AWS Global Accelerator のアクション、リソース、および条件キー

AWS Global Accelerator (サービスプレフィックス: globalaccelerator) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

参照:

• このサービスを設定する方法について説明します。

• このサービスで使用可能な API オペレーションのリストを表示します。

• IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。

AWS Global Accelerator で定義されるアクション

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、AWS でオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource 要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
AddCustomRoutingEndpoints	仮想プライベートクラウド (VPC) サブネットエンドポイントをカスタムルーティングアクセラレータエンドポイントグループに追加するアクセス許可を付与します	書き込み	endpointgroup*
AddEndpoints	標準アクセラレーターエンドポイントグループにエンドポイントを追加する許可を付与します	書き込み	endpointgroup*		globalaccelerator:UpdateEndpointGroup
AdvertiseByoipCidr	自分の IP アドレスを使用 (BYOIP) して、アクセラレータを使用するためにプロビジョニングされている IPv4 アドレス範囲をアドバタイズするアクセス許可を付与します	書き込み
AllowCustomRoutingTraffic	特定の VPC サブネット内のプライベート宛先 IP:PORT へのユーザトラフィックのカスタムルーティングを可能にするアクセス許可を付与します	書き込み	endpointgroup*
CreateAccelerator	標準アクセラレータを作成するアクセス許可を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateCrossAccountAttachment	CrossAccountAttachment を作成するアクセス許可を付与します	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateCustomRoutingAccelerator	カスタムルーティングアクセラレータを作成する許可を付与	書き込み		aws:RequestTag/${TagKey} aws:TagKeys
CreateCustomRoutingEndpointGroup	カスタムルーティングアクセラレータの指定されたリスナーのエンドポイントグループを作成するアクセス許可を付与します	書き込み	listener*
CreateCustomRoutingListener	クライアントからカスタムルーティングアクセラレータへの着信接続を処理するリスナーを作成するアクセス許可を付与します	書き込み	accelerator*
CreateEndpointGroup	標準アクセラレータリスナーにエンドポイントグループを追加するアクセス許可を付与します	書き込み	listener*
CreateListener	標準アクセラレータにリスナーを追加するアクセス許可を付与します	書き込み	accelerator*
DeleteAccelerator	標準アクセラレータを削除するアクセス許可を付与します	書き込み	accelerator*
DeleteCrossAccountAttachment	CrossAccountAttachment を削除するアクセス許可を付与します	書き込み	attachment*
DeleteCustomRoutingAccelerator	カスタムルーティングアクセラレータを削除するアクセス許可を付与します	書き込み	accelerator*
DeleteCustomRoutingEndpointGroup	カスタムルーティングアクセラレータのリスナーからエンドポイントグループを削除するアクセス許可を付与します	書き込み	endpointgroup*
DeleteCustomRoutingListener	カスタムルーティングアクセラレータのリスナーを削除するアクセス許可を付与します	書き込み	listener*
DeleteEndpointGroup	標準アクセラレータリスナーに関連付けられたエンドポイントグループを削除するアクセス許可を付与します	書き込み	endpointgroup*
DeleteListener	標準アクセラレータからリスナーを削除するアクセス許可を付与します	書き込み	listener*
DenyCustomRoutingTraffic	特定の VPC サブネット内のプライベート宛先 IP:PORT へのユーザトラフィックのカスタムルーティングを禁止するアクセス許可を付与します	書き込み	endpointgroup*
DeprovisionByoipCidr	自分の IP アドレスを使用 (BYOIP) して、アクセラレータで使用するためにプロビジョニングした、指定されたアドレス範囲を解放するアクセス許可を付与します	書き込み
DescribeAccelerator	標準アクセラレータを記述するアクセス許可を付与します	読み込み	accelerator*
DescribeAcceleratorAttributes	標準アクセラレータ属性を記述するアクセス許可を付与します	読み取り	accelerator*
DescribeCrossAccountAttachment	CrossAccountAttachment を説明するアクセス許可を付与します	読み取り	attachment*
DescribeCustomRoutingAccelerator	カスタムルーティングアクセラレータを記述するアクセス許可を付与します	読み込み	accelerator*
DescribeCustomRoutingAcceleratorAttributes	カスタムルーティングアクセラレータの属性を記述するアクセス許可を付与します	読み込み	accelerator*
DescribeCustomRoutingEndpointGroup	カスタムルーティングアクセラレータのエンドポイントグループを記述するアクセス許可を付与します	読み込み	endpointgroup*
DescribeCustomRoutingListener	カスタムルーティングアクセラレータのリスナーを記述するアクセス許可を付与します	読み込み	listener*
DescribeEndpointGroup	標準アクセラレータエンドポイントグループを記述するアクセス許可を付与します	読み込み	endpointgroup*
DescribeListener	標準アクセラレータリスナーを記述するアクセス許可を付与します	読み込み	listener*
ListAccelerators	すべての標準アクセラレータを一覧表示するアクセス許可を付与します	リスト
ListByoipCidrs	BYOIP CIDR を一覧表示するアクセス許可を付与します	リスト
ListCrossAccountAttachments	すべての CrossAccountAttachments を一覧表示するアクセス許可を付与します	リスト
ListCrossAccountResourceAccounts	発信者をプリンシパルとしてリストする CrossAccountAttachments を持つアカウントを一覧表示するアクセス許可を付与します	リスト
ListCrossAccountResources	発信者が使用できるすべての CrossAccountAttachment リソースを一覧表示するアクセス許可を付与します	リスト
ListCustomRoutingAccelerators	AWS アカウント のカスタムルーティングアクセラレータを一覧表示するアクセス許可を付与します	リスト
ListCustomRoutingEndpointGroups	カスタムルーティングアクセラレータのリスナーに関連付けられたエンドポイントグループを一覧表示するアクセス許可を付与します	リスト	listener*
ListCustomRoutingListeners	カスタムルーティングアクセラレータのリスナーを一覧表示するアクセス許可を付与します	リスト	accelerator*
ListCustomRoutingPortMappings	カスタムルーティングアクセラレータのポートマッピングを一覧表示するアクセス許可を付与します	リスト	accelerator*
ListCustomRoutingPortMappingsByDestination	サブネット内の特定のエンドポイント IP アドレス（宛先アドレス）のポートマッピングを一覧表示する許可を付与	リスト
ListEndpointGroups	標準アクセラレータリスナーに関連付けられたすべてのエンドポイントグループを一覧表示するアクセス許可を付与します	リスト	listener*
ListListeners	標準アクセラレータに関連付けられたすべてのリスナーを一覧表示するアクセス許可を付与します	リスト	accelerator*
ListTagsForResource	グローバルアクセラレータリソースのタグを一覧表示するアクセス許可を付与します	読み込み	accelerator
			attachment
ProvisionByoipCidr	自分の IP アドレスを使用 (BYOIP) して、アクセラレータで使用するアドレス範囲をプロビジョニングするアクセス許可を付与します	書き込み
RemoveCustomRoutingEndpoints	カスタムルーティングアクセラレータエンドポイントグループから仮想プライベートクラウド (VPC) サブネットエンドポイントを削除するアクセス許可を付与します	書き込み	endpointgroup*
RemoveEndpoints	標準アクセラレーターエンドポイントグループからエンドポイントを削除する許可を付与します	書き込み	endpointgroup*		globalaccelerator:UpdateEndpointGroup
TagResource	グローバルアクセラレータリソースにタグを追加するアクセス許可を付与します	タグ付け	accelerator
			attachment
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	グローバルアクセラレータリソースからタグを削除するアクセス許可を付与します	タグ付け	accelerator
			attachment
				aws:TagKeys
UpdateAccelerator	標準アクセラレータを更新するアクセス許可を付与します	書き込み	accelerator*
UpdateAcceleratorAttributes	標準アクセラレータ属性を更新するアクセス許可を付与します	書き込み	accelerator*
UpdateCrossAccountAttachment	CrossAccountAttachment を更新するアクセス許可を付与します	書き込み	attachment*
UpdateCustomRoutingAccelerator	カスタムルーティングアクセラレータを更新するアクセス許可を付与します	書き込み	accelerator*
UpdateCustomRoutingAcceleratorAttributes	カスタムルーティングアクセラレータの属性を更新するアクセス許可を付与します	書き込み	accelerator*
UpdateCustomRoutingListener	カスタムルーティングアクセラレータのリスナーを更新するアクセス許可を付与します	書き込み	listener*
UpdateEndpointGroup	標準アクセラレータリスナーのエンドポイントグループを更新するアクセス許可を付与します	書き込み	endpointgroup*
UpdateListener	標準アクセラレータのリスナーを更新するアクセス許可を付与します	書き込み	listener*
WithdrawByoipCidr	BYOIP IPv4 アドレスのアドバタイズを停止するアクセス許可を付与します	書き込み

AWS Global Accelerator で定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
accelerator	arn:${Partition}:globalaccelerator::${Account}:accelerator/${ResourceId}	aws:ResourceTag/${TagKey}
listener	arn:${Partition}:globalaccelerator::${Account}:accelerator/${ResourceId}/listener/${ListenerId}	aws:ResourceTag/${TagKey}
endpointgroup	arn:${Partition}:globalaccelerator::${Account}:accelerator/${ResourceId}/listener/${ListenerId}/endpoint-group/${EndpointGroupId}	aws:ResourceTag/${TagKey}
attachment	arn:${Partition}:globalaccelerator::${Account}:attachment/${ResourceId}	aws:ResourceTag/${TagKey}

AWS Global Accelerator の条件キー

AWS Global Accelerator では、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	タイプ
aws:RequestTag/${TagKey}	リクエスト内のタグキーと値のペアが存在するかどうかでアクションをフィルタリング	文字列
aws:ResourceTag/${TagKey}	リソースにアタッチされているタグキーおよび値のペアでアクセスをフィルタリング	文字列
aws:TagKeys	リクエスト内のタグキーが存在するかどうかでアクセスをフィルタリング	ArrayOfString