メニュー
AWS Identity and Access Management
ユーザーガイド

Amazon RDS のアクション、リソース、および条件キー

Amazon RDS (サービスプレフィックス: rds) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

参照:

Amazon RDS で定義されるアクション

IAM ポリシーステートメントの Action 要素では、以下のアクションを指定できます。ポリシーを使用することにより、AWS でオペレーションを実行するすべてのユーザーのアクセス許可を定義します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション 説明 アクセスレベル リソースタイプ (* 必須) 条件キー 依存アクション
AddRoleToDBCluster Aurora DB クラスターから Identity and Access Management (IAM) ロールを関連付けます。 書き込み

cluster*

rds:DatabaseEngine

rds:DatabaseName

rds:Vpc

rds:cluster-tag

iam-role*

AddSourceIdentifierToSubscription 既存の RDS イベント通知サブスクリプションにソース識別子を追加します。 書き込み

es*

rds:es-tag

AddTagsToResource Amazon RDS リソースにメタデータタグを追加します。 タグ付け

db

rds:db-tag

es

rds:es-tag

og

rds:og-tag

pg

rds:pg-tag

ri

rds:ri-tag

secgrp

rds:secgrp-tag

snapshot

rds:snapshot-tag

subgrp

rds:subgrp-tag

ApplyPendingMaintenanceAction 保留中のメンテナンスアクションをリソースに適用します。 書き込み

db*

rds:db-tag

AuthorizeDBSecurityGroupIngress 2 つの認証形式のいずれかを使用して DBSecurityGroup への入力を有効にします。 アクセス権限の管理

secgrp*

rds:secgrp-tag

CopyDBClusterSnapshot DB クラスターのスナップショットを作成します。 書き込み

cluster-snapshot*

rds:cluster-snapshot-tag

CopyDBParameterGroup 指定された DB パラメータグループをコピーします。 書き込み

pg*

rds:pg-tag

CopyDBSnapshot 指定された DB スナップショットをコピーします。 書き込み

snapshot*

rds:snapshot-tag

CopyOptionGroup 指定されたオプショングループをコピーします。 書き込み

og*

rds:og-tag

CreateDBCluster 新しい Amazon Aurora DB クラスターを作成します。 タグ付け

cluster*

rds:DatabaseEngine

rds:DatabaseName

rds:Vpc

rds:cluster-tag

cluster-pg*

rds:cluster-pg-tag

og*

rds:og-tag

subgrp*

rds:subgrp-tag

CreateDBClusterParameterGroup 新しい DB クラスターのパラメータグループを作成します。 タグ付け

cluster-pg*

rds:cluster-pg-tag

CreateDBClusterSnapshot DB クラスターのスナップショットを作成します。 タグ付け

cluster*

rds:cluster-tag

cluster-snapshot*

rds:cluster-snapshot-tag

CreateDBInstance 新しい DB インスタンスを作成します。 タグ付け

db*

rds:DatabaseClass

rds:DatabaseEngine

rds:DatabaseName

rds:MultiAz

rds:Piops

rds:StorageSize

rds:Vpc

rds:db-tag

og*

rds:og-tag

pg*

rds:pg-tag

secgrp*

rds:secgrp-tag

subgrp*

rds:subgrp-tag

CreateDBInstanceReadReplica ソース DB インスタンスのリードレプリカとして機能する MySQL、MariaDB、または PostgreSQL を実行する DB インスタンスの DB インスタンスを作成します。 タグ付け

db*

Piops

rds:DatabaseClass

rds:db-tag

og*

rds:og-tag

subgrp*

rds:subgrp-tag

CreateDBParameterGroup DB パラメータグループを作成します。 タグ付け

pg*

rds:pg-tag

CreateDBSecurityGroup 新しい DB セキュリティグループを作成します。DB セキュリティグループは、DB インスタンスへのアクセスを制御します。 タグ付け

secgrp*

rds:secgrp-tag

CreateDBSnapshot DBSnapshot を作成します。 タグ付け

db*

rds:db-tag

snapshot*

rds:snapshot-tag

CreateDBSubnetGroup 新しい DB サブネットグループを作成します。 タグ付け

subgrp*

rds:subgrp-tag

CreateEventSubscription RDS イベント通知サブスクリプションを作成します。 タグ付け

es*

rds:es-tag

CreateOptionGroup 新しいオプショングループを作成します。 タグ付け

og*

rds:og-tag

DeleteDBCluster DeleteDBCluster アクションでは、以前にプロビジョニングされた DB クラスターを削除します。 書き込み

cluster*

rds:cluster-tag

cluster-snapshot*

rds:cluster-snapshot-tag

DeleteDBClusterParameterGroup 指定された DB クラスターパラメータグループを削除します。 書き込み

cluster-pg*

rds:cluster-pg-tag

DeleteDBClusterSnapshot DB クラスタースナップショットを削除します。 書き込み

cluster-snapshot*

rds:cluster-snapshot-tag

DeleteDBInstance DeleteDBInstance アクションでは、以前にプロビジョニングされた DB インスタンスを削除します。 書き込み

db*

rds:db-tag

DeleteDBParameterGroup 指定された DBParameterGroup を削除します。 書き込み

pg*

rds:pg-tag

DeleteDBSecurityGroup DB セキュリティグループを削除します。 書き込み

secgrp*

rds:secgrp-tag

DeleteDBSnapshot DBSnapshot を削除します。 書き込み

snapshot*

rds:snapshot-tag

DeleteDBSubnetGroup DB サブネットグループを削除します。 書き込み

subgrp*

rds:subgrp-tag

DeleteEventSubscription RDS イベント通知サブスクリプションを削除します。 書き込み

es*

rds:es-tag

DeleteOptionGroup 既存のオプショングループを削除します。 書き込み

og*

rds:og-tag

DescribeAccountAttributes 顧客アカウントの属性をすべて一覧表示します。 リスト
DescribeCertificates Amazon RDS によってこの AWS アカウント用に提供されている CA 証明書のセットを一覧表示します。 リスト
DescribeDBClusterParameterGroups DBClusterParameterGroup の説明のリストを返します。 リスト

cluster-pg*

rds:cluster-pg-tag

DescribeDBClusterParameters 特定の DB クラスターパラメータグループの詳細なパラメータリストを返します。 リスト

cluster-pg*

rds:cluster-pg-tag

DescribeDBClusterSnapshotAttributes 手動の DB クラスタースナップショットの DB クラスタースナップショットの属性名と値のリストを返します。 リスト

cluster-snapshot*

rds:cluster-snapshot-tag

DescribeDBClusters プロビジョニングされた Aurora DB クラスターに関する情報を返します。 リスト

cluster*

rds:cluster-tag

DescribeDBEngineVersions 利用可能な DB エンジンのリストを返します。 リスト

pg*

rds:pg-tag

DescribeDBInstances プロビジョニングされた RDS インスタンスに関する情報を返します。 リスト
DescribeDBLogFiles DB インスタンスの DB ログファイルのリストを返します。 リスト

db*

rds:db-tag

DescribeDBParameterGroups DBParameterGroup の説明のリストを返します。 リスト

pg*

rds:pg-tag

DescribeDBParameters 特定の DB パラメータグループの詳細なパラメータリストを返します。 リスト

pg*

rds:pg-tag

DescribeDBSecurityGroups DBSecurityGroup の説明のリストを返します。 リスト

secgrp*

rds:secgrp-tag

DescribeDBSnapshotAttributes 手動の DB スナップショットの DB スナップショットの属性名と値のリストを返します。 リスト

snapshot*

rds:snapshot-tag

DescribeDBSnapshots DB スナップショットに関する情報を返します。 リスト

db*

rds:db-tag

snapshot*

rds:snapshot-tag

DescribeDBSubnetGroups DBSubnetGroup の説明のリストを返します。 リスト

subgrp*

rds:subgrp-tag

DescribeEngineDefaultClusterParameters クラスターのデータベースエンジンのデフォルトのエンジンおよびシステムパラメータ情報を返します。 リスト
DescribeEngineDefaultParameters 指定されたデータベースエンジンのデフォルトのエンジンおよびシステムパラメータ情報を返します。 リスト
DescribeEventCategories すべてのイベントソースタイプか、指定されている場合は、指定されたソースタイプのイベントカテゴリのリストを表示します。 リスト
DescribeEventSubscriptions 顧客アカウントのサブスクリプションの説明をすべて表示します。 リスト

es*

rds:es-tag

DescribeEvents DB インスタンス、DB セキュリティグループ、DB スナップショット、DB パラメータグループに関連する過去 14 日間のイベントを返します。 リスト

es*

rds:es-tag

DescribeOptionGroupOptions 使用可能なすべてのオプションの説明を表示します。 リスト

og*

rds:og-tag

DescribeOptionGroups グループの使用可能なオプションの説明を表示します。 リスト

og*

rds:og-tag

DescribeOrderableDBInstanceOptions 指定されたエンジンの注文可能な DB インスタンスオプションのリストを返します。 リスト
DescribePendingMaintenanceActions 少なくとも 1 つの保留中のメンテナンスアクションを含むリソース (例: DB インスタンス) のリストを返します。 リスト

db*

rds:DatabaseClass

rds:DatabaseEngine

rds:DatabaseName

rds:MultiAz

rds:Piops

rds:StorageSize

rds:Vpc

rds:db-tag

DescribeReservedDBInstances このアカウントのリザーブド DB インスタンス、または指定したリザーブド DB インスタンスに関する情報を返します。 リスト

ri*

rds:DatabaseClass

rds:MultiAz

rds:ri-tag

DescribeReservedDBInstancesOfferings 使用可能なリザーブド DB インスタンスを一覧表示します。 リスト

db*

rds:db-tag

DownloadCompleteDBLogFile 指定したデータベースログファイルの内容をダウンロードします。 Read
DownloadDBLogFilePortion 指定されたログファイルの全部または一部をダウンロードします (最大サイズは 1 MB)。 Read

db*

rds:db-tag

FailoverDBCluster DB クラスターのフェイルオーバーを強制実行します。 書き込み

cluster*

rds:cluster-tag

ListTagsForResource Amazon RDS リソースのすべてのタグを一覧表示します。 Read

db

rds:db-tag

es

rds:es-tag

og

rds:og-tag

pg

rds:pg-tag

ri

rds:ri-tag

secgrp

rds:secgrp-tag

snapshot

rds:snapshot-tag

subgrp

rds:subgrp-tag

ModifyDBCluster Amazon Aurora DB クラスターの設定を変更します。 書き込み

cluster*

rds:Vpc

rds:cluster-tag

cluster-pg*

rds:cluster-pg-tag

og*

rds:og-tag

ModifyDBClusterParameterGroup DB クラスターパラメータグループのパラメータを変更します。 書き込み

cluster-pg*

rds:cluster-pg-tag

ModifyDBClusterSnapshotAttribute 属性および値を、手動 DB クラスタースナップショットに追加するか、ここから属性および値を削除します。 書き込み

cluster-snapshot*

rds:cluster-snapshot-tag

ModifyDBInstance DB インスタンスの設定を変更します。 書き込み

db*

rds:DatabaseClass

rds:MultiAz

rds:Piops

rds:StorageSize

rds:Vpc

rds:db-tag

og*

rds:og-tag

pg*

rds:pg-tag

secgrp*

rds:secgrp-tag

ModifyDBParameterGroup DB パラメータグループのパラメータを変更します。 書き込み

pg*

rds:pg-tag

ModifyDBSnapshotAttribute 属性および値を、手動 DB スナップショットに追加するか、ここから属性および値を削除します。 書き込み

snapshot*

rds:snapshot-tag

ModifyDBSubnetGroup 既存の DB サブネットグループを変更します。 書き込み

subgrp*

rds:subgrp-tag

ModifyEventSubscription 既存の RDS イベント通知サブスクリプションを変更します。 書き込み

es*

rds:es-tag

ModifyOptionGroup 既存のオプショングループを変更します。 書き込み

og*

rds:og-tag

PromoteReadReplica リードレプリカ DB インスタンスをスタンドアロン DB インスタンスに昇格させます。 書き込み

db*

rds:db-tag

PurchaseReservedDBInstancesOffering リザーブド DB インスタンスを購入します。 書き込み
RebootDBInstance DB インスタンスを再起動すると、データベースエンジンサービスが再起動されます。 書き込み

db*

rds:db-tag

RemoveSourceIdentifierFromSubscription 既存の RDS イベント通知サブスクリプションからソース識別子を削除します。 書き込み

es*

rds:es-tag

RemoveTagsFromResource Amazon RDS リソースからメタデータタグを削除します。 タグ付け

db

rds:db-tag

es

rds:es-tag

og

rds:og-tag

pg

rds:pg-tag

ri

rds:ri-tag

secgrp

rds:secgrp-tag

snapshot

rds:snapshot-tag

subgrp

rds:subgrp-tag

ResetDBClusterParameterGroup DB クラスターパラメータグループのパラメータをデフォルト値に変更します。 書き込み

cluster-pg*

rds:cluster-pg-tag

ResetDBParameterGroup DB パラメータグループのパラメータをエンジン/システムのデフォルト値に変更します。 書き込み

pg*

rds:pg-tag

RestoreDBClusterFromSnapshot DB クラスタースナップショットから新しい DB クラスターを作成します。 書き込み

cluster*

rds:DatabaseEngine

rds:DatabaseName

rds:Vpc

rds:cluster-tag

cluster-snapshot*

rds:cluster-snapshot-tag

og*

rds:og-tag

RestoreDBClusterToPointInTime DB クラスターを任意の時点に復元します。 書き込み

cluster*

rds:Vpc

rds:cluster-tag

og*

rds:og-tag

subgrp*

rds:subgrp-tag

RestoreDBInstanceFromDBSnapshot DB スナップショットから新しい DB インスタンスを作成します。 書き込み

db*

rds:DatabaseClass

rds:DatabaseEngine

rds:DatabaseName

rds:MultiAz

rds:Piops

rds:Vpc

rds:db-tag

og*

rds:og-tag

snapshot*

rds:snapshot-tag

subgrp*

rds:subgrp-tag

RestoreDBInstanceToPointInTime DB インスタンスを任意の時点に復元します。 書き込み

db*

rds:DatabaseClass

rds:DatabaseEngine

rds:DatabaseName

rds:MultiAz

rds:Piops

rds:Vpc

rds:db-tag

og*

rds:og-tag

snapshot*

rds:snapshot-tag

subgrp*

rds:subgrp-tag

RevokeDBSecurityGroupIngress 以前に承認された IP 範囲の DBSecurityGroup、または EC2 か VPC のセキュリティグループの進入を取り消します。 書き込み

secgrp*

rds:secgrp-tag

StartDBInstance DB インスタンスを起動します。 書き込み

db*

rds:DatabaseClass

rds:DatabaseEngine

rds:DatabaseName

rds:MultiAz

rds:Piops

rds:StorageSize

rds:Vpc

rds:db-tag

StopDBInstance DB インスタンスを停止します。 書き込み

db*

rds:DatabaseClass

rds:DatabaseEngine

rds:DatabaseName

rds:MultiAz

rds:Piops

rds:StorageSize

rds:Vpc

rds:db-tag

RDS で定義されるリソース

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource 要素で使用できます。「アクション」テーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ ARN 条件キー
cluster arn:${Partition}:rds:${Region}:${Account}:cluster:${DbClusteInstanceName}

rds:DatabaseEngine

rds:DatabaseName

rds:Vpc

rds:cluster-tag

cluster-pg arn:${Partition}:rds:${Region}:${Account}:cluster-snapshot:${ClusterParameterGroupName}

rds:cluster-pg-tag

cluster-snapshot arn:${Partition}:rds:${Region}:${Account}:cluster-snapshot:${ClusterSnapshotName}

rds:cluster-snapshot-tag

db arn:${Partition}:rds:${Region}:${Account}:db:${DbInstanceName}

rds:DatabaseClass

rds:DatabaseEngine

rds:DatabaseName

rds:MultiAz

rds:Piops

rds:StorageSize

rds:Vpc

rds:db-tag

es arn:${Partition}:rds:${Region}:${Account}:es:${SubscriptionName}

rds:es-tag

iam-role arn:${Partition}:iam::${Account}:role/${RoleNameWithPath}
og arn:${Partition}:rds:${Region}:${Account}:og:${OptionGroupName}

rds:og-tag

pg arn:${Partition}:rds:${Region}:${Account}:pg:${ParameterGroupName}

rds:pg-tag

ri arn:${Partition}:rds:${Region}:${Account}:ri:${ReservedDbInstanceName}

rds:DatabaseClass

rds:MultiAz

rds:ri-tag

secgrp arn:${Partition}:rds:${Region}:${Account}:secgrp:${SecurityGroupName}

rds:secgrp-tag

snapshot arn:${Partition}:rds:${Region}:${Account}:snapshot:${SnapshotName}

rds:snapshot-tag

subgrp arn:${Partition}:rds:${Region}:${Account}:subgrp:${SubnetGroupName}

rds:subgrp-tag

Amazon RDS の条件キー

Amazon RDS では、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「IAM ポリシーの参照」の「使用できるグローバル条件キー」を参照してください。

条件キー 説明 タイプ
Piops インスタンスでサポートされているプロビジョンド IOPS (PIOPS) の数を示す値。 数値
rds:DatabaseClass DB インスタンスクラスのタイプ。 文字列
rds:DatabaseEngine データベースエンジン (MySQL など)。 文字列
rds:DatabaseName DB インスタンス上のデータベースのユーザー定義名。 文字列
rds:MultiAz DB インスタンスが複数のアベイラビリティーゾーンで実行されるかどうかを指定する値。DB インスタンスがマルチ AZ を使用していることを示すには、true を指定します。 数値
rds:Piops インスタンスでサポートされているプロビジョンド IOPS (PIOPS) の数を示す値。PIOPS が有効になっていない DB インスタンスを示すには、0 を指定します。 数値
rds:StorageSize ストレージボリュームのサイズ (GB 単位)。 数値
rds:Vpc DB インスタンスを Amazon Virtual Private Cloud (Amazon VPC) で実行するかどうかを指定する値。DB インスタンスが Amazon VPC で実行されていることを示すには、true を指定します。 Boolean
rds:cluster-pg-tag DB クラスターパラメータグループにアタッチされているタグ。 文字列
rds:cluster-snapshot-tag DB クラスタースナップショットにアタッチされているタグ。 文字列
rds:cluster-tag DB クラスターにアタッチされているタグ。 文字列
rds:db-tag DB インスタンスにアタッチされているタグ。 文字列
rds:es-tag イベントサブスクリプションにアタッチされているタグ。 文字列
rds:og-tag DB オプショングループにアタッチされているタグ。 文字列
rds:pg-tag DB パラメータグループにアタッチされているタグ。 文字列
rds:ri-tag リザーブド DB インスタンスにアタッチされているタグ。 文字列
rds:secgrp-tag DB セキュリティグループにアタッチされているタグ。 文字列
rds:snapshot-tag DB スナップショットにアタッチされているタグ。 文字列
rds:subgrp-tag DB サブネットグループにアタッチされているタグ。 文字列