Ações, recursos e chaves de condição do Amazon CloudFront

O Amazon CloudFront (prefixo do serviço: cloudfront) fornece os seguintes recursos, ações e chaves de contexto de condição específicos ao serviço para uso em políticas de permissão do IAM.

Referências:

• Saiba como configurar este serviço.

• Visualize uma lista das operações de API disponíveis para este serviço.

• Saiba como proteger este serviço e seus recursos usando políticas de permissão do IAM.

Ações definidas pelo Amazon CloudFront

Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma instrução com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o elemento Resource em uma política do IAM, deverá incluir um ARN ou padrão para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações	Descrição	Nível de acesso	Tipos de recursos (*necessários)	Chaves de condição	Ações dependentes
AssociateAlias	Concede permissão para associar um alias a uma distribuição do CloudFront	Gravação	distribution*
CopyDistribution	Concede permissão para copiar uma distribuição existente e criar uma nova distribuição na web	Gravação	distribution*		cloudfront:CopyDistribution cloudfront:CreateDistribution cloudfront:GetDistribution
CreateCachePolicy	Concede permissão para adicionar uma nova política de cache ao CloudFront	Write	cache-policy*
CreateCloudFrontOriginAccessIdentity	Concede permissão para criar uma nova identidade do acesso de origem do CloudFront	Gravação	origin-access-identity*
CreateContinuousDeploymentPolicy	Concede permissão para adicionar uma nova política de implantação contínua para CloudFront	Gravação	continuous-deployment-policy*
CreateDistribution	Concede permissão para criar uma nova distribuição na Web	Gravação	distribution*
CreateFieldLevelEncryptionConfig	Concede permissão para criar uma nova configuração de criptografia em nível de campo	Write
CreateFieldLevelEncryptionProfile	Concede permissão para criar um perfil de criptografia em nível de campo	Write
CreateFunction	Concede permissão para criar uma função do CloudFront	Write	function*
CreateInvalidation	Concede permissão para criar uma nova solicitação de lote de invalidação	Write	distribution*
CreateKeyGroup	Concede permissão para adicionar um novo grupo de chaves ao CloudFront	Gravação
CreateKeyValueStore	Concede permissão para adicionar um CloudFront KeyValueStore	Gravação	key-value-store*
CreateMonitoringSubscription	Concede permissão para habilitar métricas adicionais do CloudWatch para a distribuição do CloudFront especificada. As métricas adicionais incorrem em um custo adicional	Gravação
CreateOriginAccessControl	Concede permissões para criar um novo controle de acesso de origem	Gravação
CreateOriginRequestPolicy	Concede permissão para adicionar uma nova política de solicitação de origem ao CloudFront	Write	origin-request-policy*
CreatePublicKey	Concede permissão para adicionar uma nova chave pública ao CloudFront	Write
CreateRealtimeLogConfig	Concede permissão para criar uma configuração de log em tempo real	Gravação	realtime-log-config*
CreateResponseHeadersPolicy	Concede permissão para adicionar uma nova política de cabeçalhos de resposta ao CloudFront	Gravação	response-headers-policy*
CreateSavingsPlan [somente permissão]	Concede permissão para criar um novo savings plan	Gravação
CreateStreamingDistribution	Concede permissão para criar uma nova distribuição RMTP	Write	streaming-distribution*
CreateStreamingDistributionWithTags	Concede permissão para criar uma nova distribuição RMTP com etiquetas	Gravação	streaming-distribution*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteCachePolicy	Concede permissão para excluir uma política de cache	Write	cache-policy*
DeleteCloudFrontOriginAccessIdentity	Concede permissão para excluir uma identidade do acesso de origem do CloudFront	Gravação	origin-access-identity*
DeleteContinuousDeploymentPolicy	Concede permissão para excluir uma política de implantação contínua	Gravação	continuous-deployment-policy*
DeleteDistribution	Concede permissão para excluir uma distribuição da Web	Write	distribution*
DeleteFieldLevelEncryptionConfig	Concede permissão para excluir uma configuração de criptografia em nível de campo	Write	field-level-encryption-config*
DeleteFieldLevelEncryptionProfile	Concede permissão para excluir um perfil de criptografia em nível de campo	Write	field-level-encryption-profile*
DeleteFunction	Concede permissão para excluir uma função do CloudFront	Write	function*
DeleteKeyGroup	Concede permissão para excluir um grupo de chaves	Gravação
DeleteKeyValueStore	Concede permissão para excluir um CloudFront KeyValueStore	Gravação	key-value-store*
DeleteMonitoringSubscription	Concede permissão para desabilitar métricas adicionais do CloudWatch para a distribuição do CloudFront especificada	Gravação
DeleteOriginAccessControl	Concede permissão para excluir um controle de acesso de origem	Gravação	origin-access-control*
DeleteOriginRequestPolicy	Concede permissão para excluir uma política de solicitação de origem	Write	origin-request-policy*
DeletePublicKey	Concede permissão para excluir uma chave pública do CloudFront	Write
DeleteRealtimeLogConfig	Concede permissão para excluir uma configuração de log em tempo real	Gravação	realtime-log-config*
DeleteResponseHeadersPolicy	Concede permissão para excluir uma política de cabeçalhos de resposta	Gravação	response-headers-policy*
DeleteStreamingDistribution	Concede permissão para excluir uma distribuição RMTP	Write	streaming-distribution*
DescribeFunction	Concede permissão para obter um resumo de função do CloudFront	Ler	function*
DescribeKeyValueStore	Concede permissão para obter um resumo do CloudFront KeyValueStore	Ler	key-value-store*
GetCachePolicy	Concede permissão para obter a política de cache	Read	cache-policy*
GetCachePolicyConfig	Concede permissão para obter a configuração da política de cache	Read	cache-policy*
GetCloudFrontOriginAccessIdentity	Concede permissão para obter as informações sobre uma identidade do acesso de origem do CloudFront	Read	origin-access-identity*
GetCloudFrontOriginAccessIdentityConfig	Concede permissão para obter as informações de configuração sobre uma identidade do acesso de origem do CloudFront	Ler	origin-access-identity*
GetContinuousDeploymentPolicy	Concede permissão para obter a política de implantação contínua	Ler	continuous-deployment-policy*
GetContinuousDeploymentPolicyConfig	Concede permissão para obter a configuração da política de implantação contínua	Ler	continuous-deployment-policy*
GetDistribution	Concede permissão para obter as informações sobre uma distribuição da Web	Read	distribution*
GetDistributionConfig	Concede permissão para obter as informações de configuração de uma distribuição	Read	distribution*
GetFieldLevelEncryption	Concede permissão para obter as informações de configuração de criptografia em nível de campo	Read	field-level-encryption-config*
GetFieldLevelEncryptionConfig	Concede permissão para obter as informações de configuração de criptografia em nível de campo	Read	field-level-encryption-config*
GetFieldLevelEncryptionProfile	Concede permissão para obter as informações de configuração de criptografia em nível de campo	Read	field-level-encryption-profile*
GetFieldLevelEncryptionProfileConfig	Concede permissão para obter as informações de configuração de perfil de criptografia em nível de campo	Read	field-level-encryption-profile*
GetFunction	Concede permissão para obter o código de uma função do CloudFront	Read	function*
GetInvalidation	Concede permissão para obter as informações sobre uma invalidação	Read	distribution*
GetKeyGroup	Concede permissão para obter um grupo de chaves	Read
GetKeyGroupConfig	Concede permissão para obter a configuração de um grupo de chaves	Read
GetMonitoringSubscription	Concede permissão para obter informações sobre se métricas adicionais do CloudWatch estão habilitadas para a distribuição do CloudFront especificada	Ler
GetOriginAccessControl	Concede permissão para obter o controle de acesso de origem	Ler	origin-access-control*
GetOriginAccessControlConfig	Concede permissão para obter a configuração do controle de acesso de origem	Ler	origin-access-control*
GetOriginRequestPolicy	Concede permissão para obter a política de solicitação de origem	Read	origin-request-policy*
GetOriginRequestPolicyConfig	Concede permissão para obter a configuração da política de solicitação de origem	Read	origin-request-policy*
GetPublicKey	Concede permissão para obter as informações da chave pública	Read
GetPublicKeyConfig	Concede permissão para obter as informações de configuração da chave pública	Read
GetRealtimeLogConfig	Concede permissão para obter uma configuração de log em tempo real	Ler	realtime-log-config*
GetResponseHeadersPolicy	Concede permissão para obter a política de cabeçalhos de resposta	Ler	response-headers-policy*
GetResponseHeadersPolicyConfig	Concede permissão para obter a configuração da política de cabeçalhos de resposta	Ler	response-headers-policy*
GetSavingsPlan [somente permissão]	Concede permissão para obter um savings plan	Ler
GetStreamingDistribution	Concede permissão para obter as informações sobre uma distribuição RMTP	Read	streaming-distribution*
GetStreamingDistributionConfig	Concede permissão para obter as informações de configuração de uma distribuição de transmissão	Read	streaming-distribution*
ListCachePolicies	Concede permissão para listar todas as políticas de cache que foram criadas no CloudFront para esta conta	List
ListCloudFrontOriginAccessIdentities	Concede permissão para listar as identidades do acesso de origem do CloudFront	List
ListConflictingAliases	Concede permissão para listar todos os aliases que entram em conflito com o alias fornecido no CloudFront	Listar	distribution*
ListContinuousDeploymentPolicies	Concede permissão para listar todas as políticas de implantação contínua na conta	Listar
ListDistributions	Concede permissão para listar todas as distribuições associadas à sua Conta da AWS	List
ListDistributionsByCachePolicyId	Concede permissão para listar IDs de distribuições que têm um comportamento de cache associado à política de cache especificada	List
ListDistributionsByKeyGroup	Concede permissão para listar IDs de distribuições que têm um comportamento de cache associado ao grupo de chaves especificado	Listar
ListDistributionsByLambdaFunction [somente permissão]	Concede permissão para listar todas as distribuições associadas a uma função do Lambda	Listar
ListDistributionsByOriginRequestPolicyId	Concede permissão para listar IDs de distribuições que têm um comportamento de cache associado à política de solicitação de origem especificada	List
ListDistributionsByRealtimeLogConfig	Concede permissão para obter uma lista de distribuições que têm um comportamento de cache associado à configuração de log em tempo real especificada	Listar
ListDistributionsByResponseHeadersPolicyId	Concede permissão para listar IDs de distribuições que têm um comportamento de cache associado à política de cabeçalhos de resposta especificada	Listar
ListDistributionsByWebACLId	Concede permissão para listar as distribuições associadas à sua Conta da AWS com determinada ACL da Web do AWS WAF	List
ListFieldLevelEncryptionConfigs	Concede permissão para listar todas as configurações de criptografia em nível de campo que foram criadas no CloudFront para esta conta	List
ListFieldLevelEncryptionProfiles	Concede permissão para listar todos os perfis de criptografia em nível de campo que foram criados no CloudFront para esta conta	List
ListFunctions	Concede permissão para obter uma lista de funções do CloudFront	List
ListInvalidations	Concede permissão para listar seus lotes de invalidação	List	distribution*
ListKeyGroups	Concede permissão para listar todos os grupos de chaves que foram criados no CloudFront para esta conta	Listar
ListKeyValueStores	Concede permissão para obter uma lista do CloudFront KeyValueStore	Listar
ListOriginAccessControls	Concede permissão para listar todos os controles de acesso de origem na conta	Listar
ListOriginRequestPolicies	Concede permissão para listar todas as políticas de solicitação de origem que foram criadas no CloudFront para esta conta	List
ListPublicKeys	Concede permissão para listar todas as chaves públicas que foram adicionadas ao CloudFront para esta conta	Listar
ListRateCards [somente permissão]	Concede permissão para listar cartões de tarifas do CloudFront para a conta	Listar
ListRealtimeLogConfigs	Concede permissão para obter uma lista de configurações de log em tempo real	Listar
ListResponseHeadersPolicies	Concede permissão para listar todas as políticas de cabeçalhos de resposta que foram criadas no CloudFront para esta conta	Listar
ListSavingsPlans [somente permissão]	Concede permissão para listar savings plans na conta	Listar
ListStreamingDistributions	Concede permissão para listar suas distribuições RMTP	List
ListTagsForResource	Concede permissão para listar as etiquetas de um recurso do CloudFront	Ler	distribution
ListUsages [somente permissão]	Concede permissão para listar a utilização do CloudFront	Listar
PublishFunction	Concede permissão para publicar uma função do CloudFront	Write	function*
TagResource	Concede permissão para adicionar etiquetas a um recurso do CloudFront	Marcação	distribution
			streaming-distribution
				aws:RequestTag/${TagKey} aws:TagKeys
TestFunction	Concede permissão para testar uma função do CloudFront	Write	function*
UntagResource	Concede permissão para remover etiquetas de um recurso do CloudFront	Marcação	distribution
			streaming-distribution
				aws:TagKeys
UpdateCachePolicy	Concede permissão para atualizar uma política de cache	Write	cache-policy*
UpdateCloudFrontOriginAccessIdentity	Concede permissão para definir a configuração de uma identidade do acesso de origem do CloudFront	Gravação	origin-access-identity*
UpdateContinuousDeploymentPolicy	Concede permissão para atualizar a política de implantação contínua	Gravação	continuous-deployment-policy*
UpdateDistribution	Concede permissão para atualizar a configuração de uma distribuição da Web	Write	distribution*
UpdateFieldLevelEncryptionConfig	Concede permissão para atualizar uma configuração de criptografia em nível de campo	Write
UpdateFieldLevelEncryptionProfile	Concede permissão para atualizar um perfil de criptografia em nível de campo	Write	field-level-encryption-profile*
UpdateFunction	Concede permissão para atualizar uma função do CloudFront	Write	function*
UpdateKeyGroup	Concede permissão para atualizar um grupo de chaves	Gravação
UpdateKeyValueStore	Concede permissão para atualizar um CloudFront KeyValueStore	Gravação	key-value-store*
UpdateOriginAccessControl	Concede permissão para atualizar um controle de acesso de origem	Gravação	origin-access-control*
UpdateOriginRequestPolicy	Concede permissão para atualizar uma política de solicitação de origem	Write	origin-request-policy*
UpdatePublicKey	Concede permissão para atualizar as informações da chave pública	Write
UpdateRealtimeLogConfig	Concede permissão para atualizar uma configuração de log em tempo real	Gravação	realtime-log-config*
UpdateResponseHeadersPolicy	Concede permissão para atualizar uma política de cabeçalhos de resposta	Gravação	response-headers-policy*
UpdateSavingsPlan [somente permissão]	Concede permissão para atualizar um savings plan	Gravação
UpdateStreamingDistribution	Concede permissão para atualizar a configuração de uma distribuição RTMP	Write	streaming-distribution*

Tipos de recursos definidos pelo Amazon CloudFront

Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos	ARN	Chaves de condição
distribution	arn:${Partition}:cloudfront::${Account}:distribution/${DistributionId}	aws:ResourceTag/${TagKey}
streaming-distribution	arn:${Partition}:cloudfront::${Account}:streaming-distribution/${DistributionId}	aws:ResourceTag/${TagKey}
origin-access-identity	arn:${Partition}:cloudfront::${Account}:origin-access-identity/${Id}
field-level-encryption-config	arn:${Partition}:cloudfront::${Account}:field-level-encryption-config/${Id}
field-level-encryption-profile	arn:${Partition}:cloudfront::${Account}:field-level-encryption-profile/${Id}
cache-policy	arn:${Partition}:cloudfront::${Account}:cache-policy/${Id}
origin-request-policy	arn:${Partition}:cloudfront::${Account}:origin-request-policy/${Id}
realtime-log-config	arn:${Partition}:cloudfront::${Account}:realtime-log-config/${Name}
function	arn:${Partition}:cloudfront::${Account}:function/${Name}
key-value-store	arn:${Partition}:cloudfront::${Account}:key-value-store/${Name}
response-headers-policy	arn:${Partition}:cloudfront::${Account}:response-headers-policy/${Id}
origin-access-control	arn:${Partition}:cloudfront::${Account}:origin-access-control/${Id}
continuous-deployment-policy	arn:${Partition}:cloudfront::${Account}:continuous-deployment-policy/${Id}

Chaves de condição do Amazon CloudFront

O Amazon CloudFront define as seguintes chaves de condição que podem ser usadas no elemento Condition de uma política do IAM. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para visualizar as chaves de condição globais disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição	Descrição	Tipo
aws:RequestTag/${TagKey}	Filtra acesso pela presença de pares de chave-valor da etiqueta na solicitação	String
aws:ResourceTag/${TagKey}	Filtra o acesso por pares chave-valor da etiqueta anexados ao recurso	String
aws:TagKeys	Filtra ações pela presença de chaves da etiqueta na solicitação	ArrayOfString