Actions, ressources et clés de condition pour AWS IoT Greengrass

AWS IoT Greengrass (préfixe de service : greengrass) fournit les ressources, les actions et les clés de contexte de condition spécifiques au service suivantes en vue de leur utilisation dans les politiques d'autorisation IAM.

Références :

• Découvrez comment configurer ce service.

• Affichez la liste des opérations d'API disponibles pour ce service.

• Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.

Actions définies par AWS IoT Greengrass

Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une stratégie, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

La colonne Types de ressources indique si chaque action prend en charge les autorisations au niveau des ressources. S'il n'y a pas de valeur pour cette colonne, vous devez indiquer toutes les ressources (« * ») dans l'élément Resource de votre déclaration de politique. Si la colonne inclut un type de ressource, vous pouvez indiquer un ARN de ce type dans une déclaration avec cette action. Si l'action comporte une ou plusieurs ressources requises, l'appelant doit être autorisé à utiliser l'action avec ces ressources. Les ressources requises sont indiquées dans le tableau par un astérisque (*). Si vous limitez l'accès aux ressources avec l'Resourceélément dans une politique IAM, vous devez inclure un ARN ou un modèle pour chaque type de ressource requis. Certaines actions prennent en charge plusieurs types de ressources. Si le type de ressource est facultatif (non indiqué comme obligatoire), vous pouvez choisir d'utiliser l'un, mais pas l'autre.

La colonne Clés de condition inclut des clés que vous pouvez spécifier dans l'élément Condition d'une déclaration de politique. Pour plus d'informations sur les clés de condition associées aux ressources du service, consultez la colonne Clés de condition du tableau des types de ressources.

Note

Les clés de condition des ressources sont répertoriées dans le tableau Types de ressources. Vous pouvez trouver un lien vers le type de ressource qui s'applique à une action dans la colonne Types de ressources (* obligatoire) du tableau Actions. Le type de ressource indiqué dans le tableau Types de ressources inclut la colonne Clés de condition, qui contient les clés de condition de ressource qui s'appliquent à une action dans le tableau Actions.

Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Actions.

Actions	Description	Niveau d'accès	Types de ressources (*obligatoire)	Clés de condition	Actions dépendantes
AssociateRoleToGroup	Accorde l'autorisation d'associer un rôle à un groupe. Les autorisations du rôle doivent permettre aux fonctions et aux connecteurs Lambda de noyau Greengrass à effectuer des actions dans d'autres services AWS	Écriture	group*
AssociateServiceRoleToAccount	Accorde l'autorisation d'associer un rôle à votre compte AWS IoT Greengrass utilise ce rôle pour accéder à vos fonctions Lambda et à vos ressources AWS IoT	Gestion des autorisations
CreateConnectorDefinition	Accorde l'autorisation de créer une définition de connecteur	Écriture		aws:RequestTag/${TagKey} aws:TagKeys
CreateConnectorDefinitionVersion	Accorde l'autorisation de créer une version d'une définition de connecteur existante	Écriture	connectorDefinition*
CreateCoreDefinition	Accorde l'autorisation de créer une définition de noyau	Écriture		aws:RequestTag/${TagKey} aws:TagKeys
CreateCoreDefinitionVersion	Accorde l'autorisation de créer une version d'une définition de noyau existante. Les groupes Greengrass doivent contenir chacun exactement un noyau Greengrass	Écriture	coreDefinition*
CreateDeployment	Accorde l'autorisation de créer un déploiement	Écriture	group*
CreateDeviceDefinition	Accorde l'autorisation de créer une définition de périphérique	Écriture		aws:RequestTag/${TagKey} aws:TagKeys
CreateDeviceDefinitionVersion	Accorde l'autorisation de créer une version d'une définition de périphérique existante	Écriture	deviceDefinition*
CreateFunctionDefinition	Accorde l'autorisation de créer une définition de fonction Lambda à utiliser dans un groupe qui contient la liste des fonctions Lambda et de leurs configurations	Écriture		aws:RequestTag/${TagKey} aws:TagKeys
CreateFunctionDefinitionVersion	Accorde l'autorisation de créer une version d'une définition de fonction Lambda existante	Écrire	functionDefinition*
CreateGroup	Accorde l'autorisation de créer un groupe.	Écrire		aws:RequestTag/${TagKey} aws:TagKeys
CreateGroupCertificateAuthority	Accorde l'autorisation de créer une autorité de certification pour le groupe, ou de procéder à la rotation de l'autorité de certification existante	Écriture	group*
CreateGroupVersion	Accorde l'autorisation de créer une version d'un groupe qui a déjà été défini	Écriture	group*
CreateLoggerDefinition	Accorde l'autorisation de créer une définition d'enregistreur d'événements	Écriture		aws:RequestTag/${TagKey} aws:TagKeys
CreateLoggerDefinitionVersion	Accorde l'autorisation de créer une version d'une définition d'enregistreur d'événements existante	Écriture	loggerDefinition*
CreateResourceDefinition	Accorde l'autorisation de créer une définition de ressource qui contient la liste des ressources à utiliser dans un groupe	Écriture		aws:RequestTag/${TagKey} aws:TagKeys
CreateResourceDefinitionVersion	Accorde l'autorisation de créer une version d'une définition de ressource existante	Écriture	resourceDefinition*
CreateSoftwareUpdateJob	Accorde l'autorisation de créer une tâche AWS IoT qui impose à vos noyaux Greengrass de mettre à jour le logiciel qu'ils exécutent actuellement	Écriture
CreateSubscriptionDefinition	Accorde l'autorisation de créer une définition d'abonnement	Écriture		aws:RequestTag/${TagKey} aws:TagKeys
CreateSubscriptionDefinitionVersion	Accorde l'autorisation de créer une version d'une définition d'abonnement existante	Écriture	subscriptionDefinition*
DeleteConnectorDefinition	Accorde l'autorisation de supprimer une définition de connecteur	Écriture	connectorDefinition*
DeleteCoreDefinition	Accorde l'autorisation de supprimer une définition de noyau. La suppression d'une définition en cours d'utilisation dans un déploiement affecte les déploiements à venir	Écriture	coreDefinition*
DeleteDeviceDefinition	Accorde l'autorisation de supprimer une définition de périphérique. La suppression d'une définition en cours d'utilisation dans un déploiement affecte les déploiements à venir	Écriture	deviceDefinition*
DeleteFunctionDefinition	Accorde l'autorisation de supprimer une définition de fonction Lambda. La suppression d'une définition en cours d'utilisation dans un déploiement affecte les déploiements à venir	Écriture	functionDefinition*
DeleteGroup	Accorde l'autorisation de supprimer un groupe qui n'est pas en cours d'utilisation dans un déploiement	Écriture	group*
DeleteLoggerDefinition	Accorde l'autorisation de supprimer une définition d'enregistreur d'événements. La suppression d'une définition en cours d'utilisation dans un déploiement affecte les déploiements à venir	Écriture	loggerDefinition*
DeleteResourceDefinition	Accorde l'autorisation de supprimer une définition de ressource	Écriture	resourceDefinition*
DeleteSubscriptionDefinition	Accorde l'autorisation de supprimer une définition d'abonnement. La suppression d'une définition en cours d'utilisation dans un déploiement affecte les déploiements à venir	Écriture	subscriptionDefinition*
DisassociateRoleFromGroup	Accorde l'autorisation de dissocier le rôle d'un groupe	Écriture	group*
DisassociateServiceRoleFromAccount	Accorde l'autorisation de dissocier le rôle de service d'un compte. Sans rôle de service, les déploiements ne fonctionnent pas	Écriture
Discover	Accorde l'autorisation de récupérer les informations requises pour se connecter à un noyau Greengrass	Lecture	thing*
GetAssociatedRole	Accorde l'autorisation de récupérer le rôle associé à un groupe	Lecture	group*
GetBulkDeploymentStatus	Accorde l'autorisation de renvoyer le statut d'un déploiement en bloc	Lecture	bulkDeployment*
GetConnectivityInfo	Accorde l'autorisation de récupérer les informations de connectivité d'un noyau	Lecture	connectivityInfo*
GetConnectorDefinition	Accorde l'autorisation de récupérer des informations sur une définition de connecteur	Lecture	connectorDefinition*
GetConnectorDefinitionVersion	Accorde l'autorisation de récupérer des informations sur la version d'une définition de connecteur	Lecture	connectorDefinition*
			connectorDefinitionVersion*
GetCoreDefinition	Accorde l'autorisation de récupérer des informations sur une définition de noyau	Lecture	coreDefinition*
GetCoreDefinitionVersion	Accorde l'autorisation de récupérer des informations sur la version d'une définition de noyau	Lecture	coreDefinition*
			coreDefinitionVersion*
GetDeploymentStatus	Accorde l'autorisation de renvoyer le statut d'un déploiement	Lecture	deployment*
			group*
GetDeviceDefinition	Accorde l'autorisation de récupérer des informations sur une définition de périphérique	Lecture	deviceDefinition*
GetDeviceDefinitionVersion	Accorde l'autorisation de récupérer des informations sur la version d'une définition de périphérique	Lecture	deviceDefinition*
			deviceDefinitionVersion*
GetFunctionDefinition	Accorde l'autorisation de récupérer des informations sur une définition de fonction Lambda, telles que son heure de création et la version la plus récente	Lecture	functionDefinition*
GetFunctionDefinitionVersion	Accorde l'autorisation de récupérer des informations sur la version d'une définition de fonction Lambda, telles que les fonctions Lambda incluses dans la version et leurs configurations	Lecture	functionDefinition*
			functionDefinitionVersion*
GetGroup	Accorde l'autorisation de récupérer des informations sur un groupe	Lecture	group*
GetGroupCertificateAuthority	Accorde l'autorisation de renvoyer la clé publique de l'autorité de certification associée à un groupe	Lecture	certificateAuthority*
			group*
GetGroupCertificateConfiguration	Accorde l'autorisation de récupérer la configuration actuelle de l'autorité de certification utilisée par un groupe	Lecture	group*
GetGroupVersion	Accorde l'autorisation de récupérer des informations sur la version d'un groupe	Lecture	group*
			groupVersion*
GetLoggerDefinition	Accorde l'autorisation de récupérer des informations sur une définition d'enregistreur d'événements	Lecture	loggerDefinition*
GetLoggerDefinitionVersion	Accorde l'autorisation de récupérer des informations sur la version d'une définition d'enregistreur d'événements	Lecture	loggerDefinition*
			loggerDefinitionVersion*
GetResourceDefinition	Accorde l'autorisation de récupérer des informations sur une définition de ressource, telles que son heure de création et la version la plus récente	Lecture	resourceDefinition*
GetResourceDefinitionVersion	Accorde l'autorisation de récupérer des informations sur la version d'une définition de ressource, telles que les ressources incluses dans la version	Lecture	resourceDefinition*
			resourceDefinitionVersion*
GetServiceRoleForAccount	Accorde l'autorisation de récupérer le rôle de service attaché à un compte	Lecture
GetSubscriptionDefinition	Accorde l'autorisation de récupérer des informations sur une définition d'abonnement	Lecture	subscriptionDefinition*
GetSubscriptionDefinitionVersion	Accorde l'autorisation de récupérer des informations sur la version d'une définition d'abonnement	Lecture	subscriptionDefinition*
			subscriptionDefinitionVersion*
GetThingRuntimeConfiguration	Accorde l'autorisation de récupérer la configuration d'exécution d'un objet	Lecture	thingRuntimeConfig*
ListBulkDeploymentDetailedReports	Accorde l'autorisation de récupérer la liste paginée des déploiements qui ont été démarrés dans une opération de déploiement en bloc et leur statut de déploiement actuel	Lecture	bulkDeployment*
ListBulkDeployments	Accorde l'autorisation de récupérer la liste des déploiements en bloc	Liste
ListConnectorDefinitionVersions	Accorde l'autorisation de répertorier les versions d'une définition de connecteur	Liste	connectorDefinition*
ListConnectorDefinitions	Accorde l'autorisation de récupérer une liste des définitions de connecteur	Liste
ListCoreDefinitionVersions	Accorde l'autorisation de répertorier les versions d'une définition de noyau	Liste	coreDefinition*
ListCoreDefinitions	Accorde l'autorisation de récupérer une liste des définitions de noyau	Liste
ListDeployments	Accorde l'autorisation de récupérer une liste de tous les déploiements pour un groupe	Liste	group*
ListDeviceDefinitionVersions	Accorde l'autorisation de répertorier les versions d'une définition de périphérique	Liste	deviceDefinition*
ListDeviceDefinitions	Accorde l'autorisation de récupérer une liste des définitions de périphérique	Liste
ListFunctionDefinitionVersions	Accorde l'autorisation de répertorier les versions d'une définition de fonction Lambda	Liste	functionDefinition*
ListFunctionDefinitions	Accorde l'autorisation de récupérer une liste des définitions de fonction Lambda	Liste
ListGroupCertificateAuthorities	Accorde l'autorisation de récupérer une liste des autorités de certification actuelles pour un groupe	Liste	group*
ListGroupVersions	Accorde l'autorisation de répertorier les versions d'un groupe	Liste	group*
ListGroups	Accorde l'autorisation de récupérer une liste des groupes	Liste
ListLoggerDefinitionVersions	Accorde l'autorisation de répertorier les versions d'une définition d'enregistreur d'événements	Liste	loggerDefinition*
ListLoggerDefinitions	Accorde l'autorisation de récupérer une liste des définitions d'enregistreur d'événements	Liste
ListResourceDefinitionVersions	Accorde l'autorisation de répertorier les versions d'une définition de ressource	Liste	resourceDefinition*
ListResourceDefinitions	Accorde l'autorisation de récupérer une liste des définitions de ressource	Liste
ListSubscriptionDefinitionVersions	Accorde l'autorisation de répertorier les versions d'une définition d'abonnement	Liste	subscriptionDefinition*
ListSubscriptionDefinitions	Accorde l'autorisation de récupérer une liste des définitions d'abonnement	Liste
ListTagsForResource	Accorde l'autorisation de répertorier les balises d'une ressource	Lecture	bulkDeployment
			connectorDefinition
			coreDefinition
			deviceDefinition
			functionDefinition
			group
			loggerDefinition
			resourceDefinition
			subscriptionDefinition
				aws:RequestTag/${TagKey} aws:TagKeys
ResetDeployments	Accorde l'autorisation de réinitialiser les déploiements d'un groupe	Écriture	group*
StartBulkDeployment	Accorde l'autorisation de déployer plusieurs groupes dans une opération	Écriture		aws:RequestTag/${TagKey} aws:TagKeys
StopBulkDeployment	Accorde l'autorisation d'arrêter l'exécution d'un déploiement en bloc	Écriture	bulkDeployment*
TagResource	Accorde l'autorisation d'ajouter des balises à une ressource	Balisage	bulkDeployment
			connectorDefinition
			coreDefinition
			deviceDefinition
			functionDefinition
			group
			loggerDefinition
			resourceDefinition
			subscriptionDefinition
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Accorde l'autorisation de supprimer des identifications d'une ressource.	Balisage	bulkDeployment
			connectorDefinition
			coreDefinition
			deviceDefinition
			functionDefinition
			group
			loggerDefinition
			resourceDefinition
			subscriptionDefinition
				aws:TagKeys
UpdateConnectivityInfo	Accorde l'autorisation de mettre à jour les informations de connectivité d'un noyau Greengrass. Tous les périphériques appartenant au groupe disposant de ce noyau reçoivent ces informations leur permettant de trouver l'emplacement du noyau et de s'y connecter	Écriture	connectivityInfo*
UpdateConnectorDefinition	Accorde l'autorisation de mettre à jour une définition de connecteur	Écriture	connectorDefinition*
UpdateCoreDefinition	Accorde l'autorisation de mettre à jour une définition de noyau	Écriture	coreDefinition*
UpdateDeviceDefinition	Accorde l'autorisation de mettre à jour une définition de périphérique	Écriture	deviceDefinition*
UpdateFunctionDefinition	Accorde l'autorisation de mettre à jour une définition de fonction Lambda	Écriture	functionDefinition*
UpdateGroup	Accorde l'autorisation de mettre à jour un groupe	Écriture	group*
UpdateGroupCertificateConfiguration	Accorde l'autorisation de mettre à jour le délai d'expiration du certificat pour un groupe	Écriture	group*
UpdateLoggerDefinition	Accorde l'autorisation de mettre à jour une définition d'enregistreur d'événements	Écriture	loggerDefinition*
UpdateResourceDefinition	Accorde l'autorisation de mettre à jour une définition de ressource	Écriture	resourceDefinition*
UpdateSubscriptionDefinition	Accorde l'autorisation de mettre à jour une définition d'abonnement	Écriture	subscriptionDefinition*
UpdateThingRuntimeConfiguration	Accorde l'autorisation de mettre à jour la configuration d'exécution d'un objet	Écriture	thingRuntimeConfig*

Types de ressources définis par AWS IoT Greengrass

Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM. Chaque action du tableau Actions identifie les types de ressources pouvant être spécifiés avec cette action. Un type de ressource peut également définir les clés de condition que vous pouvez inclure dans une politique. Ces clés sont affichées dans la dernière colonne du tableau. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Types de ressources.

Types de ressources	ARN	Clés de condition
connectivityInfo	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/things/${ThingName}/connectivityInfo
certificateAuthority	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}/certificateauthorities/${CertificateAuthorityId}
deployment	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}/deployments/${DeploymentId}
bulkDeployment	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/bulk/deployments/${BulkDeploymentId}	aws:ResourceTag/${TagKey}
group	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}	aws:ResourceTag/${TagKey}
groupVersion	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/groups/${GroupId}/versions/${VersionId}
coreDefinition	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/cores/${CoreDefinitionId}	aws:ResourceTag/${TagKey}
coreDefinitionVersion	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/cores/${CoreDefinitionId}/versions/${VersionId}
deviceDefinition	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/devices/${DeviceDefinitionId}	aws:ResourceTag/${TagKey}
deviceDefinitionVersion	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/devices/${DeviceDefinitionId}/versions/${VersionId}
functionDefinition	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/functions/${FunctionDefinitionId}	aws:ResourceTag/${TagKey}
functionDefinitionVersion	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/functions/${FunctionDefinitionId}/versions/${VersionId}
subscriptionDefinition	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/subscriptions/${SubscriptionDefinitionId}	aws:ResourceTag/${TagKey}
subscriptionDefinitionVersion	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/subscriptions/${SubscriptionDefinitionId}/versions/${VersionId}
loggerDefinition	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/loggers/${LoggerDefinitionId}	aws:ResourceTag/${TagKey}
loggerDefinitionVersion	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/loggers/${LoggerDefinitionId}/versions/${VersionId}
resourceDefinition	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/resources/${ResourceDefinitionId}	aws:ResourceTag/${TagKey}
resourceDefinitionVersion	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/resources/${ResourceDefinitionId}/versions/${VersionId}
connectorDefinition	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/connectors/${ConnectorDefinitionId}	aws:ResourceTag/${TagKey}
connectorDefinitionVersion	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/definition/connectors/${ConnectorDefinitionId}/versions/${VersionId}
thing	arn:${Partition}:iot:${Region}:${Account}:thing/${ThingName}
thingRuntimeConfig	arn:${Partition}:greengrass:${Region}:${Account}:/greengrass/things/${ThingName}/runtimeconfig

Clés de condition pour AWS IoT Greengrass

AWS IoT Greengrass définit les clés de condition suivantes que vous pouvez utiliser dans l'élément Condition d'une politique IAM. Vous pouvez utiliser ces clés pour affiner les conditions d'application de la déclaration de politique. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Clés de condition.

Pour afficher les clés de condition globales disponibles pour tous les services, consultez Clés de condition globales disponibles.

Clés de condition	Description	Type
aws:RequestTag/${TagKey}	Filtre l'accès en fonction de l'ensemble de valeurs autorisées pour chacune des identifications	Chaîne
aws:ResourceTag/${TagKey}	Filtre l'accès en fonction de la valeur de balise associée à la ressource	Chaîne
aws:TagKeys	Filtre l'accès en fonction de la présence de identifications obligatoires dans la demande	ArrayOfString