Azioni, risorse e chiavi di condizione per Amazon WorkSpaces

Amazon WorkSpaces (prefisso del servizio:workspaces) fornisce le seguenti risorse, azioni e chiavi di contesto delle condizioni specifiche del servizio da utilizzare nelle politiche di autorizzazione IAM.

Riferimenti:

• Scopri come configurare questo servizio.

• Visualizza un elenco delle operazioni API disponibili per questo servizio.

• Scopri come proteggere questo servizio e le sue risorse utilizzando le policy delle autorizzazioni IAM.

Azioni definite da Amazon WorkSpaces

Puoi specificare le seguenti operazioni nell'elemento Action di un'istruzione di policy IAM. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando utilizzi un'operazione in una policy, in genere consenti o rifiuti l'accesso all'operazione API o al comando CLI con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.

La colonna Tipi di risorsa della tabella Operazioni indica se ogni operazione supporta le autorizzazioni a livello di risorsa. Se non vi è nessun valore in corrispondenza di questa colonna, è necessario specificare tutte le risorse ("*") alle quali si applica la policy nell'elemento Resource dell'istruzione di policy. Se la colonna include un tipo di risorsa, puoi specificare un ARN di quel tipo in una istruzione con tale operazione. Se l'operazione ha una o più risorse richieste, il chiamante deve disporre dell'autorizzazione per utilizzare l'operazione con tali risorse. Le risorse richieste sono indicate nella tabella con un asterisco (*). Se si limita l'accesso alle risorse con l'elemento Resource in una policy IAM, è necessario includere un ARN o un modello per ogni tipo di risorsa richiesta. Alcune operazioni supportano più tipi di risorse. Se il tipo di risorsa è facoltativo (non indicato come obbligatorio), puoi scegliere di utilizzare uno tra i tipi di risorsa facoltativi.

La colonna Chiavi di condizione della tabella Operazioni contiene le chiavi che è possibile specificare nell'elemento Condition di un'istruzione di policy. Per ulteriori informazioni sulle chiavi di condizione associate alle risorse per il servizio guarda la colonna Chiavi di condizione della tabella Tipi di risorsa.

Nota

Le chiavi relative alle condizioni delle risorse sono elencate nella tabella Tipi di risorse. Nella colonna Tipi di risorse (*obbligatorio) della tabella Operazioni è presente un collegamento al tipo di risorsa che si applica a un'operazione. Il tipo di risorsa nella tabella Tipi di risorse include la colonna Chiavi di condizione, che contiene le chiavi delle condizioni delle risorse che si applicano a un'operazione nella tabella Operazioni.

Per dettagli sulle colonne nella tabella seguente, consultare Tabella delle operazioni.

Azioni	Descrizione	Livello di accesso	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Operazioni dipendenti
AcceptAccountLinkInvitation	Concede l'autorizzazione ad accettare inviti da altri AWS account a condividere la stessa configurazione per BYOL WorkSpaces	Scrittura
AssociateConnectionAlias	Concede l'autorizzazione per associare alias di connessione alle directory	Write	connectionalias*
			directoryid*
AssociateIpGroups	Concede l'autorizzazione per associare alle directory gruppi di controllo degli accessi IP	Scrittura	directoryid*
			workspaceipgroup*
AssociateWorkspaceApplication	Concede l'autorizzazione ad associare un'applicazione Workspace a WorkSpace	Scrittura	workspaceapplication*
			workspaceid*
				aws:ResourceTag/${TagKey}
AuthorizeIpRules	Concede l'autorizzazione per aggiungere regole ai gruppi di controllo degli accessi IP	Scrittura	workspaceipgroup*		workspaces:UpdateRulesOfIpGroup
CopyWorkspaceImage	Concede l'autorizzazione a copiare un'immagine WorkSpace	Scrittura	workspaceimage*		workspaces:DescribeWorkspaceImages
				aws:RequestTag/${TagKey} aws:TagKeys
CreateAccountLinkInvitation	Concede il permesso di invitare altri AWS account a condividere la stessa configurazione per BYOL WorkSpaces	Scrittura
CreateConnectClientAddIn	Concede l'autorizzazione per creare un software con funzionalità aggiuntive client Amazon Connect all'interno di una directory	Scrittura	directoryid*
CreateConnectionAlias	Concede l'autorizzazione per creare alias di connessione da utilizzare per il reindirizzamento tra regioni	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateIpGroup	Concede l'autorizzazione per creare gruppi di controllo degli accessi IP	Scrittura		aws:RequestTag/${TagKey} aws:TagKeys
CreateStandbyWorkspaces	Concede l'autorizzazione a creare uno o più Standby WorkSpaces	Scrittura	directoryid*
			workspaceid*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateTags	Concede l'autorizzazione a creare tag per le risorse WorkSpaces	Assegnazione di tag		aws:RequestTag/${TagKey} aws:TagKeys
CreateUpdatedWorkspaceImage	Concede l'autorizzazione a creare un'immagine aggiornata WorkSpace	Scrittura	workspaceimage*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspaceBundle	Concede l'autorizzazione a creare un pacchetto WorkSpace	Scrittura	workspacebundle*		workspaces:CreateTags
			workspaceimage*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspaceImage	Concede il permesso di creare una nuova immagine WorkSpace	Scrittura	workspaceid*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspaces	Concede l'autorizzazione a crearne una o più WorkSpaces	Scrittura	directoryid*
			workspacebundle*
			workspaceid*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspacesPool	Concede il permesso di creare un pool WorkSpaces	Scrittura	directoryid*
			workspacebundle*
			workspacespoolid*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAccountLinkInvitation	Concede l'autorizzazione a eliminare gli inviti ad altri AWS account per condividere la stessa configurazione per BYOL WorkSpaces	Scrittura
DeleteClientBranding	Concede l'autorizzazione a eliminare i dati relativi al marchio del AWS WorkSpaces Cliente all'interno di una directory	Scrittura	directoryid*
DeleteConnectClientAddIn	Concede l'autorizzazione per eliminare un software con funzionalità aggiuntive client Amazon Connect configurato all'interno di una directory	Scrittura	directoryid*
DeleteConnectionAlias	Concede l'autorizzazione per eliminare gli alias di connessione	Write	connectionalias*
DeleteIpGroup	Concede l'autorizzazione per eliminare i gruppi di controllo degli accessi IP	Scrittura	workspaceipgroup*
DeleteTags	Concede l'autorizzazione a eliminare i tag dalle risorse WorkSpaces	Assegnazione di tag		aws:RequestTag/${TagKey} aws:TagKeys
DeleteWorkspaceBundle	Concede l'autorizzazione a eliminare i pacchetti WorkSpace	Scrittura	workspacebundle*
DeleteWorkspaceImage	Concede l'autorizzazione a eliminare le immagini WorkSpace	Scrittura	workspaceimage*
DeployWorkspaceApplications	Concede l'autorizzazione a distribuire tutte le applicazioni dell'area di lavoro in sospeso su un WorkSpace	Scrittura	workspaceid*
				aws:ResourceTag/${TagKey}
DeregisterWorkspaceDirectory	Concede l'autorizzazione a cancellare le directory dall'uso con Amazon WorkSpaces	Scrittura	directoryid*
DescribeAccount	Concede l'autorizzazione a recuperare la configurazione di Bring Your Own License (BYOL) per gli account WorkSpaces	Lettura
DescribeAccountModifications	Concede l'autorizzazione a recuperare le modifiche alla configurazione di Bring Your Own License (BYOL) per gli account WorkSpaces	Lettura
DescribeApplicationAssociations	Concede l'autorizzazione a recuperare informazioni sulle risorse associate a un'applicazione WorkSpace	Elenco	workspaceapplication*
				aws:ResourceTag/${TagKey}
DescribeApplications	Concede l'autorizzazione a ottenere informazioni sulle applicazioni WorkSpace	Elenco
DescribeBundleAssociations	Concede l'autorizzazione a recuperare informazioni sulle risorse associate a un pacchetto WorkSpace	Elenco	workspacebundle*
				aws:ResourceTag/${TagKey}
DescribeClientBranding	Concede l'autorizzazione a recuperare i dati relativi al marchio del AWS WorkSpaces Cliente all'interno di una directory	Lettura	directoryid*
DescribeClientProperties	Concede il permesso di recuperare informazioni sui clienti WorkSpaces	Elenco	directoryid*
DescribeConnectClientAddIns	Concede l'autorizzazione per recuperare un elenco di software con funzionalità aggiuntive per client Amazon Connect che sono stati creati	Elenco	directoryid*
DescribeConnectionAliasPermissions	Concede l'autorizzazione a recuperare le autorizzazioni che i proprietari degli alias di connessione hanno concesso ad altri account per gli alias di connessione AWS	Lettura	connectionalias*
DescribeConnectionAliases	Concede l'autorizzazione per recuperare un elenco che descrive gli alias di connessione utilizzati per il reindirizzamento tra regioni	Lettura
DescribeImageAssociations	Concede l'autorizzazione a recuperare informazioni sulle risorse associate a un'immagine WorkSpace	Elenco	workspaceimage*
				aws:ResourceTag/${TagKey}
DescribeIpGroups	Concede l'autorizzazione per recuperare informazioni sui gruppi di controllo degli accessi IP	Lettura	workspaceipgroup*
DescribeTags	Concede l'autorizzazione a descrivere i tag delle risorse WorkSpaces	Lettura
DescribeWorkspaceAssociations	Concede il permesso di recuperare informazioni sulle risorse associate a un WorkSpace	Elenco	workspaceid*
				aws:ResourceTag/${TagKey}
DescribeWorkspaceBundles	Concede l'autorizzazione a ottenere informazioni sui pacchetti WorkSpace	Elenco
DescribeWorkspaceDirectories	Concede l'autorizzazione a recuperare informazioni sulle directory registrate con WorkSpaces	Lettura
DescribeWorkspaceImagePermissions	Concede il permesso di recuperare informazioni sulle autorizzazioni relative alle immagini WorkSpace	Lettura	workspaceimage*
DescribeWorkspaceImages	Concede il permesso di recuperare informazioni sulle immagini WorkSpace	Elenco
DescribeWorkspaceSnapshots	Concede l'autorizzazione a recuperare informazioni sulle istantanee WorkSpace	Elenco	workspaceid*
DescribeWorkspaces	Concede il permesso di ottenere informazioni su WorkSpaces	Elenco
DescribeWorkspacesConnectionStatus	Concede il permesso di ottenere lo stato della connessione di WorkSpaces	Lettura
DescribeWorkspacesPoolSessions	Concede il permesso di recuperare informazioni sulle sessioni di un Pool WorkSpaces	Elenco	workspacespoolid*
DescribeWorkspacesPools	Concede il permesso di recuperare informazioni sui pool WorkSpaces	Elenco
DisassociateConnectionAlias	Concede l'autorizzazione per dissociare dalle directory gli alias di connessione	Write	connectionalias*
DisassociateIpGroups	Concede l'autorizzazione per dissociare dalle directory i gruppi di controllo degli accessi IP	Scrittura	directoryid*
			workspaceipgroup*
DisassociateWorkspaceApplication	Concede l'autorizzazione a dissociare un'applicazione Workspace da una WorkSpace	Scrittura	workspaceapplication*
			workspaceid*
				aws:ResourceTag/${TagKey}
GetAccountLink	Concede l'autorizzazione a recuperare un collegamento con un altro AWS account per la condivisione della configurazione per BYOL WorkSpaces	Lettura
ImportClientBranding	Concede l'autorizzazione a importare i dati relativi al marchio del AWS WorkSpaces Cliente all'interno di una directory	Scrittura	directoryid*
ImportWorkspaceImage	Autorizza l'importazione di immagini Bring Your Own License (BYOL) in Amazon WorkSpaces	Scrittura			ec2:DescribeImages ec2:ModifyImageAttribute
ListAccountLinks	Concede l'autorizzazione a recuperare i link con gli AWS account che condividono la tua configurazione per BYOL WorkSpaces	Elenco
ListAvailableManagementCidrRanges	Concede l'autorizzazione a elencare gli intervalli CIDR disponibili per l'attivazione della licenza Bring Your Own License (BYOL) per gli account WorkSpaces	Elenco
MigrateWorkspace	Concede l'autorizzazione alla migrazione WorkSpaces	Scrittura	workspacebundle*
			workspaceid*
ModifyAccount	Concede l'autorizzazione a modificare la configurazione di Bring Your Own License (BYOL) per gli account WorkSpaces	Scrittura
ModifyCertificateBasedAuthProperties	Concede l'autorizzazione per modificare le proprietà di autorizzazione basate sui certificati di una directory	Scrittura	directoryid*
ModifyClientProperties	Concede il permesso di modificare le proprietà dei client WorkSpaces	Scrittura	directoryid*
ModifySamlProperties	Concede l'autorizzazione per modificare le proprietà SAML di una directory	Scrittura	directoryid*
ModifySelfservicePermissions	Concede l'autorizzazione a modificare le funzionalità di WorkSpace gestione self-service per gli utenti	Gestione delle autorizzazioni	directoryid*
ModifyStreamingProperties	Concede l'autorizzazione a modificare le proprietà di streaming	Scrittura	directoryid*
ModifyWorkspaceAccessProperties	Concede l'autorizzazione a specificare quali dispositivi e sistemi operativi gli utenti possono utilizzare per accedere ai propri WorkSpaces	Scrittura	directoryid*
ModifyWorkspaceCreationProperties	Concede l'autorizzazione a modificare le proprietà predefinite utilizzate per creare WorkSpaces	Scrittura	directoryid*
ModifyWorkspaceProperties	Concede l'autorizzazione a modificare le WorkSpace proprietà, inclusi la modalità di esecuzione e il periodo AutoStop	Scrittura	workspaceid*
ModifyWorkspaceState	Concede l'autorizzazione a modificare lo stato di WorkSpaces	Scrittura	workspaceid*
RebootWorkspaces	Concede l'autorizzazione al riavvio WorkSpaces	Scrittura	workspaceid*
RebuildWorkspaces	Concede il permesso di ricostruire WorkSpaces	Scrittura	workspaceid*
RegisterWorkspaceDirectory	Concede l'autorizzazione a registrare directory da utilizzare con Amazon WorkSpaces	Scrittura	directoryid*
				aws:RequestTag/${TagKey} aws:TagKeys
RejectAccountLinkInvitation	Concede l'autorizzazione a rifiutare gli inviti provenienti da altri AWS account a condividere la stessa configurazione per BYOL WorkSpaces	Scrittura
RestoreWorkspace	Concede l'autorizzazione al ripristino WorkSpaces	Scrittura	workspaceid*
RevokeIpRules	Concede l'autorizzazione per rimuovere le regole dai gruppi di controllo degli accessi IP	Scrittura	workspaceipgroup*		workspaces:UpdateRulesOfIpGroup
StartWorkspaces	Concede l'autorizzazione all'avvio AutoStop WorkSpaces	Scrittura	workspaceid*
StartWorkspacesPool	Concede il permesso di avviare un pool WorkSpaces	Scrittura	workspacespoolid*
StopWorkspaces	Concede il permesso di smettere AutoStop WorkSpaces	Scrittura	workspaceid*
StopWorkspacesPool	Concede il permesso di fermare un Pool WorkSpaces	Scrittura	workspacespoolid*
Stream	Concede l'autorizzazione agli utenti federati per accedere utilizzando le credenziali esistenti ed eseguire lo streaming del loro workspace	Scrittura	directoryid*
				workspaces:userId
TerminateWorkspaces	Concede il permesso di terminare WorkSpaces	Scrittura	workspaceid*
TerminateWorkspacesPool	Concede il permesso di chiudere un Pool WorkSpaces	Scrittura	workspacespoolid*
TerminateWorkspacesPoolSession	Concede l'autorizzazione a terminare una sessione del Pool WorkSpaces	Scrittura
UpdateConnectClientAddIn	Concede l'autorizzazione per aggiornare un software con funzionalità aggiuntive client Amazon Connect. Utilizzare questa operazione per aggiornare il nome e l'URL dell'endpoint di un software con funzionalità aggiuntive client Amazon Connect	Scrittura	directoryid*
UpdateConnectionAliasPermission	Concede l'autorizzazione per condividere o annullare la condivisione degli alias di connessione con altri account	Gestione delle autorizzazioni	connectionalias*
UpdateRulesOfIpGroup	Concede l'autorizzazione per sostituire le regole per i gruppi di controllo degli accessi IP	Scrittura	workspaceipgroup*		workspaces:AuthorizeIpRules workspaces:RevokeIpRules
UpdateWorkspaceBundle	Concede il permesso di aggiornare le WorkSpace immagini utilizzate nei pacchetti WorkSpace	Scrittura	workspacebundle*
			workspaceimage*
UpdateWorkspaceImagePermission	Concede l'autorizzazione a condividere o annullare la condivisione di WorkSpace immagini con altri account specificando se altri account sono autorizzati a copiare l'immagine	Gestione delle autorizzazioni	workspaceimage*
UpdateWorkspacesPool	Concede l'autorizzazione ad aggiornare il pool WorkSpaces	Scrittura	workspacespoolid*

Tipi di risorse definiti da Amazon WorkSpaces

I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'elemento Resource delle istruzioni di policy delle autorizzazioni IAM. Ogni operazione nella Tabella delle operazioni identifica i tipi di risorse che possono essere specificati con tale operazione. Un tipo di risorsa può anche definire quali chiavi di condizione puoi includere in una policy. Queste chiavi vengono visualizzate nell'ultima colonna della tabella Tipi di risorsa. Per dettagli sulle colonne nella tabella seguente, consulta Tabella dei tipi di risorsa.

Tipi di risorsa	ARN	Chiavi di condizione
directoryid	arn:${Partition}:workspaces:${Region}:${Account}:directory/${DirectoryId}	aws:ResourceTag/${TagKey}
workspacebundle	arn:${Partition}:workspaces:${Region}:${Account}:workspacebundle/${BundleId}	aws:ResourceTag/${TagKey}
workspaceid	arn:${Partition}:workspaces:${Region}:${Account}:workspace/${WorkspaceId}	aws:ResourceTag/${TagKey}
workspaceimage	arn:${Partition}:workspaces:${Region}:${Account}:workspaceimage/${ImageId}	aws:ResourceTag/${TagKey}
workspaceipgroup	arn:${Partition}:workspaces:${Region}:${Account}:workspaceipgroup/${GroupId}	aws:ResourceTag/${TagKey}
workspacespoolid	arn:${Partition}:workspaces:${Region}:${Account}:workspacespool/${PoolId}	aws:ResourceTag/${TagKey}
connectionalias	arn:${Partition}:workspaces:${Region}:${Account}:connectionalias/${ConnectionAliasId}	aws:ResourceTag/${TagKey}
workspaceapplication	arn:${Partition}:workspaces:${Region}:${Account}:workspaceapplication/${WorkSpaceApplicationId}	aws:ResourceTag/${TagKey}

Chiavi di condizione per Amazon WorkSpaces

Amazon WorkSpaces definisce le seguenti chiavi di condizione che possono essere utilizzate nell'Conditionelemento di una policy IAM. Puoi utilizzare queste chiavi per perfezionare ulteriormente le condizioni in base alle quali si applica l'istruzione di policy. Per dettagli sulle colonne nella tabella seguente, consulta Tabella delle chiavi di condizione.

Per visualizzare le chiavi di condizione globali disponibili per tutti i servizi, consulta Chiavi di condizione globali disponibili.

Chiavi di condizione	Descrizione	Tipo
aws:RequestTag/${TagKey}	Filtra l'accesso in base ai tag passati nella richiesta	Stringa
aws:ResourceTag/${TagKey}	Filtra l'accesso in base ai tag associati alla risorsa	Stringa
aws:TagKeys	Filtra l'accesso in base alle chiavi di tag passate nella richiesta	ArrayOfString
workspaces:userId	Filtra l'accesso in base all'ID dell'utente di Workspaces	Stringa