Azioni, risorse e chiavi di condizione per AWS CloudTrail

AWS CloudTrail (prefisso di servizio:cloudtrail) fornisce le seguenti risorse, azioni e chiavi di contesto delle condizioni specifiche del servizio da utilizzare nelle politiche di autorizzazione IAM.

Riferimenti:

• Scopri come configurare questo servizio.

• Visualizza un elenco delle operazioni API disponibili per questo servizio.

• Scopri come proteggere questo servizio e le sue risorse utilizzando le policy delle autorizzazioni IAM.

Operazioni definite da AWS CloudTrail

Puoi specificare le seguenti operazioni nell'elemento Action di un'istruzione di policy IAM. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando utilizzi un'operazione in una policy, in genere consenti o rifiuti l'accesso all'operazione API o al comando CLI con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.

La colonna Tipi di risorsa della tabella Operazioni indica se ogni operazione supporta le autorizzazioni a livello di risorsa. Se non vi è nessun valore in corrispondenza di questa colonna, è necessario specificare tutte le risorse ("*") alle quali si applica la policy nell'elemento Resource dell'istruzione di policy. Se la colonna include un tipo di risorsa, puoi specificare un ARN di quel tipo in una istruzione con tale operazione. Se l'operazione ha una o più risorse richieste, il chiamante deve disporre dell'autorizzazione per utilizzare l'operazione con tali risorse. Le risorse richieste sono indicate nella tabella con un asterisco (*). Se si limita l'accesso alle risorse con l'elemento Resource in una policy IAM, è necessario includere un ARN o un modello per ogni tipo di risorsa richiesta. Alcune operazioni supportano più tipi di risorse. Se il tipo di risorsa è facoltativo (non indicato come obbligatorio), puoi scegliere di utilizzare uno tra i tipi di risorsa facoltativi.

La colonna Chiavi di condizione della tabella Operazioni contiene le chiavi che è possibile specificare nell'elemento Condition di un'istruzione di policy. Per ulteriori informazioni sulle chiavi di condizione associate alle risorse per il servizio guarda la colonna Chiavi di condizione della tabella Tipi di risorsa.

Nota

Le chiavi relative alle condizioni delle risorse sono elencate nella tabella Tipi di risorse. Nella colonna Tipi di risorse (*obbligatorio) della tabella Operazioni è presente un collegamento al tipo di risorsa che si applica a un'operazione. Il tipo di risorsa nella tabella Tipi di risorse include la colonna Chiavi di condizione, che contiene le chiavi delle condizioni delle risorse che si applicano a un'operazione nella tabella Operazioni.

Per dettagli sulle colonne nella tabella seguente, consultare Tabella delle operazioni.

Azioni	Descrizione	Livello di accesso	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Operazioni dipendenti
AddTags	Concede l'autorizzazione per aggiungere uno o più tag a un trail, a un datastore di evento o a un canale fino a un limite di 50	Assegnazione di tag	channel
			eventdatastore
			trail
				aws:RequestTag/${TagKey} aws:TagKeys
CancelQuery	Concede l'autorizzazione per annullare una query in esecuzione	Scrittura	eventdatastore*
CreateChannel	Concede l'autorizzazione per creare un canale	Scrittura	channel*		cloudtrail:AddTags
			eventdatastore*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateEventDataStore	Concede l'autorizzazione per creare un datastore di evento	Scrittura	eventdatastore*		cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization
				aws:RequestTag/${TagKey} aws:TagKeys
CreateServiceLinkedChannel [solo autorizzazione]	Concede l'autorizzazione a creare un canale collegato al servizio che specifica le impostazioni per la consegna dei dati di registro a un servizio AWS	Scrittura	channel*
CreateTrail	Concede l'autorizzazione per creare un trail che specifica le impostazioni per la distribuzione dei dati di log per un bucket Amazon S3	Scrittura	trail*		cloudtrail:AddTags iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization
DeleteChannel	Concede l'autorizzazione per eliminare un canale	Scrittura	channel*
DeleteEventDataStore	Concede l'autorizzazione per eliminare un datastore di evento	Scrittura	eventdatastore*
DeleteResourcePolicy	Concede l'autorizzazione per eliminare una policy delle risorse dalla risorsa fornita	Scrittura	channel*
DeleteServiceLinkedChannel [solo autorizzazione]	Concede l'autorizzazione per eliminare un canale collegato al servizio	Scrittura	channel*
DeleteTrail	Concede l'autorizzazione per eliminare un trail	Scrittura	trail*
DeregisterOrganizationDelegatedAdmin	Concede l'autorizzazione per annullare la registrazione di un account membro di AWS Organizations come amministratore delegato	Scrittura			organizations:DeregisterDelegatedAdministrator organizations:ListAWSServiceAccessForOrganization
DescribeQuery	Concede l'autorizzazione per elencare i dettagli per la query	Lettura	eventdatastore*
DescribeTrails	Concede l'autorizzazione per elencare le impostazioni per i trail associati alla regione corrente per il tuo account	Lettura
DisableFederation	Concede l'autorizzazione a disabilitare la federazione dei dati del data store degli eventi utilizzando il AWS Glue Data Catalog	Scrittura	eventdatastore*		glue:DeleteDatabase glue:DeleteTable glue:PassConnection lakeformation:DeregisterResource lakeformation:RegisterResource
EnableFederation	Concede l'autorizzazione per abilitare la federazione dei dati del data store degli eventi utilizzando il AWS Glue Data Catalog	Scrittura	eventdatastore*		glue:CreateDatabase glue:CreateTable iam:GetRole iam:PassRole lakeformation:DeregisterResource lakeformation:RegisterResource
GenerateQuery	Concede l'autorizzazione a generare una query per un data store di eventi specificato utilizzando il generatore di query CloudTrail Lake	Scrittura	eventdatastore*
GetChannel	Concede l'autorizzazione per restituire informazioni su un canale specifico	Lettura	channel*
GetEventDataStore	Concede l'autorizzazione a elencare le impostazioni per il datastore di evento	Lettura	eventdatastore*
GetEventDataStoreData	Concede l'autorizzazione a ottenere dati da un archivio dati di eventi utilizzando il AWS Glue Data Catalog	Lettura	eventdatastore*		kms:Decrypt kms:GenerateDataKey
GetEventSelectors	Concede l'autorizzazione per elencare le impostazioni per selettori di eventi configurati per un trail	Lettura	trail*
GetImport	Concede l'autorizzazione per restituire informazioni su un'importazione specifica	Lettura
GetInsightSelectors	Concede l'autorizzazione a elencare i selettori di CloudTrail Insights configurati per un archivio dati di trail o event	Lettura	eventdatastore
			trail
GetQueryResults	Concede l'autorizzazione per recuperare i risultati di una query completa	Lettura	eventdatastore*		kms:Decrypt kms:GenerateDataKey
GetResourcePolicy	Concede l'autorizzazione per ottenere la policy delle risorse collegata alla risorsa fornita	Lettura	channel*
GetServiceLinkedChannel [solo autorizzazione]	Concede l'autorizzazione per elencare le impostazioni per il canale collegato al servizio	Lettura	channel*
GetTrail	Concede l'autorizzazione a elencare le impostazioni per il trail	Read	trail*
GetTrailStatus	Concede l'autorizzazione per recuperare un elenco in formato JSON di informazioni relative al trail specificato	Lettura	trail*
ListChannels	Concede l'autorizzazione per elencare i canali nell'account corrente e i relativi nomi di origine	Elenco
ListEventDataStores	Concede l'autorizzazione per elencare i datastore di evento associati alla regione corrente per il tuo account	Elenco
ListImportFailures	Concede l'autorizzazione per restituire un elenco di errori per l'importazione specificata	Lettura
ListImports	Concede l'autorizzazione a restituire informazioni su tutte le importazioni o su un insieme selezionato di importazioni da o Destination ImportStatus	Elenco
ListPublicKeys	Concede l'autorizzazione per elencare le chiavi pubbliche le cui chiavi private sono state utilizzate per firmare i file digest del trail all'interno di un intervallo di tempo specificato	Lettura
ListQueries	Concede l'autorizzazione per elencare le query associate a un datastore di evento	Elenco	eventdatastore*
ListServiceLinkedChannels [solo autorizzazione]	Concede l'autorizzazione per elencare i canali collegati ai servizi associati alla regione corrente per un account specifico	Elenco
ListTags	Concede l'autorizzazione per elencare i tag per i trail, i datastore di evento o i canali nella regione corrente	Lettura	channel
			eventdatastore
			trail
ListTrails	Concede l'autorizzazione per elencare i trail associati alla regione corrente per il tuo account	Elenco
LookupEvents	Concede l'autorizzazione a cercare e recuperare i dati metrici per gli eventi di attività dell'API acquisiti durante la creazione, CloudTrail l'aggiornamento o l'eliminazione di risorse nell'account	Lettura
PutEventSelectors	Concede l'autorizzazione per creare e aggiornare selettori di eventi per un trail	Scrittura	trail*
PutInsightSelectors	Concede l'autorizzazione a creare e aggiornare i selettori di CloudTrail Insights per un archivio di dati di percorsi o eventi	Scrittura	eventdatastore
			trail
PutResourcePolicy	Concede l'autorizzazione per collegare una policy delle risorse alla risorsa fornita	Scrittura	channel*
RegisterOrganizationDelegatedAdmin	Concede l'autorizzazione a registrare un account membro di AWS Organizations come amministratore delegato	Scrittura			iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization organizations:RegisterDelegatedAdministrator
RemoveTags	Concede l'autorizzazione per rimuovere tag da un trail, un datastore di evento o un canale	Assegnazione di tag	channel
			eventdatastore
			trail
				aws:TagKeys
RestoreEventDataStore	Concede l'autorizzazione per ripristinare un datastore di evento	Scrittura	eventdatastore*
StartEventDataStoreIngestion	Concede l'autorizzazione per avviare l'acquisizione su un datastore di evento	Scrittura	eventdatastore*
StartImport	Concede l'autorizzazione per avviare un'importazione di eventi traccia registrati da un bucket S3 di origine a un archivio dati di eventi di destinazione	Scrittura
StartLogging	Concede l'autorizzazione ad avviare la registrazione delle chiamate AWS API e la consegna dei file di registro per un percorso	Scrittura	trail*
StartQuery	Concede l'autorizzazione per avviare una nuova query su un datastore di evento specificato	Scrittura	eventdatastore*		kms:Decrypt kms:GenerateDataKey
StopEventDataStoreIngestion	Concede l'autorizzazione per arrestare l'acquisizione su un datastore di evento	Scrittura	eventdatastore*
StopImport	Concede l'autorizzazione per arrestare un'importazione specificata	Scrittura
StopLogging	Concede l'autorizzazione a interrompere la registrazione delle chiamate AWS API e la consegna dei file di registro per un percorso	Scrittura	trail*
UpdateChannel	Concede l'autorizzazione per aggiornare un canale	Scrittura	channel*
UpdateEventDataStore	Concede l'autorizzazione per aggiornare un datastore di evento	Scrittura	eventdatastore*		iam:CreateServiceLinkedRole iam:GetRole kms:Decrypt kms:GenerateDataKey organizations:ListAWSServiceAccessForOrganization
UpdateServiceLinkedChannel [solo autorizzazione]	Concede l'autorizzazione per aggiornare le impostazioni che specificano la distribuzione di file di log	Scrittura	channel*
UpdateTrail	Concede l'autorizzazione per aggiornare le impostazioni che specificano la distribuzione di file di log	Scrittura	trail*		iam:CreateServiceLinkedRole iam:GetRole organizations:ListAWSServiceAccessForOrganization

Tipi di risorsa definiti da AWS CloudTrail

I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'elemento Resource delle istruzioni di policy delle autorizzazioni IAM. Ogni operazione nella Tabella delle operazioni identifica i tipi di risorse che possono essere specificati con tale operazione. Un tipo di risorsa può anche definire quali chiavi di condizione puoi includere in una policy. Queste chiavi vengono visualizzate nell'ultima colonna della tabella Tipi di risorsa. Per dettagli sulle colonne nella tabella seguente, consulta Tabella dei tipi di risorsa.

Nota

Per le politiche che controllano l'accesso alle CloudTrail azioni, l'elemento Resource è sempre impostato su «*». Per informazioni sull'utilizzo degli ARN di risorse in una policy IAM, consulta How AWS CloudTrail works with IAM nella Guida per l'AWS CloudTrail utente.

Tipi di risorsa	ARN	Chiavi di condizione
trail	arn:${Partition}:cloudtrail:${Region}:${Account}:trail/${TrailName}
eventdatastore	arn:${Partition}:cloudtrail:${Region}:${Account}:eventdatastore/${EventDataStoreId}	aws:ResourceTag/${TagKey}
channel	arn:${Partition}:cloudtrail:${Region}:${Account}:channel/${ChannelId}	aws:ResourceTag/${TagKey}

Chiavi di condizione per l' AWS CloudTrail

AWS CloudTrail definisce le seguenti chiavi di condizione che possono essere utilizzate nell'Conditionelemento di una policy IAM. Puoi utilizzare queste chiavi per perfezionare ulteriormente le condizioni in base alle quali si applica l'istruzione di policy. Per dettagli sulle colonne nella tabella seguente, consulta Tabella delle chiavi di condizione.

Per visualizzare le chiavi di condizione globali disponibili per tutti i servizi, consulta Chiavi di condizione globali disponibili.

Chiavi di condizione	Descrizione	Tipo
aws:RequestTag/${TagKey}	Filtra l'accesso dalle coppie chiave-valore tag nella richiesta	Stringa
aws:ResourceTag/${TagKey}	Filtra l'accesso dai tag collegati a una risorsa	Stringa
aws:TagKeys	Filtra l'accesso tramite i tasti tag in una richiesta	ArrayOfStringa