Amazon Route 53 のアクション、リソース、および条件キー

Amazon Route 53 (サービスプレフィックス: route53) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

参照:

• このサービスを設定する方法について説明します。

• このサービスで使用可能な API オペレーションのリストを表示します。

• IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。

Amazon Route 53 で定義されるアクション

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、AWS でオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource 要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
ActivateKeySigningKey	DNSSEC による署名に使用できるように、キー署名キーをアクティブ化する許可を付与	書き込み	hostedzone*
AssociateVPCWithHostedZone	追加の Amazon VPC をプライベートホストゾーンに関連付けるアクセス許可を付与	書き込み	hostedzone		ec2:DescribeVpcs
ChangeCidrCollection	CIDR コレクション内の CIDR ブロックを作成または削除する許可を付与	書き込み	cidrcollection*
ChangeResourceRecordSets	レコードを作成、更新、または削除する許可を付与。このアクセス許可には、指定されたドメインやサブドメイン名の正式な DNS 情報を含む	書き込み	hostedzone*
				route53:ChangeResourceRecordSetsNormalizedRecordNames route53:ChangeResourceRecordSetsRecordTypes route53:ChangeResourceRecordSetsActions
ChangeTagsForResource	ヘルスチェックまたはホストゾーンのタグを追加、編集、または削除する許可を付与	タグ付け	healthcheck*
			hostedzone*
CreateCidrCollection	新しい CIDR コレクションを作成する許可を付与	書き込み
CreateHealthCheck	新しいヘルスチェックを作成する許可を付与。これにより、ウェブアプリケーションやウェブサーバーなどのリソースの状態やパフォーマンスをモニタリング	書き込み
CreateHostedZone	パブリックホストゾーンを作成する許可を付与。このアクセス許可を使用して、ドメインネームシステム (DNS) で example.com などのドメインやそのサブドメインのインターネットトラフィックをルーティングする方法を指定	書き込み			ec2:DescribeVpcs
CreateKeySigningKey	ホストゾーンに関連付けられた新しいキー署名キーを作成する許可を付与	書き込み	hostedzone*
CreateQueryLoggingConfig	DNS クエリログ記録の設定を作成する許可を付与	書き込み	hostedzone*
CreateReusableDelegationSet	複数のホストゾーンで再利用できる委任セット (4 つのネームサーバーのグループ) を作成する許可を付与	書き込み
CreateTrafficPolicy	トラフィックポリシーを作成する許可を付与。このアクセス許可を使用して、1 つのドメイン名 (例: example.com) または 1 つのサブドメイン名 (例: www.example.com) に対して複数の DNS レコードを作成	書き込み
CreateTrafficPolicyInstance	指定されたトラフィックポリシーバージョンの設定に基づき、指定されたホストゾーンにレコードを作成する許可を付与	書き込み	hostedzone*
			trafficpolicy*
CreateTrafficPolicyVersion	既存のトラフィックポリシーの新しいバージョンを作成する許可を付与	書き込み	trafficpolicy*
CreateVPCAssociationAuthorization	指定された VPC を作成した AWS アカウント を認可して、AssociateVPCWithHostedZone リクエストを送信するアクセス許可を付与。これにより、別のアカウントによって作成され、指定されたホストゾーンに VPC を関連付け	書き込み	hostedzone*
DeactivateKeySigningKey	DNSSEC による署名に使用されないように、キー署名キーを非アクティブ化する許可を付与	書き込み	hostedzone*
DeleteCidrCollection	CIDR コレクションを削除する許可を付与	書き込み	cidrcollection*
DeleteHealthCheck	ヘルスチェックを削除する許可を付与	書き込み	healthcheck*
DeleteHostedZone	ホストゾーンを削除する許可を付与。	書き込み	hostedzone*
DeleteKeySigningKey	キー署名キーを削除する許可を付与	書き込み	hostedzone*
DeleteQueryLoggingConfig	DNS クエリログ記録の設定を削除する許可を付与。	書き込み	queryloggingconfig*
DeleteReusableDelegationSet	再利用可能な委任セットを削除する許可を付与	書き込み	delegationset*
DeleteTrafficPolicy	トラフィックポリシーを削除する許可を付与	書き込み	trafficpolicy*
DeleteTrafficPolicyInstance	トラフィックポリシーインスタンスと、インスタンスの作成時に Route 53 で作成されたすべてのレコードを削除する許可を付与	書き込み	trafficpolicyinstance*
DeleteVPCAssociationAuthorization	Amazon Virtual Private Cloud を Route 53 プライベートホストゾーンに関連付ける認証を削除する許可を付与	書き込み	hostedzone*
DisableHostedZoneDNSSEC	特定のホストゾーンで DNSSEC サインインを無効にする許可を付与	書き込み	hostedzone*
DisassociateVPCFromHostedZone	Route 53 プライベートホストゾーンから Amazon Virtual Private Cloud の関連付けを解除する許可を付与	書き込み	hostedzone		ec2:DescribeVpcs
EnableHostedZoneDNSSEC	特定のホストゾーンで DNSSEC サインインを有効にする許可を付与	書き込み	hostedzone*
GetAccountLimit	現在のアカウントの指定された制限 (例: アカウントを使用して作成できるヘルスチェックの最大数) を取得する許可を付与	読み込み
GetChange	1 つ以上のレコードを作成、更新、または削除するリクエストの現在のステータスを取得する許可を付与	リスト	change*
GetCheckerIpRanges	リソースの状態を確認するために Route 53 ヘルスチェッカーで使用される IP 範囲のリストを取得する許可を付与	リスト
GetDNSSEC	ホストゾーンのキー署名キーを含む、特定のホストゾーンの DNSSEC に関する情報を取得する許可を付与	読み込み	hostedzone*
GetGeoLocation	指定された地理的な場所が Route 53 位置情報レコードでサポートされているかどうかに関する情報を取得する許可を付与	リスト
GetHealthCheck	指定されたヘルスチェックに関する情報を取得する許可を付与	読み込み	healthcheck*
GetHealthCheckCount	現在の AWS アカウント に関連付けられたヘルスチェックの数を取得するアクセス許可を付与	リスト
GetHealthCheckLastFailureReason	指定されたヘルスチェックが最近失敗した理由を取得する許可を付与	リスト	healthcheck*
GetHealthCheckStatus	指定されたヘルスチェックのステータスを取得する許可を付与	リスト	healthcheck*
GetHostedZone	指定されたホストゾーンに関する情報 (例: Route 53 によってホストゾーンに割り当てられた 4 つのネームサーバー) を取得する許可を付与	リスト	hostedzone*
GetHostedZoneCount	現在の AWS アカウント に関連付けられたホストゾーンの数を取得するアクセス許可を付与	リスト
GetHostedZoneLimit	指定されたホストゾーンに対して指定された制限を取得する許可を付与	読み込み	hostedzone*
GetQueryLoggingConfig	DNS クエリログ記録の指定された設定に関する情報を取得する許可を付与	読み込み	queryloggingconfig*
GetReusableDelegationSet	指定された再利用可能な委任セット (例: 委任セットに割り当てられた 4 つのネームサーバー) を取得する許可を付与	リスト	delegationset*
GetReusableDelegationSetLimit	指定した再利用可能な委任セットに関連付けることができるホストゾーンの最大数を取得する許可を付与。	読み込み	delegationset*
GetTrafficPolicy	指定されたトラフィックポリシーバージョンに関する情報を取得する許可を付与。	読み込み	trafficpolicy*
GetTrafficPolicyInstance	指定されたトラフィックポリシーインスタンスに関する情報を取得する許可を付与	読み込み	trafficpolicyinstance*
GetTrafficPolicyInstanceCount	現在の AWS アカウント に関連付けられたトラフィックポリシーインスタンスの数を取得するアクセス許可を付与	読み込み
ListCidrBlocks	指定された CIDR コレクション内の CIDR ブロックのリストを取得する許可を付与	リスト	cidrcollection*
ListCidrCollections	現在の AWS アカウント に関連付けられた CIDR コレクションのリストを取得する許可を付与	リスト
ListCidrLocations	指定された CIDR コレクションに属する CIDR ロケーションのリストを取得する許可を付与	リスト	cidrcollection*
ListGeoLocations	Route 53 がサポートする地理的な場所のリストを取得する許可を付与	読み込み
ListHealthChecks	現在の AWS アカウント に関連付けられたヘルスチェックのリストを取得するアクセス許可を付与	読み込み
ListHostedZones	現在の AWS アカウント に関連付けられたパブリックホストゾーンおよびプライベートホストゾーンのリストを取得するアクセス許可を付与	リスト
ListHostedZonesByName	辞書式順序でホストゾーンのリストを取得する許可を付与 ホストゾーンは、ラベルを逆にして名前でソートされます (例: com.example.www)。	リスト
ListHostedZonesByVPC	指定した VPC が関連付けられているすべてのプライベートホストゾーンのリストを取得する許可を付与	リスト			ec2:DescribeVpcs
ListQueryLoggingConfigs	現在の AWS アカウント、または指定したホストゾーンに関連付けられている設定に関連付けられている DNS クエリログ記録の設定を一覧表示する許可を付与	リスト	hostedzone
ListResourceRecordSets	指定されたホストゾーンのレコードを一覧表示する許可を付与	リスト	hostedzone*
ListReusableDelegationSets	現在の AWS アカウント に関連付けられた再利用可能な委託セットを一覧表示するアクセス許可を付与	読み込み
ListTagsForResource	1 つのヘルスチェックまたはホストゾーンのタグを一覧表示する許可を付与	読み込み	healthcheck
			hostedzone
ListTagsForResources	最大 10 のヘルスチェックまたはホストゾーンのタグを一覧表示する許可を付与	読み込み	healthcheck
			hostedzone
ListTrafficPolicies	現在の AWS アカウント に関連付けられているすべてのトラフィックポリシーの最新バージョンの情報を取得するアクセス許可を付与。ポリシーは、作成された順に一覧表示	リスト
ListTrafficPolicyInstances	現在の AWS アカウント を使用して作成したトラフィックポリシーインスタンスの情報を取得するアクセス許可を付与	読み込み
ListTrafficPolicyInstancesByHostedZone	指定されたホストゾーンで作成したトラフィックポリシーインスタンスに関する情報を取得する許可を付与	リスト	hostedzone*
ListTrafficPolicyInstancesByPolicy	指定されたトラフィックポリシーバージョンを使用して作成したトラフィックポリシーインスタンスに関する情報を取得する許可を付与	リスト	trafficpolicy*
ListTrafficPolicyVersions	指定されたトラフィックポリシーのすべてのバージョンに関する情報を取得する許可を付与	リスト	trafficpolicy*
ListVPCAssociationAuthorizations	他のアカウントによって作成され、指定されたホストゾーンに関連付けることができる VPC のリストを取得する許可を付与	リスト	hostedzone*
TestDNSAnswer	指定されたレコード名とタイプの DNS クエリに応答して Route 53 によって返される値を取得する許可を付与	読み込み
UpdateHealthCheck	既存のヘルスチェックを更新する許可を付与	書き込み	healthcheck*
UpdateHostedZoneComment	指定されたホストゾーンのコメントを更新する許可を付与	書き込み	hostedzone*
UpdateTrafficPolicyComment	指定されたトラフィックポリシーバージョンのコメントを更新する許可を付与	書き込み	trafficpolicy*
UpdateTrafficPolicyInstance	指定されたトラフィックポリシーバージョンの設定に基づき作成された、指定のホストゾーンのレコードを更新する許可を付与	書き込み	trafficpolicyinstance*

Amazon Route 53 で定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
cidrcollection	arn:${Partition}:route53:::cidrcollection/${Id}
change	arn:${Partition}:route53:::change/${Id}
delegationset	arn:${Partition}:route53:::delegationset/${Id}
healthcheck	arn:${Partition}:route53:::healthcheck/${Id}
hostedzone	arn:${Partition}:route53:::hostedzone/${Id}
trafficpolicy	arn:${Partition}:route53:::trafficpolicy/${Id}
trafficpolicyinstance	arn:${Partition}:route53:::trafficpolicyinstance/${Id}
queryloggingconfig	arn:${Partition}:route53:::queryloggingconfig/${Id}
vpc	arn:${Partition}:ec2:${Region}:${Account}:vpc/${VpcId}

Amazon Route 53 の条件キー

Amazon Route 53 では、IAM ポリシーの Condition 要素で使用できる以下の条件キーが定義されます。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	タイプ
route53:ChangeResourceRecordSetsActions	ChangeResourceRecordSets リクエスト内の変更アクション (CREATE、UPSERT、または DELETE) でアクセスをフィルタリングします	ArrayOfString
route53:ChangeResourceRecordSetsNormalizedRecordNames	ChangeResourceRecordSets リクエスト内の正規化された DNS レコード名でアクセスをフィルタリングします	ArrayOfString
route53:ChangeResourceRecordSetsRecordTypes	ChangeResourceRecordSets リクエスト内の DNS レコードタイプでアクセスをフィルタリングします	ArrayOfString