기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
작업, 리소스 및 조건 키 AWS Directory Service
AWS Directory Service (서비스 접두사:ds) 는 권한 정책에 사용할 수 있는 다음과 같은 서비스별 리소스, 작업 및 조건 컨텍스트 키를 제공합니다. IAM
참조:
-
이 서비스를 구성하는 방법을 알아봅니다.
-
이 서비스에 사용할 수 있는 API 작업 목록을 확인하십시오.
-
IAM권한 정책을 사용하여 이 서비스와 해당 리소스를 보호하는 방법을 알아보십시오.
주제
에 의해 정의된 조치 AWS Directory Service
IAM정책 설명의 Action 요소에 다음 작업을 지정할 수 있습니다. 정책을 사용하여 작업을 수행할 권한을 부여합니다. AWS. 정책에서 작업을 사용할 때는 일반적으로 같은 이름의 API 작업이나 CLI 명령에 대한 액세스를 허용하거나 거부합니다. 그러나 경우에 따라 하나의 작업으로 둘 이상의 작업에 대한 액세스가 제어됩니다. 또는 일부 작업을 수행하려면 다양한 작업이 필요합니다.
작업 테이블의 리소스 유형 열에는 각 작업이 리소스 수준 권한을 지원하는지 여부가 표시됩니다. 리소스 열에 값이 없으면 정책 문의 Resource 요소에서 정책이 적용되는 모든 리소스("*")를 지정해야 합니다. 열에 리소스 유형이 포함된 경우 해당 작업이 포함된 명령문에 해당 ARN 유형의 리소스를 지정할 수 있습니다. 작업에 필요한 리소스가 하나 이상 있는 경우, 호출자에게 해당 리소스와 함께 작업을 사용할 수 있는 권한이 있어야 합니다. 필수 리소스는 테이블에서 별표(*)로 표시됩니다. IAM정책의 Resource 요소로 리소스 액세스를 제한하는 경우 각 필수 리소스 유형에 대해 ARN 또는 패턴을 포함해야 합니다. 일부 작업은 다수의 리소스 유형을 지원합니다. 리소스 유형이 옵션(필수 리소스로 표시되지 않은 경우)인 경우에는 선택적 리소스 유형 중 하나를 사용하도록 선택할 수 있습니다.
작업 테이블의 조건 키 열에는 정책 설명의 Condition 요소에서 지정할 수 있는 키가 포함됩니다. 서비스의 리소스와 연결된 조건 키에 대한 자세한 내용은 리소스 유형 테이블의 조건 키 열을 참조하세요.
참고
리소스 조건 키는 리소스 유형 표에 나열되어 있습니다. 작업에 적용되는 리소스 유형에 대한 링크는 리소스 유형(*필수) 작업 표의 열에서 찾을 수 있습니다. 리소스 유형 테이블의 리소스 유형에는 조건 키 열이 포함되고 이는 작업 표의 작업에 적용되는 리소스 조건 키입니다.
다음 테이블의 열에 대한 자세한 내용은 작업 테이블을 참조하세요.
| 작업 | 설명 | 액세스 레벨 | 리소스 유형(*필수) | 조건 키 | 종속 작업 |
|---|---|---|---|---|---|
| AcceptSharedDirectory | 디렉터리 소유자 계정에서 보낸 디렉터리 공유 요청을 수락할 수 있는 권한을 부여합니다. | 쓰기 | |||
| AccessDSData [권한만 해당] | Directory Service Data를 사용하여 디렉토리 데이터에 액세스할 수 있는 권한을 부여합니다. API | 권한 관리 | |||
| AddIpRoutes | Amazon Web Services에서 Microsoft AD와 주고받는 트래픽을 올바르게 라우팅하기 위해 CIDR 주소 블록을 추가할 권한을 부여합니다. | 쓰기 |
ec2:AuthorizeSecurityGroupEgress ec2:AuthorizeSecurityGroupIngress ec2:DescribeSecurityGroups |
||
| AddRegion | 지정된 디렉터리에 대해 지정된 리전에 두 개의 도메인 컨트롤러를 추가할 수 있는 권한을 부여합니다. | 쓰기 |
ec2:AuthorizeSecurityGroupEgress ec2:AuthorizeSecurityGroupIngress ec2:CreateNetworkInterface ec2:CreateSecurityGroup ec2:CreateTags ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs |
||
| AddTagsToResource | 지정된 Amazon Directory Services 디렉터리에 대한 하나 이상의 태그를 추가하거나 덮어쓸 수 있는 권한을 부여합니다. | 태그 지정 |
ec2:CreateTags |
||
| AuthorizeApplication [권한만 해당] | 귀하의 애플리케이션을 승인할 권한을 부여합니다. AWS 디렉터리 | 쓰기 | |||
| CancelSchemaExtension | Microsoft AD 디렉터리에 대해 진행 중인 스키마 확장을 취소할 수 있는 권한을 부여합니다. | 쓰기 | |||
| CheckAlias [권한만 해당] | 별칭을 사용할 수 있는지 확인할 수 있는 권한을 부여합니다. | 읽기 | |||
| ConnectDirectory | AD Connector를 생성하여 온프레미스 디렉터리에 연결할 수 있는 권한을 부여합니다. | 쓰기 |
ec2:AuthorizeSecurityGroupEgress ec2:AuthorizeSecurityGroupIngress ec2:CreateNetworkInterface ec2:CreateSecurityGroup ec2:CreateTags ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs |
||
| CreateAlias | 디렉터리에 대한 별칭을 생성하고 별칭을 디렉터리에 할당할 수 있는 권한을 부여합니다. | 쓰기 | |||
| CreateComputer | 지정된 디렉터리에 컴퓨터 계정을 생성하고 컴퓨터를 디렉터리에 조인할 수 있는 권한을 부여합니다. | 쓰기 | |||
| CreateConditionalForwarder | 다음과 관련된 조건부 전달자를 만들 수 있는 권한을 부여합니다. AWS directory | 쓰기 | |||
| CreateDirectory | Simple AD 디렉터리를 생성할 수 있는 권한을 부여합니다. | 쓰기 |
ec2:AuthorizeSecurityGroupEgress ec2:AuthorizeSecurityGroupIngress ec2:CreateNetworkInterface ec2:CreateSecurityGroup ec2:CreateTags ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs |
||
| CreateIdentityPoolDirectory [권한만 해당] | IdentityPool 디렉터리를 만들 수 있는 권한을 부여합니다. AWS 클라우드 | 쓰기 | |||
| CreateLogSubscription | 구독을 생성하여 실시간 Directory Service 도메인 컨트롤러 보안 로그를 사용자의 지정된 CloudWatch 로그 그룹에 전달할 수 있는 권한을 부여합니다. AWS 계정 | 쓰기 | |||
| CreateMicrosoftAD | 에서 Microsoft AD를 만들 수 있는 권한을 부여합니다. AWS 클라우드 | 쓰기 |
ec2:AuthorizeSecurityGroupEgress ec2:AuthorizeSecurityGroupIngress ec2:CreateNetworkInterface ec2:CreateSecurityGroup ec2:CreateTags ec2:DescribeNetworkInterfaces ec2:DescribeSubnets ec2:DescribeVpcs |
||
| CreateSnapshot | 에서 Simple AD 또는 Microsoft AD 디렉토리의 스냅샷을 만들 수 있는 권한을 부여합니다. AWS 클라우드 | 쓰기 | |||
| CreateTrust | 생성을 시작할 수 있는 권한을 부여합니다. AWS 마이크로소프트 광고 사이의 신뢰 관계에 대한 측면 AWS 클라우드 및 외부 도메인 | 쓰기 | |||
| DeleteConditionalForwarder | 사용자를 위해 설정된 조건부 전달자를 삭제할 권한을 부여합니다. AWS directory | 쓰기 | |||
| DeleteDirectory | 삭제 권한을 부여합니다. AWS 디렉터리 서비스 디렉터리 | 쓰기 |
ec2:DeleteNetworkInterface ec2:DeleteSecurityGroup ec2:DescribeNetworkInterfaces ec2:RevokeSecurityGroupEgress ec2:RevokeSecurityGroupIngress |
||
| DeleteLogSubscription | 지정된 로그 구독을 삭제할 수 있는 권한을 부여합니다. | 쓰기 | |||
| DeleteSnapshot | 디렉터리 스냅샷을 삭제할 수 있는 권한을 부여합니다. | 쓰기 | |||
| DeleteTrust | 에서 Microsoft AD 간의 기존 신뢰 관계를 삭제할 수 있는 권한을 부여합니다. AWS 클라우드와 외부 도메인 | 쓰기 | |||
| DeregisterCertificate | 보안 LDAP 연결을 위해 등록된 인증서를 시스템에서 삭제할 권한을 부여합니다. | 쓰기 | |||
| DeregisterEventTopic | 지정된 주제에 대한 게시자로서 지정된 디렉터리를 제거할 수 있는 권한을 부여합니다SNS. | 쓰기 | |||
| DescribeCertificate | 보안 LDAP 연결을 위해 등록된 인증서에 대한 정보를 표시할 권한을 부여합니다. | 읽기 | |||
| DescribeClientAuthenticationSettings | 지정된 디렉터리의 클라이언트 인증 유형이 지정된 경우 유형에 대한 정보를 검색할 수 있는 권한을 부여합니다. 인증 유형을 지정하지 않은 경우 지정된 디렉터리에 대해 지원되는 모든 클라이언트 인증 유형에 대한 정보가 검색됩니다. SmartCard 현재는 만 지원됩니다. | 읽기 | |||
| DescribeConditionalForwarders | 이 계정의 조건부 전달자에 대한 정보를 가져올 수 있는 권한을 부여합니다. | 읽기 | |||
| DescribeDirectories | 이 계정에 속한 디렉터리에 대한 정보를 가져올 수 있는 권한을 부여합니다. | 나열 | |||
| DescribeDirectoryDataAccess | 지정된 디렉토리의 Directory Service Data API 상태를 설명할 권한을 부여합니다. | 읽기 | |||
| DescribeDomainControllers | 디렉터리의 모든 도메인 컨트롤러에 대한 정보를 제공할 수 있는 권한을 부여합니다. | 읽기 | |||
| DescribeEventTopics | 지정된 디렉터리로부터 상태 메시지를 받는 SNS 주제에 대한 정보를 얻을 수 있는 권한을 부여합니다. | 읽기 | |||
| DescribeLDAPSSettings | 지정된 디렉터리의 LDAP 보안 상태를 설명할 수 있는 권한을 부여합니다. | 읽기 | |||
| DescribeRegions | 다중 리전 복제에 대해 구성된 리전에 대한 정보를 제공할 수 있는 권한을 부여합니다. | 읽기 | |||
| DescribeSettings | 지정된 디렉터리에 대해 구성 가능한 설정의 정보를 검색할 수 있는 권한을 부여합니다. | 읽기 | |||
| DescribeSharedDirectories | 계정의 공유 디렉터리를 반환할 수 있는 권한을 부여합니다. | 읽기 | |||
| DescribeSnapshots | 이 계정에 속한 디렉터리 스냅샷에 대한 정보를 가져올 수 있는 권한을 부여합니다. | 읽기 | |||
| DescribeTrusts | 이 계정의 신뢰 관계에 대한 정보를 가져올 수 있는 권한을 부여합니다. | 읽기 | |||
| DescribeUpdateDirectory | 특정 업데이트 유형에 대한 디렉터리 업데이트를 설명할 권한을 부여합니다. | 읽기 | |||
| DisableClientAuthentication | 지정된 디렉터리에 대해 대체 클라이언트 인증 방법을 비활성화할 수 있는 권한을 부여합니다. | 쓰기 | |||
| DisableDirectoryDataAccess | 지정된 디렉토리에 API 대한 Directory Service 데이터를 비활성화할 권한을 부여합니다. | 쓰기 | |||
| DisableLDAPS | 지정된 디렉터리에 대한 LDAP 보안 호출을 비활성화할 권한을 부여합니다. | 쓰기 | |||
| DisableRadius | AD Connector 디렉터리에 대한 원격 인증 전화 접속 사용자 서비스 (MFA) 서버의 다단계 인증 (RADIUS) 을 사용하지 않도록 설정할 권한을 부여합니다. | 쓰기 | |||
| DisableRoleAccess [권한만 해당] | 비활성화할 수 있는 권한을 부여합니다. AWS Management Console 내 ID에 대한 액세스 권한 AWS 디렉터리 | 쓰기 | |||
| DisableSso | 디렉터리에 대한 Single Sign-On을 비활성화할 수 있는 권한을 부여합니다. | 쓰기 | |||
| EnableClientAuthentication | 지정된 디렉터리에 대해 대체 클라이언트 인증 방법을 활성화할 수 있는 권한을 부여합니다. | 쓰기 | |||
| EnableDirectoryDataAccess | 지정된 디렉토리에 API 대해 디렉터리 서비스 데이터를 활성화할 권한을 부여합니다. | 쓰기 | |||
| EnableLDAPS | 항상 LDAP 보안 호출을 사용하도록 특정 디렉터리의 스위치를 활성화할 수 있는 권한을 부여합니다. | 쓰기 | |||
| EnableRadius | AD Connector 디렉터리에 대한 원격 인증 전화 접속 사용자 서비스 (MFA) 서버를 통해 다단계 인증 (RADIUS) 을 사용하도록 설정할 권한을 부여합니다. | 쓰기 | |||
| EnableRoleAccess [권한만 해당] | 활성화할 수 있는 권한을 부여합니다. AWS Management Console 사용자 ID에 대한 액세스 권한 AWS 디렉터리 | 쓰기 |
iam:PassRole |
||
| EnableSso | 디렉터리에 대한 Single Sign-On을 활성화할 수 있는 권한을 부여합니다. | 쓰기 | |||
| GetAuthorizedApplicationDetails [권한만 해당] | 디렉터리에서 승인된 애플리케이션의 세부 정보를 검색할 수 있는 권한을 부여합니다. | 읽기 | |||
| GetDirectoryLimits | 현재 리전에 대한 디렉터리 제한 정보를 가져올 수 있는 권한을 부여합니다. | 읽기 | |||
| GetSnapshotLimits | 디렉터리에 대한 수동 스냅샷 제한을 가져올 수 있는 권한을 부여합니다. | 읽기 | |||
| ListAuthorizedApplications [권한만 해당] | 취득 권한을 부여합니다. AWS 디렉터리에 대해 승인된 애플리케이션 | 읽기 | |||
| ListCertificates | 지정된 디렉터리의 보안 LDAP 연결에 등록된 모든 인증서를 나열할 권한을 부여합니다. | 나열 | |||
| ListIpRoutes | 디렉터리에 추가한 주소 블록을 나열할 수 있는 권한을 부여합니다. | 읽기 | |||
| ListLogSubscriptions | 에 대한 활성 로그 구독을 나열할 권한을 부여합니다. AWS 계정 | 읽기 | |||
| ListSchemaExtensions | Microsoft AD Directory에 적용된 모든 스키마 확장을 나열할 수 있는 권한을 부여합니다. | 나열 | |||
| ListTagsForResource | Amazon Directory Services 디렉터리의 모든 태그를 나열할 수 있는 권한을 부여합니다. | 읽기 | |||
| RegisterCertificate | 보안 LDAP 연결을 위한 인증서를 등록할 권한을 부여합니다. | 쓰기 | |||
| RegisterEventTopic | 디렉터리를 SNS 주제와 연결할 수 있는 권한을 부여합니다. | 쓰기 |
sns:GetTopicAttributes |
||
| RejectSharedDirectory | 디렉터리 소유자 계정에서 보낸 디렉터리 공유 요청을 거부할 수 있는 권한을 부여합니다. | 쓰기 | |||
| RemoveIpRoutes | 디렉터리에서 IP 주소 블록을 제거할 수 있는 권한을 부여합니다. | 쓰기 | |||
| RemoveRegion | 모든 복제를 중지할 수 있는 권한을 부여하고 지정된 리전에서 도메인 컨트롤러를 제거합니다. 이 작업으로 기본 리전을 제거할 수 없습니다. | 쓰기 | |||
| RemoveTagsFromResource | Amazon Directory Services 디렉터리에서 태그를 제거할 수 있는 권한을 부여합니다. | 태그 지정 |
ec2:DeleteTags |
||
| ResetUserPassword | 내 계정의 모든 사용자에게 비밀번호를 재설정할 수 있는 권한을 부여합니다. AWS 관리형 마이크로소프트 AD 또는 심플 AD 디렉터리 | 쓰기 | |||
| RestoreFromSnapshot | 기존 디렉터리 스냅샷을 사용하여 디렉터리를 복원할 수 있는 권한을 부여합니다. | 쓰기 | |||
| ShareDirectory | 내 디렉터리의 지정된 디렉터리를 공유할 수 있는 권한을 부여합니다. AWS 계정 (디렉터리 소유자) 다른 사람과 AWS 계정 (디렉터리 소비자). 이 작업을 수행하면 어느 위치에서든 디렉터리를 사용할 수 있습니다. AWS 계정 그리고 VPC 내 모든 아마존에서 AWS 리전 | 쓰기 | |||
| StartSchemaExtension | Microsoft AD 디렉터리에 적용된 모든 스키마 확장을 나열할 수 있는 권한을 부여합니다. | 쓰기 | |||
| UnauthorizeApplication [권한만 해당] | 귀하의 애플리케이션을 승인하지 않을 수 있는 권한을 부여합니다. AWS 디렉터리 | 쓰기 | |||
| UnshareDirectory | 디렉터리 소유자와 소비자 계정 간의 디렉터리 공유를 중지할 수 있는 권한을 부여합니다. | 쓰기 | |||
| UpdateAuthorizedApplication [권한만 해당] | 사용자를 위해 승인된 애플리케이션을 업데이트할 수 있는 권한을 부여합니다. AWS 디렉터리 | 쓰기 | |||
| UpdateConditionalForwarder | 사용자를 위해 설정된 조건부 전달자를 업데이트할 수 있는 권한을 부여합니다. AWS directory | 쓰기 | |||
| UpdateDirectory [권한만 해당] | 지정된 디렉터리의 서비스 계정 자격 증명 또는 DNS 서버 IP 주소와 같은 구성을 업데이트할 권한을 부여합니다. | 쓰기 | |||
| UpdateDirectorySetup | 특정 업데이트 유형에 대해 디렉터리에 대해 디렉터리를 업데이트할 수 있는 권한을 부여합니다. | 쓰기 | |||
| UpdateNumberOfDomainControllers | 디렉터리에서 도메인 컨트롤러를 추가 또는 제거할 수 있는 권한을 부여합니다. 현재 값과 새 값 (이 API 호출을 통해 제공됨) 의 차이에 따라 도메인 컨트롤러가 추가되거나 제거됩니다. 요청된 도메인 컨트롤러 수가 업데이트되면 새 도메인 컨트롤러가 완전히 활성 상태가 될 때까지 최대 45분이 걸릴 수 있습니다. 이 동안 다른 업데이트 요청을 할 수 없습니다. | 쓰기 | |||
| UpdateRadius | AD Connector 디렉터리에 대한 원격 인증 전화 접속 사용자 서비스 (RADIUS) 서버 정보를 업데이트할 권한을 부여합니다. | 쓰기 | |||
| UpdateSettings | 지정된 디렉터리에 대해 구성 가능한 설정을 업데이트할 수 있는 권한을 부여합니다. | 쓰기 | |||
| UpdateTrust | 사용자 간에 설정된 트러스트를 업데이트할 수 있는 권한을 부여합니다. AWS 관리형 Microsoft AD 디렉터리 및 온-프레미스 액티브 디렉터리 | 쓰기 | |||
| VerifyTrust | 에서 Microsoft AD 간의 신뢰 관계를 확인할 수 있는 권한을 부여합니다. AWS 클라우드와 외부 도메인 | 읽기 |
다음에 의해 정의된 리소스 유형 AWS Directory Service
다음 리소스 유형은 이 서비스에 의해 정의되며 IAM 권한 정책 설명의 Resource 요소에 사용될 수 있습니다. 작업 테이블의 각 작업에서 해당 작업으로 지정할 수 있는 리소스 유형을 식별합니다. 리소스 유형은 정책에 포함할 조건 키를 정의할 수도 있습니다. 이러한 키는 리소스 유형 테이블의 마지막 열에 표시됩니다. 다음 테이블의 열에 관한 자세한 내용은 리소스 유형 테이블을 참조하세요.
| 리소스 유형 | ARN | 조건 키 |
|---|---|---|
| directory |
arn:${Partition}:ds:${Region}:${Account}:directory/${DirectoryId}
|
에 대한 조건 키 AWS Directory Service
AWS Directory Service는 IAM 정책 Condition 요소에 사용할 수 있는 다음과 같은 조건 키를 정의합니다. 이러한 키를 사용하여 정책 설명이 적용되는 조건을 보다 상세하게 설정할 수 있습니다. 다음 테이블의 열에 대한 자세한 내용은 조건 키 테이블을 참조하세요.
모든 서비스에 사용할 수 있는 글로벌 조건 키를 보려면 사용 가능한 글로벌 조건 키를 참조하세요.
| 조건 키 | 설명 | 형식 |
|---|---|---|
| aws:RequestTag/${TagKey} | 요청 값을 기준으로 액세스를 필터링합니다. AWS DS | String |
| aws:ResourceTag/${TagKey} | 필터 기준 액세스 AWS 조치 중인 DS 리소스 | String |
| aws:TagKeys | 요청에서 전달되는 태그 키를 기준으로 액세스를 필터링합니다. | ArrayOfString |
