Actions, ressources et clés de condition pour Amazon WorkMail

Amazon WorkMail (préfixe de service :workmail) fournit les ressources, actions et clés de contexte de condition spécifiques aux services suivantes à utiliser dans les politiques d'autorisation IAM.

Références :

• Découvrez comment configurer ce service.

• Affichez la liste des opérations d'API disponibles pour ce service.

• Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.

Actions définies par Amazon WorkMail

Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

La colonne Types de ressources indique si chaque action prend en charge les autorisations au niveau des ressources. S'il n'y a pas de valeur pour cette colonne, vous devez indiquer toutes les ressources (« * ») dans l'élément Resource de votre déclaration de politique. Si la colonne inclut un type de ressource, vous pouvez indiquer un ARN de ce type dans une déclaration avec cette action. Si l'action comporte une ou plusieurs ressources requises, l'appelant doit être autorisé à utiliser l'action avec ces ressources. Les ressources requises sont indiquées dans le tableau par un astérisque (*). Si vous limitez l'accès aux ressources avec l'Resourceélément dans une politique IAM, vous devez inclure un ARN ou un modèle pour chaque type de ressource requis. Certaines actions prennent en charge plusieurs types de ressources. Si le type de ressource est facultatif (non indiqué comme obligatoire), vous pouvez choisir d'utiliser l'un, mais pas l'autre.

La colonne Clés de condition inclut des clés que vous pouvez spécifier dans l'élément Condition d'une déclaration de politique. Pour plus d'informations sur les clés de condition associées aux ressources du service, consultez la colonne Clés de condition du tableau des types de ressources.

Note

Les clés de condition des ressources sont répertoriées dans le tableau Types de ressources. Vous pouvez trouver un lien vers le type de ressource qui s'applique à une action dans la colonne Types de ressources (* obligatoire) du tableau Actions. Le type de ressource indiqué dans le tableau Types de ressources inclut la colonne Clés de condition, qui contient les clés de condition de ressource qui s'appliquent à une action dans le tableau Actions.

Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Actions.

Actions	Description	Niveau d'accès	Types de ressources (*obligatoire)	Clés de condition	Actions dépendantes
AddMembersToGroup [autorisation uniquement]	Accorde l'autorisation d'ajouter une liste de membres (utilisateurs ou groupes) à un groupe	Écrire	organization*
AllowVendedLogDeliveryForResource [autorisation uniquement]	Accorde l'autorisation de configurer la livraison des journaux vendus pour les journaux WorkMail d'audit	Écrire	organization*
AssociateDelegateToResource	Accorde l'autorisation d'ajouter un membre (utilisateur ou groupe) à l'ensemble de délégués de la ressource.	Écriture	organization*
AssociateMemberToGroup	Accorde l'autorisation d'ajouter un membre (utilisateur ou groupe) à l'ensemble du groupe	Écrire	organization*
AssumeImpersonationRole	Accorde l'autorisation d'assumer un rôle d'usurpation d'identité pour l'organisation Amazon donnée WorkMail	Écrire	organization*
CancelMailboxExportJob	Accorde l'autorisation d'annuler une tâche d'exportation de boîte aux lettres en cours d'exécution	Écrire	organization*
CreateAlias	Accorde l'autorisation d'ajouter un alias à l'ensemble d'un membre donné (utilisateur ou groupe) de WorkMail	Écrire	organization*
CreateAvailabilityConfiguration	Accorde l'autorisation de créer un nom AvailabilityConfiguration pour l' WorkMail organisation et le domaine Amazon concernés	Écrire	organization*
CreateGroup	Accorde l'autorisation de créer un groupe qui peut être utilisé WorkMail en appelant l' RegisterToWorkMail opération	Écrire	organization*
CreateImpersonationRole	Accorde l'autorisation de créer un rôle d'usurpation d'identité pour l'organisation Amazon donnée WorkMail	Écrire	organization*
CreateInboundMailFlowRule [autorisation uniquement]	Accorde l'autorisation de créer une règle de flux de messagerie entrant qui s'applique à tous les messages envoyés à une organisation	Écriture	organization*
CreateMailDomain [autorisation uniquement]	Accorde l'autorisation de créer un domaine de messagerie.	Écrire	organization*
CreateMobileDeviceAccessRule	Accorde l'autorisation de créer une règle d'accès aux appareils mobiles	Écrire	organization*
CreateOrganization	Accorde l'autorisation de créer une nouvelle WorkMail organisation Amazon	Écrire
CreateOutboundMailFlowRule [autorisation uniquement]	Accorde l'autorisation de créer une règle de flux de messagerie sortant qui s'applique à tous les messages envoyés à partir d'une organisation	Écrire	organization*
CreateResource	Accorde l'autorisation de créer une nouvelle WorkMail ressource	Écrire	organization*
CreateSmtpGateway [autorisation uniquement]	Accorde l'autorisation d'enregistrer une passerelle SMTP auprès d'une organisation WorkMail	Écrire	organization*
CreateUser	Accorde l'autorisation de créer un utilisateur, qui peut être activée ultérieurement en appelant l' RegisterToWorkMail opération	Écrire	organization*
DeleteAccessControlRule	Accorde l'autorisation de supprimer une règle de contrôle d'accès	Écriture	organization*
DeleteAlias	Accorde l'autorisation de supprimer un ou plusieurs alias spécifiés d'un ensemble d'alias pour un utilisateur donné.	Écrire	organization*
DeleteAvailabilityConfiguration	Accorde l'autorisation de supprimer le AvailabilityConfiguration pour l' WorkMail organisation et le domaine Amazon concernés	Écrire	organization*
DeleteEmailMonitoringConfiguration	Accorde l'autorisation de supprimer la configuration de surveillance des e-mails d'une organisation	Écrire	organization*
DeleteGroup	Accorde l'autorisation de supprimer un groupe de WorkMail	Écrire	organization*
DeleteImpersonationRole	Accorde l'autorisation de supprimer un rôle d'usurpation d'identité pour l'organisation Amazon donnée WorkMail	Écrire	organization*
DeleteInboundMailFlowRule [autorisation uniquement]	Accorde l'autorisation de supprimer une règle de flux de messagerie entrant pour qu'elle ne s'applique plus aux e-mails envoyés à une organisation	Écriture	organization*
DeleteMailDomain [autorisation uniquement]	Accorde l'autorisation de supprimer un domaine de messagerie inutilisé d'une organisation	Écriture	organization*
DeleteMailboxPermissions	Accorde l'autorisation de supprimer les autorisations accordées à un membre (utilisateur ou groupe)	Écriture	organization*
DeleteMobileDevice [autorisation uniquement]	Accorde l'autorisation de supprimer un appareil mobile d'un utilisateur	Écrire	organization*
DeleteMobileDeviceAccessOverride	Accorde l'autorisation de supprimer un remplacement d'accès aux appareils mobiles	Écrire	organization*
DeleteMobileDeviceAccessRule	Accorde l'autorisation de supprimer une règle d'accès aux appareils mobiles	Écrire	organization*
DeleteOrganization	Accorde l'autorisation de supprimer une WorkMail organisation Amazon et toutes les AWS ressources sous-jacentes gérées par Amazon dans le WorkMail cadre de l'organisation	Écrire	organization*
DeleteOutboundMailFlowRule [autorisation uniquement]	Accorde l'autorisation de supprimer une règle de flux de messagerie sortant pour qu'elle ne s'applique plus aux e-mails envoyés à partir d'une organisation	Écriture	organization*
DeleteResource	Accorde l'autorisation de supprimer la ressource spécifiée	Écriture	organization*
DeleteRetentionPolicy	Accorde l'autorisation de supprimer la politique de rétention en fonction des identifiants d'organisation et de politique fournis.	Écriture	organization*
DeleteSmtpGateway [autorisation uniquement]	Accorde l'autorisation de supprimer une passerelle SMTP d'une organisation	Écrire	organization*
DeleteUser	Accorde l'autorisation de supprimer un utilisateur du système WorkMail et de tous les systèmes suivants	Écrire	organization*
DeregisterFromWorkMail	Accorde l'autorisation de marquer un utilisateur, un groupe ou une ressource comme n'étant plus utilisé dans WorkMail	Écrire	organization*
DeregisterMailDomain	Accorde l'autorisation d'annuler l'enregistrement d'un domaine de messagerie d'une organisation	Écrire	organization*
DescribeDirectories [autorisation uniquement]	Accorde l'autorisation d'afficher la liste des répertoires pouvant être utilisés lors de la création d'une organisation	Liste
DescribeEmailMonitoringConfiguration	Accorde l'autorisation de récupérer la configuration de surveillance des e-mails d'une organisation	Lecture	organization*
DescribeEntity	Accorde l'autorisation de lire les détails d'une entité	Lecture	organization*
DescribeGroup	Accorde l'autorisation de lire les détails d'un groupe	Liste	organization*
DescribeInboundDmarcSettings	Accorde l'autorisation de lire les paramètres d'une stratégie DMARC pour une organisation spécifiée	Lecture	organization*
DescribeInboundMailFlowRule [autorisation uniquement]	Accorde l'autorisation de lire les détails d'une règle de flux de messagerie entrant configurée pour une organisation	Lecture	organization*
DescribeKmsKeys [autorisation uniquement]	Accorde l'autorisation d'afficher la liste des clés KMS pouvant être utilisées lors de la création d'une organisation	Liste
DescribeMailDomains [autorisation uniquement]	Accorde l'autorisation d'affiche les détails de tous les domaines de messagerie associés à l'organisation	Liste	organization*
DescribeMailGroups [autorisation uniquement]	Accorde l'autorisation d'afficher les détails de tous les groupes associés à l'organisation	Liste	organization*
DescribeMailUsers [autorisation uniquement]	Accorde l'autorisation d'afficher les détails de tous les utilisateurs associés à l'organisation	Liste	organization*
DescribeMailboxExportJob	Accorde l'autorisation de récupérer les détails d'une tâche d'exportation de boîte aux lettres	Lecture	organization*
DescribeOrganization	Accorde l'autorisation de lire les détails d'une organisation	Liste	organization*
DescribeOrganizations [autorisation uniquement]	Accorde l'autorisation d'afficher un résumé de toutes les organisations associées au compte	Liste
DescribeOutboundMailFlowRule [autorisation uniquement]	Accorde l'autorisation de lire les détails d'une règle de flux de messagerie sortant configurée pour une organisation	Lecture	organization*
DescribeResource	Accorde l'autorisation de lire les détails d'une ressource	Liste	organization*
DescribeSmtpGateway [autorisation uniquement]	Accorde l'autorisation de lire les détails d'une passerelle SMTP enregistrée auprès d'une organisation	Lecture	organization*
DescribeUser	Accorde l'autorisation de lire les détails d'un utilisateur	Liste	organization*
DisassociateDelegateFromResource	Accorde l'autorisation de supprimer un membre de l'ensemble de délégués de la ressource	Écriture	organization*
DisassociateMemberFromGroup	Accorde l'autorisation de supprimer un membre d'un groupe.	Écriture	organization*
EnableMailDomain [autorisation uniquement]	Accorde l'autorisation d'activer un domaine de messagerie dans l'organisation	Écrire	organization*
GetAccessControlEffect	Accorde l'autorisation d'obtenir les effets des règles de contrôle d'accès lorsqu'elles s'appliquent à une adresse IPv4 spécifiée, à une action de protocole d'accès ou à un ID utilisateur	Read	organization*
GetDefaultRetentionPolicy	Accorde l'autorisation de récupérer la politique de rétention associée au niveau de l'organisation	Lecture	organization*
GetImpersonationRole	Accorde l'autorisation de récupérer un rôle d'usurpation d'identité pour l'organisation Amazon donnée WorkMail	Lecture	organization*
GetImpersonationRoleEffect	Accorde l’autorisation d'obtenir l'effet des règles associées à un rôle d'usurpation d'identité pour un utilisateur spécifique	Lecture	organization*
GetJournalingRules [autorisation uniquement]	Accorde l'autorisation de lires les adresses e-mail de journalisation et de secours configurées pour la journalisation des e-mails	Lecture	organization*
GetMailDomain	Accorde l'autorisation de récupérer les détails d'un domaine de messagerie donné dans une organisation	Lecture	organization*
GetMailDomainDetails [autorisation uniquement]	Accorde l'autorisation d'obtenir les détails du domaine de messagerie	Lecture	organization*
GetMailGroupDetails [autorisation uniquement]	Accorde l'autorisation d'obtenir les détails du groupe de messagerie	Lecture	organization*
GetMailboxDetails	Accorde l'autorisation de lire les détails de la boîte aux lettres de l'utilisateur	Lecture	organization*
GetMobileDeviceAccessEffect	Accorde l'autorisation de simuler l'effet des règles d'accès aux appareils mobiles pour les attributs donnés d'un exemple d'événement d'accès	Lecture	organization*
GetMobileDeviceAccessOverride	Accorde l'autorisation de récupérer un remplacement d'accès aux appareils mobiles	Lecture	organization*
GetMobileDeviceDetails [autorisation uniquement]	Accorde l'autorisation d'obtenir les détails de l'appareil mobile	Lecture	organization*
GetMobileDevicesForUser [autorisation uniquement]	Accorde l'autorisation d'obtenir la liste des appareils mobiles associés à l'utilisateur	Lecture	organization*
GetMobilePolicyDetails [autorisation uniquement]	Accorde l'autorisation d'obtenir les détails de la politique d'appareil mobile associée à l'organisation	Lecture	organization*
ListAccessControlRules	Accorde l'autorisation de répertorier les règles de contrôle d'accès	Lecture	organization*
ListAliases	Accorde l'autorisation de répertorier les alias associés à une entité donnée	Liste	organization*
ListAvailabilityConfigurations	Octroie l'autorisation de répertorier tous AvailabilityConfiguration les éléments pour l' WorkMail organisation Amazon donnée	Lecture	organization*
ListGroupMembers	Accorde l'autorisation de lire une vue d'ensemble des membres d'un groupe. Les utilisateurs et les groupes peuvent être membres d'un groupe	Liste	organization*
ListGroups	Accorde l'autorisation de répertorier des récapitulatifs des groupes de l'organisation.	Liste	organization*
ListGroupsForEntity	Accorde l'autorisation de répertorier les groupes auxquels une entité appartient	Liste	organization*
ListImpersonationRoles	Accorde l'autorisation de répertorier les rôles d'usurpation d'identité pour l'organisation Amazon donnée WorkMail	Liste	organization*
ListInboundMailFlowRules [autorisation uniquement]	Accorde l'autorisation de répertorier les règles de flux de messagerie entrant configurées pour une organisation	Liste	organization*
ListMailDomains	Accorde l'autorisation de répertorier les domaines de messagerie d'une organisation donnée	Liste	organization*
ListMailboxExportJobs	Accorde l'autorisation de répertorier les tâches d'exportation de boîtes aux lettres	Liste	organization*
ListMailboxPermissions	Accorde l'autorisation de répertorier les autorisations de boîte aux lettres associées à une boîte aux lettres utilisateur, groupe ou ressource.	Liste	organization*
ListMembersInMailGroup [autorisation uniquement]	Accorde l'autorisation d'obtenir une liste de tous les membres d'un groupe de messagerie	Lecture	organization*
ListMobileDeviceAccessOverrides	Accorde l'autorisation de répertorier les remplacements d'accès aux appareils mobiles	Lecture	organization*
ListMobileDeviceAccessRules	Accorde l'autorisation de répertorier les règles d'accès aux appareils mobiles	Lecture	organization*
ListOrganizations	Accorde l'autorisation de répertorier les organisations non supprimées	Liste
ListOutboundMailFlowRules [autorisation uniquement]	Accorde l'autorisation de répertorier les règles de flux de messagerie sortant configurées pour une organisation	Liste	organization*
ListResourceDelegates	Accorde l'autorisation de répertorier les délégués associés à une ressource.	Liste	organization*
ListResources	Accorde l'autorisation de répertorier les ressources de l'organisation	Liste	organization*
ListSmtpGateways [autorisation uniquement]	Accorde l'autorisation de répertorier les passerelles SMTP enregistrées dans l'organisation	Liste	organization*
ListTagsForResource	Accorde l'autorisation de répertorier les balises appliquées à une ressource d' WorkMail organisation Amazon	Liste	organization*
				aws:TagKeys aws:RequestTag/${TagKey}
ListUsers	Accorde l'autorisation de répertorier les utilisateurs de l'organisation	Liste	organization*
PutAccessControlRule	Accorde l'autorisation d'ajouter une nouvelle règle de contrôle d'accès	Écrire	organization*
PutEmailMonitoringConfiguration	Accorde l'autorisation d'ajouter ou de mettre à jour la configuration de surveillance des e-mails d'une organisation	Écrire	organization*
PutInboundDmarcSettings	Accorde l'autorisation d'activer ou de désactiver une stratégie DMARC pour une organisation donnée	Écrire	organization*
PutMailboxPermissions	Accorde l'autorisation de définir des autorisations pour un utilisateur, un groupe ou une ressource, en remplaçant toutes les autorisations existantes	Écrire	organization*
PutMobileDeviceAccessOverride	Accorde l'autorisation d'aouter ou de mettre à jour un remplacement d'accès aux appareils mobiles	Écrire	organization*
PutRetentionPolicy	Accorde l'autorisation d'ajouter ou de mettre à jour la politique de rétention	Écrire	organization*
RegisterMailDomain	Accorde l'autorisation d'enregistrer un nouveau domaine de messagerie dans une organisation	Écrire	organization*
RegisterToWorkMail	Accorde l'autorisation d'enregistrer un utilisateur, un groupe ou une ressource existant ou désactivé à utiliser en associant une boîte aux lettres et des fonctionnalités de calendrier	Écriture	organization*
RemoveMembersFromGroup [autorisation uniquement]	Accorde l'autorisation de supprimer des membres d'un groupe de messagerie	Écriture	organization*
ResetPassword	Accorde l'autorisation à l'administrateur de réinitialiser le mot de passe d'un utilisateur	Écriture	organization*
ResetUserPassword [autorisation uniquement]	Accorde l'autorisation de réinitialiser le mot de passe d'un compte utilisateur	Écriture	organization*
SearchMembers [autorisation uniquement]	Accorde l'autorisation d'effectuer une recherche par préfixe pour trouver un utilisateur spécifique dans un groupe de messagerie	Lecture	organization*
SetAdmin [autorisation uniquement]	Accorde l'autorisation de marquer un utilisateur comme administrateur	Écriture	organization*
SetDefaultMailDomain [autorisation uniquement]	Accorde l'autorisation de définir le domaine de messagerie par défaut pour l'organisation	Écriture	organization*
SetJournalingRules [autorisation uniquement]	Accorde l'autorisation de définir les adresses e-mail de journalisation et de secours pour la journalisation des e-mails	Écriture	organization*
SetMobilePolicyDetails [autorisation uniquement]	Accorde l'autorisation de définir les détails d'une politique mobile associée à l'organisation	Écriture	organization*
StartMailboxExportJob	Accorde l'autorisation de démarrer une nouvelle tâche d'exportation de boîtes aux lettres	Écrire	organization*
TagResource	Accorde l'autorisation de baliser la ressource d' WorkMail organisation Amazon spécifiée	Identification	organization*
				aws:TagKeys aws:RequestTag/${TagKey}
TestAvailabilityConfiguration	Accorde l'autorisation d'effectuer un test sur un fournisseur de disponibilité pour s'assurer que l'accès est autorisé	Lecture	organization*
TestInboundMailFlowRules [autorisation uniquement]	Accorde l'autorisation de tester les règles entrantes qui s'appliqueront à un e-mail avec un expéditeur et un destinataire donnés	Écriture	organization*
TestOutboundMailFlowRules [autorisation uniquement]	Accorde l'autorisation de tester les règles sortantes qui s'appliqueront à un e-mail avec un expéditeur et un destinataire donnés	Écrire	organization*
UntagResource	Accorde l'autorisation de supprimer le balisage de la ressource d' WorkMail organisation Amazon spécifiée	Identification	organization*
				aws:TagKeys
UpdateAvailabilityConfiguration	Autorise la mise à jour d'une WorkMail organisation et d'un domaine Amazon existants AvailabilityConfiguration	Écrire	organization*
UpdateDefaultMailDomain	Accorde l'autorisation de mettre à jour quel domaine est le domaine par défaut d'une organisation.	Écrire	organization*
UpdateGroup	Accorde l'autorisation de mettre à jour les détails d'un groupe	Écrire	organization*
UpdateImpersonationRole	Accorde l'autorisation de mettre à jour un rôle d'usurpation d'identité existant pour l'organisation Amazon donnée WorkMail	Écrire	organization*
UpdateInboundMailFlowRule [autorisation uniquement]	Accorde l'autorisation de mettre à jour les détails d'une règle de flux de messagerie entrant qui s'applique à tous les messages envoyés à une organisation	Écriture	organization*
UpdateMailboxQuota	Accorde l'autorisation de mettre à jour la taille maximale (en Mo) de la boîte aux lettres de l'utilisateur.	Écrire	organization*
UpdateMobileDeviceAccessRule	Accorde l'autorisation de mettre à jour une règle d'accès aux appareils mobiles	Écrire	organization*
UpdateOutboundMailFlowRule [autorisation uniquement]	Accorde l'autorisation de mettre à jour les détails d'une règle de flux de messagerie sortant qui s'applique à tous les messages envoyés à partir d'une organisation	Écriture	organization*
UpdatePrimaryEmailAddress	Accorde l'autorisation de mettre à jour l'e-mail principal d'un utilisateur, d'un groupe ou d'une ressource.	Écriture	organization*
UpdateResource	Accorde l'autorisation de mettre à jour des détails de la ressource.	Écriture	organization*
UpdateSmtpGateway [autorisation uniquement]	Accorde l'autorisation de mettre à jour les détails d'une passerelle SMTP existante enregistrée auprès d'une organisation	Écrire	organization*
UpdateUser	Accorde l'autorisation de mettre à jour les détails d'un utilisateur	Écrire	organization*
WipeMobileDevice [autorisation uniquement]	Accorde l'autorisation d'effacer à distance l'appareil mobile associé au compte d'un utilisateur	Écrire	organization*

Types de ressources définis par Amazon WorkMail

Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM. Chaque action du tableau Actions identifie les types de ressources pouvant être spécifiés avec cette action. Un type de ressource peut également définir les clés de condition que vous pouvez inclure dans une politique. Ces clés sont affichées dans la dernière colonne du tableau. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Types de ressources.

Types de ressources	ARN	Clés de condition
organization	arn:${Partition}:workmail:${Region}:${Account}:organization/${ResourceId}	aws:ResourceTag/${TagKey}

Clés de condition pour Amazon WorkMail

Amazon WorkMail définit les clés de condition suivantes qui peuvent être utilisées dans l'Conditionélément d'une politique IAM. Vous pouvez utiliser ces clés pour affiner les conditions d'application de la déclaration de politique. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Clés de condition.

Pour afficher les clés de condition globales disponibles pour tous les services, consultez Clés de condition globales disponibles.

Clés de condition	Description	Type
aws:RequestTag/${TagKey}	Filtre l'accès en fonction des paires clé-valeur de la balise transmises dans la demande	Chaîne
aws:ResourceTag/${TagKey}	Filtre l'accès en fonction des paires clé-valeur d'identification attachées à la ressource	Chaîne
aws:TagKeys	Filtre l'accès en fonction des clés d'identification qui sont transmises dans la demande	ArrayOfString