Azioni, risorse e chiavi di condizione per Amazon AppStream 2.0

Amazon AppStream 2.0 (prefisso del servizio:appstream) fornisce le seguenti risorse, azioni e chiavi di contesto delle condizioni specifiche del servizio da utilizzare nelle IAM politiche di autorizzazione.

Riferimenti:

• Scopri come configurare questo servizio.

• Visualizza un elenco delle APIoperazioni disponibili per questo servizio.

• Scopri come proteggere questo servizio e le sue risorse utilizzando le politiche di IAM autorizzazione.

Azioni definite da Amazon AppStream 2.0

È possibile specificare le seguenti azioni nell'Actionelemento di una dichiarazione IAM politica. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando si utilizza un'azione in una politica, in genere si consente o si nega l'accesso all'APIoperazione o al CLI comando con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.

La colonna Tipi di risorsa della tabella Operazioni indica se ogni operazione supporta le autorizzazioni a livello di risorsa. Se non vi è nessun valore in corrispondenza di questa colonna, è necessario specificare tutte le risorse ("*") alle quali si applica la policy nell'elemento Resource dell'istruzione di policy. Se la colonna include un tipo di risorsa, è possibile specificarne uno ARN di quel tipo in un'istruzione con tale azione. Se l'operazione ha una o più risorse richieste, il chiamante deve disporre dell'autorizzazione per utilizzare l'operazione con tali risorse. Le risorse richieste sono indicate nella tabella con un asterisco (*). Se si limita l'accesso alle risorse con l'Resourceelemento di una IAM policy, è necessario includere uno schema ARN o per ogni tipo di risorsa richiesto. Alcune operazioni supportano più tipi di risorse. Se il tipo di risorsa è facoltativo (non indicato come obbligatorio), puoi scegliere di utilizzare uno tra i tipi di risorsa facoltativi.

La colonna Chiavi di condizione della tabella Operazioni contiene le chiavi che è possibile specificare nell'elemento Condition di un'istruzione di policy. Per ulteriori informazioni sulle chiavi di condizione associate alle risorse per il servizio guarda la colonna Chiavi di condizione della tabella Tipi di risorsa.

Nota

Le chiavi relative alle condizioni delle risorse sono elencate nella tabella Tipi di risorse. Nella colonna Tipi di risorse (*obbligatorio) della tabella Operazioni è presente un collegamento al tipo di risorsa che si applica a un'operazione. Il tipo di risorsa nella tabella Tipi di risorse include la colonna Chiavi di condizione, che contiene le chiavi delle condizioni delle risorse che si applicano a un'operazione nella tabella Operazioni.

Per dettagli sulle colonne nella tabella seguente, consultare Tabella delle operazioni.

Azioni	Descrizione	Livello di accesso	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Operazioni dipendenti
AssociateAppBlockBuilderAppBlock	Concede l'autorizzazione ad associare il generatore di un blocco app specificato al blocco app	Scrittura	app-block*
			app-block-builder*
				aws:ResourceTag/${TagKey}
AssociateApplicationFleet	Concede l'autorizzazione per associare l'applicazione specificata con il parco istanze	Scrittura	application*
			fleet*
				aws:ResourceTag/${TagKey}
AssociateApplicationToEntitlement	Concede l'autorizzazione per associare l'applicazione specificata al diritto specificato	Scrittura	stack*
AssociateFleet	Concede l'autorizzazione per associare il parco istanze specificato con lo stack specificato	Write	fleet*
			stack*
				aws:ResourceTag/${TagKey}
BatchAssociateUserStack	Concede l'autorizzazione per associare gli utenti specificati con lo stack specificato. Gli utenti in un pool di utenti non possono essere assegnati a stack con parchi istanze uniti a un dominio Active Directory	Write	stack*
				aws:ResourceTag/${TagKey}
BatchDisassociateUserStack	Concede l'autorizzazione per dissociare gli utenti specificati dallo stack specificato	Scrittura	stack*
				aws:ResourceTag/${TagKey}
CopyImage	Concede l'autorizzazione a copiare l'immagine specificata all'interno della stessa regione o in una nuova regione all'interno della stessa Account AWS	Scrittura	image*
				aws:ResourceTag/${TagKey}
CreateAppBlock	Concede l'autorizzazione per creare un blocco app. I blocchi app memorizzano i dettagli sull'hard disk virtuale che contiene i file per l'applicazione in un bucket S3. Inoltre, memorizzano anche lo script di installazione contenente i dettagli per montare l'hard disk virtuale. I blocchi app sono supportati solo per i parchi istanze Elastic	Scrittura		aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateAppBlockBuilder	Concede l'autorizzazione a creare un generatore di un blocco app. Un generatore di blocco app è una macchina virtuale utilizzata per creare un blocco app	Scrittura	app-block-builder*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateAppBlockBuilderStreamingURL	Concede l'autorizzazione a creare una sessione URL di streaming di app block builder per avviare	Scrittura	app-block-builder*
				aws:ResourceTag/${TagKey}
CreateApplication	Concede l'autorizzazione per creare un'applicazione all'interno dell'account cliente. Le applicazioni memorizzano i dettagli per avviare applicazioni su istanze di streaming. Questo è supportato solo per i parchi istanze Elastic	Scrittura	app-block*
				aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateDirectoryConfig	Concede il permesso di creare un oggetto AppStream Directory Config nella versione 2.0. L'oggetto include le informazioni di configurazione necessarie per unire i parchi istanze e gli image builder ai domini di Microsoft Active Directory.	Scrittura
CreateEntitlement	Concede l'autorizzazione per creare un diritto per controllare l'accesso alle applicazioni in base agli attributi utente	Scrittura	stack*
CreateFleet	Concede l'autorizzazione per creare un parco istanze. Un parco istanze è un gruppo di istanze di streaming da cui sono avviate le applicazioni e viene eseguito lo streaming delle stesse agli utenti	Write	fleet*
			image
				aws:RequestTag/${TagKey} aws:TagKeys
CreateImageBuilder	Concede l'autorizzazione per creare un image builder. Un image builder è una macchina virtuale utilizzata per creare un'immagine	Scrittura	image*
			image-builder*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateImageBuilderStreamingURL	Concede l'autorizzazione per creare una sessione di streaming URL di Image Builder	Scrittura	image-builder*
				aws:ResourceTag/${TagKey}
CreateStack	Concede l'autorizzazione per creare uno stack per avviare lo streaming di applicazioni a utenti. Uno stack comprende un parco istanze, le policy di accesso degli utenti e le configurazioni di storage associati	Scrittura	stack*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateStreamingURL	Concede l'autorizzazione a creare una sessione temporanea URL per avviare una sessione di streaming AppStream 2.0 per l'utente specificato. Uno streaming URL consente di testare lo streaming delle applicazioni senza la configurazione dell'utente	Scrittura	fleet*
			stack*
				aws:ResourceTag/${TagKey}
CreateThemeForStack	Concede l'autorizzazione a creare un tema di branding personalizzato, che potrebbe includere un logo personalizzato, link a siti Web e altri elementi di branding da mostrare agli utenti	Scrittura	stack*
CreateUpdatedImage	Concede l'autorizzazione per aggiornare un'immagine esistente all'interno dell'account del cliente	Scrittura	image*
				aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateUsageReportSubscription	Concede l'autorizzazione per creare una sottoscrizione del report di utilizzo. I report di utilizzo vengono generati ogni giorno	Write
CreateUser	Concede l'autorizzazione per creare un nuovo utente nel pool di utenti	Scrittura
DeleteAppBlock	Concede l'autorizzazione per eliminare il blocco app specificato	Scrittura	app-block*
				aws:ResourceTag/${TagKey}
DeleteAppBlockBuilder	Concede l'autorizzazione a eliminare il blocco app e la capacità di rilascio specificati	Scrittura	app-block-builder*
				aws:ResourceTag/${TagKey}
DeleteApplication	Concede l'autorizzazione per eliminare l'applicazione specificata	Scrittura	application*
				aws:ResourceTag/${TagKey}
DeleteDirectoryConfig	Concede il permesso di eliminare l'oggetto AppStream Directory Config specificato dalla versione 2.0. L'oggetto include le informazioni di configurazione necessarie per unire i parchi istanze e gli image builder ai domini di Microsoft Active Directory.	Scrittura
DeleteEntitlement	Concede l'autorizzazione per eliminare il diritto specificato	Scrittura	stack*
DeleteFleet	Concede l'autorizzazione per eliminare il parco istanze specificato	Write	fleet*
				aws:ResourceTag/${TagKey}
DeleteImage	Concede l'autorizzazione per eliminare l'immagine specificata. Un'immagine non può essere eliminata quando è in uso	Write	image*
				aws:ResourceTag/${TagKey}
DeleteImageBuilder	Concede l'autorizzazione per eliminare l'image builder e la capacità di rilascio specificati	Write	image-builder*
				aws:ResourceTag/${TagKey}
DeleteImagePermissions	Concede l'autorizzazione per eliminare le autorizzazioni per l'immagine privata specificata	Write	image*
				aws:ResourceTag/${TagKey}
DeleteStack	Concede l'autorizzazione per eliminare lo stack specificato. Dopo l'eliminazione dello stack, l'ambiente di streaming di applicazioni fornito dallo stack non è più disponibile agli utenti. Inoltre, vengono rilasciate eventuali prenotazioni effettuate per le sessioni di streaming di applicazioni per lo stack	Scrittura	stack*
				aws:ResourceTag/${TagKey}
DeleteThemeForStack	Concede l'autorizzazione a eliminare un tema di branding personalizzato, che potrebbe includere un logo personalizzato, collegamenti a siti Web e altri elementi di branding da mostrare agli utenti	Scrittura	stack*
DeleteUsageReportSubscription	Concede l'autorizzazione per disabilitare la generazione di report di utilizzo	Write
DeleteUser	Concede l'autorizzazione per eliminare un utente dal pool di utenti	Scrittura
DescribeAppBlockBuilderAppBlockAssociations	Concede l'autorizzazione a recuperare le associazioni relative al generatore del blocco app o al blocco app specificato	Lettura	app-block
			app-block-builder
DescribeAppBlockBuilders	Se vengono forniti i nomi dei generatori del blocco app, concede l'autorizzazione a recuperare un elenco che descrive uno o più generatori del blocco app. In caso contrario, vengono descritti tutti i generatori del blocco app nell'account	Lettura	app-block-builder
DescribeAppBlocks	Concede l'autorizzazione per recuperare un elenco che descrive uno o più blocchi app specificati, purché siano forniti gli ARN per tali blocchi app. In caso contrario, vengono descritti tutti i blocchi app nell'account	Lettura	app-block
DescribeApplicationFleetAssociations	Concede l'autorizzazione per recuperare le associazioni relative all'applicazione o al parco istanze specificati	Lettura	application
			fleet
DescribeApplications	Concede l'autorizzazione per recuperare un elenco che descrive una o più applicazioni specificate, purché siano forniti gli ARN dell'applicazione. In caso contrario, vengono descritte tutte le applicazioni nell'account	Lettura	application
DescribeDirectoryConfigs	Concede l'autorizzazione a recuperare un elenco che descrive uno o più oggetti Directory Config specificati per la AppStream versione 2.0, se vengono forniti i nomi di tali oggetti. In caso contrario, sono descritti tutti gli oggetti Directory Config nell'account. L'oggetto include le informazioni di configurazione necessarie per unire i parchi istanze e gli imge builder ai domini di Microsoft Active Directory.	Lettura
DescribeEntitlements	Concede l'autorizzazione per recuperare uno o tutti i diritti per lo stack specificato	Lettura	stack*
DescribeFleets	Se vengono forniti i nomi dei parchi istanze, concede l'autorizzazione per recuperare un elenco che descrive uno o più parchi istanze. In caso contrario, tutti i parchi istanze sono descritti nell'account	Read	fleet
DescribeImageBuilders	Se vengono forniti i nomi degli sviluppatori di immagini, concede l'autorizzazione per recuperare un elenco che descrive uno o più image builder. In caso contrario, tutti gli image builder sono descritti nell'account	Lettura	image-builder
DescribeImagePermissions	Concede l'autorizzazione a recuperare un elenco che descrive le autorizzazioni per la condivisione Account AWS IDs su un'immagine privata di tua proprietà	Lettura	image*
DescribeImages	Concede l'autorizzazione a recuperare un elenco che descrive una o più immagini specificate, se vengono forniti i nomi o l'immagine delle immagini. ARNs In caso contrario, tutte le immagini sono descritte nell'account	Read	image
DescribeSessions	Concede l'autorizzazione per recuperare un elenco che descrive le sessioni di streaming per lo stack e il parco istanze specificati. Se un ID utente viene fornito per lo stack e il parco istanze, sono descritte solo le sessioni di streaming di tale utente	Read	fleet*
			stack*
DescribeStacks	Se i nomi di stack sono forniti, concede l'autorizzazione per recuperare un elenco che descrive uno o più stack specificati. In caso contrario, tutti gli stack sono descritti nell'account	Lettura	stack
DescribeThemeForStack	Concede l'autorizzazione a ottenere informazioni sul tema del marchio personalizzato, che possono includere un logo personalizzato, link a siti Web e altri marchi da mostrare agli utenti	Lettura	stack*
DescribeUsageReportSubscriptions	Concede l'autorizzazione per recuperare un elenco che descrive una o più sottoscrizioni di report di utilizzo	Lettura
DescribeUserStackAssociations	Concede l'autorizzazione a recuperare un elenco che descrive gli oggetti UserStackAssociation	Lettura	stack
DescribeUsers	Concede l'autorizzazione per recuperare un elenco che descrive gli utenti nel pool di utenti	Read
DisableUser	Concede l'autorizzazione per disabilitare l'utente specificato nel pool di utenti. Questa azione non elimina l'utente	Scrittura
DisassociateAppBlockBuilderAppBlock	Concede l'autorizzazione ad disassociare il generatore di un blocco app specificato dal blocco app	Scrittura	app-block*
			app-block-builder*
				aws:ResourceTag/${TagKey}
DisassociateApplicationFleet	Concede l'autorizzazione per dissociare l'applicazione specificata dal parco istanze specificato	Scrittura	application*
			fleet*
				aws:ResourceTag/${TagKey}
DisassociateApplicationFromEntitlement	Concede l'autorizzazione per dissociare l'applicazione specificata dal diritto specificato	Scrittura	stack*
DisassociateFleet	Concede l'autorizzazione per dissociare il parco istanze specificato dallo stack specificato	Write	fleet*
			stack*
				aws:ResourceTag/${TagKey}
EnableUser	Concede l'autorizzazione per abilitare un utente nel pool di utenti	Write
ExpireSession	Concede l'autorizzazione per arrestare immediatamente la sessione di streaming specificata	Write
ListAssociatedFleets	Concede l'autorizzazione per recuperare il nome del parco istanze associato allo stack specificato	Read	stack*
ListAssociatedStacks	Concede l'autorizzazione per recuperare il nome dello stack a cui è associato il parco istanze specificato	Lettura	fleet*
ListEntitledApplications	Concede l'autorizzazione per recuperare le applicazioni associate con il diritto specificato	Elenco	stack*
ListTagsForResource	Concede il permesso di recuperare un elenco di tutti i tag per la risorsa 2.0 specificata. AppStream È possibile applicare un tag alle seguenti risorse: image builder, immagini, parchi istanze e stack	Lettura
StartAppBlockBuilder	Concede l'autorizzazione ad avviare il generatore del blocco app specificato	Scrittura	app-block-builder*
				aws:ResourceTag/${TagKey}
StartFleet	Concede l'autorizzazione per avviare il parco istanze specificato	Write	fleet*
				aws:ResourceTag/${TagKey}
StartImageBuilder	Concede l'autorizzazione per avviare l'image builder specificato	Scrittura	image-builder*
				aws:ResourceTag/${TagKey}
StopAppBlockBuilder	Concede l'autorizzazione a interrompere il generatore del blocco app specificato	Scrittura	app-block-builder*
				aws:ResourceTag/${TagKey}
StopFleet	Concede l'autorizzazione per arrestare il parco istanze specificato	Write	fleet*
				aws:ResourceTag/${TagKey}
StopImageBuilder	Concede l'autorizzazione per arrestare l'image builder specificato	Write	image-builder*
				aws:ResourceTag/${TagKey}
Stream	Concede l'autorizzazione agli utenti federati per accedere utilizzando le loro credenziali e le applicazioni di streaming esistenti dallo stack specificato	Scrittura	stack*
				appstream:userId
TagResource	Concede il permesso di aggiungere o sovrascrivere uno o più tag per la risorsa 2.0 specificata. AppStream È possibile applicare un tag alle seguenti risorse: Image Builder, immagini, parchi istanze, stack blocchi app e applicazioni	Assegnazione di tag	app-block
			app-block-builder
			application
			fleet
			image
			image-builder
			stack
				aws:RequestTag/${TagKey} aws:TagKeys aws:ResourceTag/${TagKey}
UntagResource	Concede l'autorizzazione a dissociare uno o più tag dalla risorsa 2.0 specificata AppStream	Assegnazione di tag	app-block
			app-block-builder
			application
			fleet
			image
			image-builder
			stack
				aws:TagKeys
UpdateAppBlockBuilder	Concede l'autorizzazione ad aggiornare un generatore specifico del blocco app. Un generatore di blocco app è una macchina virtuale utilizzata per creare un blocco app	Scrittura	app-block-builder*
				aws:ResourceTag/${TagKey}
UpdateApplication	Concede l'autorizzazione per aggiornare i campi specificati per l'applicazione specificata	Scrittura	application*
			app-block
				aws:ResourceTag/${TagKey}
UpdateDirectoryConfig	Concede il permesso di aggiornare l'oggetto AppStream Directory Config specificato nella versione 2.0. L'oggetto include le informazioni di configurazione necessarie per unire i parchi istanze e gli image builder ai domini di Microsoft Active Directory.	Scrittura
UpdateEntitlement	Concede l'autorizzazione per aggiornare i campi specificati per il diritto specificato	Scrittura	stack*
UpdateFleet	Concede l'autorizzazione per aggiornare il parco istanze specificato. Tutti gli attributi tranne il nome della flotta possono essere aggiornati quando la flotta si trova nello stato STOPPED	Scrittura	fleet*
			image
				aws:ResourceTag/${TagKey}
UpdateImagePermissions	Concede l'autorizzazione per aggiungere o aggiornare le autorizzazioni per l'immagine privata specificata	Write	image*
				aws:ResourceTag/${TagKey}
UpdateStack	Concede l'autorizzazione per aggiornare i campi specificati per lo stack specificato	Scrittura	stack*
				aws:ResourceTag/${TagKey}
UpdateThemeForStack	Concede l'autorizzazione ad aggiornare le informazioni sul tema del marchio personalizzato, che possono includere un logo personalizzato, link a siti Web e altri marchi da mostrare agli utenti	Scrittura	stack*

Tipi di risorse definiti da Amazon AppStream 2.0

I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'Resourceelemento delle dichiarazioni sulla politica di IAM autorizzazione. Ogni operazione nella Tabella delle operazioni identifica i tipi di risorse che possono essere specificati con tale operazione. Un tipo di risorsa può anche definire quali chiavi di condizione puoi includere in una policy. Queste chiavi vengono visualizzate nell'ultima colonna della tabella Tipi di risorsa. Per dettagli sulle colonne nella tabella seguente, consulta Tabella dei tipi di risorsa.

Tipi di risorsa	ARN	Chiavi di condizione
fleet	arn:${Partition}:appstream:${Region}:${Account}:fleet/${FleetName}	aws:ResourceTag/${TagKey}
image	arn:${Partition}:appstream:${Region}:${Account}:image/${ImageName}	aws:ResourceTag/${TagKey}
image-builder	arn:${Partition}:appstream:${Region}:${Account}:image-builder/${ImageBuilderName}	aws:ResourceTag/${TagKey}
stack	arn:${Partition}:appstream:${Region}:${Account}:stack/${StackName}	aws:ResourceTag/${TagKey}
app-block	arn:${Partition}:appstream:${Region}:${Account}:app-block/${AppBlockName}	aws:ResourceTag/${TagKey}
application	arn:${Partition}:appstream:${Region}:${Account}:application/${ApplicationName}	aws:ResourceTag/${TagKey}
app-block-builder	arn:${Partition}:appstream:${Region}:${Account}:app-block-builder/${AppBlockBuilderName}	aws:ResourceTag/${TagKey}

Chiavi di condizione per Amazon AppStream 2.0

Amazon AppStream 2.0 definisce le seguenti chiavi di condizione che possono essere utilizzate nell'Conditionelemento di una IAM policy. Puoi utilizzare queste chiavi per perfezionare ulteriormente le condizioni in base alle quali si applica l'istruzione di policy. Per dettagli sulle colonne nella tabella seguente, consulta Tabella delle chiavi di condizione.

Per visualizzare le chiavi di condizione globali disponibili per tutti i servizi, consulta Chiavi di condizione globali disponibili.

Chiavi di condizione	Descrizione	Type
appstream:userId	Filtra l'accesso in base all'ID dell'utente AppStream 2.0	Stringa
aws:RequestTag/${TagKey}	Filtra l'accesso in base alla presenza di coppie chiave-valore di tag nella richiesta	Stringa
aws:ResourceTag/${TagKey}	Filtra l'accesso in base alle coppie chiave-valore di tag collegate alla risorsa	Stringa
aws:TagKeys	Filtra l'accesso in base alla presenza di chiavi di tag nella richiesta	ArrayOfString