Amazon Route 53 のアクション、リソース、および条件キー

Amazon Route 53 (サービスプレフィックス: route53) では、IAMアクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

リファレンス:

• このサービスを設定する方法について説明します。

• API このサービスで使用できるオペレーションのリストを表示します。

• アクセス許可ポリシーを使用してIAM、このサービスとそのリソースを保護する方法について説明します。

Amazon Route 53 で定義されるアクション

IAM ポリシーステートメントの Action要素で次のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合、通常、同じ名前のAPIオペレーションまたはCLIコマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれている場合は、ARNそのアクションを使用してステートメントでそのタイプの を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシー内の Resource要素を使用してリソースアクセスを制限する場合は、必要なリソースタイプごとに ARNまたは パターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
ActivateKeySigningKey	署名に使用できるようにキー署名キーをアクティブ化するアクセス許可を付与します DNSSEC	書き込み	hostedzone*
AssociateVPCWithHostedZone	追加の Amazon VPC をプライベートホストゾーンに関連付けるアクセス許可を付与します	書き込み	hostedzone		ec2:DescribeVpcs
ChangeCidrCollection	CIDR コレクション内でCIDRブロックを作成または削除するためのアクセス許可を付与します	書き込み	cidrcollection*
ChangeResourceRecordSets	指定されたドメインまたはサブドメイン名の権威DNS情報を含むレコードを作成、更新、または削除するためのアクセス許可を付与します	書き込み	hostedzone*
				route53:ChangeResourceRecordSetsNormalizedRecordNames route53:ChangeResourceRecordSetsRecordTypes route53:ChangeResourceRecordSetsActions
ChangeTagsForResource	ヘルスチェックまたはホストゾーンのタグを追加、編集、または削除する許可を付与	タグ付け	healthcheck*
			hostedzone*
CreateCidrCollection	新しいCIDRコレクションを作成するアクセス許可を付与します	書き込み
CreateHealthCheck	新しいヘルスチェックを作成する許可を付与。これにより、ウェブアプリケーションやウェブサーバーなどのリソースの状態やパフォーマンスをモニタリング	書き込み
CreateHostedZone	パブリックホストゾーンを作成するアクセス許可を付与します。このゾーンは、ドメインネームシステム (DNS) が example.com などのドメインとそのサブドメインのトラフィックをインターネット上でルーティングする方法を指定するために使用します。	書き込み			ec2:DescribeVpcs
CreateKeySigningKey	ホストゾーンに関連付けられた新しいキー署名キーを作成する許可を付与	書き込み	hostedzone*
CreateQueryLoggingConfig	DNS クエリログ記録の設定を作成するアクセス許可を付与します	書き込み	hostedzone*
CreateReusableDelegationSet	複数のホストゾーンで再利用できる委任セット (4 つのネームサーバーのグループ) を作成する許可を付与	書き込み
CreateTrafficPolicy	1 つのドメイン名 (example.com など) または 1 つのサブドメイン名 (www.example.com など) の複数のDNSレコードを作成するために使用するトラフィックポリシーを作成するアクセス許可を付与します。	書き込み
CreateTrafficPolicyInstance	指定されたトラフィックポリシーバージョンの設定に基づき、指定されたホストゾーンにレコードを作成する許可を付与	書き込み	hostedzone*
			trafficpolicy*
CreateTrafficPolicyVersion	既存のトラフィックポリシーの新しいバージョンを作成する許可を付与	書き込み	trafficpolicy*
CreateVPCAssociationAuthorization	指定された AWS アカウント を作成した VPCに A ssociateVPCWithHostedZone リクエストの送信を許可するアクセス許可を付与します。このリクエストは、 を別のアカウントによって作成された指定されたホストゾーンVPCに関連付けます。	書き込み	hostedzone*
DeactivateKeySigningKey	による署名に使用されないように、キー署名キーを非アクティブ化するアクセス許可を付与します DNSSEC	書き込み	hostedzone*
DeleteCidrCollection	CIDR コレクションを削除するアクセス許可を付与します	書き込み	cidrcollection*
DeleteHealthCheck	ヘルスチェックを削除する許可を付与	書き込み	healthcheck*
DeleteHostedZone	ホストゾーンを削除する許可を付与。	書き込み	hostedzone*
DeleteKeySigningKey	キー署名キーを削除する許可を付与	書き込み	hostedzone*
DeleteQueryLoggingConfig	DNS クエリログ記録の設定を削除するアクセス許可を付与	書き込み	queryloggingconfig*
DeleteReusableDelegationSet	再利用可能な委任セットを削除する許可を付与	書き込み	delegationset*
DeleteTrafficPolicy	トラフィックポリシーを削除する許可を付与	書き込み	trafficpolicy*
DeleteTrafficPolicyInstance	トラフィックポリシーインスタンスと、インスタンスの作成時に Route 53 で作成されたすべてのレコードを削除する許可を付与	書き込み	trafficpolicyinstance*
DeleteVPCAssociationAuthorization	Amazon Virtual Private Cloud を Route 53 プライベートホストゾーンに関連付ける認可を削除する許可を付与	書き込み	hostedzone*
DisableHostedZoneDNSSEC	特定のホストゾーンでDNSSEC署名を無効にするアクセス許可を付与します	書き込み	hostedzone*
DisassociateVPCFromHostedZone	Route 53 プライベートホストゾーンから Amazon Virtual Private Cloud の関連付けを解除する許可を付与	書き込み	hostedzone		ec2:DescribeVpcs
EnableHostedZoneDNSSEC	特定のホストゾーンでDNSSEC署名を有効にするアクセス許可を付与します	書き込み	hostedzone*
GetAccountLimit	現在のアカウントの指定された制限 (例: アカウントを使用して作成できるヘルスチェックの最大数) を取得する許可を付与	読み込み
GetChange	1 つ以上のレコードを作成、更新、または削除するリクエストの現在のステータスを取得する許可を付与	リスト	change*
GetCheckerIpRanges	リソースの状態を確認するために Route 53 ヘルスチェッカーで使用される IP 範囲のリストを取得する許可を付与	リスト
GetDNSSEC	ホストゾーンのキー署名キーなど、特定のホストゾーンDNSSECの に関する情報を取得するアクセス許可を付与します	読み取り	hostedzone*
GetGeoLocation	指定された地理的な場所が Route 53 位置情報レコードでサポートされているかどうかに関する情報を取得する許可を付与	リスト
GetHealthCheck	指定されたヘルスチェックに関する情報を取得する許可を付与	読み取り	healthcheck*
GetHealthCheckCount	現在の に関連付けられているヘルスチェックの数を取得するアクセス許可を付与します AWS アカウント	リスト
GetHealthCheckLastFailureReason	指定されたヘルスチェックが最近失敗した理由を取得する許可を付与	リスト	healthcheck*
GetHealthCheckStatus	指定されたヘルスチェックのステータスを取得する許可を付与	リスト	healthcheck*
GetHostedZone	指定されたホストゾーンに関する情報 (例: Route 53 によってホストゾーンに割り当てられた 4 つのネームサーバー) を取得する許可を付与	リスト	hostedzone*
GetHostedZoneCount	現在の に関連付けられているホストゾーンの数を取得するアクセス許可を付与します AWS アカウント	リスト
GetHostedZoneLimit	指定されたホストゾーンに対して指定された制限を取得する許可を付与	読み取り	hostedzone*
GetQueryLoggingConfig	DNS クエリログ記録用に指定された設定に関する情報を取得するアクセス許可を付与します	読み取り	queryloggingconfig*
GetReusableDelegationSet	指定された再利用可能な委任セット (例: 委任セットに割り当てられた 4 つのネームサーバー) を取得する許可を付与	リスト	delegationset*
GetReusableDelegationSetLimit	指定した再利用可能な委任セットに関連付けることができるホストゾーンの最大数を取得する許可を付与。	読み込み	delegationset*
GetTrafficPolicy	指定されたトラフィックポリシーバージョンに関する情報を取得する許可を付与。	読み込み	trafficpolicy*
GetTrafficPolicyInstance	指定されたトラフィックポリシーインスタンスに関する情報を取得する許可を付与	読み取り	trafficpolicyinstance*
GetTrafficPolicyInstanceCount	現在の に関連付けられているトラフィックポリシーインスタンスの数を取得するアクセス許可を付与します AWS アカウント	読み取り
ListCidrBlocks	指定されたCIDRコレクション内のCIDRブロックのリストを取得するアクセス許可を付与します	リスト	cidrcollection*
ListCidrCollections	現在の に関連付けられているCIDRコレクションのリストを取得するアクセス許可を付与します AWS アカウント	リスト
ListCidrLocations	指定されたCIDRコレクションに属するCIDRロケーションのリストを取得するアクセス許可を付与します	リスト	cidrcollection*
ListGeoLocations	Route 53 がサポートする地理的な場所のリストを取得する許可を付与	読み取り
ListHealthChecks	現在の に関連付けられているヘルスチェックのリストを取得するアクセス許可を付与します AWS アカウント	読み取り
ListHostedZones	現在の に関連付けられているパブリックホストゾーンとプライベートホストゾーンのリストを取得するアクセス許可を付与します AWS アカウント	リスト
ListHostedZonesByName	辞書式順序でホストゾーンのリストを取得する許可を付与 ホストゾーンは、ラベルを逆にして名前でソートされます (例: com.example.www)。	リスト
ListHostedZonesByVPC	指定された VPC が関連付けられているすべてのプライベートホストゾーンのリストを取得するアクセス許可を付与します	リスト			ec2:DescribeVpcs
ListQueryLoggingConfigs	現在の に関連付けられているDNSクエリログ記録の設定、 AWS アカウント または指定されたホストゾーンに関連付けられている設定を一覧表示するアクセス許可を付与します	リスト	hostedzone
ListResourceRecordSets	指定されたホストゾーンのレコードを一覧表示する許可を付与	リスト	hostedzone*
ListReusableDelegationSets	現在の AWS アカウントに関連付けられた再利用可能な委託セットを一覧表示するアクセス許可を付与	読み取り
ListTagsForResource	1 つのヘルスチェックまたはホストゾーンのタグを一覧表示する許可を付与	読み込み	healthcheck
			hostedzone
ListTagsForResources	最大 10 のヘルスチェックまたはホストゾーンのタグを一覧表示する許可を付与	読み取り	healthcheck
			hostedzone
ListTrafficPolicies	現在の AWS アカウントに関連付けられているすべてのトラフィックポリシーの最新バージョンの情報を取得するアクセス許可を付与。ポリシーは、作成された順に一覧表示	リスト
ListTrafficPolicyInstances	現在の を使用して作成したトラフィックポリシーインスタンスに関する情報を取得するアクセス許可を付与します AWS アカウント	読み取り
ListTrafficPolicyInstancesByHostedZone	指定されたホストゾーンで作成したトラフィックポリシーインスタンスに関する情報を取得する許可を付与	リスト	hostedzone*
ListTrafficPolicyInstancesByPolicy	指定されたトラフィックポリシーバージョンを使用して作成したトラフィックポリシーインスタンスに関する情報を取得する許可を付与	リスト	trafficpolicy*
ListTrafficPolicyVersions	指定されたトラフィックポリシーのすべてのバージョンに関する情報を取得する許可を付与	リスト	trafficpolicy*
ListVPCAssociationAuthorizations	他のアカウントによってVPCs作成され、指定されたホストゾーンに関連付けることができる のリストを取得するアクセス許可を付与します	リスト	hostedzone*
TestDNSAnswer	指定されたレコード名とタイプのDNSクエリに応答して Route 53 が返す値を取得するアクセス許可を付与	読み取り
UpdateHealthCheck	既存のヘルスチェックを更新する許可を付与	書き込み	healthcheck*
UpdateHostedZoneComment	指定されたホストゾーンのコメントを更新する許可を付与	書き込み	hostedzone*
UpdateTrafficPolicyComment	指定されたトラフィックポリシーバージョンのコメントを更新する許可を付与	書き込み	trafficpolicy*
UpdateTrafficPolicyInstance	指定されたトラフィックポリシーバージョンの設定に基づき作成された、指定のホストゾーンのレコードを更新する許可を付与	書き込み	trafficpolicyinstance*

Amazon Route 53 で定義されるリソースタイプ

次のリソースタイプは、このサービスによって定義され、IAMアクセス許可ポリシーステートメントの Resource要素で使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
cidrcollection	arn:${Partition}:route53:::cidrcollection/${Id}
change	arn:${Partition}:route53:::change/${Id}
delegationset	arn:${Partition}:route53:::delegationset/${Id}
healthcheck	arn:${Partition}:route53:::healthcheck/${Id}
hostedzone	arn:${Partition}:route53:::hostedzone/${Id}
trafficpolicy	arn:${Partition}:route53:::trafficpolicy/${Id}
trafficpolicyinstance	arn:${Partition}:route53:::trafficpolicyinstance/${Id}
queryloggingconfig	arn:${Partition}:route53:::queryloggingconfig/${Id}
vpc	arn:${Partition}:ec2:${Region}:${Account}:vpc/${VpcId}

Amazon Route 53 の条件キー

Amazon Route 53 では、IAMポリシーの Condition要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	[Type] (タイプ)
route53:ChangeResourceRecordSetsActions	ChangeResourceRecordSets リクエストDELETE内の変更アクション、、CREATEUPSERT、または によってアクセスをフィルタリングします	ArrayOfString
route53:ChangeResourceRecordSetsNormalizedRecordNames	ChangeResourceRecordSets リクエスト内の正規化されたDNSレコード名でアクセスをフィルタリングします	ArrayOfString
route53:ChangeResourceRecordSetsRecordTypes	ChangeResourceRecordSets リクエスト内のDNSレコードタイプでアクセスをフィルタリングします	ArrayOfString