Amazon QLDB のアクション、リソース、および条件キー

Amazon QLDB (サービスプレフィックス: qldb) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

参照:

• このサービスを設定する方法について説明します。

• このサービスで使用可能な API オペレーションのリストを表示します。

• IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。

Amazon QLDB で定義されるアクション

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource 要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
CancelJournalKinesisStream	ジャーナル Kinesis ストリームをキャンセルする許可を付与	書き込み	stream*
CreateLedger	台帳を作成する許可を付与。	書き込み	ledger*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteLedger	台帳を削除する許可を付与。	書き込み	ledger*
DescribeJournalKinesisStream	ジャーナル Kinesis ストリームに関する情報を記述する許可を付与。	読み込み	stream*
DescribeJournalS3Export	ジャーナルエクスポートジョブに関する情報を記述する許可を付与。	読み込み	ledger*
DescribeLedger	台帳を記述する許可を付与。	読み取り	ledger*
ExecuteStatement [アクセス許可のみ]	コンソール経由で台帳にコマンドを送信する許可を付与。	書き込み	ledger*
ExportJournalToS3	ジャーナルコンテンツを Amazon S3 バケットにエクスポートする許可を付与。	書き込み	ledger*
GetBlock	特定の の台帳からブロックを取得する許可を付与 BlockAddress	読み取り	ledger*
GetDigest	特定の の台帳からダイジェストを取得する許可を付与 BlockAddress	読み取り	ledger*
GetRevision	特定のドキュメント ID と特定のドキュメント ID のリビジョンを取得するアクセス許可を付与します BlockAddress	読み取り	ledger*
InsertSampleData [アクセス許可のみ]	コンソール経由でサンプルアプリケーションデータを挿入する許可を付与。	書き込み	ledger*
ListJournalKinesisStreamsForLedger	指定した台帳のジャーナル kinesis ストリームを一覧表示する許可を付与	リスト	stream*
ListJournalS3Exports	すべての台帳のジャーナルエクスポートジョブを一覧表示する許可を付与。	リスト
ListJournalS3ExportsForLedger	指定された台帳のジャーナルエクスポートジョブを一覧表示する許可を付与。	リスト	ledger*
ListLedgers	既存の台帳を一覧表示する許可を付与。	リスト
ListTagsForResource	リソースのタグを一覧表示する許可を付与	読み込み	catalog
			ledger
			stream
			table
PartiQLCreateIndex	テーブルにインデックスを作成するためのアクセス許可を付与します	書き込み	table*
PartiQLCreateTable	テーブルを作成する許可を付与。	書き込み	table*
				aws:RequestTag/${TagKey} aws:TagKeys
PartiQLDelete	テーブルからドキュメントを削除する許可を付与	書き込み	table*
PartiQLDropIndex	テーブルからインデックスを削除する許可を付与	書き込み	table*
				qldb:Purge
PartiQLDropTable	テーブルを削除する許可を付与。	書き込み	table*
				qldb:Purge
PartiQLHistoryFunction	テーブルで履歴関数を使用する許可を付与	読み込み	table*
PartiQLInsert	テーブルにドキュメントを挿入する許可を付与	書き込み	table*
PartiQLRedact	履歴リビジョンを編集する許可を付与	書き込み	table*
PartiQLSelect	テーブルからドキュメントを選択する許可を付与	読み込み	catalog
			table
PartiQLUndropTable	テーブルの削除を取り消すアクセス許可を付与します	書き込み	table*
PartiQLUpdate	テーブル内の既存のドキュメントを更新する許可を付与	書き込み	table*
SendCommand	台帳にコマンドを送信する許可を付与。	書き込み	ledger*
ShowCatalog [アクセス許可のみ]	コンソールを介して台帳のカタログを表示する許可を付与。	書き込み	ledger*
StreamJournalToKinesis	Kinesis データストリームにジャーナルのコンテンツをストリーミングする許可を付与	書き込み	stream*
				aws:RequestTag/${TagKey} aws:TagKeys
TagResource	リソースに 1 つ以上のタグを追加する許可を付与	タグ付け	catalog
			ledger
			stream
			table
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	リソースから 1 つ以上のタグを削除する許可を付与	タグ付け	catalog
			ledger
			stream
			table
				aws:RequestTag/${TagKey} aws:TagKeys
UpdateLedger	台帳のプロパティを更新する許可を付与。	書き込み	ledger*
UpdateLedgerPermissionsMode	台帳のアクセス許可モードを更新する許可を付与	書き込み	ledger*

Amazon QLDB で定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
ledger	arn:${Partition}:qldb:${Region}:${Account}:ledger/${LedgerName}	aws:ResourceTag/${TagKey}
stream	arn:${Partition}:qldb:${Region}:${Account}:stream/${LedgerName}/${StreamId}	aws:ResourceTag/${TagKey}
table	arn:${Partition}:qldb:${Region}:${Account}:ledger/${LedgerName}/table/${TableId}	aws:ResourceTag/${TagKey}
catalog	arn:${Partition}:qldb:${Region}:${Account}:ledger/${LedgerName}/information_schema/user_tables	aws:ResourceTag/${TagKey}

Amazon QLDB の条件キー

Amazon QLDB では、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	タイプ
aws:RequestTag/${TagKey}	リクエストで許可されているタグキーと値のペアによってアクセスをフィルタリングします	文字列
aws:ResourceTag/${TagKey}	タグキーとリソースの値のペアによってアクセスをフィルタリングします	文字列
aws:TagKeys	リクエストで許可されているタグキーのリストによってアクセスをフィルタリングします	ArrayOfString
qldb:Purge	PartiQL DROP ステートメントで指定されたパージの値でアクセスをフィルターします。	文字列