AWS Network Manager のアクション、リソース、条件キー

AWS Network Manager (サービスプレフィックス: networkmanager) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

リファレンス:

• このサービスを設定する方法について説明します。

• このサービスで使用できる API オペレーションのリストを表示します。

• IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法について説明します。

AWS Network Manager が定義するアクション

IAM ポリシーステートメントの Action要素で次のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれている場合は、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource要素を使用してリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN または パターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション	説明	アクセスレベル	リソースタイプ (* 必須)	条件キー	依存アクション
AcceptAttachment	コアネットワーク内の送信元と宛先間の添付ファイルの作成を許可する権限を付与します。	書き込み	attachment*		ec2:DescribeRegions
AssociateConnectPeer	Connect ピアを関連付けるアクセス許可を付与します。	書き込み	device*
			global-network*
AssociateCustomerGateway	カスタマーゲートウェイをデバイスに関連付けるアクセス許可を付与します。	書き込み	device*
			global-network*
			link
				networkmanager:cgwArn
AssociateLink	リンクをデバイスに関連付けるアクセス許可を付与します。	書き込み	device*
			global-network*
			link*
AssociateTransitGatewayConnectPeer	Transit Gateway 接続ピアをデバイスに関連付けるアクセス許可を付与します	書き込み	device*
			global-network*
			link
				networkmanager:tgwConnectPeerArn
CreateConnectAttachment	接続アタッチメントを作成する許可を付与します。	書き込み	attachment*		ec2:DescribeRegions networkmanager:TagResource
			core-network*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateConnectPeer	Connect Peer connectionを作成する許可を付与します。	書き込み	attachment*		ec2:DescribeRegions networkmanager:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys
CreateConnection	新しい接続を作成する許可を付与	書き込み	global-network*		networkmanager:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys
CreateCoreNetwork	新しいコアネットワークを作成する許可を付与します。	書き込み	global-network*		ec2:DescribeRegions networkmanager:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys
CreateDevice	新しいデバイスを作成する許可を付与	書き込み	global-network*		networkmanager:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys
CreateGlobalNetwork	新しいグローバルネットワークを作成する許可を付与。	書き込み		aws:RequestTag/${TagKey} aws:TagKeys	iam:CreateServiceLinkedRole networkmanager:TagResource
CreateLink	新しいリンクを作成する許可を付与	書き込み	global-network*		networkmanager:TagResource
			site
				aws:RequestTag/${TagKey} aws:TagKeys
CreateSite	新しいサイトを作成する許可を付与	書き込み	global-network*		networkmanager:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys
CreateSiteToSiteVpnAttachment	site-to-site VPN アタッチメントを作成する許可を付与	書き込み	core-network*		ec2:DescribeRegions networkmanager:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys networkmanager:vpnConnectionArn
CreateTransitGatewayPeering	トランジット ゲートウェイ ピアリングを作成する許可の付与	書き込み	core-network*		ec2:DescribeRegions networkmanager:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys networkmanager:tgwArn
CreateTransitGatewayRouteTableAttachment	TGW RTBを作成するアクセス許可を付与します	書き込み	peering*		ec2:DescribeRegions networkmanager:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys networkmanager:tgwRtbArn
CreateVpcAttachment	VPC アタッチメントを作成するアクセス許可を付与します	書き込み	core-network*		ec2:DescribeRegions networkmanager:TagResource
				aws:RequestTag/${TagKey} aws:TagKeys networkmanager:vpcArn networkmanager:subnetArns
DeleteAttachment	アタッチメントを削除するアクセス許可を付与します。	書き込み	attachment*		ec2:DescribeRegions
DeleteConnectPeer	Connect Peerを削除する許可を付与します。	書き込み	connect-peer*		ec2:DescribeRegions
DeleteConnection	接続を削除する許可を付与。	書き込み	connection*
			global-network*
DeleteCoreNetwork	コアネットワーク を削除する許可を付与します。	書き込み	core-network*		ec2:DescribeRegions
DeleteCoreNetworkPolicyVersion	コアネットワークポリシーバージョンを削除するアクセス許可を付与します。	書き込み	core-network*
DeleteDevice	デバイスを削除する許可を付与	書き込み	device*
			global-network*
DeleteGlobalNetwork	グローバルネットワークを削除する許可を付与。	書き込み	global-network*
DeleteLink	リンクを削除する許可を付与	書き込み	global-network*
			link*
DeletePeering	ピアリングを削除する許可の付与	書き込み	peering*		ec2:DescribeRegions
DeleteResourcePolicy	リソースを削除するためのアクセス許可を付与します。	書き込み	core-network*
DeleteSite	サイトを削除する許可を付与	書き込み	global-network*
			site*
DeregisterTransitGateway	グローバルネットワークから転送ゲートウェイを登録解除する許可を付与。	書き込み	global-network*
				networkmanager:tgwArn
DescribeGlobalNetworks	グローバルネットワークを記述する許可を付与。	リスト	global-network
DisassociateConnectPeer	Connect ピアの関連付けを解除するアクセス許可を付与します。	書き込み	global-network*
DisassociateCustomerGateway	カスタマーゲートウェイとデバイスの関連付けを解除する許可を付与。	書き込み	global-network*
				networkmanager:cgwArn
DisassociateLink	リンクとデバイスの関連付けを解除する許可を付与。	書き込み	device*
			global-network*
			link*
DisassociateTransitGatewayConnectPeer	トランジットゲートウェイ接続ピアをデバイスから解除する許可を付与します	書き込み	global-network*
				networkmanager:tgwConnectPeerArn
ExecuteCoreNetworkChangeSet	コアネットワークに変更を適用するアクセス許可を付与します。	書き込み	core-network*		ec2:DescribeRegions
GetConnectAttachment	コネクトアタッチメントを取得する許可を付与します。	読み込み	attachment*
GetConnectPeer	Connectピアを取得する許可を付与します。	読み込み	connect-peer*
GetConnectPeerAssociations	Connectピアアソシエーションを記述する許可を付与します。	読み込み	global-network*
GetConnections	接続を記述する許可を付与	リスト	global-network*
			connection
GetCoreNetwork	コアネットワークを取得するアクセス許可を付与します。	読み取り	core-network*
GetCoreNetworkChangeEvents	コアネットワーク変更セットのリストを取得する許可の付与	読み取り	core-network*
GetCoreNetworkChangeSet	コアネットワーク変更セットのリストを取得するアクセス許可を付与します。	読み込み	core-network*
GetCoreNetworkPolicy	コアネットワークポリシーを取得するアクセス許可を付与します。	読み込み	core-network*
GetCustomerGatewayAssociations	カスタマーゲートウェイの関連付けを記述する許可を付与。	リスト	global-network*
GetDevices	デバイスを記述する許可を付与。	リスト	global-network*
			device
GetLinkAssociations	リンクの関連付けを記述する許可を付与。	リスト	global-network*
			device
			link
GetLinks	リンクを記述する許可を付与。	リスト	global-network*
			link
GetNetworkResourceCounts	タイプ別にグループ化されたグローバルネットワークのリソースの数を返すアクセス許可を付与します。	読み込み	global-network*
GetNetworkResourceRelationships	グローバルネットワーク内のリソースの関連リソースを取得する権限を付与します。	読み込み	global-network*
GetNetworkResources	グローバルネットワークリソースを取得するアクセス許可を付与します。	読み込み	global-network*
GetNetworkRoutes	グローバルネットワーク内のルート表のルートを取得する権限を付与します。	読み込み	global-network*
GetNetworkTelemetry	グローバルネットワークのネットワークテレメトリオブジェクトを取得する権限を付与します。	読み込み	global-network*
GetResourcePolicy	リソースポリシーを取得する許可を付与。	読み込み	core-network*
GetRouteAnalysis	ルート解析設定および結果を取得するアクセス許可を付与します。	読み取り	global-network*
GetSiteToSiteVpnAttachment	site-to-site VPN アタッチメントを取得する許可を付与	読み取り	attachment*
GetSites	グローバルネットワークを記述する許可を付与。	リスト	global-network*
			site
GetTransitGatewayConnectPeerAssociations	トランジットゲートウェイ接続ピアアソシエーションを記述する許可を付与	リスト	global-network*
GetTransitGatewayPeering	トランジット ゲートウェイ ピアリングを取得する許可の付与	読み取り	peering*
GetTransitGatewayRegistrations	転送ゲートウェイの登録を記述する許可を付与。	リスト	global-network*
GetTransitGatewayRouteTableAttachment	TGW RTBを取得する許可を付与	読み取り	attachment*
GetVpcAttachment	VPC アタッチメントを取得する許可を付与	読み取り	attachment*
ListAttachments	アタッチメントを記述するアクセス許可を付与します。	リスト	attachment*
ListConnectPeers	Connetピアを記述する許可を付与します。	リスト	connect-peer*
ListCoreNetworkPolicyVersions	コアネットワークポリシーのバージョンを一覧表示するアクセス許可を付与します。	リスト	core-network*
ListCoreNetworks	コアネットワークを一覧表示するアクセス許可を付与します。	リスト
ListOrganizationServiceAccessStatus	組織サービスのアクセスステータスを一覧表示するアクセス許可を付与します	リスト
ListPeerings	ピアリングを記述する許可の付与	リスト
ListTagsForResource	Network Manager リソースのリストタグにアクセス許可を付与します。	読み込み	attachment
			connect-peer
			connection
			core-network
			device
			global-network
			link
			peering
			site
				aws:ResourceTag/${TagKey}
PutCoreNetworkPolicy	コアネットワークポリシーを作成する許可を付与します。	書き込み	core-network*		ec2:DescribeRegions
PutResourcePolicy	リソースポリシーを作成または更新する許可を付与します。	書き込み	core-network*
RegisterTransitGateway	グローバルネットワークに転送ゲートウェイを登録する許可を付与します	書き込み	global-network*
				networkmanager:tgwArn
RejectAttachment	アタッチメントリクエストを拒否する権限を付与します。	書き込み	attachment*
RestoreCoreNetworkPolicyVersion	コアネットワークポリシーを以前のバージョンに復元する権限を付与します。	書き込み	core-network*		ec2:DescribeRegions
StartOrganizationServiceAccessUpdate	組織サービスアクセス更新を開始するアクセス許可を付与します	書き込み
StartRouteAnalysis	ルート解析を開始し、解析構成を保存する権限を付与します。	書き込み	global-network*
TagResource	Network Manager リソースにタグを付けるアクセス許可を付与します。	タグ付け	attachment
			connect-peer
			connection
			core-network
			device
			global-network
			link
			peering
			site
				aws:TagKeys aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey}
UntagResource	Network Manager リソースのタグを解除する許可を付与。	タグ付け	attachment
			connect-peer
			connection
			core-network
			device
			global-network
			link
			peering
			site
				aws:TagKeys
UpdateConnection	接続を更新する許可を付与。	書き込み	connection*
			global-network*
UpdateCoreNetwork	コアネットワークを更新する許可を付与します。	書き込み	core-network*
UpdateDevice	デバイスを更新する許可を付与	書き込み	device*
			global-network*
UpdateGlobalNetwork	グローバルネットワークを更新する許可を付与。	書き込み	global-network*
UpdateLink	リンクを更新する許可を付与	書き込み	global-network*
			link*
UpdateNetworkResourceMetadata	ネットワークリソースでメタデータのキーおよび値のペアを追加または更新するアクセス許可を付与します。	書き込み	global-network*
UpdateSite	サイトを更新する許可を付与	書き込み	global-network*
			site*
UpdateVpcAttachment	VPC アタッチメントを更新する許可を付与	書き込み	attachment*		ec2:DescribeRegions
				aws:RequestTag/${TagKey} aws:TagKeys networkmanager:subnetArns

AWS Network Manager が定義するリソースタイプ

次のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource要素で使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ	ARN	条件キー
global-network	arn:${Partition}:networkmanager::${Account}:global-network/${ResourceId}	aws:ResourceTag/${TagKey}
site	arn:${Partition}:networkmanager::${Account}:site/${GlobalNetworkId}/${ResourceId}	aws:ResourceTag/${TagKey}
link	arn:${Partition}:networkmanager::${Account}:link/${GlobalNetworkId}/${ResourceId}	aws:ResourceTag/${TagKey}
device	arn:${Partition}:networkmanager::${Account}:device/${GlobalNetworkId}/${ResourceId}	aws:ResourceTag/${TagKey}
connection	arn:${Partition}:networkmanager::${Account}:connection/${GlobalNetworkId}/${ResourceId}	aws:ResourceTag/${TagKey}
core-network	arn:${Partition}:networkmanager::${Account}:core-network/${ResourceId}	aws:ResourceTag/${TagKey}
attachment	arn:${Partition}:networkmanager::${Account}:attachment/${ResourceId}	aws:ResourceTag/${TagKey}
connect-peer	arn:${Partition}:networkmanager::${Account}:connect-peer/${ResourceId}	aws:ResourceTag/${TagKey}
peering	arn:${Partition}:networkmanager::${Account}:peering/${ResourceId}	aws:ResourceTag/${TagKey}

AWS Network Manager の条件キー

AWS Network Manager は、IAM ポリシーの Condition要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを確認するには、「使用できるグローバル条件キー」を参照してください。

条件キー	説明	タイプ
aws:RequestTag/${TagKey}	リクエストで渡されたタグでアクセスをフィルタリングします	文字列
aws:ResourceTag/${TagKey}	リソースに関連付けられたタグでアクセスをフィルタリングします	文字列
aws:TagKeys	リクエストで渡されたタグキーでアクセスをフィルタリングします	ArrayOfString
networkmanager:cgwArn	関連付けまたは関連付け解除できるカスタマーゲートウェイによってアクセスをフィルタリングします。	ARN
networkmanager:subnetArns	VPC アタッチメントから VPC サブネットを追加または削除できるアクセスをフィルタリングします	ArrayOfARN
networkmanager:tgwArn	トランジットゲートウェイが登録、登録解除、ピアリングされる対象のアクセスのフィルタリング	ARN
networkmanager:tgwConnectPeerArn	トランジットゲートウェイ接続ピアを関連付けまたは関連付け解除できるアクセスをフィルタリングします	ARN
networkmanager:tgwRtbArn	トランジット ゲートウェイ ルート テーブルを使用してアタッチメントを作成する対象のアクセスのフィルタリング	ARN
networkmanager:vpcArn	VPC を使用して添付ファイルを作成/更新できるアクセスをフィルタリングします	ARN
networkmanager:vpnConnectionArn	Site-to-Site VPN を使用して添付ファイルを作成/更新できるアクセスをフィルタリングします	ARN