Amazon Route 53 Resolver のアクション、リソース、および条件キー

Amazon Route 53 Resolver (サービスプレフィックス: route53resolver) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

リファレンス:

このサービスを設定する方法について説明します。
このサービスで使用できる API オペレーションのリストを表示します。
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法について説明します。

トピック

Amazon Route 53 Resolver で定義されるリソース
Amazon Route 53 Resolver で定義されるリソースタイプ
Amazon Route 53 Resolver の条件キー

Amazon Route 53 Resolver で定義されるリソース

IAM ポリシーステートメントの Action要素で次のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれている場合は、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
AssociateFirewallRuleGroup	Amazon VPC を指定されたファイアウォールルールグループに関連付けるアクセス許可を付与します	書き込み	firewall-rule-group-association*		ec2:DescribeVpcs
AssociateFirewallRuleGroup	Amazon VPC を指定されたファイアウォールルールグループに関連付けるアクセス許可を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
AssociateResolverEndpointIpAddress	指定した IP アドレスを Resolver エンドポイントに関連付けるアクセス許可を付与します。これは、ネットワーク (アウトバウンド) または DNS (インバウンド) への途中で VPCs クエリが通過する IP アドレスです。	書き込み	resolver-endpoint*		ec2:CreateNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSubnets
AssociateResolverQueryLogConfig	Amazon VPC を指定されたクエリログ記録設定に関連付けるアクセス許可を付与します	書き込み	resolver-query-log-config*		ec2:DescribeVpcs
AssociateResolverRule	指定された Resolver ルールを指定された VPC に関連付けるアクセス許可を付与します	書き込み	resolver-rule*		ec2:DescribeVpcs
CreateFirewallDomainList	ファイアウォールのドメインリストを作成するためのアクセス許可を付与します	Write	firewall-domain-list*
CreateFirewallDomainList	ファイアウォールのドメインリストを作成するためのアクセス許可を付与します	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateFirewallRule	ファイアウォールルールグループ内にファイアウォールルールを作成するためのアクセス許可を付与します	Write	firewall-domain-list*
CreateFirewallRule	ファイアウォールルールグループ内にファイアウォールルールを作成するためのアクセス許可を付与します	Write	firewall-rule-group*
CreateFirewallRuleGroup	ファイアウォールルールグループを作成するためのアクセス許可を付与します	書き込み	firewall-rule-group*
CreateFirewallRuleGroup	ファイアウォールルールグループを作成するためのアクセス許可を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateOutpostResolver	Route 53 Resolver on Outposts を作成するための許可を付与します	書き込み	outpost-resolver*		outposts:GetOutpost
CreateOutpostResolver	Route 53 Resolver on Outposts を作成するための許可を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverEndpoint	Resolver エンドポイントを作成する許可を付与。Resolver エンドポイントには、インバウンドとアウトバウンドの 2 つのタイプがあります	書き込み	resolver-endpoint*		ec2:CreateNetworkInterface ec2:DescribeNetworkInterfaces ec2:DescribeSecurityGroups ec2:DescribeSubnets ec2:DescribeVpcs
CreateResolverEndpoint		書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverQueryLogConfig	Resolver のクエリログ記録設定を作成するアクセス許可を付与します。この設定は、Resolver が DNS で発生する VPCs クエリログを保存する場所を定義します。	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateResolverRule	Word から発信されたクエリを VPC からルーティングする方法を定義するアクセス許可を付与します VPC	書き込み	resolver-rule*
CreateResolverRule	Word から発信されたクエリを VPC からルーティングする方法を定義するアクセス許可を付与します VPC	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
DeleteFirewallDomainList	ファイアウォールのドメインリストを削除するためのアクセス許可を付与します	Write	firewall-domain-list*
DeleteFirewallRule	ファイアウォールルールグループ内のファイアウォールルールを削除するためのアクセス許可を付与します	Write	firewall-domain-list*
DeleteFirewallRule	ファイアウォールルールグループ内のファイアウォールルールを削除するためのアクセス許可を付与します	Write	firewall-rule-group*
DeleteFirewallRuleGroup	ファイアウォールルールグループを削除するためのアクセス許可を付与します	書き込み	firewall-rule-group*
DeleteOutpostResolver	Route 53 Resolver on Outposts を削除するための許可を付与します	書き込み	outpost-resolver*
DeleteResolverEndpoint	Resolver エンドポイントを削除する許可を付与。Resolver エンドポイントを削除する効果は、エンドポイントがインバウンドであるかアウトバウンドであるかによって異なります	Write	resolver-endpoint*		ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces
DeleteResolverQueryLogConfig	Resolver クエリログ設定を削除する許可を付与	Write	resolver-query-log-config*
DeleteResolverRule	Resolver ルールを削除する許可を付与	書き込み	resolver-rule*
DisassociateFirewallRuleGroup	指定されたファイアウォールルールグループと指定された VPC の間の関連付けを削除するアクセス許可を付与します	書き込み	firewall-rule-group-association*
DisassociateResolverEndpointIpAddress	指定した IP アドレスを Resolver エンドポイントから削除する許可を付与。これは、ネットワーク (アウトバウンド) または DNS (インバウンド) への途中で VPCs クエリが通過する IP アドレスです。	書き込み	resolver-endpoint*		ec2:DeleteNetworkInterface ec2:DescribeNetworkInterfaces
DisassociateResolverQueryLogConfig	指定された Resolver クエリログ記録設定と指定された VPC の間の関連付けを削除するアクセス許可を付与します	書き込み	resolver-query-log-config*
DisassociateResolverRule	指定された Resolver ルールと指定された VPC の間の関連付けを削除するアクセス許可を付与します	書き込み	resolver-rule*
GetFirewallConfig	指定されたファイアウォール設定に関する情報を取得するためのアクセス許可を付与します	Read	firewall-config*		ec2:DescribeVpcs
GetFirewallDomainList	指定されたファイアウォールドメインリストに関する情報を取得するためのアクセス許可を付与します	Read	firewall-domain-list*
GetFirewallRuleGroup	指定したファイアウォールルールグループに関する情報を取得するためのアクセス許可を付与します	読み取り	firewall-rule-group*
GetFirewallRuleGroupAssociation	指定されたファイアウォールルールグループと VPC の間の関連付けに関する情報を取得するアクセス許可を付与します	読み取り	firewall-rule-group-association*
GetFirewallRuleGroupPolicy	別のに使用を許可するファイアウォールルールグループのオペレーションとリソースを指定する、指定されたファイアウォールルールグループポリシーに関する情報を取得するアクセス許可を付与 AWS アカウントします	読み取り	firewall-rule-group*
GetOutpostResolver	指定された Route 53 Resolver on Outposts に関する情報を取得するための許可を付与します	読み取り	outpost-resolver*
GetResolverConfig	指定されたリソース内のResolver Config ステータスを取得するアクセス許可を付与します	読み取り	resolver-config*		ec2:DescribeVpcs
GetResolverDnssecConfig	指定されたリソース内の DNSSEC クエリの DNS 検証サポートステータスを取得する許可を付与	読み取り	resolver-dnssec-config*
GetResolverEndpoint	指定された Resolver エンドポイントに関する情報を取得するアクセス許可を付与します。例えば、インバウンドエンドポイントかアウトバウンドエンドポイントか、Word クエリが VPC に出入りする途中で DNS に転送される VPC の IP アドレスなどです。	読み取り	resolver-endpoint*
GetResolverQueryLogConfig	設定がクエリをログ記録している VPCs の数やログが送信される場所など、指定された Resolver クエリログ記録設定に関する情報を取得するアクセス許可を付与します	読み取り	resolver-query-log-config*		ec2:DescribeVpcs
GetResolverQueryLogConfigAssociation	Resolver クエリログ記録設定と Amazon VPC 間の指定された関連付けに関する情報を取得するアクセス許可を付与します。VPC をクエリログ記録設定に関連付けると、Resolver はその DNS で発生した VPC クエリをログに記録します。	読み取り
GetResolverQueryLogConfigPolicy	指定された Resolver クエリログ記録ポリシーに関する情報を取得するアクセス許可を付与します。このポリシーは、別のに AWS アカウント使用を許可する Resolver クエリログ記録オペレーションとリソースを指定します。	読み取り	resolver-query-log-config*
GetResolverRule	ルールが DNS クエリを転送するドメイン名やクエリが転送される IP アドレスなど、指定された Resolver ルールに関する情報を取得するアクセス許可を付与します	読み取り	resolver-rule*
GetResolverRuleAssociation	指定された Resolver ルールと VPC の間の関連付けに関する情報を取得するアクセス許可を付与します	読み取り	resolver-rule*
GetResolverRulePolicy	Resolver ルールポリシーに関する情報を取得するアクセス許可を付与します。このポリシーは、別のに AWS アカウント使用を許可する Resolver オペレーションとリソースを指定します。	読み取り	resolver-rule*
ImportFirewallDomains	ファイアウォールドメインの一覧にファイアウォールドメインを追加、削除、または置換するためのアクセス許可を付与します	書き込み	firewall-domain-list*
ListFirewallConfigs	現在の AWS アカウントがチェックできるすべてのファイアウォール設定を一覧表示するアクセス許可を付与します	リスト			ec2:DescribeVpcs
ListFirewallDomainLists	現在使用できるすべてのファイアウォールドメインリストを一覧表示 AWS アカウントするアクセス許可を付与します	リスト
ListFirewallDomains	指定されたファイアウォールドメインリストの下のすべてのファイアウォールドメインを一覧表示するためのアクセス許可を付与します	リスト	firewall-domain-list*
ListFirewallRuleGroupAssociations	Amazon VPCs と Firewall ルールグループ間の関連付けに関する情報を一覧表示するアクセス許可を付与します	リスト
ListFirewallRuleGroups	現在の AWS アカウントが使用できるすべてのファイアウォールルールグループを一覧表示するアクセス許可を付与します	リスト
ListFirewallRules	指定されたファイアウォールルールグループの下のすべてのファイアウォールルールを一覧表示するためのアクセス許可を付与します	リスト	firewall-rule-group*
ListOutpostResolvers	現在のを使用して作成された Route 53 Resolver on Outposts のすべてのインスタンスを一覧表示するアクセス許可を付与します AWS アカウント	リスト
ListResolverConfigs	リゾルバConfig ステータスを一覧表示するアクセス許可を付与します	リスト	resolver-config*		ec2:DescribeVpcs
ListResolverDnssecConfigs	DNSSEC クエリの DNS 検証サポートステータスを一覧表示するアクセス許可を付与します	リスト	resolver-dnssec-config*
ListResolverEndpointIpAddresses	指定した Resolver エンドポイントのネットワーク (アウトバウンド) または VPCs (インバウンド) への途中で DNS クエリが通過する IP アドレスを一覧表示するアクセス許可を付与します	リスト	resolver-endpoint*
ListResolverEndpoints	現在のを使用して作成されたすべての Resolver エンドポイントを一覧表示するアクセス許可を付与します AWS アカウント	リスト
ListResolverQueryLogConfigAssociations	Amazon VPCs とクエリログ記録設定間の関連付けに関する情報を一覧表示するアクセス許可を付与します	リスト			ec2:DescribeVpcs
ListResolverQueryLogConfigs	指定されたクエリログ記録設定に関する情報を一覧表示するアクセス許可を付与します。これにより、Resolver が DNS クエリログを保存する場所を定義し、クエリをログに記録する VPCs を指定します。	リスト			ec2:DescribeVpcs
ListResolverRuleAssociations	現在のを使用して、Resolver ルールと VPCs の間で作成された関連付けを一覧表示するアクセス許可を付与します AWS アカウント	リスト			ec2:DescribeVpcs
ListResolverRules	現在のを使用して作成された Resolver ルールを一覧表示するアクセス許可を付与します AWS アカウント	リスト
ListTagsForResource	指定したリソースに関連付けたタグを一覧表示する許可を付与	読み取り	firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
PutFirewallRuleGroupPolicy	Firewall ルールグループ AWS アカウントを共有する、共有する Firewall ルールグループ、およびアカウントが設定で実行できるオペレーションを指定するアクセス許可を付与します	権限の管理	firewall-rule-group*
PutResolverQueryLogConfigPolicy	クエリログ記録設定 AWS アカウントを共有する、共有するクエリログ記録設定、およびアカウントが設定で実行できるオペレーションを指定するアクセス許可を付与します	権限の管理	resolver-query-log-config*
PutResolverRulePolicy	ルール AWS アカウントを共有する、共有する Resolver ルール、およびそれらのルールに対してアカウントが実行できるようにするオペレーションを指定するアクセス許可を付与します	権限の管理	resolver-rule*
TagResource	指定したリソースに 1 つ以上のタグを追加する許可を付与	タグ付け	firewall-config
			firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-dnssec-config
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	指定したリソースから 1 つ以上のタグを削除する許可を付与	タグ付け	firewall-config
			firewall-domain-list
			firewall-rule-group
			firewall-rule-group-association
			outpost-resolver
			resolver-dnssec-config
			resolver-endpoint
			resolver-query-log-config
			resolver-rule
				aws:TagKeys
UpdateFirewallConfig	ファイアウォール設定の選択した設定を更新するためのアクセス許可を付与します	Write	firewall-config*		ec2:DescribeVpcs
UpdateFirewallDomains	ファイアウォールドメインの一覧にファイアウォールドメインを追加、削除、または置換するためのアクセス許可を付与します	Write	firewall-domain-list*
UpdateFirewallRule	ファイアウォールルールグループのファイアウォールルールについて選択した設定を更新するためのアクセス許可を付与します	Write	firewall-domain-list*
UpdateFirewallRule	ファイアウォールルールグループのファイアウォールルールについて選択した設定を更新するためのアクセス許可を付与します	Write	firewall-rule-group*
UpdateFirewallRuleGroupAssociation	ファイアウォールルールグループの関連付けについて選択した設定を更新するためのアクセス許可を付与します	書き込み	firewall-rule-group-association*
UpdateOutpostResolver	指定された Route 53 Resolver on Outposts 用に選択された設定を更新するための許可を付与します	書き込み	outpost-resolver*
UpdateResolverConfig	指定されたリソース内のResolver Config ステータスを更新するアクセス許可を付与します	書き込み	resolver-config*		ec2:DescribeVpcs
UpdateResolverDnssecConfig	指定されたリソース内の DNSSEC クエリの DNS 検証サポートステータスを更新する許可を付与	書き込み	resolver-dnssec-config*
UpdateResolverEndpoint	インバウンドまたはアウトバウンドの Resolver エンドポイントの選択した設定を更新する許可を付与	Write	resolver-endpoint*		ec2:AssignIpv6Addresses ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:ModifyNetworkInterfaceAttribute ec2:UnassignIpv6Addresses
UpdateResolverRule	指定した Resolver ルールの設定を更新する許可を付与	Write	resolver-rule*

Amazon Route 53 Resolver で定義されるリソースタイプ

次のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource要素で使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
resolver-dnssec-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-dnssec-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-query-log-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-query-log-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-rule	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-rule/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-endpoint	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-endpoint/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-rule-group	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-rule-group-association	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-rule-group-association/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-domain-list	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-domain-list/${ResourceId}`	aws:ResourceTag/${TagKey}
firewall-config	`arn:${Partition}:route53resolver:${Region}:${Account}:firewall-config/${ResourceId}`	aws:ResourceTag/${TagKey}
resolver-config	`arn:${Partition}:route53resolver:${Region}:${Account}:resolver-config/${ResourceId}`
outpost-resolver	`arn:${Partition}:route53resolver:${Region}:${Account}:outpost-resolver/${ResourceId}`	aws:ResourceTag/${TagKey}

Amazon Route 53 Resolver の条件キー

Amazon Route 53 Resolver では、IAM ポリシーの Condition要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	[Type] (タイプ)
aws:RequestTag/${TagKey}	リクエスト内のタグキーと値のペアが存在するかどうかでアクションをフィルタリングします	文字列
aws:ResourceTag/${TagKey}	リソースにアタッチされているタグのキーと値のペアによってアクセスをフィルタリングする	文字列
aws:TagKeys	リクエスト内のタグキーが存在するかどうかでアクセスをフィルタリングします	ArrayOfString

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

Amazon Route 53 Recovery Readiness

Amazon S3