Amazon DocumentDB API のアクセス許可: アクション、リソース、条件リファレンス

次のセクションは、IAM アイデンティティに付加できる Amazon DocumentDB のアイデンティティベースのポリシー (IAM ポリシー) の使用 およびアクセス許可ポリシー (アイデンティティベースのポリシー) を設定および書き込む際の参照として使用してください。

以下に各 Amazon DocumentDB API オペレーションを示します。リストには、アクションを実行するためのアクセス許可を付与できる対応するアクション、アクセス許可を付与できる AWS リソース、きめ細かなアクセスコントロールに含めることができる条件キーが含まれています。ポリシーの Action フィールドにアクションを、ポリシーの Resource フィールドにリソース値を、ポリシーの Condition フィールドに条件を指定します。条件の詳細については、「ポリシーでの条件の指定」を参照してください。

Amazon DocumentDB ポリシーで AWS全体の条件キーを使用して、条件を表現できます。 AWS全体のキーの完全なリストについては、IAM ユーザーガイドの「使用可能なキー」を参照してください。

IAM ポリシーシミュレーターを使用して IAM ポリシーをテストできます。Amazon DocumentDB AWS アクションなど、各アクションに必要なリソースとパラメータのリストが自動的に提供されます。IAM ポリシーシミュレーター により、指定する各アクションに必要な許可が決定されます。IAM ポリシーシミュレーターの詳細については、IAMユーザーガイド の IAM Policy Simulatorを使用したIAMポリシーのテスト を参照してください。

注記

アクションを指定するには、API オペレーション名 (rds:CreateDBInstance など) の前に rds: プレフィックスを使用します。

以下に、Amazon RDS API のオペレーションとそれに関連するアクション、リソース、および条件キーを示します。

リソースレベルの許可をサポートする Amazon DocumentDB アクション

リソースレベルの許可とは、ユーザーがアクションを実行できるリソースを指定できる機能を提供します。Amazon DocumentDB は、リソースレベルのアクセス許可を部分的にサポートします。これは、特定の Amazon DocumentDB アクションについて、満たす必要のある条件、またはユーザーが使用を許可されている特定のリソースに基づいて、ユーザーがそれらのアクションをいつ使用できるかを制御できることを意味します。例えば、特定のインスタンスのみ変更するアクセス許可をユーザーに付与できます。

Amazon DocumentDB API オペレーションと関連するアクション、リソース、および条件キーを以下に示します。

注記

特定の管理機能について、Amazon DocumentDB は Amazon RDS と共有されるオペレーショナルテクノロジーを使用します。Amazon DocumentDB アクションおよびアクセス許可の詳細については、「サービス認可リファレンス」の「Amazon RDS のアクション、リソース、および条件キー」を参照してください。

Amazon DocumentDB API オペレーションとアクション	リソース	条件キー
AddTagsToResource rds:AddTagsToResource	インスタンス arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	サブネットグループ arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
ApplyPendingMaintenanceAction rds:ApplyPendingMaintenanceAction	インスタンス arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
CopyDBClusterSnapshot rds:CopyDBClusterSnapshot	クラスタースナップショット arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
CreateDBCluster rds:CreateDBCluster	クラスター arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	クラスターパラメータグループ arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
	サブネットグループ arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
CreateDBClusterParameterGroup rds:CreateDBClusterParameterGroup	クラスターパラメータグループ arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
CreateDBClusterSnapshot rds:CreateDBClusterSnapshot	クラスター arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	クラスタースナップショット arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
CreateDBInstance rds:CreateDBInstance	インスタンス arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
	クラスター arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
CreateDBSubnetGroup rds:CreateDBSubnetGroup	サブネットグループ arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DeleteDBInstance rds:DeleteDBInstance	インスタンス arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
DeleteDBSubnetGroup rds:DeleteDBSubnetGroup	サブネットグループ arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DescribeDBClusterParameterGroups rds:DescribeDBClusterParameterGroups	クラスターパラメータグループ arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
DescribeDBClusterParameters rds:DescribeDBClusterParameters	クラスターパラメータグループ arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
DescribeDBClusters rds:DescribeDBClusters	クラスター arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
DescribeDBClusterSnapshotAttributes rds:DescribeDBClusterSnapshotAttributes	クラスタースナップショット arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
DescribeDBSubnetGroups rds:DescribeDBSubnetGroups	サブネットグループ arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
DescribePendingMaintenanceActions rds:DescribePendingMaintenanceActions	インスタンス arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
FailoverDBCluster rds:FailoverDBCluster	クラスター arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
ListTagsForResource rds:ListTagsForResource	インスタンス arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	サブネットグループ arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
ModifyDBCluster rds:ModifyDBCluster	クラスター arn:aws:rds:region:account-id:cluster:db-cluster-name	rds:cluster-tag
	クラスターパラメータグループ arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
ModifyDBClusterParameterGroup rds:ModifyDBClusterParameterGroup	クラスターパラメータグループ arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
ModifyDBClusterSnapshotAttribute rds:ModifyDBClusterSnapshotAttribute	クラスタースナップショット arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
ModifyDBInstance rds:ModifyDBInstance	インスタンス arn:aws:rds:region:account-id:db:db-instance-name	rds:DatabaseClass rds:db-tag
RebootDBInstance rds:RebootDBInstance	インスタンス arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
RemoveTagsFromResource rds:RemoveTagsFromResource	インスタンス arn:aws:rds:region:account-id:db:db-instance-name	rds:db-tag
	サブネットグループ arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag
ResetDBClusterParameterGroup rds:ResetDBClusterParameterGroup	クラスターパラメータグループ arn:aws:rds:region:account-id:cluster-pg:cluster-parameter-group-name	rds:cluster-pg-tag
RestoreDBClusterFromSnapshot rds:RestoreDBClusterFromSnapshot	クラスター arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
	クラスタースナップショット arn:aws:rds:region:account-id:cluster-snapshot:cluster-snapshot-name	rds:cluster-snapshot-tag
RestoreDBClusterToPointInTime rds:RestoreDBClusterToPointInTime	クラスター arn:aws:rds:region:account-id:cluster:db-cluster-instance-name	rds:cluster-tag
	サブネットグループ arn:aws:rds:region:account-id:subgrp:subnet-group-name	rds:subgrp-tag

リソースレベルの権限をサポートしない Amazon DocumentDB アクション

Amazon DocumentDB ポリシーのすべての IAM アクションを使用して、そのアクションを使用する許可をユーザーに付与または拒否できます。ただし、すべての Amazon DocumentDB アクションが、アクションを実行することができるリソースを指定できる、リソースレベルのアクセス許可をサポートしているわけではありません。現在、次の Amazon DocumentDB API アクションは、リソースレベルの許可をサポートしていません。したがって、IAM ポリシーでこれらのアクションを使用するには、ステートメントで * 要素に Resource ワイルドカードを使って、アクションに対してすべてのリソースを使用する許可をユーザーに付与する必要があります。

• rds:DescribeDBClusterSnapshots

• rds:DescribeDBInstances