AWS Config のアクション、リソース、および条件キー

AWS Config (サービスプレフィックス: config) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

リファレンス:

• このサービスを設定する方法について説明します。

• このサービスで使用できる API オペレーションのリストを表示します。

• IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法について説明します。

AWS Config で定義されるアクション

IAM ポリシーステートメントの Action要素で次のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれている場合は、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
BatchGetAggregateResourceConfig	AWS Config アグリゲータに存在するリソースの現在の設定項目を返すアクセス許可を付与します	読み取り	ConfigurationAggregator*
BatchGetResourceConfig	要求された 1 つまたは複数のリソースの現在の設定を返すアクセス許可を付与します	読み込み
DeleteAggregationAuthorization	指定されたリージョン内の指定された設定アグリゲータアカウントに付与されているアクセス承認を削除します	書き込み	AggregationAuthorization*
DeleteConfigRule	指定された Config AWS ルールとそのすべての評価結果を削除するアクセス許可を付与します	書き込み	ConfigRule*
DeleteConfigurationAggregator	指定された設定アグリゲータとそのアグリゲータに関連付けられている集約データを削除する許可を付与	書き込み	ConfigurationAggregator*
DeleteConfigurationRecorder	設定レコーダーを削除する許可を付与	書き込み
DeleteConformancePack	指定されたコンフォーマンスパックと、そのコンフォーマンスパック内のすべての AWS Config ルールとすべての評価結果を削除するアクセス許可を付与します	書き込み	ConformancePack*
DeleteDeliveryChannel	配信チャネルを削除する許可を付与	書き込み
DeleteEvaluationResults	指定された Config ルールの評価結果を削除する許可を付与	書き込み	ConfigRule*
DeleteOrganizationConfigRule	指定された組織設定ルールと、その組織内のすべてのメンバーアカウントの評価結果を削除する許可を付与	書き込み	OrganizationConfigRule*
DeleteOrganizationConformancePack	指定された組織コンフォーマンスパックと、その組織内のすべてのメンバーアカウントの評価結果を削除する許可を付与	書き込み	OrganizationConformancePack*
DeletePendingAggregationRequest	指定されたリージョン内の指定されたアグリゲータアカウントの保留中の権限リクエストを削除する許可を付与	書き込み
DeleteRemediationConfiguration	修正設定を削除する許可を付与	書き込み	RemediationConfiguration*
DeleteRemediationExceptions	特定の Config ルールの特定のリソースキーの 1 AWS つ以上の修復例外を削除するアクセス許可を付与します	書き込み
DeleteResourceConfig	削除されたカスタムリソースの設定状態を記録する許可を付与	書き込み
DeleteRetentionConfiguration	保持存設定を削除する許可を付与	書き込み
DeleteStoredQuery	AWS アカウント 内の の保存されたクエリを削除するアクセス許可を付与します AWS リージョン	書き込み	StoredQuery*
DeliverConfigSnapshot	指定された配信チャネルの Amazon S3 バケットへの設定スナップショットの配信をスケジュールする許可を付与	読み込み
DescribeAggregateComplianceByConfigRules	準拠および非準拠ルールのリソース数で準拠および非準拠ルールに返すアクセス許可を付与します	読み込み	ConfigurationAggregator*
DescribeAggregateComplianceByConformancePacks	各コンフォーマンスパック内の準拠ルール数、非準拠ルール、および合計ルール数とともに、準拠および非準拠の準拠パックの一覧を返すアクセス許可を付与します。	読み込み	ConfigurationAggregator*
DescribeAggregationAuthorizations	さまざまなアグリゲータアカウントおよびリージョンに付与された権限のリストを返すアクセス許可を付与します。	リスト
DescribeComplianceByConfigRule	指定された Config AWS ルールが準拠しているかどうかを示すアクセス許可を付与します	読み取り
DescribeComplianceByResource	指定された AWS リソースが準拠しているかどうかを示すアクセス許可を付与します	読み取り
DescribeConfigRuleEvaluationStatus	各 AWS マネージド Config ルールのステータス情報を返すアクセス許可を付与します	読み取り
DescribeConfigRules	Config AWS ルールの詳細を返すアクセス許可を付与します	リスト
DescribeConfigurationAggregatorSourcesStatus	アグリゲータ内のソースのステータス情報を返すアクセス許可を付与します	読み込み	ConfigurationAggregator*
DescribeConfigurationAggregators	1 つ以上の設定アグリゲータの詳細を返すアクセス許可を付与します。	リスト
DescribeConfigurationRecorderStatus	指定された設定レコーダーの現在のステータスを返すアクセス許可を付与します。	読み込み
DescribeConfigurationRecorders	指定された 1 つまたは複数の設定レコーダーの名前を返すアクセス許可を付与します	リスト
DescribeConformancePackCompliance	そのコンフォーマンスパック内の各ルールのコンプライアンス情報を返すアクセス許可を付与します	読み込み	ConformancePack*
DescribeConformancePackStatus	1 つまたは複数のコンフォーマンスパックの展開ステータスを提供する許可を付与	読み込み
DescribeConformancePacks	1 つまたは複数のコンフォーマンスパックのリストを返すアクセス許可を付与します	リスト
DescribeDeliveryChannelStatus	指定された配信チャネルの現在のステータスを返すアクセス許可を付与します	読み込み
DescribeDeliveryChannels	指定された配信チャネルの詳細を返すアクセス許可を付与します。	リスト
DescribeOrganizationConfigRuleStatuses	組織の設定ルールの展開状態を提供する許可を付与	読み込み
DescribeOrganizationConfigRules	組織設定ルールのリストを返すアクセス許可を付与します	リスト
DescribeOrganizationConformancePackStatuses	組織のコンフォーマンスパックの展開ステータスを提供するためのアクセス許可を付与します	読み込み
DescribeOrganizationConformancePacks	組織のコンフォーマンスパックのリストを返すアクセス許可を付与します	リスト
DescribePendingAggregationRequests	保留中のすべてのアグリゲーションリクエストのリストを返すアクセス許可を付与します	リスト
DescribeRemediationConfigurations	1 つまたは複数の修正設定の詳細を返すアクセス許可を付与します	リスト	RemediationConfiguration*
DescribeRemediationExceptions	1 つまたは複数の修正例外の詳細を返すアクセス許可を付与します	リスト
DescribeRemediationExecutionStatus	状態、タイムスタンプ、失敗したステップのエラーメッセージなど、一連のリソースに対する修正実行の詳細ビューを提供します	読み込み	RemediationConfiguration*
DescribeRetentionConfigurations	1つ以上の保持設定の詳細を返すアクセス許可を付与します	リスト
GetAggregateComplianceDetailsByConfigRule	ルール内の特定のリソースについて、指定された AWS Config ルールの評価結果を返すアクセス許可を付与します	読み取り	ConfigurationAggregator*
GetAggregateConfigRuleComplianceSummary	アグリゲータ内の 1 つ以上のアカウントとリージョンに対する準拠ルールおよび非準拠ルールの数を返すアクセス許可を付与します	読み込み	ConfigurationAggregator*
GetAggregateConformancePackComplianceSummary	アグリゲータ内の 1 つ以上のアカウントとリージョンに対する準拠コンフォーマンスパックおよび非準拠コンフォーマンスパックの数を返すアクセス許可を付与します。	読み取り	ConfigurationAggregator*
GetAggregateDiscoveredResourceCounts	AWS Config アグリゲータに存在するアカウントとリージョン全体のリソース数を返すアクセス許可を付与します	読み取り	ConfigurationAggregator*
GetAggregateResourceConfig	特定のソースアカウントとリージョンの特定のリソースに対してアグリゲートされた設定項目を返すアクセス許可を付与します	読み取り	ConfigurationAggregator*
GetComplianceDetailsByConfigRule	指定された Config AWS ルールの評価結果を返すアクセス許可を付与します	読み取り	ConfigRule*
GetComplianceDetailsByResource	指定された AWS リソースの評価結果を返すアクセス許可を付与します	読み取り
GetComplianceSummaryByConfigRule	準拠および非準拠の AWS Config ルールの数を返すアクセス許可を付与します。各ルールの最大数は 25 です。	読み取り
GetComplianceSummaryByResourceType	準拠しているリソースの数と準拠していないリソースの数を返すアクセス許可を付与します	読み取り
GetConformancePackComplianceDetails	コンフォーマンスパックによって監視されるすべての AWS リソースのコンフォーマンスパックのコンプライアンス詳細を返すアクセス許可を付与します	読み取り	ConformancePack*
GetConformancePackComplianceSummary	1 つまたは複数のコンフォーマンスパックに対するコンプライアンス概要を提供する許可を付与	読み取り	ConformancePack*
GetCustomRulePolicy	AWS Config カスタムポリシールールのロジックを含むポリシー定義を返すアクセス許可を付与します	読み取り	ConfigRule*
GetDiscoveredResourceCounts	リソースタイプ、各リソースタイプの数、および AWS Config がこのリージョンで について記録しているリソースの総数を返すアクセス許可を付与します AWS アカウント	読み取り
GetOrganizationConfigRuleDetailedStatus	特定の組織設定ルールについて、組織内の各メンバーアカウントの詳細なステータスを返すアクセス許可を付与します	読み込み	OrganizationConfigRule*
GetOrganizationConformancePackDetailedStatus	特定の組織コンフォーマンスパックについて、組織内の各メンバーアカウントの詳細なステータスを返すアクセス許可を付与します	読み取り	OrganizationConformancePack*
GetOrganizationCustomRulePolicy	組織の AWS Config カスタムポリシールールのロジックを含むポリシー定義を返すアクセス許可を付与します	読み取り	OrganizationConfigRule*
GetResourceConfigHistory	指定されたリソースの設定項目のリストを返すアクセス許可を付与します	読み取り
GetResourceEvaluationSummary	特定のリソースの評価 ID のリソース評価の概要を返すアクセス許可を付与	読み取り
GetStoredQuery	特定の保存されたクエリの詳細を返すアクセス許可を付与します	読み込み	StoredQuery*
ListAggregateDiscoveredResources	リソースタイプを許容し、アカウントとリージョン全体で特定のリソースタイプについてアグリゲートされたリソース識別子を一覧表示する許可を付与	リスト	ConfigurationAggregator*
ListConformancePackComplianceScores	可能なルールとリソースの組み合わせの合計に対する、コンフォーマンスパック内の準拠ルールとリソースの組み合わせの数の割合を返す許可を付与	リスト
ListDiscoveredResources	リソースタイプを受け入れ、そのタイプのリソースのリソース識別子のリストを返すアクセス許可を付与します	リスト
ListResourceEvaluations	AWS アカウント の のリソース評価の概要を一覧表示するアクセス許可を付与します AWS リージョン	リスト
ListStoredQueries	AWS アカウント 内の の保存されたクエリを一覧表示する許可を付与 AWS リージョン	リスト
ListTagsForResource	Config AWS リソースのタグを一覧表示するアクセス許可を付与します	読み取り	AggregationAuthorization
			ConfigRule
			ConfigurationAggregator
			ConformancePack
			OrganizationConfigRule
			OrganizationConformancePack
			StoredQuery
PutAggregationAuthorization	アグリゲータアカウントとリージョンに、ソースアカウントとリージョンからデータを収集する許可を付与	書き込み	AggregationAuthorization*
				aws:RequestTag/${TagKey} aws:TagKeys
PutConfigRule	AWS リソースが目的の設定に準拠しているかどうかを評価するための AWS Config ルールを追加または更新するアクセス許可を付与します	書き込み	ConfigRule*
				aws:RequestTag/${TagKey} aws:TagKeys
PutConfigurationAggregator	選択したソースアカウントとリージョンを使用して設定アグリゲータを作成および更新する許可を付与	書き込み	ConfigurationAggregator*		iam:PassRole organizations:EnableAWSServiceAccess organizations:ListDelegatedAdministrators
				aws:RequestTag/${TagKey} aws:TagKeys
PutConfigurationRecorder	選択したリソース設定を記録する新しい設定レコーダーを作成する許可を付与。	書き込み
PutConformancePack	コンフォーマンスパックを作成または更新する許可を付与	書き込み	ConformancePack*		iam:CreateServiceLinkedRole iam:PassRole s3:GetObject s3:ListBucket ssm:GetDocument
PutDeliveryChannel	Amazon S3 バケットと Amazon SNS トピックに設定情報を配信する配信チャネルオブジェクトを作成するアクセス許可を付与します	書き込み
PutEvaluations	Config に評価結果を配信するために AWS Lambda AWS 関数が使用するアクセス許可を付与します	書き込み
PutExternalEvaluation	Config AWS に評価結果を配信する許可を付与	書き込み	ConfigRule*
PutOrganizationConfigRule	AWS リソースが目的の設定に準拠しているかどうかを評価する、組織全体の組織設定ルールを追加または更新するアクセス許可を付与します	書き込み	OrganizationConfigRule*		iam:CreateServiceLinkedRole iam:PassRole organizations:EnableAWSServiceAccess organizations:ListDelegatedAdministrators
PutOrganizationConformancePack	AWS リソースが目的の設定に準拠しているかどうかを評価する、組織全体の組織コンフォーマンスパックを追加または更新するアクセス許可を付与します	書き込み	OrganizationConformancePack*		iam:CreateServiceLinkedRole iam:PassRole organizations:EnableAWSServiceAccess organizations:ListDelegatedAdministrators s3:GetObject
PutRemediationConfigurations	選択したターゲットまたはアクションを持つ特定の Config AWS ルールで修復設定を追加または更新するアクセス許可を付与します	書き込み	RemediationConfiguration*		iam:PassRole
PutRemediationExceptions	特定の Config AWS ルールの特定のリソースに対する修復例外を追加または更新するアクセス許可を付与します	書き込み
PutResourceConfig	リクエストで提供されたリソースの設定状態を記録する許可を付与	書き込み
PutRetentionConfiguration	Config が履歴情報を保存する保持期間 (日数) AWS の詳細を使用して保持設定を作成および更新するアクセス許可を付与します	書き込み
PutStoredQuery	新しいクエリを保存する権限を付与するか、既存の保存されたクエリを更新する	書き込み	StoredQuery*
				aws:RequestTag/${TagKey} aws:TagKeys
SelectAggregateResourceConfig	構造化クエリ言語 (SQL) SELECT コマンドとアグリゲータを受け入れて、複数のアカウントとリージョンにわたる AWS リソースの設定状態をクエリし、対応する検索を実行し、プロパティに一致するリソース設定を返します	読み取り	ConfigurationAggregator*
SelectResourceConfig	構造化クエリ言語 (SQL) SELECT コマンドを受け入れ、対応する検索を実行し、プロパティに一致するリソース設定を返すアクセス許可を付与します	読み取り
StartConfigRulesEvaluation	指定した Config ルールに対してリソースを評価する許可を付与	書き込み	ConfigRule*
StartConfigurationRecorder	で記録するために選択した AWS リソースの設定の記録を開始するアクセス許可を付与します AWS アカウント	書き込み
StartRemediationExecution	指定された Config AWS ルールのオンデマンド修復を、最後の既知の修復設定に対して実行するアクセス許可を付与します	書き込み			iam:PassRole
StartResourceEvaluation	アカウントの Config AWS ルールと照らし合わせてリソースの詳細を評価するアクセス許可を付与します	書き込み			cloudformation:DescribeType
StopConfigurationRecorder	で記録するために選択した AWS リソースの設定の記録を停止するアクセス許可を付与します AWS アカウント	書き込み
TagResource	指定されたタグをリソースに指定された resourceArn に関連付けるアクセス許可を付与します	タグ付け	AggregationAuthorization
			ConfigRule
			ConfigurationAggregator
			ConformancePack
			OrganizationConfigRule
			OrganizationConformancePack
			StoredQuery
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	リソースからタグを削除する許可を付与	タグ付け	AggregationAuthorization
			ConfigRule
			ConfigurationAggregator
			ConformancePack
			OrganizationConfigRule
			OrganizationConformancePack
			StoredQuery
				aws:TagKeys

AWS Config で定義されるリソースタイプ

次のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource要素で使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
AggregationAuthorization	arn:${Partition}:config:${Region}:${Account}:aggregation-authorization/${AggregatorAccount}/${AggregatorRegion}	aws:ResourceTag/${TagKey}
ConfigurationAggregator	arn:${Partition}:config:${Region}:${Account}:config-aggregator/${AggregatorId}	aws:ResourceTag/${TagKey}
ConfigRule	arn:${Partition}:config:${Region}:${Account}:config-rule/${ConfigRuleId}	aws:ResourceTag/${TagKey}
ConformancePack	arn:${Partition}:config:${Region}:${Account}:conformance-pack/${ConformancePackName}/${ConformancePackId}	aws:ResourceTag/${TagKey}
OrganizationConfigRule	arn:${Partition}:config:${Region}:${Account}:organization-config-rule/${OrganizationConfigRuleId}	aws:ResourceTag/${TagKey}
OrganizationConformancePack	arn:${Partition}:config:${Region}:${Account}:organization-conformance-pack/${OrganizationConformancePackId}	aws:ResourceTag/${TagKey}
RemediationConfiguration	arn:${Partition}:config:${Region}:${Account}:remediation-configuration/${RemediationConfigurationId}
StoredQuery	arn:${Partition}:config:${Region}:${Account}:stored-query/${StoredQueryName}/${StoredQueryId}	aws:ResourceTag/${TagKey}

AWS Config の条件キー

AWS Config は、IAM ポリシーの Condition要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	タイプ
aws:RequestTag/${TagKey}	各タグの許可された値のセットでアクセスをフィルタリングします	文字列
aws:ResourceTag/${TagKey}	リソースに関連付けられたタグ値でアクセスをフィルタリングします	文字列
aws:TagKeys	リクエスト内の必須タグの存在でアクセスをフィルタリングします	ArrayOfString