AWS IoT에 사용되는 작업, 리소스 및 조건 키

AWS IoT(서비스 접두사: iot)는 IAM 권한 정책에 사용할 수 있는 다음과 같은 서비스별 리소스, 작업 및 조건 컨텍스트 키를 제공합니다.

참조:

• 이 서비스의 구성 방법을 알아봅니다.

• 이 서비스에 사용 가능한 API 작업 목록을 봅니다.

• IAM 권한 정책을 사용하여 이 서비스와 리소스를 보호하는 방법을 알아봅니다.

AWS IoT에서 정의한 작업

IAM 정책 설명의 Action 요소에서는 다음 작업을 지정할 수 있습니다. 정책을 사용하여 AWS에서 작업할 수 있는 권한을 부여합니다. 정책에서 작업을 사용하면 일반적으로 이름이 같은 API 작업 또는 CLI 명령에 대한 액세스를 허용하거나 거부합니다. 그러나 경우에 따라 하나의 작업으로 둘 이상의 작업에 대한 액세스가 제어됩니다. 또는 일부 작업을 수행하려면 다양한 작업이 필요합니다.

작업 테이블의 리소스 유형 열에는 각 작업이 리소스 수준 권한을 지원하는지 여부가 표시됩니다. 리소스 열에 값이 없으면 정책 문의 Resource 요소에서 정책이 적용되는 모든 리소스("*")를 지정해야 합니다. 리소스 열에 리소스 유형이 포함되어 있으면 해당 작업 시 문에서 해당 유형의 ARN을 지정할 수 있습니다. 작업에 필요한 리소스가 하나 이상 있는 경우, 호출자에게 해당 리소스와 함께 작업을 사용할 수 있는 권한이 있어야 합니다. 필수 리소스는 테이블에서 별표(*)로 표시됩니다. IAM 정책의 Resource 요소로 리소스 액세스를 제한하는 경우, 각 필수 리소스 유형에 대해 ARN 또는 패턴을 포함해야 합니다. 일부 작업은 다수의 리소스 유형을 지원합니다. 리소스 유형이 옵션(필수 리소스로 표시되지 않은 경우)인 경우에는 선택적 리소스 유형 중 하나를 사용하도록 선택할 수 있습니다.

작업 테이블의 조건 키 열에는 정책 설명의 Condition 요소에서 지정할 수 있는 키가 포함됩니다. 서비스의 리소스와 연결된 조건 키에 대한 자세한 내용은 리소스 유형 테이블의 조건 키 열을 참조하세요.

참고

리소스 조건 키는 리소스 유형 표에 나열되어 있습니다. 작업에 적용되는 리소스 유형에 대한 링크는 리소스 유형(*필수) 작업 표의 열에서 찾을 수 있습니다. 리소스 유형 테이블의 리소스 유형에는 조건 키 열이 포함되고 이는 작업 표의 작업에 적용되는 리소스 조건 키입니다.

다음 테이블의 열에 대한 자세한 내용은 작업 테이블을 참조하세요.

작업	설명	액세스 레벨	리소스 유형(*필수)	조건 키	종속 작업
AcceptCertificateTransfer	보류 중인 인증서 전송을 수락할 수 있는 권한을 부여합니다.	쓰기	cert*
AddThingToBillingGroup	지정된 청구 그룹에 사물을 추가할 수 있는 권한을 부여합니다.	쓰기	billinggroup*
			thing*
AddThingToThingGroup	지정된 사물 그룹에 사물을 추가할 수 있는 권한을 부여합니다.	쓰기	thing*
			thinggroup*
AssociateTargetsWithJob	그룹을 연속 작업에 연결할 수 있는 권한을 부여합니다.	쓰기	job*
			thing*
			thinggroup*
AttachPolicy	지정된 대상에 정책을 연결할 수 있는 권한을 부여합니다.	권한 관리	cert
			thinggroup
AttachPrincipalPolicy	지정된 정책을 지정된 보안 주체(인증서 또는 다른 자격 증명)에 연결할 수 있는 권한을 부여합니다.	권한 관리	cert
AttachSecurityProfile	Device Defender 보안 프로필을 사물 그룹 또는 이 계정에 연결할 수 있는 권한을 부여합니다.	쓰기	securityprofile*
			custommetric
			dimension
			thinggroup
AttachThingPrincipal	지정된 보안 주체를 지정된 사물에 연결할 수 있는 권한을 부여합니다.	쓰기
CancelAuditMitigationActionsTask	진행 중인 완화 작업 태스크를 취소할 수 있는 권한을 부여합니다.	쓰기
CancelAuditTask	진행 중인 감사를 취소할 수 있는 권한을 부여합니다. 감사는 예정된 감사이거나 온디맨드 감사일 수 있습니다.	쓰기
CancelCertificateTransfer	지정된 인증서에 대해 보류 중인 전송을 취소할 수 있는 권한을 부여합니다.	쓰기	cert*
CancelDetectMitigationActionsTask	Device Defender ML Detect 완화 작업을 취소할 수 있는 권한을 부여합니다.	쓰기
CancelJob	작업을 취소할 수 있는 권한을 부여합니다.	쓰기	job*
CancelJobExecution	특정 디바이스에서 작업 실행을 취소할 수 있는 권한을 부여합니다.	쓰기	job*
			thing*
ClearDefaultAuthorizer	기본 권한 부여자를 지울 수 있는 권한을 부여합니다.	쓰기
CloseTunnel	터널을 닫을 수 있는 권한을 부여합니다.	쓰기	tunnel*
				iot:Delete
ConfirmTopicRuleDestination	http URL을 확인할 수 있는 권한을 부여합니다. TopicRuleDestinationDestination	쓰기	destination*
Connect	지정된 클라이언트로 연결할 수 있는 권한을 부여합니다.	쓰기	client*
CreateAuditSuppression	Device Defender 감사 억제를 생성할 수 있는 권한을 부여합니다.	쓰기
CreateAuthorizer	권한 부여자를 생성할 수 있는 권한을 부여합니다.	쓰기	authorizer*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateBillingGroup	결제 그룹을 생성할 수 있는 권한을 부여합니다.	쓰기	billinggroup*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateCertificateFromCsr	지정된 인증서 서명 요청을 사용하여 X.509 인증서를 생성할 수 있는 권한을 부여합니다.	쓰기
CreateCertificateProvider	인증서 제공자를 만들 수 있는 권한을 부여합니다.	쓰기	certificateprovider*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateCustomMetric	디바이스측 지표 보고 및 모니터링을 위한 사용자 지정 지표를 생성할 수 있는 권한을 부여합니다.	쓰기	custommetric*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateDimension	보안 프로필에 사용되는 지표의 범위를 제한하는 데 사용할 수 있는 차원을 정의할 수 있는 권한을 부여합니다.	쓰기	dimension*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateDomainConfiguration	도메인 구성을 생성할 수 있는 권한을 부여합니다.	쓰기	domainconfiguration*
				aws:RequestTag/${TagKey} aws:TagKeys iot:DomainName
CreateDynamicThingGroup	동적 사물 그룹을 생성할 수 있는 권한 부여	Write	dynamicthinggroup*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateFleetMetric	플릿 지표를 생성할 수 있는 권한 부여	쓰기	fleetmetric*
			index*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateJob	작업을 생성할 수 있는 권한을 부여합니다.	쓰기	job*
			thing*
			thinggroup*
			jobtemplate
			package
			packageversion
				aws:RequestTag/${TagKey} aws:TagKeys
CreateJobTemplate	작업 템플릿을 생성할 수 있는 권한을 부여합니다.	쓰기	jobtemplate*
			job
			package
			packageversion
				aws:RequestTag/${TagKey} aws:TagKeys
CreateKeysAndCertificate	2048비트 RSA 키 쌍을 만들 수 있는 권한을 부여하고 발급된 공개 키를 사용하여 X.509 인증서를 발급합니다.	쓰기
CreateMitigationAction	다음을 사용하여 감사 결과에 적용할 수 있는 작업을 정의할 수 있는 권한을 부여합니다. StartAuditMitigationActionsTask	쓰기	mitigationaction*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateOTAUpdate	OTA 업데이트 작업을 생성할 수 있는 권한을 부여합니다.	쓰기	otaupdate*
				aws:RequestTag/${TagKey} aws:TagKeys
CreatePackage	디바이스에 배포할 수 있는 소프트웨어 패키지를 생성할 수 있는 권한을 부여합니다.	쓰기	package*		iot:GetIndexingConfiguration
				aws:RequestTag/${TagKey} aws:TagKeys
CreatePackageVersion	지정된 패키지에서 버전을 생성할 수 있는 권한을 부여합니다.	쓰기	package*		iot:GetIndexingConfiguration
			packageversion*
				aws:RequestTag/${TagKey} aws:TagKeys
CreatePolicy	AWS IoT 정책을 생성할 수 있는 권한을 부여합니다.	쓰기	policy*
				aws:RequestTag/${TagKey} aws:TagKeys
CreatePolicyVersion	지정된 AWS IoT 정책의 새 버전을 생성할 수 있는 권한을 부여합니다.	쓰기	policy*
CreateProvisioningClaim	프로비저닝 클레임을 생성할 수 있는 권한을 부여합니다.	쓰기	provisioningtemplate*
CreateProvisioningTemplate	플릿 프로비저닝 템플릿을 생성할 수 있는 권한을 부여합니다.	쓰기	provisioningtemplate*		iam:PassRole
				aws:RequestTag/${TagKey} aws:TagKeys
CreateProvisioningTemplateVersion	플릿 프로비저닝 템플릿의 새 버전을 생성할 수 있는 권한을 부여합니다.	쓰기	provisioningtemplate*
CreateRoleAlias	역할 별칭을 생성할 수 있는 권한을 부여합니다.	쓰기	rolealias*		iam:PassRole
				aws:RequestTag/${TagKey} aws:TagKeys
CreateScheduledAudit	지정된 시간 간격으로 실행되는 예약된 감사를 생성할 수 있는 권한을 부여합니다.	쓰기	scheduledaudit*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateSecurityProfile	Device Defender 보안 프로필을 생성할 수 있는 권한을 부여합니다.	쓰기	securityprofile*
			custommetric
			dimension
				aws:RequestTag/${TagKey} aws:TagKeys
CreateStream	새 AWS IoT 스트림을 생성할 수 있는 권한 부여	쓰기	stream*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateThing	사물 레지스트리에 사물을 생성할 수 있는 권한을 부여합니다.	쓰기	thing*
			billinggroup
CreateThingGroup	사물 그룹을 생성할 수 있는 권한을 부여합니다.	쓰기	thinggroup*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateThingType	새 사물 유형을 생성할 수 있는 권한을 부여합니다.	쓰기	thingtype*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateTopicRule	규칙을 생성할 수 있는 권한을 부여합니다.	쓰기	rule*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateTopicRuleDestination	생성 권한을 부여합니다. TopicRuleDestination	쓰기	destination*
DeleteAccountAuditConfiguration	계정과 연결된 감사 구성을 삭제할 수 있는 권한을 부여합니다.	쓰기
DeleteAuditSuppression	Device Defender 감사 억제를 삭제할 수 있는 권한을 부여합니다.	쓰기
DeleteAuthorizer	지정된 권한 부여자를 삭제할 수 있는 권한을 부여합니다.	쓰기	authorizer*
DeleteBillingGroup	지정된 결제 그룹을 삭제할 수 있는 권한을 부여합니다.	쓰기	billinggroup*
DeleteCACertificate	등록된 CA 인증서를 삭제할 수 있는 권한을 부여합니다.	쓰기	cacert*
DeleteCertificate	지정된 인증서를 삭제할 수 있는 권한을 부여합니다.	쓰기	cert*
DeleteCertificateProvider	인증서 제공자를 삭제할 권한을 부여합니다.	쓰기	certificateprovider*
DeleteCustomMetric	AWS 계정에서 지정된 사용자 지정 지표를 삭제할 수 있는 권한을 부여합니다.	쓰기	custommetric*
DeleteDimension	AWS 계정에서 지정된 차원을 제거할 수 있는 권한을 부여합니다.	쓰기	dimension*
DeleteDomainConfiguration	도메인 구성을 삭제할 수 있는 권한을 부여합니다.	쓰기	domainconfiguration*
DeleteDynamicThingGroup	지정된 동적 사물 그룹을 삭제할 수 있는 권한 부여	Write	dynamicthinggroup*
DeleteFleetMetric	지정된 플릿 지표를 삭제할 수 있는 권한 부여	쓰기	fleetmetric*
DeleteJob	작업 및 관련 작업 실행을 삭제할 수 있는 권한을 부여합니다.	쓰기	job*
DeleteJobExecution	작업 실행을 삭제할 수 있는 권한을 부여합니다.	쓰기	job*
			thing*
DeleteJobTemplate	작업 템플릿을 삭제할 수 있는 권한을 부여합니다.	쓰기	jobtemplate*
DeleteMitigationAction	AWS 계정에서 정의된 완화 작업을 삭제할 수 있는 권한을 부여합니다.	쓰기	mitigationaction*
DeleteOTAUpdate	OTA 업데이트 작업을 삭제할 수 있는 권한을 부여합니다.	쓰기	otaupdate*
DeletePackage	패키지를 삭제할 수 있는 권한을 부여합니다.	쓰기	package*
DeletePackageVersion	지정된 패키지의 버전을 삭제할 수 있는 권한을 부여합니다.	쓰기	package*
			packageversion*
DeletePolicy	지정된 정책을 삭제할 수 있는 권한을 부여합니다.	쓰기	policy*
DeletePolicyVersion	지정된 정책의 지정된 버전을 삭제할 수 있는 권한을 부여합니다.	쓰기	policy*
DeleteProvisioningTemplate	플릿 프로비저닝 템플릿을 삭제할 수 있는 권한을 부여합니다.	쓰기	provisioningtemplate*
DeleteProvisioningTemplateVersion	플릿 프로비저닝 템플릿 버전을 삭제할 수 있는 권한을 부여합니다.	쓰기	provisioningtemplate*
DeleteRegistrationCode	CA 인증서 등록 코드를 삭제할 수 있는 권한을 부여합니다.	쓰기
DeleteRoleAlias	지정된 역할 별칭을 삭제할 수 있는 권한을 부여합니다.	쓰기	rolealias*
DeleteScheduledAudit	예약된 감사를 삭제할 수 있는 권한을 부여합니다.	쓰기	scheduledaudit*
DeleteSecurityProfile	Device Defender 보안 프로필을 삭제할 수 있는 권한을 부여합니다.	쓰기	securityprofile*
			custommetric
			dimension
DeleteStream	지정된 스트림을 삭제할 수 있는 권한을 부여합니다.	쓰기	stream*
DeleteThing	지정된 사물을 삭제할 수 있는 권한을 부여합니다.	쓰기	thing*
DeleteThingGroup	지정된 사물 그룹을 삭제할 수 있는 권한을 부여합니다.	쓰기	thinggroup*
DeleteThingShadow	지정된 사물 섀도우를 삭제할 수 있는 권한을 부여합니다.	쓰기	thing*
DeleteThingType	지정된 사물 유형을 삭제할 수 있는 권한을 부여합니다.	쓰기	thingtype*
DeleteTopicRule	지정된 규칙을 삭제할 수 있는 권한을 부여합니다.	쓰기	rule*
DeleteTopicRuleDestination	삭제 권한을 부여합니다. TopicRuleDestination	쓰기	destination*
DeleteV2LoggingLevel	지정된 v2 로깅 수준을 삭제할 수 있는 권한을 부여합니다.	쓰기
DeprecateThingType	지정된 사물 유형을 사용 중지할 수 있는 권한을 부여합니다.	쓰기	thingtype*
DescribeAccountAuditConfiguration	계정의 감사 구성에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기
DescribeAuditFinding	단일 감사 찾기에 대한 정보를 가져올 수 있는 권한을 부여합니다. 속성에는 비준수 이유, 문제의 심각도, 결과를 반환한 감사가 시작된 시점이 포함됩니다.	읽기
DescribeAuditMitigationActionsTask	완화 작업을 감사 결과 집합에 적용할 때 사용되는 감사 완화 작업에 관한 정보를 가져올 수 있는 권한을 부여합니다.	읽기
DescribeAuditSuppression	Device Defender 감사 억제에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기
DescribeAuditTask	Device Defender 감사에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기
DescribeAuthorizer	권한 부여자를 설명할 수 있는 권한을 부여합니다.	읽기	authorizer*
DescribeBillingGroup	지정된 결제 그룹에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	billinggroup*
DescribeCACertificate	등록된 CA 인증서를 설명할 수 있는 권한을 부여합니다.	읽기	cacert*
DescribeCertificate	지정된 인증서에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	cert*
DescribeCertificateProvider	인증서 제공자를 설명할 수 있는 권한을 부여합니다.	읽기	certificateprovider*
DescribeCustomMetric	AWS 계정에 정의된 사용자 지정 지표를 설명할 수 있는 권한을 부여합니다.	읽기	custommetric*
DescribeDefaultAuthorizer	기본 권한 부여자를 설명할 수 있는 권한을 부여합니다.	읽기
DescribeDetectMitigationActionsTask	Device Defender ML Detect 완화 작업을 설명할 수 있는 권한을 부여합니다.	읽기
DescribeDimension	AWS 계정에 정의된 차원에 대한 세부 정보를 가져올 수 있는 권한을 부여합니다.	읽기	dimension*
DescribeDomainConfiguration	도메인 구성에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	domainconfiguration*
DescribeEndpoint	호출하는 AWS 계정과 관련된 고유한 엔드포인트를 가져올 수 있는 권한을 부여합니다.	읽기
DescribeEventConfigurations	계정 이벤트 구성을 가져올 수 있는 권한을 부여합니다.	읽기
DescribeFleetMetric	지정된 플릿 지표에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	fleetmetric*
DescribeIndex	지정된 인덱스에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	index*
DescribeJob	작업을 설명할 수 있는 권한을 부여합니다.	읽기	job*
DescribeJobExecution	작업 실행을 설명할 수 있는 권한을 부여합니다.	읽기	job
			thing
DescribeJobTemplate	작업 템플릿을 설명할 수 있는 권한을 부여합니다.	읽기	jobtemplate*
DescribeManagedJobTemplate	관리형 작업 템플릿을 설명할 수 있는 권한을 부여합니다.	읽기	jobtemplate*
DescribeMitigationAction	완화 작업에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	mitigationaction*
DescribeProvisioningTemplate	플릿 프로비저닝 템플릿에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	provisioningtemplate*
DescribeProvisioningTemplateVersion	플릿 프로비저닝 템플릿 버전에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	provisioningtemplate*
DescribeRoleAlias	역할 별칭을 설명할 수 있는 권한을 부여합니다.	읽기	rolealias*
DescribeScheduledAudit	예약된 감사에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	scheduledaudit*
DescribeSecurityProfile	Device Defender 보안 프로필에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	securityprofile*
DescribeStream	지정된 스트림에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	stream*
DescribeThing	지정된 사물에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	thing*
DescribeThingGroup	지정된 사물 그룹에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	thinggroup*
DescribeThingRegistrationTask	대량 사물 등록 태스크에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기
DescribeThingType	지정된 사물 유형에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	thingtype*
DescribeTunnel	터널을 설명할 수 있는 권한을 부여합니다.	읽기	tunnel*
DetachPolicy	지정된 대상에서 정책을 분리할 수 있는 권한을 부여합니다.	권한 관리	cert
			thinggroup
DetachPrincipalPolicy	지정된 인증서에서 지정된 정책을 제거할 수 있는 권한을 부여합니다.	권한 관리	cert
DetachSecurityProfile	사물 그룹 또는 이 계정에서 Device Defender 보안 프로필의 연결을 해제할 수 있는 권한을 부여합니다.	쓰기	securityprofile*
			custommetric
			dimension
			thinggroup
DetachThingPrincipal	지정된 보안 주체를 지정된 사물로부터 분리할 수 있는 권한을 부여합니다.	쓰기
DisableTopicRule	지정된 규칙을 비활성화할 수 있는 권한을 부여합니다.	쓰기	rule*
EnableTopicRule	지정된 규칙을 활성화할 수 있는 권한을 부여합니다.	쓰기	rule*
GetBehaviorModelTrainingSummaries	Device Defender의 ML Detect Security Profile 교육 모델 상태를 가져올 수 있는 권한을 부여합니다.	나열	securityprofile
GetBucketsAggregation	IoT 플릿 인덱스에 대한 버킷 집계를 가져올 수 있는 권한 부여	Read	index*
GetCardinality	IoT 플릿 인덱스에 대한 카디널리티를 가져올 수 있는 권한 부여	읽기	index*
GetEffectivePolicies	유효 정책을 가져올 수 있는 권한을 부여합니다.	읽기	cert
GetIndexingConfiguration	현재 플릿 인덱싱 구성을 가져올 수 있는 권한 부여	읽기
GetJobDocument	작업 문서를 가져올 수 있는 권한을 부여합니다.	읽기	job*
GetLoggingOptions	로깅 옵션을 가져올 수 있는 권한을 부여합니다.	읽기
GetOTAUpdate	OTA 업데이트 작업에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	otaupdate*
GetPackage	패키지에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	package*
GetPackageConfiguration	계정의 패키지 구성을 가져올 수 있는 권한을 부여합니다.	읽기
GetPackageVersion	패키지의 버전을 가져올 수 있는 권한을 부여합니다.	읽기	package*
			packageversion*
GetPercentiles	IoT 플릿 인덱스에 대한 백분위수를 가져올 수 있는 권한 부여	읽기	index*
GetPolicy	기본 버전의 정책 문서와 함께 지정된 정책에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	policy*
GetPolicyVersion	지정된 정책 버전에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	policy*
GetRegistrationCode	AWS IoT에 CA 인증서를 등록하는 데 사용되는 등록 코드를 가져올 수 있는 권한을 부여합니다.	읽기
GetRetainedMessage	지정된 주제에 대해 보존된 메시지를 가져올 수 있는 권한을 부여합니다.	읽기	topic*
GetStatistics	IoT 플릿 인덱스에 대한 통계를 가져올 수 있는 권한 부여	읽기	index*
GetThingShadow	사물 섀도우를 가져올 수 있는 권한을 부여합니다.	읽기	thing*
GetTopicRule	지정된 규칙에 대한 정보를 가져올 수 있는 권한을 부여합니다.	읽기	rule*
GetTopicRuleDestination	인증서를 받을 수 있는 권한을 부여합니다. TopicRuleDestination	읽기	destination*
GetV2LoggingOptions	v2 로깅 옵션을 가져올 수 있는 권한을 부여합니다.	읽기
ListActiveViolations	지정된 Device Defender 보안 프로필 또는 사물에 대한 활성 위반을 나열할 수 있는 권한을 부여합니다.	나열	securityprofile
			thing
ListAttachedPolicies	지정된 사물 그룹에 연결된 정책을 나열할 수 있는 권한을 부여합니다.	나열
ListAuditFindings	지정된 기간 동안 수행된 Device Defender 감사 또는 감사의 결과를 나열할 수 있는 권한을 부여합니다.	나열
ListAuditMitigationActionsExecutions	실행된 감사 완화 작업 태스크의 상태를 가져올 수 있는 권한을 부여합니다.	나열
ListAuditMitigationActionsTasks	지정된 필터와 일치하는 감사 완화 작업 태스크 목록을 가져올 수 있는 권한을 부여합니다.	나열
ListAuditSuppressions	Device Defender 감사 억제를 나열할 수 있는 권한을 부여합니다.	나열
ListAuditTasks	지정된 기간 동안 수행된 Device Defender 감사를 나열할 수 있는 권한을 부여합니다.	나열
ListAuthorizers	계정에 등록된 권한 부여자를 나열할 수 있는 권한을 부여합니다.	나열
ListBillingGroups	모든 결제 그룹을 나열할 수 있는 권한을 부여합니다.	나열
ListCACertificates	AWS 계정에 등록된 CA 인증서를 나열할 수 있는 권한을 부여합니다.	나열
ListCertificateProviders	계정의 인증서 제공자를 나열할 권한을 부여합니다.	나열
ListCertificates	인증서를 나열할 수 있는 권한을 부여합니다.	나열
ListCertificatesByCA	지정한 CA 인증서에서 서명한 디바이스 인증서를 나열할 수 있는 권한을 부여합니다.	나열
ListCustomMetrics	AWS 계정의 사용자 지정 지표를 나열할 수 있는 권한을 부여합니다.	나열
ListDetectMitigationActionsExecutions	Device Defender ML Detect Security Profile에 대한 완화 작업 실행을 나열할 수 있는 권한을 부여합니다.	나열	thing
ListDetectMitigationActionsTasks	Device Defender ML Detect 완화 동작 작업을 나열할 수 있는 권한을 부여합니다.	나열
ListDimensions	AWS 계정에 대해 정의된 차원을 나열할 수 있는 권한을 부여합니다.	나열
ListDomainConfigurations	AWS 계정에서 생성한 도메인 구성을 나열할 수 있는 권한을 부여합니다.	나열
ListFleetMetrics	계정의 플릿 지표를 나열할 수 있는 권한을 부여합니다.	나열
ListIndices	플릿 인덱스에 대한 모든 인덱스를 나열할 수 있는 권한을 부여합니다.	나열
ListJobExecutionsForJob	작업에 대한 작업 실행을 나열할 수 있는 권한을 부여합니다.	나열	job*
ListJobExecutionsForThing	지정된 사물에 대한 작업 실행을 나열할 수 있는 권한을 부여합니다.	나열	thing*
ListJobTemplates	작업 템플릿을 나열할 수 있는 권한을 부여합니다.	나열
ListJobs	작업을 나열할 수 있는 권한을 부여합니다.	나열
ListManagedJobTemplates	관리형 작업 템플릿을 나열할 수 있는 권한을 부여합니다.	나열
ListMetricValues	metricName 및 차원(지정된 경우)을 기준으로 사물에 대한 지표 값을 나열할 수 있는 권한을 부여합니다.	나열	thing*
ListMitigationActions	지정된 필터 기준과 일치하는 모든 완화 작업 목록을 가져올 수 있는 권한을 부여합니다.	나열
ListNamedShadowsForThing	지정된 사물에 대한 모든 명명된 섀도우를 나열할 수 있는 권한을 부여합니다.	나열	thing*
ListOTAUpdates	계정의 OTA 업데이트 작업을 나열할 수 있는 권한을 부여합니다.	나열
ListOutgoingCertificates	전송 중이지만 아직 수락되지 않은 인증서를 나열할 수 있는 권한을 부여합니다.	나열
ListPackageVersions	계정의 패키지 버전을 나열할 수 있는 권한을 부여합니다.	나열
ListPackages	계정의 패키지를 나열할 수 있는 권한을 부여합니다.	나열
ListPolicies	정책을 나열할 수 있는 권한을 부여합니다.	나열
ListPolicyPrincipals	지정된 정책과 연결된 보안 주체를 나열할 수 있는 권한을 부여합니다.	나열
ListPolicyVersions	지정된 정책의 버전을 나열할 수 있는 권한을 부여하고 기본 버전을 식별합니다.	나열	policy*
ListPrincipalPolicies	지정된 보안 주체에 연결된 정책을 나열할 수 있는 권한을 부여합니다. Amazon Cognito 자격 증명을 사용하는 경우에는 ID가 Amazon Cognito 자격 증명 형식을 따라야 합니다.	나열
ListPrincipalThings	지정된 보안 주체와 연결된 사물을 나열할 수 있는 권한을 부여합니다.	나열
ListProvisioningTemplateVersions	플릿 프로비저닝 템플릿 버전 목록을 가져올 수 있는 권한을 부여합니다.	나열	provisioningtemplate*
ListProvisioningTemplates	AWS 계정의 플릿 프로비저닝 템플릿을 나열할 수 있는 권한을 부여합니다.	나열
ListRelatedResourcesForAuditFinding	단일 감사 결과에 대한 관련 리소스를 나열할 수 있는 권한을 부여합니다.	나열
ListRetainedMessages	계정에 대해 보존된 메시지를 나열할 수 있는 권한을 부여합니다.	나열
ListRoleAliases	역할 별칭을 나열할 수 있는 권한을 부여합니다.	나열
ListScheduledAudits	예약된 감사를 모두 나열할 수 있는 권한을 부여합니다.	나열
ListSecurityProfiles	사용자가 만든 Device Defender 보안 프로필을 나열할 수 있는 권한을 부여합니다.	나열	custommetric
			dimension
ListSecurityProfilesForTarget	대상에 연결된 Device Defender 보안 프로필을 나열할 수 있는 권한을 부여합니다.	나열	thinggroup
ListStreams	계정의 스트림을 나열할 수 있는 권한을 부여합니다.	나열
ListTagsForResource	지정된 리소스에 대한 모든 태그를 나열할 수 있는 권한을 부여합니다.	읽기	authorizer
			billinggroup
			cacert
			certificateprovider
			custommetric
			dimension
			domainconfiguration
			dynamicthinggroup
			fleetmetric
			job
			jobtemplate
			mitigationaction
			otaupdate
			policy
			provisioningtemplate
			rolealias
			rule
			scheduledaudit
			securityprofile
			stream
			thinggroup
			thingtype
ListTargetsForPolicy	지정된 정책에 대한 대상을 나열할 수 있는 권한을 부여합니다.	나열	policy*
ListTargetsForSecurityProfile	지정된 Device Defender 보안 프로파일과 연결된 대상을 나열할 수 있는 권한을 부여합니다.	나열	securityprofile*
ListThingGroups	모든 사물 그룹을 나열할 수 있는 권한을 부여합니다.	나열
ListThingGroupsForThing	지정된 사물이 속한 사물 그룹을 나열할 수 있는 권한을 부여합니다.	나열	thing*
ListThingPrincipals	지정된 사물과 연결된 보안 주체를 나열할 수 있는 권한을 부여합니다.	나열
ListThingRegistrationTaskReports	대량 등록 태스크에 대한 정보를 나열 할 수 있는 권한을 부여합니다.	나열
ListThingRegistrationTasks	대량 사물 등록 태스크를 나열할 수 있는 권한을 부여합니다.	나열
ListThingTypes	모든 사물 유형을 나열할 수 있는 권한을 부여합니다.	나열
ListThings	모든 사물을 나열할 수 있는 권한을 부여합니다.	나열
ListThingsInBillingGroup	지정된 결제 그룹의 모든 사물을 나열할 수 있는 권한을 부여합니다.	나열	billinggroup*
ListThingsInThingGroup	지정된 사물 그룹의 모든 사물을 나열할 수 있는 권한을 부여합니다.	나열	thinggroup*
ListTopicRuleDestinations	모두 나열할 수 있는 권한을 부여합니다. TopicRuleDestinations	나열
ListTopicRules	특정 주제에 대한 규칙을 나열할 수 있는 권한을 부여합니다.	나열
ListTunnels	터널을 나열할 수 있는 권한을 부여합니다.	나열
ListV2LoggingLevels	v2 로깅 수준을 나열할 수 있는 권한을 부여합니다.	나열
ListViolationEvents	지정된 기간 동안 발견된 Device Defender 보안 프로필 위반을 나열할 수 있는 권한을 부여합니다.	나열	securityprofile
			thing
OpenTunnel	터널을 열 수 있는 권한을 부여합니다.	쓰기		aws:RequestTag/${TagKey} aws:TagKeys iot:ThingGroupArn iot:TunnelDestinationService
Publish	지정된 주제에 게시할 수 있는 권한을 부여합니다.	쓰기	topic*
PutVerificationStateOnViolation	위반에 대한 확인 상태를 적용할 수 있는 권한을 부여합니다.	쓰기
Receive	지정된 주제에서 수신할 수 있는 권한을 부여합니다.	쓰기	topic*
RegisterCACertificate	AWS IoT에 CA 인증서를 등록할 수 있는 권한을 부여합니다.	쓰기		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
RegisterCertificate	AWS IoT에 디바이스 인증서를 등록할 수 있는 권한을 부여합니다.	쓰기
RegisterCertificateWithoutCA	등록된 CA(인증 기관) 없이 AWS IoT에 디바이스 인증서를 등록할 수 있는 권한을 부여합니다.	쓰기
RegisterThing	사물을 등록할 수 있는 권한을 부여합니다.	쓰기
RejectCertificateTransfer	보류 중인 인증서 전송을 거부할 수 있는 권한을 부여합니다.	쓰기	cert*
RemoveThingFromBillingGroup	지정된 결제 그룹에서 사물을 제거할 수 있는 권한을 부여합니다.	쓰기	billinggroup*
			thing*
RemoveThingFromThingGroup	지정된 사물 그룹에서 사물을 제거할 수 있는 권한을 부여합니다.	쓰기	thing*
			thinggroup*
ReplaceTopicRule	지정된 규칙을 대체할 수 있는 권한을 부여합니다.	쓰기	rule*
RetainPublish	지정된 주제에 대해 보존된 메시지를 게시할 수 있는 권한을 부여합니다.	쓰기	topic*
RotateTunnelAccessToken	터널의 액세스 토큰을 회전할 수 있는 권한을 부여합니다.	쓰기	tunnel*
				iot:ThingGroupArn iot:TunnelDestinationService iot:ClientMode
SearchIndex	IoT 플릿 인덱스를 검색할 수 있는 권한 부여	Read	index*
SetDefaultAuthorizer	기본 권한 부여자를 설정할 수 있는 권한을 부여합니다. 이 작업은 권한 부여자를 지정하지 않고 웹소켓에 연결하는 경우에 사용됩니다.	권한 관리	authorizer*
SetDefaultPolicyVersion	지정된 정책의 지정된 버전을 정책의 기본(유효) 버전으로 설정할 수 있는 권한을 부여합니다.	권한 관리	policy*
SetLoggingOptions	로깅 옵션을 설정할 수 있는 권한을 부여합니다.	쓰기
SetV2LoggingLevel	v2 로깅 수준을 설정할 수 있는 권한을 부여합니다.	쓰기
SetV2LoggingOptions	v2 로깅 옵션을 설정할 수 있는 권한을 부여합니다.	쓰기
StartAuditMitigationActionsTask	지정된 대상에 일련의 완화 작업을 적용하는 태스크를 시작할 수 있는 권한을 부여합니다.	쓰기
StartDetectMitigationActionsTask	Device Defender ML Detect 완화 동작 작업을 시작할 수 있는 권한을 부여합니다.	쓰기	securityprofile
StartOnDemandAuditTask	요청 시 Device Defender 감사를 시작할 수 있는 권한을 부여합니다.	쓰기
StartThingRegistrationTask	대량 사물 등록 태스크를 시작할 수 있는 권한을 부여합니다.	쓰기
StopThingRegistrationTask	대량 사물 등록 태스크를 중지할 수 있는 권한을 부여합니다.	쓰기
Subscribe	지정된 항목에 가입할 수 있는 권한을 부여합니다. TopicFilter	쓰기	topicfilter*
TagResource	지정된 리소스에 태그를 지정할 수 있는 권한을 부여합니다.	태그 지정	authorizer
			billinggroup
			cacert
			certificateprovider
			custommetric
			dimension
			domainconfiguration
			dynamicthinggroup
			fleetmetric
			job
			jobtemplate
			mitigationaction
			otaupdate
			package
			packageversion
			policy
			provisioningtemplate
			rolealias
			rule
			scheduledaudit
			securityprofile
			stream
			thinggroup
			thingtype
				aws:RequestTag/${TagKey} aws:TagKeys
TestAuthorization	그룹 정책에 대한 정책 평가를 테스트할 수 있는 권한 부여	읽기	cert
TestInvokeAuthorizer	테스트 목적으로 지정된 사용자 지정 권한 부여자 호출을 테스트할 수 있는 권한을 부여합니다.	읽기	authorizer*
TransferCertificate	지정된 인증서를 지정된 AWS 계정으로 이전할 수 있는 권한을 부여합니다.	쓰기	cert*
UntagResource	지정된 리소스의 태그를 해제할 수 있는 권한 부여	태그 지정	authorizer
			billinggroup
			cacert
			certificateprovider
			custommetric
			dimension
			domainconfiguration
			dynamicthinggroup
			fleetmetric
			job
			jobtemplate
			mitigationaction
			otaupdate
			package
			packageversion
			policy
			provisioningtemplate
			rolealias
			rule
			scheduledaudit
			securityprofile
			stream
			thinggroup
			thingtype
				aws:TagKeys
UpdateAccountAuditConfiguration	이 계정에 대한 Device Defender 감사 설정을 구성하거나 재구성할 수 있는 권한을 부여합니다.	쓰기
UpdateAuditSuppression	Device Defender 감사 억제를 업데이트할 수 있는 권한을 부여합니다.	쓰기
UpdateAuthorizer	권한 부여자를 업데이트할 수 있는 권한 부여	쓰기	authorizer*
UpdateBillingGroup	지정된 결제 그룹과 연결된 정보를 업데이트할 수 있는 권한을 부여합니다.	쓰기	billinggroup*
UpdateCACertificate	등록된 CA 인증서를 업데이트할 수 있는 권한을 부여합니다.	쓰기	cacert*		iam:PassRole
UpdateCertificate	지정된 인증서의 상태를 업데이트할 수 있는 권한을 부여합니다. 이 작업은 멱등성을 갖습니다.	쓰기	cert*
UpdateCertificateProvider	인증서 제공자를 업데이트할 권한을 부여합니다.	쓰기	certificateprovider*
UpdateCustomMetric	지정된 사용자 지정 지표를 업데이트할 수 있는 권한을 부여합니다.	쓰기	custommetric*
UpdateDimension	차원에 대한 정의를 업데이트할 수 있는 권한을 부여합니다.	쓰기	dimension*
UpdateDomainConfiguration	도메인 구성을 업데이트할 수 있는 권한을 부여합니다.	쓰기	domainconfiguration*
UpdateDynamicThingGroup	동적 사물 그룹을 업데이트할 수 있는 권한 부여	쓰기	dynamicthinggroup*
UpdateEventConfigurations	이벤트 구성을 업데이트할 수 있는 권한을 부여합니다.	쓰기
UpdateFleetMetric	플릿 지표를 업데이트할 수 있는 권한 부여	Write	fleetmetric*
			index*
UpdateIndexingConfiguration	플릿 인덱싱 구성을 업데이트할 수 있는 권한 부여	쓰기
UpdateJob	작업을 업데이트할 수 있는 권한을 부여합니다.	쓰기	job*
UpdateMitigationAction	지정된 완화 작업에 대한 정의를 업데이트할 수 있는 권한을 부여합니다.	쓰기	mitigationaction*
UpdatePackage	패키지를 업데이트할 수 있는 권한을 부여합니다.	쓰기	package*		iot:GetIndexingConfiguration
UpdatePackageConfiguration	계정의 패키지 구성을 업데이트할 수 있는 권한을 부여합니다.	쓰기			iam:PassRole
UpdatePackageVersion	지정된 패키지의 버전을 업데이트할 수 있는 권한을 부여합니다.	쓰기	package*		iot:GetIndexingConfiguration
			packageversion*
UpdateProvisioningTemplate	플릿 프로비저닝 템플릿을 업데이트할 수 있는 권한을 부여합니다.	쓰기	provisioningtemplate*		iam:PassRole
UpdateRoleAlias	역할 별칭을 업데이트할 수 있는 권한 부여	쓰기	rolealias*		iam:PassRole
UpdateScheduledAudit	수행되는 점검 및 감사가 발생하는 빈도를 비롯하여 예정된 감사를 업데이트할 수 있는 권한을 부여합니다.	쓰기	scheduledaudit*
UpdateSecurityProfile	Device Defender 보안 프로필을 업데이트할 수 있는 권한을 부여합니다.	쓰기	securityprofile*
			custommetric
			dimension
UpdateStream	스트림의 데이터를 업데이트할 수 있는 권한을 부여합니다.	쓰기	stream*
UpdateThing	지정된 사물과 연결된 정보를 업데이트 할 수 있는 권한을 부여합니다.	쓰기	thing*
UpdateThingGroup	지정된 사물 그룹과 연결된 정보를 업데이트할 수 있는 권한을 부여합니다.	쓰기	thinggroup*
UpdateThingGroupsForThing	사물이 속한 사물 그룹을 업데이트할 수 있는 권한을 부여합니다.	쓰기	thing*
			thinggroup
UpdateThingShadow	사물 섀도우를 업데이트 할 수 있는 권한을 부여합니다.	쓰기	thing*
UpdateTopicRuleDestination	업데이트 권한을 부여합니다. TopicRuleDestination	쓰기	destination*
ValidateSecurityProfileBehaviors	Device Defender 보안 프로필 동작 사양의 유효성을 검사할 수 있는 권한을 부여합니다.	읽기

AWS IoT에서 정의한 리소스 유형

이 서비스에서 정의하는 리소스 유형은 다음과 같으며, IAM 권한 정책 설명의 Resource 요소에서 사용할 수 있습니다. 작업 테이블의 각 작업에서 해당 작업으로 지정할 수 있는 리소스 유형을 식별합니다. 리소스 유형은 정책에 포함할 수 있는 조건 키를 정의할 수도 있습니다. 이러한 키는 테이블의 마지막 열에 표시됩니다. 다음 테이블의 열에 대한 자세한 내용은 리소스 유형 테이블을 참조하세요.

리소스 유형	ARN	조건 키
client	arn:${Partition}:iot:${Region}:${Account}:client/${ClientId}
index	arn:${Partition}:iot:${Region}:${Account}:index/${IndexName}
fleetmetric	arn:${Partition}:iot:${Region}:${Account}:fleetmetric/${FleetMetricName}	aws:ResourceTag/${TagKey}
job	arn:${Partition}:iot:${Region}:${Account}:job/${JobId}	aws:ResourceTag/${TagKey}
jobtemplate	arn:${Partition}:iot:${Region}:${Account}:jobtemplate/${JobTemplateId}	aws:ResourceTag/${TagKey}
tunnel	arn:${Partition}:iot:${Region}:${Account}:tunnel/${TunnelId}	aws:ResourceTag/${TagKey}
thing	arn:${Partition}:iot:${Region}:${Account}:thing/${ThingName}
thinggroup	arn:${Partition}:iot:${Region}:${Account}:thinggroup/${ThingGroupName}	aws:ResourceTag/${TagKey}
billinggroup	arn:${Partition}:iot:${Region}:${Account}:billinggroup/${BillingGroupName}	aws:ResourceTag/${TagKey}
dynamicthinggroup	arn:${Partition}:iot:${Region}:${Account}:thinggroup/${ThingGroupName}	aws:ResourceTag/${TagKey}
thingtype	arn:${Partition}:iot:${Region}:${Account}:thingtype/${ThingTypeName}	aws:ResourceTag/${TagKey}
topic	arn:${Partition}:iot:${Region}:${Account}:topic/${TopicName}
topicfilter	arn:${Partition}:iot:${Region}:${Account}:topicfilter/${TopicFilter}
rolealias	arn:${Partition}:iot:${Region}:${Account}:rolealias/${RoleAlias}	aws:ResourceTag/${TagKey}
authorizer	arn:${Partition}:iot:${Region}:${Account}:authorizer/${AuthorizerName}	aws:ResourceTag/${TagKey}
policy	arn:${Partition}:iot:${Region}:${Account}:policy/${PolicyName}	aws:ResourceTag/${TagKey}
cert	arn:${Partition}:iot:${Region}:${Account}:cert/${Certificate}
cacert	arn:${Partition}:iot:${Region}:${Account}:cacert/${CACertificate}	aws:ResourceTag/${TagKey}
stream	arn:${Partition}:iot:${Region}:${Account}:stream/${StreamId}	aws:ResourceTag/${TagKey}
otaupdate	arn:${Partition}:iot:${Region}:${Account}:otaupdate/${OtaUpdateId}	aws:ResourceTag/${TagKey}
scheduledaudit	arn:${Partition}:iot:${Region}:${Account}:scheduledaudit/${ScheduleName}	aws:ResourceTag/${TagKey}
mitigationaction	arn:${Partition}:iot:${Region}:${Account}:mitigationaction/${MitigationActionName}	aws:ResourceTag/${TagKey}
securityprofile	arn:${Partition}:iot:${Region}:${Account}:securityprofile/${SecurityProfileName}	aws:ResourceTag/${TagKey}
custommetric	arn:${Partition}:iot:${Region}:${Account}:custommetric/${MetricName}	aws:ResourceTag/${TagKey}
dimension	arn:${Partition}:iot:${Region}:${Account}:dimension/${DimensionName}	aws:ResourceTag/${TagKey}
rule	arn:${Partition}:iot:${Region}:${Account}:rule/${RuleName}	aws:ResourceTag/${TagKey}
destination	arn:${Partition}:iot:${Region}:${Account}:destination/${DestinationType}/${Uuid}
provisioningtemplate	arn:${Partition}:iot:${Region}:${Account}:provisioningtemplate/${ProvisioningTemplate}	aws:ResourceTag/${TagKey}
domainconfiguration	arn:${Partition}:iot:${Region}:${Account}:domainconfiguration/${DomainConfigurationName}/${Id}	aws:ResourceTag/${TagKey}
package	arn:${Partition}:iot:${Region}:${Account}:package/${PackageName}	aws:ResourceTag/${TagKey}
packageversion	arn:${Partition}:iot:${Region}:${Account}:package/${PackageName}/version/${VersionName}	aws:ResourceTag/${TagKey}
certificateprovider	arn:${Partition}:iot:${Region}:${Account}:certificateprovider/${CertificateProviderName}	aws:ResourceTag/${TagKey}

AWS IoT에 사용되는 조건 키

AWS IoT는 IAM 정책의 Condition 요소에 사용할 수 있는 다음과 같은 조건 키를 정의합니다. 이러한 키를 사용하여 정책 설명이 적용되는 조건을 보다 상세하게 설정할 수 있습니다. 다음 테이블의 열에 대한 자세한 내용은 조건 키 테이블을 참조하세요.

모든 서비스에 사용할 수 있는 글로벌 조건 키를 보려면 사용 가능한 글로벌 조건 키를 참조하세요.

조건 키	설명	유형
aws:RequestTag/${TagKey}	요청에 포함된 태그 키를 기준으로 액세스를 필터링합니다.	String
aws:ResourceTag/${TagKey}	요청의 IoT 리소스와 연결된 태그의 태그 키 구성 요소를 기준으로 액세스를 필터링합니다.	String
aws:TagKeys	요청의 IoT 리소스와 연결된 태그 키 목록을 기준으로 액세스를 필터링합니다.	ArrayOfString
iot:ClientMode	IoT 터널에 대한 클라이언트 모드를 기준으로 액세스를 필터링합니다.	String
iot:Delete	iot: CloseTunnel 요청 시 IoT Tunnel을 즉시 삭제할지 여부를 나타내는 플래그로 액세스를 필터링합니다.	부울
iot:DomainName	IoT의 도메인 이름을 기반으로 액세스를 필터링합니다. DomainConfiguration	String
iot:ThingGroupArn	IoT 터널에서 대상 IoT 사물이 속하는 모든 IoT 사물 그룹 ARN의 목록을 기준으로 액세스를 필터링	ArrayOfARN
iot:TunnelDestinationService	IoT 터널의 대상 서비스 목록을 기준으로 액세스를 필터링	ArrayOfString