Actions, ressources et clés de condition pour AWS CloudTrail

AWS CloudTrail (préfixe de service :cloudtrail) fournit les ressources, actions et clés de contexte de condition spécifiques au service suivantes à utiliser dans les politiques d'autorisation IAM.

Références :

• Découvrez comment configurer ce service.

• Affichez la liste des opérations d'API disponibles pour ce service.

• Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.

Actions définies par AWS CloudTrail

Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

La colonne Types de ressources indique si chaque action prend en charge les autorisations au niveau des ressources. S'il n'y a pas de valeur pour cette colonne, vous devez indiquer toutes les ressources (« * ») dans l'élément Resource de votre déclaration de politique. Si la colonne inclut un type de ressource, vous pouvez indiquer un ARN de ce type dans une déclaration avec cette action. Si l'action comporte une ou plusieurs ressources requises, l'appelant doit être autorisé à utiliser l'action avec ces ressources. Les ressources requises sont indiquées dans le tableau par un astérisque (*). Si vous limitez l'accès aux ressources avec l'Resourceélément dans une politique IAM, vous devez inclure un ARN ou un modèle pour chaque type de ressource requis. Certaines actions prennent en charge plusieurs types de ressources. Si le type de ressource est facultatif (non indiqué comme obligatoire), vous pouvez choisir d'utiliser l'un, mais pas l'autre.

La colonne Clés de condition inclut des clés que vous pouvez spécifier dans l'élément Condition d'une déclaration de politique. Pour plus d'informations sur les clés de condition associées aux ressources du service, consultez la colonne Clés de condition du tableau des types de ressources.

Note

Les clés de condition des ressources sont répertoriées dans le tableau Types de ressources. Vous pouvez trouver un lien vers le type de ressource qui s'applique à une action dans la colonne Types de ressources (* obligatoire) du tableau Actions. Le type de ressource indiqué dans le tableau Types de ressources inclut la colonne Clés de condition, qui contient les clés de condition de ressource qui s'appliquent à une action dans le tableau Actions.

Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Actions.

Actions	Description	Niveau d'accès	Types de ressources (*obligatoire)	Clés de condition	Actions dépendantes
AddTags	Accorde l'autorisation d'ajouter une ou plusieurs balises à un journal d'activité ou magasin de données d’évènements, dans la limite de 50	Identification	channel
			eventdatastore
			trail
				aws:RequestTag/${TagKey} aws:TagKeys
CancelQuery	Accorde l'autorisation d'annuler une requête en cours d'exécution	Écrire	eventdatastore*
CreateChannel	Accorde l'autorisation de créer un canal.	Écrire	channel*		cloudtrail:AddTags
			eventdatastore*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateEventDataStore	Accorde l'autorisation de créer un magasin de données d'événement	Écrire	eventdatastore*		cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization
				aws:RequestTag/${TagKey} aws:TagKeys
CreateServiceLinkedChannel [autorisation uniquement]	Accorde l'autorisation de créer un canal lié à un service qui spécifie les paramètres de livraison des données de journal à un service AWS	Écrire	channel*
CreateTrail	Accorde l'autorisation de créer un journal d'activité qui spécifie les paramètres pour la livraison de données de journal dans un compartiment Amazon S3.	Écrire	trail*		cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteChannel	Accorde l'autorisation de supprimer un canal.	Écrire	channel*
DeleteEventDataStore	Accorde l'autorisation de supprimer un magasin de données d'événement	Écrire	eventdatastore*
DeleteResourcePolicy	Accorde l'autorisation de supprimer une politique de ressource d'un plan de réponse.	Écrire	channel*
DeleteServiceLinkedChannel [autorisation uniquement]	Accorde l'autorisation de supprimer un canal lié à un service	Écrire	channel*
DeleteTrail	Accorde l'autorisation de supprimer un journal d'activité.	Écrire	trail*
DeregisterOrganizationDelegatedAdmin	Accorde l'autorisation de désenregistrer le compte d'un membre AWS d'Organizations en tant qu'administrateur délégué	Écrire			organizations:DeregisterDelegatedAdministrator organizations:ListAWSServiceAccessForOrganization
DescribeQuery	Accorde l'autorisation de répertorier les détails de la requête	Lecture	eventdatastore*
DescribeTrails	Accorde l'autorisation de répertorier les paramètres des journaux d'activité associés à la région actuelle de votre compte	Lecture
DisableFederation	Accorde l'autorisation de désactiver la fédération des données du magasin de données événementielles à l'aide du catalogue de données AWS Glue	Écrire	eventdatastore*		glue:DeleteDatabase glue:DeleteTable glue:PassConnection lakeformation:DeregisterResource lakeformation:RegisterResource
EnableFederation	Accorde l'autorisation d'activer la fédération des données du magasin de données événementielles à l'aide du catalogue de données AWS Glue	Écrire	eventdatastore*		glue:CreateDatabase glue:CreateTable iam:GetRole iam:PassRole lakeformation:DeregisterResource lakeformation:RegisterResource
GetChannel	Accorde l'autorisation de renvoyer les informations à propos d’une chaîne spécifique	Lecture	channel*
GetEventDataStore	Accorde l'autorisation de répertorier les paramètres du magasin de données d'événement	Lecture	eventdatastore*
GetEventDataStoreData	Accorde l'autorisation d'obtenir des données à partir d'un magasin de données d'événements à l'aide du catalogue de données AWS Glue	Lecture	eventdatastore*		kms:Decrypt kms:GenerateDataKey
GetEventSelectors	Accorde l'autorisation de répertorier les paramètres des sélecteurs d'événements configurés pour un journal d'activité	Lecture	trail*
GetImport	Accorde l'autorisation de récupérer des informations sur une tâche d'importation spécifique	Lecture
GetInsightSelectors	Accorde l'autorisation de répertorier les sélecteurs CloudTrail Insights configurés pour un magasin de données de parcours ou d'événements	Lecture	eventdatastore
			trail
GetQueryResults	Accorde l'autorisation de récupérer les résultats d'une requête terminée	Lecture	eventdatastore*		kms:Decrypt kms:GenerateDataKey
GetResourcePolicy	Accorde l'autorisation d'obtenir la politique de ressource attachée à un secret	Lecture	channel*
GetServiceLinkedChannel [autorisation uniquement]	Accorde l'autorisation de répertorier les paramètres du canal lié à un service	Lecture	channel*
GetTrail	Accorde l'autorisation de répertorier les paramètres du journal d'activité	Lecture	trail*
GetTrailStatus	Accorde l'autorisation de récupérer la liste au format JSON des informations sur le journal d'activité spécifié	Lecture	trail*
ListChannels	Accorde l'autorisation de répertorier les chaînes dans le compte actuel et leurs noms sources	Liste
ListEventDataStores	Accorde l'autorisation de répertorier les magasins de données d'événement associés à la région actuelle de votre compte	Liste
ListImportFailures	Accorde l'autorisation de renvoyer une liste d’échecs pour l’importation spécifiée	Lecture
ListImports	Accorde l'autorisation de renvoyer des informations sur toutes les importations, ou sur un ensemble sélectionné d'importations par ImportStatus ou par destination	Liste
ListPublicKeys	Accorde l'autorisation de répertorier les clés publiques dont les clés privées ont été utilisées pour signer les fichiers de journal d'activité dans un laps de temps spécifié	Lecture
ListQueries	Accorde l'autorisation de répertorier les requêtes associées à un magasin de données d'événement	Liste	eventdatastore*
ListServiceLinkedChannels [autorisation uniquement]	Accorde l'autorisation de répertorier les canaux liés aux services associés à la région actuelle pour un compte spécifié	Liste
ListTags	Accorde l'autorisation de répertorier les étiquettes des journaux d'activité ou des magasins de données d'événement dans la région actuelle	Lecture	channel
			eventdatastore
			trail
ListTrails	Accorde l'autorisation de répertorier les journaux d'activité associés à la région actuelle de votre compte	Liste
LookupEvents	Accorde l'autorisation de rechercher et de récupérer des données métriques pour les événements d'activité des API capturés par CloudTrail le biais de la création, de la mise à jour ou de la suppression de ressources dans votre compte	Lecture
PutEventSelectors	Accorde l'autorisation de créer et mettre à jour les sélecteurs d'événements pour un journal d'activité	Écrire	trail*
PutInsightSelectors	Autorise la création et la mise à jour CloudTrail des sélecteurs Insights pour un magasin de données de parcours ou d'événements	Écrire	eventdatastore
			trail
PutResourcePolicy	Accorde l'autorisation d'attacher une politique de ressource à un secret	Écrire	channel*
RegisterOrganizationDelegatedAdmin	Accorde l'autorisation d'enregistrer un compte membre d' AWS Organizations en tant qu'administrateur délégué	Écrire			iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization organizations:RegisterDelegatedAdministrator
RemoveTags	Accorde l'autorisation de supprimer les balises d'un suivi, d'un suivi, d'un suivi, d'un suivi, d'un suivi, d'un suivi	Identification	channel
			eventdatastore
			trail
				aws:TagKeys
RestoreEventDataStore	Accorde l'autorisation de restaurer un magasin de données d'événement	Écrire	eventdatastore*
StartEventDataStoreIngestion	Accorde l'autorisation de démarrer l'ingestion sur un magasin de données d'événement	Écrire	eventdatastore*
StartImport	Accorde l'autorisation de démarrer une importation d'événements de suivi enregistrés depuis un compartiment S3 source vers un magasin de données d'événements de destination	Écrire
StartLogging	Accorde l'autorisation de démarrer l'enregistrement des appels d' AWS API et la livraison des fichiers journaux pour un suivi	Écrire	trail*
StartQuery	Accorde l'autorisation de démarrer une nouvelle requête sur un magasin de données d'événement spécifié	Écrire	eventdatastore*		kms:Decrypt kms:GenerateDataKey
StopEventDataStoreIngestion	Accorde l'autorisation de d'arrêter l'ingestion sur un magasin de données d'événement	Écrire	eventdatastore*
StopImport	Accorde l'autorisation d'arrêter une importation spécifiée	Écrire
StopLogging	Autorise l'arrêt de l'enregistrement des appels d' AWS API et de la livraison des fichiers journaux pour un suivi	Écrire	trail*
UpdateChannel	Accorde l'autorisation de mettre à jour un canal.	Écrire	channel*
UpdateEventDataStore	Accorde l'autorisation de mettre à jour un magasin de données d'événement	Écrire	eventdatastore*		iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization
UpdateServiceLinkedChannel [autorisation uniquement]	Accorde l'autorisation de mettre à jour les paramètres qui spécifient la livraison de fichiers journaux	Écrire	channel*
UpdateTrail	Accorde l'autorisation de mettre à jour les paramètres qui spécifient la livraison de fichiers journaux	Écrire	trail*		iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization

Types de ressources définis par AWS CloudTrail

Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM. Chaque action du tableau Actions identifie les types de ressources pouvant être spécifiés avec cette action. Un type de ressource peut également définir les clés de condition que vous pouvez inclure dans une politique. Ces clés sont affichées dans la dernière colonne du tableau. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Types de ressources.

Note

Pour les politiques qui contrôlent l'accès aux CloudTrail actions, l'élément Ressource est toujours défini sur « * ». Pour plus d'informations sur l'utilisation des ARN des ressources dans une politique IAM, consultez la section Comment AWS CloudTrail fonctionne avec IAM dans le guide de l'AWS CloudTrail utilisateur.

Types de ressources	ARN	Clés de condition
trail	arn:${Partition}:cloudtrail:${Region}:${Account}:trail/${TrailName}
eventdatastore	arn:${Partition}:cloudtrail:${Region}:${Account}:eventdatastore/${EventDataStoreId}	aws:ResourceTag/${TagKey}
channel	arn:${Partition}:cloudtrail:${Region}:${Account}:channel/${ChannelId}	aws:ResourceTag/${TagKey}

Clés de condition pour AWS CloudTrail

AWS CloudTrail définit les clés de condition suivantes qui peuvent être utilisées dans l'Conditionélément d'une politique IAM. Vous pouvez utiliser ces clés pour affiner les conditions d'application de la déclaration de politique. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Clés de condition.

Pour afficher les clés de condition globales disponibles pour tous les services, consultez Clés de condition globales disponibles.

Clés de condition	Description	Type
aws:RequestTag/${TagKey}	Filtre l'accès en fonction des paires clé-valeur de la balise dans la demande	Chaîne
aws:ResourceTag/${TagKey}	Filtre l'accès en fonction des balises attachées à une ressource	Chaîne
aws:TagKeys	Filtre l'accès en fonction des clés d'identification dans une demande	ArrayOfString