Actions, ressources et clés de condition pour AWS Clean Rooms

AWS Clean Rooms (préfixe de service :cleanrooms) fournit les ressources, actions et clés contextuelles de condition spécifiques au service suivantes à utiliser dans IAM les politiques d'autorisation.

Références :

• Découvrez comment configurer ce service.

• Consultez la liste des APIopérations disponibles pour ce service.

• Découvrez comment sécuriser ce service et ses ressources à l'aide de politiques IAM d'autorisation.

Actions définies par AWS Clean Rooms

Vous pouvez spécifier les actions suivantes dans l'Actionélément d'une déclaration de IAM politique. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'APIopération ou à la CLI commande portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

La colonne Types de ressources indique si chaque action prend en charge les autorisations au niveau des ressources. S'il n'y a pas de valeur pour cette colonne, vous devez indiquer toutes les ressources (« * ») dans l'élément Resource de votre déclaration de politique. Si la colonne inclut un type de ressource, vous pouvez spécifier un type ARN de ressource de ce type dans une instruction comportant cette action. Si l'action comporte une ou plusieurs ressources requises, l'appelant doit être autorisé à utiliser l'action avec ces ressources. Les ressources requises sont indiquées dans le tableau par un astérisque (*). Si vous limitez l'accès aux ressources avec l'Resourceélément d'une IAM politique, vous devez inclure un modèle ARN ou pour chaque type de ressource requis. Certaines actions prennent en charge plusieurs types de ressources. Si le type de ressource est facultatif (non indiqué comme obligatoire), vous pouvez choisir d'utiliser l'un, mais pas l'autre.

La colonne Clés de condition inclut des clés que vous pouvez spécifier dans l'élément Condition d'une déclaration de politique. Pour plus d'informations sur les clés de condition associées aux ressources du service, consultez la colonne Clés de condition du tableau des types de ressources.

Note

Les clés de condition des ressources sont répertoriées dans le tableau Types de ressources. Vous pouvez trouver un lien vers le type de ressource qui s'applique à une action dans la colonne Types de ressources (* obligatoire) du tableau Actions. Le type de ressource indiqué dans le tableau Types de ressources inclut la colonne Clés de condition, qui contient les clés de condition de ressource qui s'appliquent à une action dans le tableau Actions.

Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Actions.

Actions	Description	Niveau d'accès	Types de ressources (*obligatoire)	Clés de condition	Actions dépendantes
BatchGetCollaborationAnalysisTemplate	Accorde l'autorisation d'afficher les détails analysisTemplates associés à la collaboration	Lecture	analysistemplate*		cleanrooms:GetCollaborationAnalysisTemplate
			collaboration*
BatchGetSchema	Accorde l'autorisation d'afficher les détails des schémas	Lecture	collaboration*		cleanrooms:GetSchema
			configuredtableassociation
			idmappingtable
BatchGetSchemaAnalysisRule	Autorise l'affichage des règles d'analyse associées aux schémas	Lecture	collaboration*		cleanrooms:GetSchema
			configuredtableassociation
			idmappingtable
CreateAnalysisTemplate	Octroie l'autorisation de créer un nouveau modèle d'analyse.	Écrire	analysistemplate*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateCollaboration	Accorde l'autorisation de créer une nouvelle collaboration, un environnement de collaboration de données partagées	Écrire	collaboration*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateConfiguredAudienceModelAssociation	Octroie l'autorisation de lier un modèle d'audience configuré par Cleanrooms ML à une collaboration en créant une nouvelle association.	Écrire	configuredaudiencemodelassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	cleanrooms-ml:GetConfiguredAudienceModel cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateConfiguredTable	Accorde l'autorisation de créer un nouveau tableau configuré	Écrire	configuredtable*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	glue:BatchGetPartition glue:GetDatabase glue:GetDatabases glue:GetPartition glue:GetPartitions glue:GetSchemaVersion glue:GetTable glue:GetTables
CreateConfiguredTableAnalysisRule	Accorde l'autorisation de créer une règle d'analyse pour un tableau configuré	Écrire	configuredtable*
CreateConfiguredTableAssociation	Accorde l'autorisation de lier un tableau configuré à une collaboration en créant une nouvelle association	Écrire	configuredtable*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	iam:PassRole
			configuredtableassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateConfiguredTableAssociationAnalysisRule	Accorde l'autorisation de créer une règle d'analyse pour une association de tables configurée	Écrire	configuredtableassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateIdMappingTable	Accorde l'autorisation de lier un flux de travail de mappage d'identifiants à une collaboration en créant une nouvelle table de mappage d'identifiants	Écrire	idmappingtable*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	entityresolution:AddPolicyStatement entityresolution:GetIdMappingWorkflow
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateIdNamespaceAssociation	Accorde l'autorisation de lier un espace de noms d'identifiant de résolution d' AWS entité à une collaboration en créant une nouvelle association	Écrire	idnamespaceassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	entityresolution:AddPolicyStatement entityresolution:GetIdNamespace
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateMembership	Accorde l'autorisation de rejoindre des collaborations en créant une adhésion	Écrire	collaboration*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	iam:PassRole logs:CreateLogDelivery logs:CreateLogGroup logs:DeleteLogDelivery logs:DescribeLogGroups logs:DescribeResourcePolicies logs:GetLogDelivery logs:ListLogDeliveries logs:PutResourcePolicy logs:UpdateLogDelivery s3:GetBucketLocation
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreatePrivacyBudgetTemplate	Octroie l'autorisation de créer un modèle budgétaire de confidentialité.	Écrire	membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
			privacybudgettemplate*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
DeleteAnalysisTemplate	Octroie l'autorisation de supprimer un modèle d'analyse existant.	Écrire	analysistemplate*
DeleteCollaboration	Accorde l'autorisation pour supprimer un collaboration existante	Écrire	collaboration*		cleanrooms-ml:DeleteConfiguredAudienceModelPolicy cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
DeleteConfiguredAudienceModelAssociation	Octroie l'autorisation de supprimer une association de modèles d'audience configurés existante.	Écrire	configuredaudiencemodelassociation*		cleanrooms-ml:DeleteConfiguredAudienceModelPolicy cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
DeleteConfiguredTable	Accorde l'autorisation pour supprimer un tableau configuré	Écrire	configuredtable*
DeleteConfiguredTableAnalysisRule	Accorde l'autorisation de supprimer une règle d’analyse existante	Écrire	configuredtable*
DeleteConfiguredTableAssociation	Accorde l'autorisation de supprimer une association de tableaux configurés d'une collaboration	Écrire	configuredtableassociation*
DeleteConfiguredTableAssociationAnalysisRule	Autorise la suppression d'une règle d'analyse d'association de tables configurée existante	Écrire	configuredtableassociation*
DeleteIdMappingTable	Accorde l'autorisation de supprimer une table de mappage d'identifiants d'une collaboration	Écrire	idmappingtable*		entityresolution:DeletePolicyStatement
			membership*
DeleteIdNamespaceAssociation	Accorde l'autorisation de supprimer une association d'espaces de noms Id d'une collaboration	Écrire	idnamespaceassociation*		entityresolution:DeletePolicyStatement
			membership*
DeleteMember	Accorde l'autorisation de supprimer des membres d'une collaboration	Écrire	collaboration*		cleanrooms-ml:DeleteConfiguredAudienceModelPolicy cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
DeleteMembership	Accorde l'autorisation de quitter les collaborations en supprimant une adhésion	Écrire	membership*
DeletePrivacyBudgetTemplate	Octroie l'autorisation de supprimer un modèle budgétaire de confidentialité existant.	Écrire	privacybudgettemplate*
GetAnalysisTemplate	Octroie l'autorisation d'afficher les détails d'un modèle d'analyse.	Lecture	analysistemplate*
GetCollaboration	Accorde l'autorisation d'afficher les détails d'une collaboration	Lecture	collaboration*
GetCollaborationAnalysisTemplate	Octroie l'autorisation d'afficher les détails d'un modèle d'analyse au sein d'une collaboration.	Lecture	analysistemplate*
			collaboration*
GetCollaborationConfiguredAudienceModelAssociation	Octroie l'autorisation d'afficher les détails d'une association de modèles d'audience configurés au sein d'une collaboration.	Lecture	collaboration*
			configuredaudiencemodelassociation*
GetCollaborationIdNamespaceAssociation	Accorde l'autorisation d'obtenir l'association d'espaces de noms d'identifiant au sein d'une collaboration	Lecture	collaboration*
			idnamespaceassociation*
GetCollaborationPrivacyBudgetTemplate	Octroie l'autorisation d'afficher les détails d'un modèle budgétaire de confidentialité au sein d'une collaboration.	Lecture	collaboration*
			privacybudgettemplate*
GetConfiguredAudienceModelAssociation	Octroie l'autorisation d'afficher les détails d'une association de modèles d'audience configurés.	Lecture	configuredaudiencemodelassociation*
GetConfiguredTable	Accorde l'autorisation d'afficher les détails d'un tableau configuré	Lecture	configuredtable*
GetConfiguredTableAnalysisRule	Accorde l'autorisation d'afficher les règles d'analyse pour un tableau configuré	Lecture	configuredtable*
GetConfiguredTableAssociation	Accorde l'autorisation d'afficher les détails d'une association de tableaux configurés	Lecture	configuredtableassociation*
GetConfiguredTableAssociationAnalysisRule	Accorde l'autorisation de consulter les règles d'analyse pour une association de tables configurée	Lecture	configuredtableassociation*
GetIdMappingTable	Accorde l'autorisation d'afficher les détails d'une table de mappage d'identifiants	Lecture	idmappingtable*
			membership*
GetIdNamespaceAssociation	Accorde l'autorisation d'afficher les détails d'une association d'espaces de noms d'identification	Lecture	idnamespaceassociation*		entityresolution:GetIdNamespace
			membership*
GetMembership	Accorde l'autorisation d'afficher les informations sur une adhésion	Lecture	membership*
GetPrivacyBudgetTemplate	Octroie l'autorisation d'afficher les détails d'un modèle budgétaire de confidentialité.	Lecture	privacybudgettemplate*
GetProtectedQuery	Accorde l'autorisation d'afficher une requête protégée	Lecture	membership*
GetSchema	Accorde l'autorisation d'afficher les détails d’un schéma	Lecture	collaboration*
			configuredtableassociation*
GetSchemaAnalysisRule	Accorde l'autorisation d'afficher les règles d'analyse associées à un schéma	Lecture	collaboration*		cleanrooms:GetSchema
			configuredtableassociation*
ListAnalysisTemplates	Octroie l'autorisation de répertorier les modèles d'analyse disponibles.	Liste	analysistemplate*
			membership*
ListCollaborationAnalysisTemplates	Octroie l'autorisation de répertorier les modèles d'analyse disponibles au sein d'une collaboration.	Liste	collaboration*
ListCollaborationConfiguredAudienceModelAssociations	Octroie l'autorisation de répertorier les associations de modèles d'audience configurés disponibles au sein d'une collaboration.	Liste	collaboration*
ListCollaborationIdNamespaceAssociations	Accorde l'autorisation de répertorier les espaces de noms d'identifiants au sein d'une collaboration	Liste	collaboration*
ListCollaborationPrivacyBudgetTemplates	Octroie l'autorisation de répertorier les modèles budgétaires de confidentialité disponibles au sein d'une collaboration.	Liste	collaboration*
ListCollaborationPrivacyBudgets	Octroie l'autorisation de répertorier les budgets de confidentialité au sein d'une collaboration.	Liste	collaboration*
ListCollaborations	Accorde l'autorisation de répertorier les collaborations disponibles	Liste
ListConfiguredAudienceModelAssociations	Octroie l'autorisation de répertorier les associations de modèles d'audience configurés disponibles pour une adhésion.	Liste	configuredaudiencemodelassociation*
			membership*
ListConfiguredTableAssociations	Accorde l'autorisation de répertorier les associations de tableaux configurés disponibles pour une adhésion	Liste	configuredtableassociation*
			membership*
ListConfiguredTables	Accorde l'autorisation de répertorier les tableaux configurés disponibles	Liste
ListIdMappingTables	Accorde l'autorisation de répertorier les tables de mappage d'identifiants disponibles pour un membre	Liste	idmappingtable*
			membership*
ListIdNamespaceAssociations	Autorise un membre à répertorier les associations de données de résolution d'entités	Liste	idnamespaceassociation*
			membership*
ListMembers	Accorde l'autorisation de répertorier les membres d'une collaboration	Liste	collaboration*
ListMemberships	Accorde l'autorisation de répertorier les adhésions disponibles	Liste
ListPrivacyBudgetTemplates	Octroie l'autorisation de répertorier les modèles budgétaires de confidentialité disponibles.	Liste	membership*
			privacybudgettemplate*
ListPrivacyBudgets	Octroie l'autorisation de répertorier les budgets de confidentialité disponibles.	Liste	membership*
ListProtectedQueries	Accorde l'autorisation d'émettre des requêtes protégées	Liste	membership*
ListSchemas	Accorde l'autorisation d'afficher les schémas disponibles pour une collaboration	Liste	collaboration*
ListTagsForResource	Accorde l'autorisation de répertorier les balises d'une ressource.	Liste	analysistemplate
			collaboration
			configuredaudiencemodelassociation
			configuredtable
			configuredtableassociation
			membership
			privacybudgettemplate
PopulateIdMappingTable	Accorde l'autorisation de démarrer un Job de mappage d'identifiants dans AWS Entity Resolution afin de générer des résultats de mappage d'identifiants dans le cadre d'une collaboration en salles blanches.	Écrire	idmappingtable*		entityresolution:GetIdMappingWorkflow
			membership*
PreviewPrivacyImpact	Octroie l'autorisation de prévisualiser les paramètres du modèle budgétaire de confidentialité.	Lecture	membership*
StartProtectedQuery	Accorde l'autorisation de lancer des requêtes protégées	Écrire	membership*		cleanrooms:GetCollaborationAnalysisTemplate cleanrooms:GetSchema s3:GetBucketLocation s3:ListBucket s3:PutObject
			analysistemplate
			configuredtableassociation
			idmappingtable
TagResource	Accorde l'autorisation de baliser une ressource	Balisage	analysistemplate
			collaboration
			configuredaudiencemodelassociation
			configuredtable
			configuredtableassociation
			idmappingtable
			idnamespaceassociation
			membership
			privacybudgettemplate
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	Accorde l'autorisation d'annuler le balisage d'une ressource	Identification	analysistemplate
			collaboration
			configuredaudiencemodelassociation
			configuredtable
			configuredtableassociation
			idmappingtable
			idnamespaceassociation
			membership
			privacybudgettemplate
				aws:TagKeys
UpdateAnalysisTemplate	Octroie l'autorisation de mettre à jour les détails du modèle d'analyse.	Écrire	analysistemplate*
UpdateCollaboration	Accorde l'autorisation de mettre à jour les détails de la collaboration	Écrire	collaboration*
UpdateConfiguredAudienceModelAssociation	Octroie l'autorisation de mettre à jour une association de modèles d'audience configurés.	Écrire	configuredaudiencemodelassociation*
UpdateConfiguredTable	Accorde l'autorisation de mette à jour un tableau configuré existant	Écrire	configuredtable*
UpdateConfiguredTableAnalysisRule	Accorde l'autorisation de mettre à jour les règles d'analyse d'un tableau configuré	Écrire	configuredtable*
UpdateConfiguredTableAssociation	Accorde l'autorisation de mettre à jour une association configurée	Écrire	configuredtableassociation*		iam:PassRole
UpdateConfiguredTableAssociationAnalysisRule	Accorde l'autorisation de mettre à jour les règles d'analyse pour une association de tables configurée	Écrire	configuredtableassociation*
UpdateIdMappingTable	Accorde l'autorisation de mettre à jour une table de mappage d'identifiants	Écrire	idmappingtable*
			membership*
UpdateIdNamespaceAssociation	Autorise la mise à jour d'une association d'entrée de résolution d'entité	Écrire	idnamespaceassociation*		entityresolution:GetIdNamespace
			membership*
UpdateMembership	Accorde l'autorisation de mettre à jour les informations relatives à une adhésion	Écrire	membership*		iam:PassRole logs:CreateLogDelivery logs:CreateLogGroup logs:DeleteLogDelivery logs:DescribeLogGroups logs:DescribeResourcePolicies logs:GetLogDelivery logs:ListLogDeliveries logs:PutResourcePolicy logs:UpdateLogDelivery s3:GetBucketLocation
UpdatePrivacyBudgetTemplate	Octroie l'autorisation de mettre à jour les détails du modèle budgétaire de confidentialité.	Écrire	privacybudgettemplate*
UpdateProtectedQuery	Accorde l'autorisation de mettre à jour les requêtes protégées	Écrire	membership*

Types de ressources définis par AWS Clean Rooms

Les types de ressources suivants sont définis par ce service et peuvent être utilisés dans l'Resourceélément des déclarations de politique d'IAMautorisation. Chaque action du tableau Actions identifie les types de ressources pouvant être spécifiés avec cette action. Un type de ressource peut également définir les clés de condition que vous pouvez inclure dans une politique. Ces clés sont affichées dans la dernière colonne du tableau. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Types de ressources.

Types de ressources	ARN	Clés de condition
analysistemplate	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/analysistemplate/${AnalysisTemplateId}	aws:ResourceTag/${TagKey}
collaboration	arn:${Partition}:cleanrooms:${Region}:${Account}:collaboration/${CollaborationId}	aws:ResourceTag/${TagKey}
configuredaudiencemodelassociation	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/configuredaudiencemodelassociation/${ConfiguredAudienceModelAssociationId}	aws:ResourceTag/${TagKey}
configuredtable	arn:${Partition}:cleanrooms:${Region}:${Account}:configuredtable/${ConfiguredTableId}	aws:ResourceTag/${TagKey}
configuredtableassociation	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/configuredtableassociation/${ConfiguredTableAssociationId}	aws:ResourceTag/${TagKey}
idmappingtable	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/idmappingtable/${IdMappingTableId}	aws:ResourceTag/${TagKey}
idnamespaceassociation	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/idnamespaceassociation/${IdNamespaceAssociationId}	aws:ResourceTag/${TagKey}
membership	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}	aws:ResourceTag/${TagKey}
privacybudgettemplate	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/privacybudgettemplate/${PrivacyBudgetTemplateId}	aws:ResourceTag/${TagKey}

Clés de condition pour AWS Clean Rooms

AWS Clean Rooms définit les clés de condition suivantes qui peuvent être utilisées dans l'Conditionélément d'une IAM politique. Vous pouvez utiliser ces clés pour affiner les conditions d'application de la déclaration de politique. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Clés de condition.

Pour afficher les clés de condition globales disponibles pour tous les services, consultez Clés de condition globales disponibles.

Clés de condition	Description	Type
aws:RequestTag/${TagKey}	Filtre l'accès en fonction des identifications transmises dans la demande	Chaîne
aws:ResourceTag/${TagKey}	Filtre l'accès en fonction des identifications associées à la ressource	Chaîne
aws:TagKeys	Filtre l'accès en fonction des clés d'identification qui sont transmises dans la demande	ArrayOfString