Amazon Cognito ユーザープールのアクション、リソース、および条件キー

Amazon Cognito ユーザープール (サービスプレフィックス: cognito-idp) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

参照:

• このサービスを設定する方法について説明します。

• このサービスで使用可能な API オペレーションのリストを表示します。

• IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。

Amazon Cognito ユーザープールで定義されるアクション

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、AWS でオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource 要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
AddCustomAttributes	ユーザー属性をユーザープールスキーマに追加するアクセス許可を付与	書き込み	userpool*
AdminAddUserToGroup	ユーザーをグループに追加するアクセス許可を付与	書き込み	userpool*
AdminConfirmSignUp	確認コードなしでユーザーの登録を確認するアクセス許可を付与	書き込み	userpool*
AdminCreateUser	新しいユーザーを作成し、E メールまたは SMS でウェルカムメッセージを送信するアクセス許可を付与	書き込み	userpool*
AdminDeleteUser	ユーザーを削除するアクセス許可を付与	書き込み	userpool*
AdminDeleteUserAttributes	ユーザーから属性を削除するアクセス許可を付与	書き込み	userpool*
AdminDisableProviderForUser	サードパーティーの ID プロバイダー (IdP) ユーザーからユーザープールのユーザーをリンク解除するアクセス許可を付与	書き込み	userpool*
AdminDisableUser	ユーザーを非アクティブ化するアクセス許可を付与	書き込み	userpool*
AdminEnableUser	ユーザーをアクティブ化するアクセス許可を付与	書き込み	userpool*
AdminForgetDevice	ユーザーのデバイスの登録を解除するアクセス許可を付与	書き込み	userpool*
AdminGetDevice	ユーザーのデバイスに関する情報を取得するアクセス許可を付与	読み込み	userpool*
AdminGetUser	ユーザーをユーザー名で検索するアクセス許可を付与	読み込み	userpool*
AdminInitiateAuth	ユーザーを認証するアクセス許可を付与	書き込み	userpool*
AdminLinkProviderForUser	ユーザープールのユーザーをサードパーティーの IdP ユーザーにリンクするアクセス許可を付与	書き込み	userpool*
AdminListDevices	ユーザーの記憶したデバイスを一覧表示するアクセス許可を付与	リスト	userpool*
AdminListGroupsForUser	ユーザーが属するグループを一覧表示するアクセス許可を付与	リスト	userpool*
AdminListUserAuthEvents	ユーザーのサインインイベントを一覧表示するアクセス許可を付与	読み込み	userpool*
AdminRemoveUserFromGroup	グループからユーザーを削除するアクセス許可を付与	書き込み	userpool*
AdminResetUserPassword	ユーザーのパスワードをリセットするアクセス許可を付与	書き込み	userpool*
AdminRespondToAuthChallenge	ユーザーの認証中に認証チャレンジに応答するアクセス許可を付与	書き込み	userpool*
AdminSetUserMFAPreference	ユーザーが優先する MFA メソッドを設定するアクセス許可を付与	書き込み	userpool*
AdminSetUserPassword	ユーザーのパスワードを設定するアクセス許可を付与	書き込み	userpool*
AdminSetUserSettings	ユーザーにユーザー設定を設定するアクセス許可を付与	書き込み	userpool*
AdminUpdateAuthEventFeedback	ユーザーの認証イベントの高度なセキュリティフィードバックを更新するアクセス許可を付与	書き込み	userpool*
AdminUpdateDeviceStatus	ユーザーの記憶したデバイスのステータスを更新するアクセス許可を付与	書き込み	userpool*
AdminUpdateUserAttributes	ユーザーの標準属性またはカスタム属性を更新するアクセス許可を付与	書き込み	userpool*
AdminUserGlobalSignOut	すべてのセッションからユーザーをサインアウトするアクセス許可を付与	書き込み	userpool*
AssociateSoftwareToken	ユーザーの一意に生成された共有シークレットキーコードを返すアクセス許可を付与	書き込み
AssociateWebACL [アクセス許可のみ]	ユーザープールを AWS WAF ウェブ ACL に関連付けるアクセス許可を付与	書き込み	userpool*
			webacl*
ChangePassword	ユーザープールの指定されたユーザーのパスワードを変更するアクセス許可を付与	書き込み
ConfirmDevice	デバイスの追跡を確認するアクセス許可を付与 この API コールによって、デバイス追跡が開始します。	書き込み
ConfirmForgotPassword	忘れたパスワードをリセットする確認コードをユーザーが入力できるようにするアクセス許可を付与	書き込み
ConfirmSignUp	ユーザーの登録を確認して、以前のユーザーの既存のエイリアスを処理するアクセス許可を付与	書き込み
CreateGroup	新しいユーザープールグループを作成するアクセス許可を付与	書き込み	userpool*
CreateIdentityProvider	ID プロバイダーをユーザープールに追加するアクセス許可を付与	書き込み	userpool*
CreateResourceServer	OAuth 2.0 リソースサーバーのスコープを作成および設定するアクセス許可を付与	書き込み	userpool*
CreateUserImportJob	ユーザー CSV インポートジョブを作成するアクセス許可を付与	書き込み	userpool*
CreateUserPool	ユーザープールのパスワードポリシーを作成および設定するアクセス許可を付与	書き込み		aws:RequestTag/${TagKey} aws:TagKeys aws:ResourceTag/${TagKey}
CreateUserPoolClient	ユーザープールアプリケーションクライアントを作成するアクセス許可を付与	書き込み	userpool*
CreateUserPoolDomain	ユーザープールドメインを追加するアクセス許可を付与	書き込み	userpool*
DeleteGroup	空のユーザープールグループを削除するアクセス許可を付与	書き込み	userpool*
DeleteIdentityProvider	ユーザープールから ID プロバイダーを削除するアクセス許可を付与	書き込み	userpool*
DeleteResourceServer	ユーザープールから OAuth 2.0 リソースサーバーを削除するアクセス許可を付与	書き込み	userpool*
DeleteUser	ユーザーが自身を削除できるようにするアクセス許可を付与	書き込み
DeleteUserAttributes	ユーザーの属性を削除するアクセス許可を付与	書き込み
DeleteUserPool	ユーザープールを削除するアクセス許可を付与	書き込み	userpool*
DeleteUserPoolClient	ユーザープールアプリケーションクライアントを削除するアクセス許可を付与	書き込み	userpool*
DeleteUserPoolDomain	ユーザープールドメインを削除するアクセス許可を付与	書き込み	userpool*
DescribeIdentityProvider	ユーザープール ID プロバイダーを記述するアクセス許可を付与	読み込み	userpool*
DescribeResourceServer	OAuth 2.0 リソースサーバーを記述するアクセス許可を付与	読み込み	userpool*
DescribeRiskConfiguration	ユーザープールとアプリケーションクライアントのリスク設定を記述するアクセス許可を付与	読み込み	userpool*
DescribeUserImportJob	ユーザーインポートジョブを記述するアクセス許可を付与	読み込み	userpool*
DescribeUserPool	ユーザープールを記述するアクセス許可を付与	読み込み	userpool*
DescribeUserPoolClient	ユーザープールアプリケーションクライアントを記述するアクセス許可を付与	読み込み	userpool*
DescribeUserPoolDomain	ユーザープールドメインを記述するアクセス許可を付与	読み込み
DisassociateWebACL [アクセス許可のみ]	AWS WAF ウェブ ACL へのユーザープールの関連付けを解除するアクセス許可を付与	書き込み	userpool*
ForgetDevice	指定されたデバイスを忘れるアクセス許可を付与	書き込み
ForgotPassword	ユーザーのパスワードを変更するために必要な確認コードと共にメッセージをエンドユーザーに送信するアクセス許可を付与	書き込み
GetCSVHeader	ユーザーインポート .csv ファイルのヘッダーを生成するアクセス許可を付与	読み込み	userpool*
GetDevice	デバイスを取得するアクセス許可を付与	読み込み
GetGroup	ユーザープールグループを記述するアクセス許可を付与	読み込み	userpool*
GetIdentityProviderByIdentifier	ユーザープール IdP 識別子を IdP 名に関連付けるアクセス許可を付与	読み込み	userpool*
GetLogDeliveryConfiguration	ユーザープールの詳細なアクティビティログ設定を取得するアクセス許可を付与	読み込み	userpool*
GetSigningCertificate	ユーザープールの署名証明書を検索するアクセス許可を付与	読み込み	userpool*
GetUICustomization	アプリケーションクライアントのホストされている UI の UI カスタマイズ情報を取得するアクセス許可を付与	読み込み	userpool*
GetUser	ユーザー属性およびユーザーのメタデータを取得するアクセス許可を付与	読み込み
GetUserAttributeVerificationCode	指定した属性名のユーザー属性検証コードを取得するアクセス許可を付与	読み込み
GetUserPoolMfaConfig	ユーザープールの MFA 設定を検索するアクセス許可を付与	読み込み	userpool*
GetWebACLForResource [アクセス許可のみ]	Amazon Cognito ユーザープールに関連付けられている AWS WAF ウェブ ACL を取得するアクセス許可を付与	読み込み	userpool*
GlobalSignOut	すべてのデバイスからユーザーをサインアウトするアクセス許可を付与	書き込み
InitiateAuth	認証フローを開始するアクセス許可を付与	書き込み
ListDevices	デバイスを一覧表示するアクセス許可を付与	リスト
ListGroups	ユーザープール内のすべてのグループを一覧表示するアクセス許可を付与	リスト	userpool*
ListIdentityProviders	ユーザープール内のすべての ID プロバイダーを一覧表示するアクセス許可を付与	リスト	userpool*
ListResourceServers	ユーザープール内のすべてのリソースサーバーを一覧表示するアクセス許可を付与	リスト	userpool*
ListResourcesForWebACL [アクセス許可のみ]	AWS WAF ウェブ ACL に関連付けられているユーザープールを一覧表示するアクセス許可を付与	リスト	webacl*
ListTagsForResource	Amazon Cognito ユーザープールに割り当てられているタグを一覧表示するアクセス許可を付与	リスト	userpool
ListUserImportJobs	すべてのユーザーインポートジョブを一覧表示するアクセス許可を付与	リスト	userpool*
ListUserPoolClients	ユーザープール内のすべてのアプリケーションクライアントを一覧表示するアクセス許可を付与	リスト	userpool*
ListUserPools	すべてのユーザープールを一覧表示するアクセス許可を付与	リスト
ListUsers	すべてのユーザープールのユーザーを一覧表示するアクセス許可を付与	リスト	userpool*
ListUsersInGroup	グループ内のユーザーを一覧表示するアクセス許可を付与	リスト	userpool*
ResendConfirmationCode	ユーザープールの特定のユーザーに確認 (登録の確認用) を再送信するアクセス許可を付与	書き込み
RespondToAuthChallenge	認証チャレンジに応答するアクセス許可を付与	書き込み
RevokeToken	指定した更新トークンによって生成されたすべてのアクセストークンを取り消すアクセス許可を付与	書き込み
SetLogDeliveryConfiguration	ユーザープールの詳細なアクティビティログ記録設定をセットアップまたは変更するアクセス許可を付与	書き込み	userpool*
SetRiskConfiguration	ユーザープールとアプリケーションクライアントのリスク設定をするアクセス許可を付与	書き込み	userpool*
SetUICustomization	アプリケーションクライアントのホストされた UI をカスタマイズするアクセス許可を付与	書き込み	userpool*
SetUserMFAPreference	ユーザープールのユーザーの MFA 設定を行うアクセス許可を付与	書き込み
SetUserPoolMfaConfig	ユーザープールの設定をするアクセス許可を付与	書き込み	userpool*
SetUserSettings	多要素認証 (MFA) などのユーザー設定を行うアクセス許可を付与	書き込み
SignUp	指定したユーザープールにユーザーを登録し、ユーザー名、パスワード、およびユーザー属性を作成するアクセス許可を付与	書き込み
StartUserImportJob	ユーザーインポートジョブを開始するアクセス許可を付与	書き込み	userpool*
StopUserImportJob	ユーザーインポートジョブを停止するアクセス許可を付与	書き込み	userpool*
TagResource	ユーザープールにタグ付けするアクセス許可を付与	タグ付け	userpool
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	ユーザープールからタグを削除するアクセス許可を付与	タグ付け	userpool
				aws:TagKeys
UpdateAuthEventFeedback	ユーザー認証イベントのフィードバックを更新するアクセス許可を付与	書き込み	userpool*
UpdateDeviceStatus	デバイスの状態を更新するアクセス許可を付与	書き込み
UpdateGroup	グループの設定を更新するアクセス許可を付与	書き込み	userpool*
UpdateIdentityProvider	ユーザープール IdP の設定を更新するアクセス許可を付与	書き込み	userpool*
UpdateResourceServer	OAuth 2.0 リソースサーバーの設定を更新するアクセス許可を付与	書き込み	userpool*
UpdateUserAttributes	特定の属性の更新 (一度に 1 つ) をユーザーに許可するアクセス許可を付与	書き込み
UpdateUserPool	ユーザープールの設定を更新するアクセス許可を付与	書き込み	userpool*
				aws:RequestTag/${TagKey} aws:TagKeys
UpdateUserPoolClient	ユーザープールクライアントを更新するアクセス許可を付与	書き込み	userpool*
UpdateUserPoolDomain	カスタムドメインの証明書を置き換えるアクセス許可を付与	書き込み	userpool*
VerifySoftwareToken	ユーザーの入力された TOTP コードを登録し、成功した場合は、ユーザーのソフトウェアトークン MFA ステータスを検証済みとしてマークするアクセス許可を付与	書き込み
VerifyUserAttribute	1 回限りの検証コードを使用してユーザー属性を検証するアクセス許可を付与	書き込み

Amazon Cognito ユーザープールで定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
userpool	arn:${Partition}:cognito-idp:${Region}:${Account}:userpool/${UserPoolId}	aws:ResourceTag/${TagKey}
webacl	arn:${Partition}:wafv2:${Region}:${Account}:${Scope}/webacl/${Name}/${Id}

Amazon Cognito ユーザープールの条件キー

Amazon Cognito ユーザープールは、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	タイプ
aws:RequestTag/${TagKey}	リクエスト内のタグキーと値のペアが存在するかどうかでアクションをフィルタリング	文字列
aws:ResourceTag/${TagKey}	リソースにアタッチされているタグキーおよび値のペアでアクセスをフィルタリング	文字列
aws:TagKeys	リクエストに存在するキーによってアクセスをフィルタリングします	ArrayOfString