso	Cadena
aws:TagKeys	Filtra el acceso por las claves de etiquetas que se pasan en la solicitud	ArrayOfString
networkmanager:cgwArn	Filtra el acceso mediante qué puertas de enlace de cliente se pueden asociar o disociar.	ARN
networkmanager:subnetArns	Filtra el acceso mediante qué subredes de VPC pueden agregarse o eliminarse de un adjunto de VPC.	ArrayOfARN
networkmanager:tgwArn	Filtra el acceso mediante el cual las puertas de enlace de tránsito se pueden registrar, anular su registro o emparejar.	ARN
networkmanager:tgwConnectPeerArn	Filtra el acceso mediante qué pares de conexión de puerta de enlace pueden asociarse o disociarse.	ARN
networkmanager:tgwRtbArn	Filtra el acceso mediante el cual se puede usar la tabla de enrutamiento de Transit Gateway para crear una conexión	ARN
networkmanager:vpcArn	Filtra el acceso mediante qué VPC se puede utilizar para crear o actualizar un adjunto.	ARN
networkmanager:vpnConnectionArn	Filtra el acceso mediante qué Site-to-Site VPN se puede utilizar para crear o actualizar un adjunto.	ARN