Operazioni, risorse e chiavi di condizione per AWS Shield

AWS Shield (prefisso di servizio:shield) fornisce le seguenti risorse, azioni e chiavi di contesto delle condizioni specifiche del servizio da utilizzare nelle politiche di autorizzazione IAM.

Riferimenti:

• Scopri come configurare questo servizio.

• Visualizza un elenco delle operazioni API disponibili per questo servizio.

• Scopri come proteggere questo servizio e le sue risorse utilizzando le policy delle autorizzazioni di IAM.

Operazioni definite da AWS Shield

Puoi specificare le seguenti operazioni nell'elemento Action di un'istruzione di policy IAM. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando utilizzi un'operazione in una policy, in genere consenti o rifiuti l'accesso all'operazione API o al comando CLI con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.

La colonna Tipi di risorsa della tabella Operazioni indica se ogni operazione supporta le autorizzazioni a livello di risorsa. Se non vi è nessun valore in corrispondenza di questa colonna, è necessario specificare tutte le risorse ("*") alle quali si applica la policy nell'elemento Resource dell'istruzione di policy. Se la colonna include un tipo di risorsa, puoi specificare un ARN di quel tipo in una istruzione con tale operazione. Se l'operazione ha una o più risorse richieste, il chiamante deve disporre dell'autorizzazione per utilizzare l'operazione con tali risorse. Le risorse richieste sono indicate nella tabella con un asterisco (*). Se si limita l'accesso alle risorse con l'elemento Resource in una policy IAM, è necessario includere un ARN o un modello per ogni tipo di risorsa richiesta. Alcune operazioni supportano più tipi di risorse. Se il tipo di risorsa è facoltativo (non indicato come obbligatorio), puoi scegliere di utilizzare uno tra i tipi di risorsa facoltativi.

La colonna Chiavi di condizione della tabella Operazioni contiene le chiavi che è possibile specificare nell'elemento Condition di un'istruzione di policy. Per ulteriori informazioni sulle chiavi di condizione associate alle risorse per il servizio guarda la colonna Chiavi di condizione della tabella Tipi di risorsa.

Nota

Le chiavi relative alle condizioni delle risorse sono elencate nella tabella Tipi di risorse. Nella colonna Tipi di risorse (*obbligatorio) della tabella Operazioni è presente un collegamento al tipo di risorsa che si applica a un'operazione. Il tipo di risorsa nella tabella Tipi di risorse include la colonna Chiavi di condizione, che contiene le chiavi delle condizioni delle risorse che si applicano a un'operazione nella tabella Operazioni.

Per dettagli sulle colonne nella tabella seguente, consultare Tabella delle operazioni.

Azioni	Descrizione	Livello di accesso	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Operazioni dipendenti
AssociateDRTLogBucket	Concede l'autorizzazione per autorizzare il Team di risposta DDoS ad accedere al bucket Amazon S3 specificato contenente i log di flusso	Scrittura			s3:GetBucketPolicy s3:PutBucketPolicy
AssociateDRTRole	Concede l'autorizzazione ad autorizzare il team di risposta agli attacchi DDoS, utilizzando il ruolo specificato, ad accedere all'utente per contribuire Account AWS alla mitigazione degli attacchi DDoS durante potenziali attacchi	Scrittura			iam:GetRole iam:ListAttachedRolePolicies iam:PassRole
AssociateHealthCheck	Concede l'autorizzazione per aggiungere il rilevamento basato sullo stato alla protezione Shield Advanced per una risorsa	Write	protection*		route53:GetHealthCheck
				aws:ResourceTag/${TagKey}
AssociateProactiveEngagementDetails	Concede l'autorizzazione per inizializzare il coinvolgimento proattivo e impostare l'elenco dei contatti per il Team di risposta DDoS da utilizzare	Write
CreateProtection	Concede l'autorizzazione per attivare il servizio di protezione DDoS per una determinata risorsa ARN	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateProtectionGroup	Concede l'autorizzazione per creare un raggruppamento di risorse protette in modo che possano essere gestite come collettivo	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateSubscription	Concede l'autorizzazione per attivare un abbonamento	Write
DeleteProtection	Concede l'autorizzazione per eliminare una protezione esistente	Write	protection*
				aws:ResourceTag/${TagKey}
DeleteProtectionGroup	Concede l'autorizzazione per rimuovere il gruppo di protezione specificato	Write	protection-group*
				aws:ResourceTag/${TagKey}
DeleteSubscription	Concede l'autorizzazione per disattivare l'abbonamento	Write
DescribeAttack	Concede l'autorizzazione per ottenere i dettagli dell'attacco	Lettura	attack*
DescribeAttackStatistics	Concede l'autorizzazione a descrivere le informazioni sul numero e sul tipo di attacchi rilevati da AWS Shield nell'ultimo anno	Lettura
DescribeDRTAccess	Concede l'autorizzazione a descrivere il ruolo attuale e l'elenco dei bucket di log di Amazon S3 utilizzati dal team DDoS Response per accedere al Account AWS tuo account e contribuire alla mitigazione degli attacchi	Lettura
DescribeEmergencyContactSettings	Concede l'autorizzazione per elencare gli indirizzi e-mail che il DRT può utilizzare per contattarti durante un presunto attacco	Read
DescribeProtection	Concede l'autorizzazione per ottenere i dettagli della protezione	Read	protection*
				aws:ResourceTag/${TagKey}
DescribeProtectionGroup	Concede l'autorizzazione per descrivere la specifica per il gruppo di protezione specificato	Read	protection-group*
				aws:ResourceTag/${TagKey}
DescribeSubscription	Concede l'autorizzazione per ottenere i dettagli dell'abbonamento, ad esempio l'ora di inizio	Lettura
DisableApplicationLayerAutomaticResponse	Concede l'autorizzazione per disabilitare la risposta automatica a livello di applicazione per la protezione Shield Advanced per una risorsa	Scrittura
DisableProactiveEngagement	Concede l'autorizzazione per rimuovere l'autorizzazione dal Team di risposta DDoS per notificare i contatti in merito alle escalation	Write
DisassociateDRTLogBucket	Concede l'autorizzazione per rimuovere l'accesso del Team di risposta DDoS al bucket Amazon S3 specificato contenenti i log di flusso	Scrittura			s3:DeleteBucketPolicy s3:GetBucketPolicy s3:PutBucketPolicy
DisassociateDRTRole	Concede l'autorizzazione a rimuovere l'accesso del team DDoS Response al tuo Account AWS	Scrittura
DisassociateHealthCheck	Concede l'autorizzazione per rimuovere il rilevamento basato sullo stato dalla protezione Shield Advanced per una risorsa	Scrittura	protection*
				aws:ResourceTag/${TagKey}
EnableApplicationLayerAutomaticResponse	Concede l'autorizzazione per abilitare la risposta automatica a livello di applicazione per la protezione Shield Advanced per una risorsa	Scrittura			apprunner:DescribeWebAclForService cloudfront:GetDistribution cognito-idp:GetWebACLForResource ec2:GetVerifiedAccessInstanceWebAcl iam:CreateServiceLinkedRole iam:GetRole wafv2:GetWebACL wafv2:GetWebACLForResource
EnableProactiveEngagement	Concede l'autorizzazione per autorizzare il Team di risposta DDoS a utilizzare e-mail e telefono per notificare i contatti in merito alle escalation	Write
GetSubscriptionState	Concede l'autorizzazione per ottenere lo stato dell'abbonamento	Read
ListAttacks	Concede l'autorizzazione per elencare tutti gli attacchi esistenti	Elenco
ListProtectionGroups	Concede l'autorizzazione per recuperare i gruppi di protezione per l'account	Elenco
ListProtections	Concede l'autorizzazione per elencare tutte le protezioni esistenti	Elenco
ListResourcesInProtectionGroup	Concede l'autorizzazione per recuperare le risorse che sono incluse nel gruppo di protezione	Elenco	protection-group*
ListTagsForResource	Concede l'autorizzazione a ottenere informazioni sui AWS tag per uno specifico Amazon Resource Name (ARN) in Shield AWS	Lettura	protection
			protection-group
TagResource	Concede l'autorizzazione ad aggiungere o aggiornare i tag per una risorsa in AWS Shield	Assegnazione di tag	protection
			protection-group
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Concede l'autorizzazione a rimuovere i tag da una risorsa in AWS Shield	Assegnazione di tag	protection
			protection-group
				aws:TagKeys
UpdateApplicationLayerAutomaticResponse	Concede l'autorizzazione per aggiornare la risposta automatica del livello dell'applicazione per la protezione Shield Advanced per una risorsa	Scrittura			apprunner:DescribeWebAclForService cognito-idp:GetWebACLForResource ec2:GetVerifiedAccessInstanceWebAcl wafv2:GetWebACL wafv2:GetWebACLForResource
UpdateEmergencyContactSettings	Concede l'autorizzazione per aggiornare i dettagli dell'elenco di indirizzi e-mail che il DRT può utilizzare per contattarti durante un presunto attacco	Write
UpdateProtectionGroup	Concede l'autorizzazione per aggiornare un gruppo di protezione esistente	Write	protection-group*
				aws:ResourceTag/${TagKey}
UpdateSubscription	Concede l'autorizzazione per aggiornare i dettagli di un abbonamento esistente	Write

Tipi di risorse definiti da AWS Shield

I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'elemento Resource delle istruzioni di policy delle autorizzazioni IAM. Ogni operazione nella Tabella delle operazioni identifica i tipi di risorse che possono essere specificati con tale operazione. Un tipo di risorsa può anche definire quali chiavi di condizione puoi includere in una policy. Queste chiavi vengono visualizzate nell'ultima colonna della tabella Tipi di risorsa. Per dettagli sulle colonne nella tabella seguente, consulta Tabella dei tipi di risorsa.

Tipi di risorsa	ARN	Chiavi di condizione
attack	arn:${Partition}:shield::${Account}:attack/${Id}
protection	arn:${Partition}:shield::${Account}:protection/${Id}	aws:ResourceTag/${TagKey}
protection-group	arn:${Partition}:shield::${Account}:protection-group/${Id}	aws:ResourceTag/${TagKey}

Chiavi di condizione per AWS Shield

AWS Shield definisce le seguenti chiavi di condizione che possono essere utilizzate nell'Conditionelemento di una policy IAM. Puoi utilizzare queste chiavi per perfezionare ulteriormente le condizioni in base alle quali si applica l'istruzione di policy. Per dettagli sulle colonne nella tabella seguente, consulta Tabella delle chiavi di condizione.

Per visualizzare le chiavi di condizione globali disponibili per tutti i servizi, consulta Chiavi di condizione globali disponibili.

Chiavi di condizione	Descrizione	Tipo
aws:RequestTag/${TagKey}	Filtra le operazioni in base alla presenza di coppie chiave-valore di tag nella richiesta.	Stringa
aws:ResourceTag/${TagKey}	Filtra le operazioni in base a tag sotto forma di coppie chiave/valore collegati alla risorsa	Stringa
aws:TagKeys	Filtra le operazioni in base alla presenza di chiavi di tag nella richiesta	ArrayOfString