Acciones, recursos y claves de condición para el Administrador de red de AWS - Referencia de autorizaciones de servicio

Acciones, recursos y claves de condición para el Administrador de red de AWS

El administrador de red de AWS (prefijo de servicio: networkmanager) proporciona las siguientes claves de contexto de condición, acciones y recursos específicas del servicio para su uso en las políticas de permisos de IAM.

Referencias:

Acciones definidas por el administrador de red de AWS

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Resource types (Tipos de recurso) indica si la acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") en el elemento Resource de la instrucción de la política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Los recursos necesarios se indican en la tabla con un asterisco (*). Si especifica un ARN de permiso de recursos en una instrucción mediante esta acción, deberá ser de este tipo. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno pero no el otro.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones Descripción Nivel de acceso Tipos de recursos (*necesarios) Claves de condición Acciones dependientes
AcceptAttachment Concede permiso para aceptar la creación de un adjunto entre un origen y un destino en una red principal. Escritura

attachment*

AssociateConnectPeer Concede permiso para asociar un Connect Peer. Escritura

device*

global-network*

AssociateCustomerGateway Concede permiso para asociar una gateway de cliente a un dispositivo Write

device*

global-network*

link

networkmanager:cgwArn

AssociateLink Concede permiso para asociar un vínculo a un dispositivo. Write

device*

global-network*

link*

AssociateTransitGatewayConnectPeer Concede el permiso para asociar un par de conexión de puerta de enlace de tránsito a un dispositivo. Escritura

device*

global-network*

link

networkmanager:tgwConnectPeerArn

CreateConnectAttachment Concede permiso para crear un adjunto Connect. Escritura

attachment*

core-network*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateConnectPeer Concede permiso para crear una conexión Connect Peer. Escritura

attachment*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateConnection Concede el permiso para crear una conexión nueva. Escritura

global-network*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCoreNetwork Concede permiso para crear una red principal nueva. Escritura

global-network*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDevice Concede permiso para crear un dispositivo nuevo. Write

global-network*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateGlobalNetwork Concede permiso para crear una red global nueva. Write

aws:RequestTag/${TagKey}

aws:TagKeys

iam:CreateServiceLinkedRole

CreateLink Concede permiso para crear un enlace nuevo. Write

global-network*

site

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSite Concede permiso para crear un sitio nuevo. Escritura

global-network*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSiteToSiteVpnAttachment Concede permiso para crear un adjunto Site-to-Site VPN. Escritura

core-network*

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:vpnConnectionArn

CreateTransitGatewayPeering Otorga permiso para crear un emparejamiento de Transit Gateway. Escritura

core-network*

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:tgwArn

CreateTransitGatewayRouteTableAttachment Otorga permiso para crear una conexión de tabla de enrutamiento de Transit Gateway. Escritura

peering*

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:tgwRtbArn

CreateVpcAttachment Concede permiso para crear un adjunto VPC. Escritura

core-network*

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:vpcArn

networkmanager:subnetArns

DeleteAttachment Concede permiso para eliminar un adjunto. Escritura

attachment*

DeleteConnectPeer Concede permiso para eliminar un Connect Peer. Escritura

connect-peer*

DeleteConnection Concede permiso para eliminar una conexión. Escritura

connection*

global-network*

DeleteCoreNetwork Concede permiso para eliminar una red principal. Escritura

core-network*

DeleteCoreNetworkPolicyVersion Concede permiso para eliminar la versión principal de la política de red. Escritura

core-network*

DeleteDevice Concede permiso para eliminar un dispositivo. Write

device*

global-network*

DeleteGlobalNetwork Concede permiso para eliminar una red global. Write

global-network*

DeleteLink Concede permisos para eliminar un enlace. Escritura

global-network*

link*

DeletePeering Otorga permiso para eliminar un emparejamiento. Escritura

peering*

DeleteResourcePolicy Concede permiso para eliminar un recurso. Escritura

core-network*

DeleteSite Concede permiso para eliminar un sitio Write

global-network*

site*

DeregisterTransitGateway Concede permiso para anular el registro de una gateway de tránsito de una red global. Write

global-network*

networkmanager:tgwArn

DescribeGlobalNetworks Concede permiso para describir redes globales. List

global-network

DisassociateConnectPeer Concede permiso para disociar un Connect Peer. Escritura

global-network*

DisassociateCustomerGateway Concede permiso para desasociar una gateway de cliente de un dispositivo. Write

global-network*

networkmanager:cgwArn

DisassociateLink Concede permiso para desasociar un enlace de un dispositivo. Write

device*

global-network*

link*

DisassociateTransitGatewayConnectPeer Concede el permiso para desasociar un par de conexión de puerta de enlace de tránsito de un dispositivo. Escritura

global-network*

networkmanager:tgwConnectPeerArn

ExecuteCoreNetworkChangeSet Concede permiso para aplicar cambios en la red principal. Escritura

core-network*

GetConnectAttachment Concede permiso para recuperar un adjunto Connect. Lectura

attachment*

GetConnectPeer Concede permiso para recuperar un Connect Peer. Lectura

connect-peer*

GetConnectPeerAssociations Concede permiso para describir asociaciones de Connect Peer. Lectura

global-network*

GetConnections Concede el permiso para describir conexiones. List

global-network*

connection

GetCoreNetwork Concede permiso para recuperar una red principal. Lectura

core-network*

GetCoreNetworkChangeEvents Otorga permiso para recuperar una lista de eventos de cambios de red principal. Lectura

core-network*

GetCoreNetworkChangeSet Concede permiso para recuperar una lista de conjuntos de cambios de red principal. Lectura

core-network*

GetCoreNetworkPolicy Concede permiso para recuperar la política de red principal. Lectura

core-network*

GetCustomerGatewayAssociations Concede permiso para describir asociaciones de gateway de clientes. List

global-network*

GetDevices Concede permiso para describir dispositivos. List

global-network*

device

GetLinkAssociations Concede permiso para describir asociaciones de enlaces. List

global-network*

device

link

GetLinks Concede permiso para describir enlaces. List

global-network*

link

GetNetworkResourceCounts Concede permiso para devolver el número de recursos de una red global agrupada por tipo. Lectura

global-network*

GetNetworkResourceRelationships Concede permiso para recuperar recursos relacionados de un recurso de red global. Lectura

global-network*

GetNetworkResources Concede permiso para recuperar un recurso de red global. Lectura

global-network*

GetNetworkRoutes Concede permiso para recuperar rutas para una tabla de enrutamiento dentro de la red global. Lectura

global-network*

GetNetworkTelemetry Concede permiso para recuperar objetos de telemetría de red para red global. Lectura

global-network*

GetResourcePolicy Concede permiso para recuperar una política de recursos. Lectura

core-network*

GetRouteAnalysis Concede permiso para recuperar una configuración y un resultado de análisis de ruta. Lectura

global-network*

GetSiteToSiteVpnAttachment Concede permiso para recuperar un adjunto Site-to-Site VPN. Lectura

attachment*

GetSites Concede permiso para describir redes globales. List

global-network*

site

GetTransitGatewayConnectPeerAssociations Concede el permiso para describir asociaciones de pares de conexión de puerta de enlace de tránsito. List

global-network*

GetTransitGatewayPeering Otorga permiso para recuperar un emparejamiento de Transit Gateway. Lectura

peering*

GetTransitGatewayRegistrations Concede permiso para describir los registros de gateway de tránsito. List

global-network*

GetTransitGatewayRouteTableAttachment Otorga permiso para recuperar una conexión de tabla de enrutamiento de Transit Gateway. Lectura

attachment*

GetVpcAttachment Concede permiso para recuperar un adjunto de VPC. Lectura

attachment*

ListAttachments Concede permiso para describir archivos adjuntos. List

attachment*

ListConnectPeers Concede permiso para describir Connect Peers. List

connect-peer*

ListCoreNetworkPolicyVersions Concede permiso para enumerar versiones principales de la política de red. List

core-network*

ListCoreNetworks Concede permiso para enumerar redes principales. List
ListOrganizationServiceAccessStatus Concede permiso para ver una lista del estado de acceso a los servicios de la organización List
ListPeerings Otorga el permiso para describir emparejamientos. List
ListTagsForResource Concede permiso para enumerar etiquetas para un recurso del administrador de red. Lectura

attachment

connect-peer

connection

core-network

device

global-network

link

peering

site

aws:ResourceTag/${TagKey}

PutCoreNetworkPolicy Concede permiso para crear una política principal de red. Escritura

core-network*

PutResourcePolicy Concede permiso para crear o actualizar una política de recursos. Escritura

core-network*

RegisterTransitGateway Concede permiso para registrar una gateway de tránsito en una red global. Escritura

global-network*

networkmanager:tgwArn

RejectAttachment Concede permiso para rechazar la solicitud de adjuntos. Escritura

attachment*

RestoreCoreNetworkPolicyVersion Concede permiso para restaurar la política de red principal a una versión anterior. Escritura

core-network*

StartOrganizationServiceAccessUpdate Concede permiso para iniciar la actualización del acceso a los servicios de la organización Escritura
StartRouteAnalysis Concede permiso para iniciar un análisis de rutas y almacena una configuración de análisis. Escritura

global-network*

TagResource Concede permiso para etiquetar un recurso del administrador de red. Etiquetado

attachment

connect-peer

connection

core-network

device

global-network

link

peering

site

aws:TagKeys

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

UntagResource Concede permiso para desetiquetar un recurso del administrador de red. Etiquetado

attachment

connect-peer

connection

core-network

device

global-network

link

peering

site

aws:TagKeys

UpdateConnection Concede permiso para actualizar una conexión. Escritura

connection*

global-network*

UpdateCoreNetwork Concede permiso para actualizar una red principal. Escritura

core-network*

UpdateDevice Concede permiso para actualizar un dispositivo. Write

device*

global-network*

UpdateGlobalNetwork Concede permiso para actualizar una red global. Write

global-network*

UpdateLink Concede permiso para actualizar un enlace. Escritura

global-network*

link*

UpdateNetworkResourceMetadata Concede permiso para agregar o actualizar pares de clave/valor de metadatos en el recurso de red. Escritura

global-network*

UpdateSite Concede permiso para actualizar un sitio Escritura

global-network*

site*

UpdateVpcAttachment Concede permiso para actualizar un adjunto de VPC. Escritura

attachment*

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:subnetArns

Tipos de recurso definidos por el administrador de red de AWS

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso ARN Claves de condición
global-network arn:${Partition}:networkmanager::${Account}:global-network/${ResourceId}

aws:ResourceTag/${TagKey}

site arn:${Partition}:networkmanager::${Account}:site/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

link arn:${Partition}:networkmanager::${Account}:link/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

device arn:${Partition}:networkmanager::${Account}:device/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

connection arn:${Partition}:networkmanager::${Account}:connection/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

core-network arn:${Partition}:networkmanager::${Account}:core-network/${ResourceId}

aws:ResourceTag/${TagKey}

attachment arn:${Partition}:networkmanager::${Account}:attachment/${ResourceId}

aws:ResourceTag/${TagKey}

connect-peer arn:${Partition}:networkmanager::${Account}:connect-peer/${ResourceId}

aws:ResourceTag/${TagKey}

peering arn:${Partition}:networkmanager::${Account}:peering/${ResourceId}

aws:ResourceTag/${TagKey}

Claves de condición para el administrador de red de AWS

El administrado de red de AWS define las siguientes claves de condiciones que se puede utilizar en el elemento Condition de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

A fin de ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición Descripción Tipo
aws:RequestTag/${TagKey} Filtra el acceso por las etiquetas que se pasan en la solicitud Cadena
aws:ResourceTag/${TagKey} Filtra el acceso por las etiquetas asociadas al recurso Cadena
aws:TagKeys Filtra el acceso por las claves de etiquetas que se pasan en la solicitud ArrayOfString
networkmanager:cgwArn Filtra el acceso mediante qué puertas de enlace de cliente se pueden asociar o disociar. Cadena
networkmanager:subnetArns Filtra el acceso mediante qué subredes de VPC pueden agregarse o eliminarse de un adjunto de VPC. ArrayOfString
networkmanager:tgwArn Filtra el acceso mediante el cual las puertas de enlace de tránsito se pueden registrar, anular su registro o emparejar. Cadena
networkmanager:tgwConnectPeerArn Filtra el acceso mediante qué pares de conexión de puerta de enlace pueden asociarse o disociarse. Cadena
networkmanager:tgwRtbArn Filtra el acceso mediante el cual se puede usar la tabla de enrutamiento de Transit Gateway para crear una conexión Cadena
networkmanager:vpcArn Filtra el acceso mediante qué VPC se puede utilizar para crear o actualizar un adjunto. Cadena
networkmanager:vpnConnectionArn Filtra el acceso mediante qué Site-to-Site VPN se puede utilizar para crear o actualizar un adjunto. Cadena