Kunci tindakan, sumber daya, dan kondisi untuk Amazon Elastic Container Service - Referensi Otorisasi Layanan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kunci tindakan, sumber daya, dan kondisi untuk Amazon Elastic Container Service

Amazon Elastic Container Service (awalan layanan:ecs) menyediakan sumber daya, tindakan, dan kunci konteks kondisi khusus layanan berikut untuk digunakan dalam kebijakan izin IAM.

Referensi:

Tindakan yang ditentukan oleh Amazon Elastic Container Service

Anda dapat menyebutkan tindakan berikut dalam elemen Action pernyataan kebijakan IAM. Gunakan kebijakan untuk memberikan izin untuk melaksanakan operasi dalam AWS. Saat Anda menggunakan sebuah tindakan dalam sebuah kebijakan, Anda biasanya mengizinkan atau menolak akses ke operasi API atau perintah CLI dengan nama yang sama. Namun, dalam beberapa kasus, satu tindakan tunggal mengontrol akses ke lebih dari satu operasi. Atau, beberapa operasi memerlukan beberapa tindakan yang berbeda.

Kolom tipe sumber daya pada tabel Tindakan menunjukkan apakah setiap tindakan mendukung izin tingkat sumber daya. Jika tidak ada nilai untuk kolom ini, Anda harus menentukan semua sumber daya (“*”) yang berlaku kebijakan dalam Resource elemen pernyataan kebijakan Anda. Jika kolom mencantumkan jenis sumber daya, maka Anda dapat menyebutkan ARN dengan jenis tersebut dalam sebuah pernyataan dengan tindakan tersebut. Jika tindakan memiliki satu atau lebih sumber daya yang diperlukan, pemanggil harus memiliki izin untuk menggunakan tindakan dengan sumber daya tersebut. Sumber daya yang diperlukan ditunjukkan dalam tabel dengan tanda bintang (*). Jika Anda membatasi akses sumber daya dengan Resource elemen dalam kebijakan IAM, Anda harus menyertakan ARN atau pola untuk setiap jenis sumber daya yang diperlukan. Beberapa tindakan mendukung berbagai jenis sumber daya. Jika jenis sumber daya opsional (tidak ditunjukkan sesuai kebutuhan), maka Anda dapat memilih untuk menggunakan salah satu jenis sumber daya opsional.

Kolom Condition keys pada tabel Actions menyertakan kunci yang dapat Anda tentukan dalam Condition elemen pernyataan kebijakan. Untuk informasi selengkapnya tentang kunci kondisi yang terkait dengan sumber daya untuk layanan, lihat kolom Kunci kondisi pada tabel Jenis sumber daya.

catatan

Kunci kondisi sumber daya tercantum dalam tabel Jenis sumber daya. Anda dapat menemukan tautan ke jenis sumber daya yang berlaku untuk tindakan di kolom Jenis sumber daya (*wajib) pada tabel Tindakan. Jenis sumber daya dalam tabel Jenis sumber daya menyertakan kolom Kunci kondisi, yang merupakan kunci kondisi sumber daya yang berlaku untuk tindakan dalam tabel Tindakan.

Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tindakan.

Tindakan Deskripsi Tingkat akses Jenis sumber daya (*diperlukan) Kunci syarat Tindakan bergantung
CreateCapacityProvider Memberikan izin untuk membuat penyedia kapasitas baru. Penyedia kapasitas dikaitkan dengan kluster Amazon ECS dan digunakan dalam strategi penyedia kapasitas untuk memfasilitasi penskalaan otomatis cluster Tulis

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCluster Memberikan izin untuk membuat cluster Amazon ECS baru Tulis

cluster*

aws:RequestTag/${TagKey}

aws:TagKeys

ecs:capacity-provider

ecs:fargate-ephemeral-storage-kms-key

CreateService Memberikan izin untuk menjalankan dan memelihara sejumlah tugas yang diinginkan dari definisi tugas tertentu melalui pembuatan layanan Tulis

service*

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

ecs:cluster

ecs:capacity-provider

ecs:task-definition

ecs:enable-ebs-volumes

ecs:enable-execute-command

ecs:enable-service-connect

ecs:namespace

CreateTaskSet Memberikan izin untuk membuat set tugas Amazon ECS baru Tulis

aws:RequestTag/${TagKey}

aws:TagKeys

ecs:cluster

ecs:capacity-provider

ecs:service

ecs:task-definition

DeleteAccountSetting Memberikan izin untuk mengubah format ARN dan ID sumber daya sumber daya untuk pengguna IAM tertentu, peran IAM, atau pengguna root untuk akun. Anda dapat menentukan apakah ARN baru dan format ID sumber daya dinonaktifkan untuk sumber daya baru yang dibuat Tulis

ecs:account-setting

DeleteAttributes Memberikan izin untuk menghapus satu atau beberapa atribut khusus dari sumber daya Amazon ECS Tulis

container-instance*

aws:ResourceTag/${TagKey}

ecs:cluster

DeleteCapacityProvider Memberikan izin untuk menghapus penyedia kapasitas yang ditentukan Tulis

capacity-provider*

aws:ResourceTag/${TagKey}

DeleteCluster Memberikan izin untuk menghapus cluster yang ditentukan Tulis

cluster*

aws:ResourceTag/${TagKey}

DeleteService Memberikan izin untuk menghapus layanan tertentu dalam klaster Tulis

service*

aws:ResourceTag/${TagKey}

ecs:cluster

DeleteTaskDefinitions Memberikan izin untuk menghapus definisi tugas yang ditentukan oleh keluarga dan revisi Tulis

task-definition*

aws:ResourceTag/${TagKey}

DeleteTaskSet Memberikan izin untuk menghapus set tugas yang ditentukan Tulis

task-set*

aws:ResourceTag/${TagKey}

ecs:cluster

ecs:service

DeregisterContainerInstance Memberikan izin untuk membatalkan pendaftaran instans penampung Amazon ECS dari klaster yang ditentukan Tulis

cluster*

aws:ResourceTag/${TagKey}

DeregisterTaskDefinition Memberikan izin untuk membatalkan pendaftaran definisi tugas yang ditentukan menurut keluarga dan revisi Tulis
DescribeCapacityProviders Memberikan izin untuk menjelaskan satu atau lebih penyedia kapasitas Amazon ECS Baca

capacity-provider*

aws:ResourceTag/${TagKey}

DescribeClusters Memberikan izin untuk menjelaskan satu atau lebih klaster Anda Baca

cluster*

aws:ResourceTag/${TagKey}

DescribeContainerInstances Memberikan izin untuk menjelaskan instans penampung Amazon ECS Baca

container-instance*

aws:ResourceTag/${TagKey}

ecs:cluster

DescribeServices Memberikan izin untuk mendeskripsikan layanan tertentu yang berjalan di klaster Anda Baca

service*

aws:ResourceTag/${TagKey}

ecs:cluster

DescribeTaskDefinition Memberikan izin untuk menjelaskan definisi tugas. Anda dapat menentukan keluarga dan revisi untuk menemukan informasi tentang definisi tugas tertentu, atau Anda cukup menentukan keluarga untuk menemukan revisi AKTIF terbaru dalam keluarga itu Baca
DescribeTaskSets Memberikan izin untuk mendeskripsikan set tugas Amazon ECS Baca

task-set*

aws:ResourceTag/${TagKey}

ecs:cluster

ecs:service

DescribeTasks Memberikan izin untuk menjelaskan tugas atau tugas tertentu Baca

task*

aws:ResourceTag/${TagKey}

ecs:cluster

DiscoverPollEndpoint Memberikan izin untuk mendapatkan titik akhir bagi agen Amazon ECS untuk melakukan polling untuk pembaruan Tulis
ExecuteCommand Memberikan izin untuk menjalankan perintah dari jarak jauh di wadah Amazon ECS Tulis

cluster*

task*

aws:ResourceTag/${TagKey}

ecs:cluster

ecs:container-name

ecs:task

GetTaskProtection Memberikan izin untuk mengambil status perlindungan tugas dalam layanan Amazon ECS Baca

task*

aws:ResourceTag/${TagKey}

ecs:cluster

ListAccountSettings Memberikan izin untuk mencantumkan setelan akun untuk sumber daya Amazon ECS untuk prinsipal tertentu Baca
ListAttributes Memberikan izin untuk mencantumkan atribut untuk sumber daya Amazon ECS dalam jenis target dan kluster yang ditentukan Daftar

cluster*

aws:ResourceTag/${TagKey}

ListClusters Memberikan izin untuk mendapatkan daftar cluster yang ada Daftar
ListContainerInstances Memberikan izin untuk mendapatkan daftar instance kontainer di cluster tertentu Daftar

cluster*

aws:ResourceTag/${TagKey}

ListServices Memberikan izin untuk mendapatkan daftar layanan yang berjalan di klaster tertentu Daftar

ecs:cluster

ListServicesByNamespace Memberikan izin untuk mendapatkan daftar layanan yang berjalan di Namespace AWS Cloud Peta tertentu Daftar

ecs:namespace

ListTagsForResource Memberikan izin untuk mendapatkan daftar tag untuk sumber daya yang ditentukan Baca

capacity-provider

cluster

container-instance

service

task

task-definition

task-set

aws:ResourceTag/${TagKey}

ListTaskDefinitionFamilies Memberikan izin untuk mendapatkan daftar keluarga definisi tugas yang terdaftar ke akun Anda (yang mungkin termasuk keluarga definisi tugas yang tidak lagi memiliki definisi tugas AKTIF) Daftar
ListTaskDefinitions Memberikan izin untuk mendapatkan daftar definisi tugas yang terdaftar ke akun Anda Daftar
ListTasks Memberikan izin untuk mendapatkan daftar tugas untuk klaster tertentu Daftar

container-instance*

aws:ResourceTag/${TagKey}

ecs:cluster

Poll[hanya izin] Memberikan izin kepada agen untuk terhubung dengan layanan Amazon ECS untuk melaporkan status dan mendapatkan perintah Tulis

container-instance*

ecs:cluster

PutAccountSetting Memberikan izin untuk mengubah format ARN dan ID sumber daya sumber daya untuk pengguna IAM tertentu, peran IAM, atau pengguna root untuk akun. Anda dapat menentukan apakah ARN baru dan format ID sumber daya diaktifkan untuk sumber daya baru yang dibuat. Mengaktifkan pengaturan ini diperlukan untuk menggunakan fitur Amazon ECS baru seperti penandaan sumber daya Tulis

ecs:account-setting

PutAccountSettingDefault Memberikan izin untuk mengubah format ARN dan ID sumber daya dari jenis sumber daya untuk semua pengguna IAM pada akun yang tidak ada pengaturan akun individual yang telah ditetapkan. Mengaktifkan pengaturan ini diperlukan untuk menggunakan fitur Amazon ECS baru seperti penandaan sumber daya Tulis

ecs:account-setting

PutAttributes Memberikan izin untuk membuat atau memperbarui atribut pada sumber daya Amazon ECS Tulis

container-instance*

aws:ResourceTag/${TagKey}

ecs:cluster

PutClusterCapacityProviders Memberikan izin untuk memodifikasi penyedia kapasitas yang tersedia dan strategi penyedia kapasitas default untuk klaster Tulis

cluster*

aws:ResourceTag/${TagKey}

ecs:capacity-provider

RegisterContainerInstance Memberikan izin untuk mendaftarkan instans EC2 ke dalam cluster yang ditentukan Tulis

cluster*

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

RegisterTaskDefinition Memberikan izin untuk mendaftarkan definisi tugas baru dari keluarga yang disediakan dan ContainerDefinitions Tulis

aws:RequestTag/${TagKey}

aws:TagKeys

RunTask Memberikan izin untuk memulai tugas menggunakan penempatan acak dan penjadwal Amazon ECS default Tulis

task-definition*

iam:PassRole

aws:ResourceTag/${TagKey}

aws:RequestTag/${TagKey}

aws:TagKeys

ecs:cluster

ecs:capacity-provider

ecs:enable-ebs-volumes

ecs:enable-execute-command

StartTask Memberikan izin untuk memulai tugas baru dari definisi tugas yang ditentukan pada instance atau instance kontainer yang ditentukan Tulis

task-definition*

iam:PassRole

aws:ResourceTag/${TagKey}

aws:RequestTag/${TagKey}

aws:TagKeys

ecs:cluster

ecs:container-instances

ecs:enable-ebs-volumes

ecs:enable-execute-command

StartTelemetrySession Memberikan izin untuk memulai sesi telemetri Tulis

container-instance*

ecs:cluster

StopTask Memberikan izin untuk menghentikan tugas yang sedang berjalan Tulis

task*

aws:ResourceTag/${TagKey}

ecs:cluster

SubmitAttachmentStateChanges Memberikan izin untuk mengirim pengakuan bahwa lampiran mengubah status Tulis

cluster*

aws:ResourceTag/${TagKey}

SubmitContainerStateChange Memberikan izin untuk mengirim pengakuan bahwa kontainer mengubah status Tulis

cluster*

aws:ResourceTag/${TagKey}

SubmitTaskStateChange Memberikan izin untuk mengirim pengakuan bahwa tugas mengubah status Tulis

cluster*

aws:ResourceTag/${TagKey}

TagResource Memberikan izin untuk menandai sumber daya yang ditentukan Penandaan

capacity-provider

cluster

container-instance

service

task

task-definition

task-set

aws:TagKeys

aws:ResourceTag/${TagKey}

aws:RequestTag/${TagKey}

ecs:CreateAction

UntagResource Memberikan izin untuk menghapus tag sumber daya yang ditentukan Penandaan

capacity-provider

cluster

container-instance

service

task

task-definition

task-set

aws:ResourceTag/${TagKey}

aws:TagKeys

UpdateCapacityProvider Memberikan izin untuk memperbarui penyedia kapasitas yang ditentukan Tulis

capacity-provider*

aws:ResourceTag/${TagKey}

UpdateCluster Memberikan izin untuk memodifikasi konfigurasi atau pengaturan yang akan digunakan untuk klaster Tulis

cluster*

aws:ResourceTag/${TagKey}

ecs:fargate-ephemeral-storage-kms-key

UpdateClusterSettings Memberikan izin untuk memodifikasi pengaturan yang akan digunakan untuk klaster Tulis

cluster*

aws:ResourceTag/${TagKey}

UpdateContainerAgent Memberikan izin untuk memperbarui agen penampung Amazon ECS pada instance kontainer tertentu Tulis

container-instance*

aws:ResourceTag/${TagKey}

ecs:cluster

UpdateContainerInstancesState Memberikan izin kepada pengguna untuk mengubah status instans penampung Amazon ECS Tulis

container-instance*

aws:ResourceTag/${TagKey}

ecs:cluster

UpdateService Memberikan izin untuk memodifikasi parameter layanan Tulis

service*

aws:ResourceTag/${TagKey}

ecs:cluster

ecs:capacity-provider

ecs:enable-ebs-volumes

ecs:enable-execute-command

ecs:enable-service-connect

ecs:namespace

ecs:task-definition

UpdateServicePrimaryTaskSet Memberikan izin untuk memodifikasi set tugas utama yang digunakan dalam layanan Tulis

service*

aws:ResourceTag/${TagKey}

ecs:cluster

UpdateTaskProtection Memberikan izin untuk mengubah status perlindungan tugas Tulis

task*

aws:ResourceTag/${TagKey}

ecs:cluster

UpdateTaskSet Memberikan izin untuk memperbarui set tugas yang ditentukan Tulis

task-set*

aws:ResourceTag/${TagKey}

ecs:cluster

ecs:service

Jenis sumber daya yang ditentukan oleh Amazon Elastic Container Service

Jenis sumber daya berikut ditentukan oleh layanan ini dan dapat digunakan dalam elemen Resource pernyataan kebijakan izin IAM. Setiap tindakan dalam Tabel tindakan mengidentifikasi jenis sumber daya yang dapat ditentukan dengan tindakan tersebut. Jenis sumber daya juga dapat menentukan kunci kondisi mana yang dapat Anda sertakan dalam kebijakan. Tombol-tombol ini ditampilkan di kolom terakhir dari tabel Jenis sumber daya. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tipe sumber daya.

Jenis sumber daya ARN Kunci syarat
cluster arn:${Partition}:ecs:${Region}:${Account}:cluster/${ClusterName}

aws:ResourceTag/${TagKey}

ecs:ResourceTag/${TagKey}

container-instance arn:${Partition}:ecs:${Region}:${Account}:container-instance/${ClusterName}/${ContainerInstanceId}

aws:ResourceTag/${TagKey}

ecs:ResourceTag/${TagKey}

service arn:${Partition}:ecs:${Region}:${Account}:service/${ClusterName}/${ServiceName}

aws:ResourceTag/${TagKey}

ecs:ResourceTag/${TagKey}

task arn:${Partition}:ecs:${Region}:${Account}:task/${ClusterName}/${TaskId}

aws:ResourceTag/${TagKey}

ecs:ResourceTag/${TagKey}

task-definition arn:${Partition}:ecs:${Region}:${Account}:task-definition/${TaskDefinitionFamilyName}:${TaskDefinitionRevisionNumber}

aws:ResourceTag/${TagKey}

ecs:ResourceTag/${TagKey}

capacity-provider arn:${Partition}:ecs:${Region}:${Account}:capacity-provider/${CapacityProviderName}

aws:ResourceTag/${TagKey}

ecs:ResourceTag/${TagKey}

task-set arn:${Partition}:ecs:${Region}:${Account}:task-set/${ClusterName}/${ServiceName}/${TaskSetId}

aws:ResourceTag/${TagKey}

ecs:ResourceTag/${TagKey}

Kunci kondisi untuk Amazon Elastic Container Service

Amazon Elastic Container Service mendefinisikan kunci kondisi berikut yang dapat digunakan dalam Condition elemen kebijakan IAM. Anda dapat menggunakan kunci ini untuk menyempurnakan syarat lebih lanjut saat pernyataan kebijakan berlaku. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tombol kondisi.

Untuk melihat kunci kondisi global yang tersedia untuk semua layanan, lihat Kunci kondisi global yang tersedia.

Kunci syarat Deskripsi Jenis
aws:RequestTag/${TagKey} Filter akses berdasarkan tanda yang diberikan dalam permintaan String
aws:ResourceTag/${TagKey} Memfilter akses dengan pasangan nilai kunci tag yang dilampirkan ke sumber daya String
aws:TagKeys Filter akses berdasarkan kunci tanda yang diberikan dalam permintaan ArrayOfTali
ecs:CreateAction Memfilter akses dengan nama tindakan API yang membuat sumber daya String
ecs:ResourceTag/${TagKey} Memfilter akses dengan pasangan nilai kunci tag yang dilampirkan ke sumber daya String
ecs:account-setting Memfilter akses dengan nama pengaturan akun Amazon ECS String
ecs:capacity-provider Memfilter akses oleh ARN dari penyedia kapasitas Amazon ECS ARN
ecs:cluster Memfilter akses oleh ARN dari kluster Amazon ECS ARN
ecs:container-instances Memfilter akses oleh ARN dari instans penampung Amazon ECS ARN
ecs:container-name Memfilter akses dengan nama wadah Amazon ECS yang didefinisikan dalam definisi tugas ECS String
ecs:enable-ebs-volumes Memfilter akses oleh kemampuan volume Amazon EBS Amazon ECS yang dikelola Amazon untuk tugas atau layanan ECS Anda String
ecs:enable-execute-command Memfilter akses dengan kemampuan perintah eksekusi tugas Amazon ECS atau layanan Amazon ECS Anda String
ecs:enable-service-connect Memfilter akses berdasarkan nilai bidang aktifkan dalam konfigurasi Service Connect String
ecs:fargate-ephemeral-storage-kms-key Memfilter akses oleh id kunci AWS KMS yang disediakan dalam permintaan String
ecs:namespace Memfilter akses oleh ARN namespace AWS Cloud Map yang didefinisikan dalam Konfigurasi Service Connect ARN
ecs:service Memfilter akses oleh ARN dari layanan Amazon ECS ARN
ecs:task Memfilter akses oleh ARN dari tugas Amazon ECS ARN
ecs:task-definition Memfilter akses oleh ARN dari definisi tugas Amazon ECS ARN