Amazon Managed Streaming for Apache Kafka のアクション、リソース、および条件キー

Amazon Managed Streaming for Apache Kafka (サービスプレフィックス: kafka) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

参照:

このサービスを設定する方法について説明します。
このサービスで使用可能な API オペレーションのリストを表示します。
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。

トピック

Amazon Managed Streaming for Apache Kafka で定義されるアクション
Amazon Managed Streaming for Apache Kafka で定義されるリソースタイプ
Amazon Managed Streaming for Apache Kafka の条件キー

Amazon Managed Streaming for Apache Kafka で定義されるアクション

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、AWS でオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource 要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
BatchAssociateScramSecret	Amazon MSK クラスターに 1 つ以上の Scram シークレットを関連付ける権限を付与します	書き込み	cluster*		kms:CreateGrant kms:RetireGrant
BatchDisassociateScramSecret	Amazon MSK クラスターから 1 つ以上の Scram シークレットの関連付けを解除する権限を付与します	書き込み	cluster*		kms:RetireGrant
CreateCluster	MSK クラスターを作成する権限を付与します	書き込み	cluster*		ec2:DescribeSecurityGroups ec2:DescribeSubnets ec2:DescribeVpcs iam:AttachRolePolicy iam:CreateServiceLinkedRole iam:PutRolePolicy kms:CreateGrant kms:DescribeKey
CreateCluster	MSK クラスターを作成する権限を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateClusterV2	MSK クラスターを作成する権限を付与します	書き込み	cluster*		ec2:CreateTags ec2:CreateVpcEndpoint ec2:DeleteVpcEndpoints ec2:DescribeSecurityGroups ec2:DescribeSubnets ec2:DescribeVpcAttribute ec2:DescribeVpcEndpoints ec2:DescribeVpcs iam:AttachRolePolicy iam:CreateServiceLinkedRole iam:PutRolePolicy kms:CreateGrant kms:DescribeKey
CreateClusterV2	MSK クラスターを作成する権限を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateConfiguration	MSK 設定を作成する権限を付与します	書き込み	configuration*
CreateReplicator	MSK レプリケーターを作成するアクセス許可を付与します	書き込み	replicator*		ec2:DescribeSecurityGroups ec2:DescribeSubnets ec2:DescribeVpcs iam:AttachRolePolicy iam:CreateServiceLinkedRole iam:PassRole iam:PutRolePolicy kafka:DescribeClusterV2 kafka:GetBootstrapBrokers
CreateReplicator	MSK レプリケーターを作成するアクセス許可を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateVpcConnection	MSK VPC 接続を作成するアクセス許可を付与	書き込み	cluster*		ec2:CreateTags ec2:CreateVpcEndpoint ec2:DescribeSecurityGroups ec2:DescribeSubnets ec2:DescribeVpcAttribute ec2:DescribeVpcEndpoints ec2:DescribeVpcs iam:AttachRolePolicy iam:CreateServiceLinkedRole iam:PutRolePolicy
			vpc-connection*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteCluster	MSK クラスターを削除する権限を付与します	書き込み	cluster*		ec2:DeleteVpcEndpoints ec2:DescribeVpcAttribute ec2:DescribeVpcEndpoints
DeleteClusterPolicy	クラスターのリソースベースポリシーを削除する許可を付与	書き込み	cluster*
DeleteConfiguration	指定された MSK 設定を削除する権限を付与します	書き込み	configuration*
DeleteReplicator	MSK レプリケーターを削除するアクセス許可を付与します	書き込み	replicator*
DeleteVpcConnection	MSK VPC 接続を削除するアクセス許可を付与	書き込み	vpc-connection*		ec2:DeleteVpcEndpoints ec2:DescribeVpcEndpoints
DescribeCluster	MSK クラスターを記述する権限を付与します	読み込み	cluster*
DescribeClusterOperation	所与の ARN で指定されたクラスターオペレーションを記述する権限を付与します	読み取り
DescribeClusterOperationV2	所与の ARN で指定されたクラスターオペレーションを記述する権限を付与します	読み込み
DescribeClusterV2	MSK クラスターを記述する権限を付与します	読み込み	cluster*
DescribeConfiguration	MSK 設定を記述する権限を付与します	読み込み	configuration*
DescribeConfigurationRevision	MSK 設定リビジョンを記述する権限を付与します	読み取り	configuration*
DescribeReplicator	MSK レプリケーターを記述するアクセス許可を付与します	読み取り	replicator*
DescribeVpcConnection	MSK VPC 接続を記述する権限を付与	読み取り	vpc-connection*
GetBootstrapBrokers	MSK クラスター内にあるブローカーノードについて接続の詳細を取得する権限を付与します	読み取り
GetClusterPolicy	クラスターのリソースベースポリシーを記述する許可を付与	読み取り	cluster*
GetCompatibleKafkaVersions	MSK クラスターを更新できる Apache Kafka バージョンのリストを取得する権限を付与します	リスト
ListClientVpcConnections	クラスター用に作成されたすべての MSK VPC 接続を一覧表示する許可を付与	リスト	cluster*
ListClusterOperations	指定された MSK クラスターで実行されたすべてのオペレーション一覧を返すアクセス許可を付与する	リスト	cluster*
ListClusterOperationsV2	指定された MSK クラスターで実行されたすべてのオペレーション一覧を返すアクセス許可を付与する	リスト	cluster*
ListClusters	このアカウント内のすべての MSK クラスターを一覧表示する権限を付与します	リスト
ListClustersV2	このアカウント内のすべての MSK クラスターを一覧表示する権限を付与します	リスト
ListConfigurationRevisions	このアカウント内の MSK 設定のすべてのリビジョンを一覧表示する権限を付与します	リスト	configuration*
ListConfigurations	このアカウント内のすべての MSK 設定を一覧表示する権限を付与します	リスト
ListKafkaVersions	Amazon MSK でサポートされているすべての Apache Kafka バージョンを一覧表示する権限を付与します	リスト
ListNodes	MSK クラスター内のブローカーを一覧表示する権限を付与します	リスト	cluster*
ListReplicators	このアカウント内のすべての MSK レプリケーションを一覧表示するアクセス許可を付与します	リスト
ListScramSecrets	Amazon MSK クラスターに関連付けられた Scram シークレットを一覧表示する権限を付与します。	リスト	cluster*
ListTagsForResource	MSK リソースのタグを一覧表示する権限を付与します	読み取り	cluster*
ListVpcConnections	このアカウント内が使用するすべての MSK VPC 接続を一覧表示する許可を付与	リスト
PutClusterPolicy	クラスター用のリソースベースポリシーを作成または更新する許可を付与	書き込み	cluster*
RebootBroker	ブローカーを再起動する権限を付与します	書き込み	cluster*
RejectClientVpcConnection	MSK VPC 接続を拒否する許可を付与	書き込み	cluster*
RejectClientVpcConnection	MSK VPC 接続を拒否する許可を付与	書き込み	vpc-connection*
TagResource	MSK リソースにタグを付ける権限を付与します	タグ付け	cluster
			vpc-connection
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	MSK リソースからタグを削除する権限を付与します	タグ付け	cluster
			vpc-connection
				aws:TagKeys
UpdateBrokerCount	MSK クラスターのブローカー数を更新する許可を付与	書き込み	cluster*
UpdateBrokerStorage	MSK クラスターのブローカーのストレージサイズを更新する許可を付与	書き込み	cluster*
UpdateBrokerType	Amazon MSK クラスターのブローカータイプを更新する許可を付与	書き込み	cluster*
UpdateClusterConfiguration	MSK クラスターの設定を更新する権限を付与します	書き込み	cluster*
UpdateClusterConfiguration	MSK クラスターの設定を更新する権限を付与します	書き込み	configuration*
UpdateClusterKafkaVersion	MSK クラスター更新してを指定された Apache Kafka バージョンにする権限を付与します	書き込み	cluster*
UpdateConfiguration	MSK 設定の新しいリビジョンを作成する権限を付与します。	書き込み	configuration*
UpdateConnectivity	MSK クラスターのセキュリティ設定を更新する許可を付与	書き込み	cluster*		ec2:DescribeRouteTables ec2:DescribeSubnets
UpdateConnectivity	MSK クラスターのセキュリティ設定を更新する許可を付与	書き込み		kafka:publicAccessEnabled
UpdateMonitoring	MSK クラスターのモニタリング設定を更新する権限を付与します	書き込み	cluster*
UpdateReplicationInfo	MSK レプリケーターのレプリケーション情報を更新するアクセス許可を付与します	書き込み	replicator*
UpdateSecurity	MSK クラスターのセキュリティ設定を更新する許可を付与	書き込み	cluster*		kms:RetireGrant
UpdateStorage	MSK ブローカーに関連する EBS ストレージ (サイズまたはプロビジョニングされたスループット) を更新したり、クラスターストレージモードを TIERED に設定したりする許可を付与	書き込み	cluster*

Amazon Managed Streaming for Apache Kafka で定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
cluster	`arn:${Partition}:kafka:${Region}:${Account}:cluster/${ClusterName}/${Uuid}`	aws:ResourceTag/${TagKey}
configuration	`arn:${Partition}:kafka:${Region}:${Account}:configuration/${ConfigurationName}/${Uuid}`
vpc-connection	`arn:${Partition}:kafka:${Region}:${VpcOwnerAccount}:vpc-connection/${ClusterOwnerAccount}/${ClusterName}/${Uuid}`	aws:ResourceTag/${TagKey}
replicator	`arn:${Partition}:kafka:${Region}:${Account}:replicator/${ReplicatorName}/${Uuid}`	aws:ResourceTag/${TagKey}
topic	`arn:${Partition}:kafka:${Region}:${Account}:topic/${ClusterName}/${ClusterUuid}/${TopicName}`
group	`arn:${Partition}:kafka:${Region}:${Account}:group/${ClusterName}/${ClusterUuid}/${GroupName}`
transactional-id	`arn:${Partition}:kafka:${Region}:${Account}:transactional-id/${ClusterName}/${ClusterUuid}/${TransactionalId}`

Amazon Managed Streaming for Apache Kafka の条件キー

Amazon Managed Streaming for Apache Kafka では、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	[Type] (タイプ)
aws:RequestTag/${TagKey}	リクエスト内のタグキーと値のペアが存在するかどうかでアクションをフィルタリングします	文字列
aws:ResourceTag/${TagKey}	リソースにアタッチされているタグキーおよび値のペアでアクセスをフィルタリングします	文字列
aws:TagKeys	リクエスト内のタグキーが存在するかどうかでアクセスをフィルタリングします	ArrayOfString
kafka:publicAccessEnabled	リクエスト内に有効化された公開アクセスが存在するかで、アクセスでフィルタリング	Bool

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

Amazon Managed Service for Prometheus

Amazon Managed Streaming for Kafka Connect