Amazon MSK クラスター用の Apache Kafka API のアクション、リソース、および条件キー - サービス認証リファレンス

Amazon MSK クラスター用の Apache Kafka API のアクション、リソース、および条件キー

Amazon MSK クラスター用の Apache Kafka API (サービスプレフィックス: kafka-cluster) は、IAM アクセス許可ポリシーで使用する次のサービス固有のリソース、アクション、および条件コンテキストキーを提供します。

参照:

Amazon MSK クラスター用の Apache Kafka API によって定義されたアクション

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、AWS でオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[リソースタイプ] 列は、各アクションがリソースレベルのアクセス許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource エレメントですべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。必須リソースは、アスタリスク (*) でテーブルに示されています。このアクションを使用してステートメントでリソースレベルのアクセス許可 ARN を指定する場合、このタイプである必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、一方を使用することはできますが、他方を使用することはできません。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション 説明 アクセスレベル リソースタイプ (* 必須) 条件キー 依存アクション
AlterCluster Apache Kafka の ALTER CLUSTER ACL に相当する、クラスターのさまざまな側面を変更するためのアクセス許可を付与します Write

cluster*

kafka-cluster:Connect

kafka-cluster:DescribeCluster

AlterClusterDynamicConfiguration Apache Kafka の ALTER_CONFIGS CLUSTER ACL に相当する、クラスターの動的設定を変更するためのアクセス許可を付与します Write

cluster*

kafka-cluster:Connect

kafka-cluster:DescribeClusterDynamicConfiguration

AlterGroup Apache Kafka の READ GROUP ACL に相当する、クラスター上のグループに参加させるためのアクセス許可を付与します Write

group*

kafka-cluster:Connect

kafka-cluster:DescribeGroup

AlterTopic Apache Kafka の ALTER TOPIC ACL に相当する、クラスター上のトピックを変更するためのアクセス許可を付与します Write

topic*

kafka-cluster:Connect

kafka-cluster:DescribeTopic

AlterTopicDynamicConfiguration Apache Kafka の ALTER_CONFIGS TOPIC ACL に相当する、クラスターのトピックの動的設定を変更するためのアクセス許可を付与します Write

topic*

kafka-cluster:Connect

kafka-cluster:DescribeTopicDynamicConfiguration

AlterTransactionalId Apache Kafka の WRITE TRANSACTIONAL_ID ACL に相当する、クラスター上のトランザクション ID を変更するためのアクセス許可を付与します Write

transactional-id*

kafka-cluster:Connect

kafka-cluster:DescribeTransactionalId

kafka-cluster:WriteData

Connect クラスターに接続して認証するためのアクセス許可を付与します Write

cluster*

CreateTopic Apache Kafka の CREATE CLUSTER/TOPIC ACL に相当する、クラスター上のトピックを作成するためのアクセス許可を付与します Write

topic*

kafka-cluster:Connect

DeleteGroup Apache Kafka の DELETE GROUP ACL に相当する、クラスター上のグループを削除するためのアクセス許可を付与します Write

group*

kafka-cluster:Connect

kafka-cluster:DescribeGroup

DeleteTopic Apache Kafka の DELETE TOPIC ACL に相当する、クラスター上のトピックを削除するためのアクセス許可を付与します Write

topic*

kafka-cluster:Connect

kafka-cluster:DescribeTopic

DescribeCluster Apache Kafka の DESCRIBE CLUSTER ACL に相当する、クラスターのさまざまな側面を記述するためのアクセス許可を付与します リスト

cluster*

kafka-cluster:Connect

DescribeClusterDynamicConfiguration Apache Kafka の DESCRIBE_CONFIGS CLUSTER ACL に相当する、クラスターの動的設定を記述するためのアクセス許可を付与します リスト

cluster*

kafka-cluster:Connect

DescribeGroup Apache Kafka の DESCRIBE GROUP ACL に相当する、クラスター上のグループを記述するためのアクセス許可を付与します リスト

group*

kafka-cluster:Connect

DescribeTopic Apache Kafka の DESCRIBE TOPIC ACL に相当する、クラスター上のトピックを記述するためのアクセス許可を付与します リスト

topic*

kafka-cluster:Connect

DescribeTopicDynamicConfiguration Apache Kafka の DESCRIBE_CONFIGS TOPIC ACL に相当する、クラスターのトピックの動的設定を記述するためのアクセス許可を付与します リスト

topic*

kafka-cluster:Connect

DescribeTransactionalId Apache Kafka の DESCRIBE TRANSACTIONAL_ID ACL に相当する、クラスター上のトランザクション ID を記述するためのアクセス許可を付与します リスト

transactional-id*

kafka-cluster:Connect

ReadData Apache Kafka の READ TOPIC ACL に相当する、クラスター上のトピックからデータを読み取るためのアクセス許可を付与します Read

topic*

kafka-cluster:AlterGroup

kafka-cluster:Connect

kafka-cluster:DescribeTopic

WriteData Apache Kafka の WRITE TOPIC ACL に相当する、クラスター上のトピックにデータを書き込むためのアクセス許可を付与します Write

topic*

kafka-cluster:Connect

kafka-cluster:DescribeTopic

WriteDataIdempotently Apache Kafka の IDEMPOTENT_WRITE CLUSTER ACL に相当する、クラスター上でべき等的にデータを書き込むためのアクセス許可を付与します Write

cluster*

kafka-cluster:Connect

kafka-cluster:WriteData

Amazon MSK クラスター用の Apache Kafka API によって定義されたリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ ARN 条件キー
cluster arn:${Partition}:kafka:${Region}:${Account}:cluster/${ClusterName}/${ClusterUuid}

aws:ResourceTag/${TagKey}

topic arn:${Partition}:kafka:${Region}:${Account}:topic/${ClusterName}/${ClusterUuid}/${TopicName}
group arn:${Partition}:kafka:${Region}:${Account}:group/${ClusterName}/${ClusterUuid}/${GroupName}
transactional-id arn:${Partition}:kafka:${Region}:${Account}:transactional-id/${ClusterName}/${ClusterUuid}/${TransactionalId}

Amazon MSK クラスター用の Apache Kafka API の条件キー

Amazon MSK クラスター用の Apache Kafka API では、IAM ポリシーの Condition 要素で使用できる次の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、使用できるグローバル条件キーを参照してください。

条件キー 説明 タイプ
aws:ResourceTag/${TagKey} リソースにアタッチされているタグキーと値のペアに基づいてアクションをフィルタリングします。リソースタグコンテキストキーは、トピック、グループ、トランザクション ID ではなく、クラスターリソースにのみ適用されます。 文字列