Tindakan, sumber daya, dan kunci kondisi untuk AWS CloudTrail

AWS CloudTrail (awalan layanan:cloudtrail) menyediakan kunci konteks sumber daya, tindakan, dan kondisi khusus layanan berikut untuk digunakan dalam IAM kebijakan izin.

Referensi:

• Pelajari cara mengonfigurasi layanan ini.

• Lihat daftar APIoperasi yang tersedia untuk layanan ini.

• Pelajari cara mengamankan layanan ini dan sumber dayanya dengan menggunakan kebijakan IAM izin.

Tindakan yang didefinisikan oleh AWS CloudTrail

Anda dapat menentukan tindakan berikut dalam Action elemen pernyataan IAM kebijakan. Gunakan kebijakan untuk memberikan izin untuk melaksanakan operasi dalam AWS. Ketika Anda menggunakan tindakan dalam kebijakan, Anda biasanya mengizinkan atau menolak akses ke API operasi atau CLI perintah dengan nama yang sama. Namun, dalam beberapa kasus, satu tindakan tunggal mengontrol akses ke lebih dari satu operasi. Atau, beberapa operasi memerlukan beberapa tindakan yang berbeda.

Kolom tipe sumber daya pada tabel Tindakan menunjukkan apakah setiap tindakan mendukung izin tingkat sumber daya. Jika tidak ada nilai untuk kolom ini, Anda harus menentukan semua sumber daya (“*”) yang berlaku kebijakan dalam Resource elemen pernyataan kebijakan Anda. Jika kolom menyertakan jenis sumber daya, maka Anda dapat menentukan ARN jenis itu dalam pernyataan dengan tindakan tersebut. Jika tindakan memiliki satu atau lebih sumber daya yang diperlukan, pemanggil harus memiliki izin untuk menggunakan tindakan dengan sumber daya tersebut. Sumber daya yang diperlukan ditunjukkan dalam tabel dengan tanda bintang (*). Jika Anda membatasi akses sumber daya dengan Resource elemen dalam IAM kebijakan, Anda harus menyertakan pola ARN atau untuk setiap jenis sumber daya yang diperlukan. Beberapa tindakan mendukung berbagai jenis sumber daya. Jika jenis sumber daya opsional (tidak ditunjukkan sesuai kebutuhan), maka Anda dapat memilih untuk menggunakan salah satu jenis sumber daya opsional.

Kolom Condition keys pada tabel Actions menyertakan kunci yang dapat Anda tentukan dalam Condition elemen pernyataan kebijakan. Untuk informasi selengkapnya tentang kunci kondisi yang terkait dengan sumber daya untuk layanan, lihat kolom Kunci kondisi pada tabel Jenis sumber daya.

catatan

Kunci kondisi sumber daya tercantum dalam tabel Jenis sumber daya. Anda dapat menemukan tautan ke jenis sumber daya yang berlaku untuk tindakan di kolom Jenis sumber daya (*wajib) pada tabel Tindakan. Jenis sumber daya dalam tabel Jenis sumber daya menyertakan kolom Kunci kondisi, yang merupakan kunci kondisi sumber daya yang berlaku untuk tindakan dalam tabel Tindakan.

Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tindakan.

Tindakan	Deskripsi	Tingkat akses	Jenis sumber daya (*diperlukan)	Kunci syarat	Tindakan bergantung
AddTags	Memberikan izin untuk menambahkan satu atau beberapa tag ke jejak, penyimpanan data acara, atau saluran, hingga batas 50	Penandaan	channel
			eventdatastore
			trail
				aws:RequestTag/${TagKey} aws:TagKeys
CancelQuery	Memberikan izin untuk membatalkan kueri yang sedang berjalan	Tulis	eventdatastore*
CreateChannel	Memberikan izin untuk membuat saluran	Tulis	channel*		cloudtrail:AddTags
			eventdatastore*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateEventDataStore	Memberikan izin untuk membuat penyimpanan data acara	Tulis	eventdatastore*		cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization
				aws:RequestTag/${TagKey} aws:TagKeys
CreateServiceLinkedChannel[hanya izin]	Memberikan izin untuk membuat saluran terkait layanan yang menentukan pengaturan pengiriman data log ke layanan AWS	Tulis	channel*
CreateTrail	Memberikan izin untuk membuat jejak yang menentukan pengaturan pengiriman data log ke bucket Amazon S3	Tulis	trail*		cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteChannel	Memberikan izin untuk menghapus saluran	Tulis	channel*
DeleteEventDataStore	Memberikan izin untuk menghapus penyimpanan data acara	Tulis	eventdatastore*
DeleteResourcePolicy	Memberikan izin untuk menghapus kebijakan sumber daya dari sumber daya yang disediakan	Tulis	channel*
DeleteServiceLinkedChannel[hanya izin]	Memberikan izin untuk menghapus saluran terkait layanan	Tulis	channel*
DeleteTrail	Memberikan izin untuk menghapus jejak	Tulis	trail*
DeregisterOrganizationDelegatedAdmin	Memberikan izin untuk membatalkan pendaftaran akun anggota AWS Organizations sebagai administrator yang didelegasikan	Tulis			organizations:DeregisterDelegatedAdministrator organizations:ListAWSServiceAccessForOrganization
DescribeQuery	Memberikan izin untuk membuat daftar detail untuk kueri	Baca	eventdatastore*
DescribeTrails	Memberikan izin untuk membuat daftar pengaturan untuk jejak yang terkait dengan wilayah saat ini untuk akun Anda	Baca
DisableFederation	Memberikan izin untuk menonaktifkan federasi data penyimpanan data acara dengan menggunakan Katalog Data AWS Glue	Tulis	eventdatastore*		glue:DeleteDatabase glue:DeleteTable glue:PassConnection lakeformation:DeregisterResource lakeformation:RegisterResource
EnableFederation	Memberikan izin untuk mengaktifkan federasi data penyimpanan data acara dengan menggunakan Katalog Data AWS Glue	Tulis	eventdatastore*		glue:CreateDatabase glue:CreateTable iam:GetRole iam:PassRole lakeformation:DeregisterResource lakeformation:RegisterResource
GenerateQuery	Memberikan izin untuk menghasilkan kueri untuk penyimpanan data peristiwa tertentu menggunakan generator kueri CloudTrail Lake	Tulis	eventdatastore*
GetChannel	Memberikan izin untuk mengembalikan informasi tentang saluran tertentu	Baca	channel*
GetEventDataStore	Memberikan izin untuk membuat daftar pengaturan untuk penyimpanan data acara	Baca	eventdatastore*
GetEventDataStoreData	Memberikan izin untuk mendapatkan data dari penyimpanan data acara dengan menggunakan Katalog Data AWS Glue	Baca	eventdatastore*		kms:Decrypt kms:GenerateDataKey
GetEventSelectors	Memberikan izin untuk membuat daftar pengaturan untuk pemilih acara yang dikonfigurasi untuk jejak	Baca	trail*
GetImport	Memberikan izin untuk mengembalikan informasi tentang impor tertentu	Baca
GetInsightSelectors	Memberikan izin untuk mencantumkan pemilih CloudTrail Wawasan yang dikonfigurasi untuk penyimpanan data jejak atau peristiwa	Baca	eventdatastore
			trail
GetQueryResults	Memberikan izin untuk mengambil hasil kueri lengkap	Baca	eventdatastore*		kms:Decrypt kms:GenerateDataKey
GetResourcePolicy	Memberikan izin untuk mendapatkan kebijakan sumber daya yang dilampirkan ke sumber daya yang disediakan	Baca	channel*
GetServiceLinkedChannel[hanya izin]	Memberikan izin untuk membuat daftar setelan untuk saluran terkait layanan	Baca	channel*
GetTrail	Memberikan izin untuk membuat daftar pengaturan untuk jejak	Baca	trail*
GetTrailStatus	Memberikan izin untuk mengambil daftar informasi JSON yang diformat tentang jejak yang ditentukan	Baca	trail*
ListChannels	Memberikan izin untuk membuat daftar saluran di akun saat ini, dan nama sumbernya	Daftar
ListEventDataStores	Memberikan izin untuk mencantumkan penyimpanan data acara yang terkait dengan wilayah saat ini untuk akun Anda	Daftar
ListImportFailures	Memberikan izin untuk mengembalikan daftar kegagalan untuk impor yang ditentukan	Baca
ListImports	Memberikan izin untuk mengembalikan informasi tentang semua impor, atau serangkaian impor tertentu oleh atau Tujuan ImportStatus	Daftar
ListPublicKeys	Memberikan izin untuk membuat daftar kunci publik yang kunci pribadinya digunakan untuk menandatangani file jejak intisari dalam rentang waktu tertentu	Baca
ListQueries	Memberikan izin untuk membuat daftar kueri yang terkait dengan penyimpanan data peristiwa	Daftar	eventdatastore*
ListServiceLinkedChannels[hanya izin]	Memberikan izin untuk mencantumkan saluran terkait layanan yang terkait dengan wilayah saat ini untuk akun tertentu	Daftar
ListTags	Memberikan izin untuk mencantumkan tag untuk jejak, penyimpanan data peristiwa, atau saluran di wilayah saat ini	Baca	channel
			eventdatastore
			trail
ListTrails	Memberikan izin untuk mencantumkan jejak yang terkait dengan wilayah saat ini untuk akun Anda	Daftar
LookupEvents	Memberikan izin untuk mencari dan mengambil data metrik untuk peristiwa API aktivitas yang diambil oleh CloudTrail yang membuat, memperbarui, atau menghapus sumber daya di akun Anda	Baca
PutEventSelectors	Memberikan izin untuk membuat dan memperbarui penyeleksi acara untuk jejak	Tulis	trail*
PutInsightSelectors	Memberikan izin untuk membuat dan memperbarui pemilih CloudTrail Wawasan untuk penyimpanan data jejak atau acara	Tulis	eventdatastore
			trail
PutResourcePolicy	Memberikan izin untuk melampirkan kebijakan sumber daya ke sumber daya yang disediakan	Tulis	channel*
RegisterOrganizationDelegatedAdmin	Memberikan izin untuk mendaftarkan akun anggota AWS Organizations sebagai administrator yang didelegasikan	Tulis			iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization organizations:RegisterDelegatedAdministrator
RemoveTags	Memberikan izin untuk menghapus tag dari jejak, penyimpanan data acara, atau saluran	Penandaan	channel
			eventdatastore
			trail
				aws:TagKeys
RestoreEventDataStore	Memberikan izin untuk memulihkan penyimpanan data acara	Tulis	eventdatastore*
StartEventDataStoreIngestion	Memberikan izin untuk memulai konsumsi pada penyimpanan data acara	Tulis	eventdatastore*
StartImport	Memberikan izin untuk memulai impor peristiwa jejak yang dicatat dari bucket S3 sumber ke penyimpanan data acara tujuan	Tulis
StartLogging	Memberikan izin untuk memulai perekaman AWS API panggilan dan pengiriman file log untuk jejak	Tulis	trail*
StartQuery	Memberikan izin untuk memulai kueri baru pada penyimpanan data peristiwa tertentu	Tulis	eventdatastore*		kms:Decrypt kms:GenerateDataKey
StopEventDataStoreIngestion	Memberikan izin untuk menghentikan konsumsi pada penyimpanan data acara	Tulis	eventdatastore*
StopImport	Memberikan izin untuk menghentikan impor tertentu	Tulis
StopLogging	Memberikan izin untuk menghentikan perekaman AWS API panggilan dan pengiriman file log untuk jejak	Tulis	trail*
UpdateChannel	Memberikan izin untuk memperbarui saluran	Tulis	channel*
UpdateEventDataStore	Memberikan izin untuk memperbarui penyimpanan data acara	Tulis	eventdatastore*		iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization
UpdateServiceLinkedChannel[hanya izin]	Memberikan izin untuk memperbarui setelan saluran terkait layanan untuk pengiriman data log ke layanan AWS	Tulis	channel*
UpdateTrail	Memberikan izin untuk memperbarui pengaturan yang menentukan pengiriman file log	Tulis	trail*		iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization

Jenis sumber daya yang ditentukan oleh AWS CloudTrail

Jenis sumber daya berikut ditentukan oleh layanan ini dan dapat digunakan dalam Resource elemen pernyataan kebijakan IAM izin. Setiap tindakan dalam Tabel tindakan mengidentifikasi jenis sumber daya yang dapat ditentukan dengan tindakan tersebut. Jenis sumber daya juga dapat menentukan kunci kondisi mana yang dapat Anda sertakan dalam kebijakan. Tombol-tombol ini ditampilkan di kolom terakhir dari tabel Jenis sumber daya. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tipe sumber daya.

catatan

Untuk kebijakan yang mengontrol akses ke CloudTrail tindakan, elemen Resource selalu disetel ke “*”. Untuk informasi tentang menggunakan sumber daya ARNs dalam IAM kebijakan, lihat Cara AWS CloudTrail bekerja dengan IAM di Panduan AWS CloudTrail Pengguna.

Jenis sumber daya	ARN	Kunci syarat
trail	arn:${Partition}:cloudtrail:${Region}:${Account}:trail/${TrailName}	aws:ResourceTag/${TagKey}
eventdatastore	arn:${Partition}:cloudtrail:${Region}:${Account}:eventdatastore/${EventDataStoreId}	aws:ResourceTag/${TagKey}
channel	arn:${Partition}:cloudtrail:${Region}:${Account}:channel/${ChannelId}	aws:ResourceTag/${TagKey}

Kunci kondisi untuk AWS CloudTrail

AWS CloudTrail mendefinisikan kunci kondisi berikut yang dapat digunakan dalam Condition elemen IAM kebijakan. Anda dapat menggunakan kunci ini untuk menyempurnakan syarat lebih lanjut saat pernyataan kebijakan berlaku. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tombol kondisi.

Untuk melihat kunci kondisi global yang tersedia untuk semua layanan, lihat Kunci kondisi global yang tersedia.

Kunci syarat	Deskripsi	Jenis
aws:RequestTag/${TagKey}	Memfilter akses dengan pasangan nilai kunci tag dalam permintaan	String
aws:ResourceTag/${TagKey}	Memfilter akses dengan tag yang dilampirkan ke sumber daya	String
aws:TagKeys	Memfilter akses dengan kunci tag dalam permintaan	ArrayOfString