Ações, recursos e chaves de condição dos grupos de usuários do Amazon Cognito

Os Grupos de usuários do Amazon Cognito (prefixo do serviço: cognito-idp) fornecem os seguintes recursos, ações e chaves de contexto de condição específicos ao serviço para uso em políticas de permissão do IAM.

Referências:

• Saiba como configurar este serviço.

• Visualize uma lista das operações de API disponíveis para este serviço.

• Saiba como proteger este serviço e seus recursos usando políticas de permissão do IAM.

Ações definidas pelos grupos de usuários do Amazon Cognito

Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma instrução com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o elemento Resource em uma política do IAM, deverá incluir um ARN ou padrão para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações	Descrição	Nível de acesso	Tipos de recursos (*necessários)	Chaves de condição	Ações dependentes
AddCustomAttributes	Concede permissão para adicionar atributos de usuário ao esquema do grupo de usuários	Escrever	userpool*
AdminAddUserToGroup	Concede permissão para adicionar qualquer usuário a qualquer grupo	Escrever	userpool*
AdminConfirmSignUp	Concede permissão para confirmar o registro de qualquer usuário sem um código de confirmação	Escrever	userpool*
AdminCreateUser	Concede permissão para criar novos usuários e enviar mensagens de boas-vindas por e-mail ou SMS	Escrever	userpool*
AdminDeleteUser	Concede permissão para excluir qualquer usuário	Escrever	userpool*
AdminDeleteUserAttributes	Concede permissão para excluir atributos de qualquer usuário	Escrever	userpool*
AdminDisableProviderForUser	Concede permissão para desvincular qualquer usuário do grupo de usuários de um usuário de provedor de identidades (IdP) terceirizado	Escrever	userpool*
AdminDisableUser	Concede permissão para desativar qualquer usuário	Escrever	userpool*
AdminEnableUser	Concede permissão para ativar qualquer usuário	Escrever	userpool*
AdminForgetDevice	Concede permissão para cancelar o registro de dispositivos de qualquer usuário	Escrever	userpool*
AdminGetDevice	Concede permissão para obter informações sobre os dispositivos de qualquer usuário	Leitura	userpool*
AdminGetUser	Concede permissão para pesquisar qualquer usuário por nome de usuário	Leitura	userpool*
AdminInitiateAuth	Concede permissão para autenticar qualquer usuário	Escrever	userpool*
AdminLinkProviderForUser	Concede permissão para vincular qualquer usuário do grupo de usuários de um usuário provedor de identidades (IdP) terceirizado	Escrever	userpool*
AdminListDevices	Concede permissão para listar os dispositivos lembrados de qualquer usuário	Lista	userpool*
AdminListGroupsForUser	Concede permissão para listar os grupos aos quais qualquer usuário pertence	Lista	userpool*
AdminListUserAuthEvents	Concede permissão para listar eventos de login para qualquer usuário	Leitura	userpool*
AdminRemoveUserFromGroup	Concede permissão para remover qualquer usuário de qualquer grupo	Escrever	userpool*
AdminResetUserPassword	Concede permissão para redefinir a senha de qualquer usuário	Escrever	userpool*
AdminRespondToAuthChallenge	Concede permissão para responder a um desafio de autenticação durante a autenticação de qualquer usuário	Escrever	userpool*
AdminSetUserMFAPreference	Concede permissão para definir o método de MFA preferido de qualquer usuário	Escrever	userpool*
AdminSetUserPassword	Concede permissão para definir a senha de qualquer usuário	Escrever	userpool*
AdminSetUserSettings	Concede permissão para definir configurações de usuário para qualquer usuário	Escrever	userpool*
AdminUpdateAuthEventFeedback	Concede permissão para atualizar o feedback de segurança avançada para evento de autenticação de qualquer usuário	Escrever	userpool*
AdminUpdateDeviceStatus	Concede permissão para atualizar o status dos dispositivos lembrados de qualquer usuário	Escrever	userpool*
AdminUpdateUserAttributes	Concede permissão para atualizar os atributos padrão ou personalizados de qualquer usuário	Escrever	userpool*
AdminUserGlobalSignOut	Concede permissão para desconectar qualquer usuário de todas as sessões	Escrever	userpool*
AssociateSoftwareToken	Concede permissão para retornar um código de chave secreta compartilhada gerado de forma exclusiva para o usuário	Escrever
AssociateWebACL [somente permissão]	Concede permissão para associar o grupo de usuários a uma Web ACL AWS do WAF	Escrever	userpool*
			webacl*
ChangePassword	Concede permissão para alterar a senha de um usuário especificado em um grupo de usuários	Escrever
ConfirmDevice	Concede permissão para confirmar o rastreamento do dispositivo. Essa chamada de API é a chamada que inicia o rastreamento do dispositivo	Escrever
ConfirmForgotPassword	Concede permissão para que um usuário insira um código de confirmação para redefinir uma senha esquecida	Escrever
ConfirmSignUp	Concede permissão para confirmar o registro de um usuário e manipula o alias existente de um usuário anterior	Escrever
CreateGroup	Concede permissão para criar novos grupos de usuários	Escrever	userpool*
CreateIdentityProvider	Concede permissão para adicionar provedores de identidades aos grupos de usuários	Escrever	userpool*
CreateResourceServer	Concede permissão para criar e configurar escopos para servidores de recursos do OAuth 2.0	Escrever	userpool*
CreateUserImportJob	Concede permissão para criar trabalhos de importação de CSV do usuário	Escrever	userpool*
CreateUserPool	Concede permissão para criar e definir política de senha para grupos de usuários	Escrever		aws:RequestTag/${TagKey} aws:TagKeys aws:ResourceTag/${TagKey}
CreateUserPoolClient	Concede permissão para criar clientes de aplicação de grupo de usuários	Escrever	userpool*
CreateUserPoolDomain	Concede permissão para adicionar domínios de grupo de usuário	Escrever	userpool*
DeleteGroup	Concede permissão para excluir qualquer grupo de usuários vazio	Escrever	userpool*
DeleteIdentityProvider	Concede permissão para excluir qualquer provedor de identidades de grupos de usuários	Escrever	userpool*
DeleteResourceServer	Concede permissão para excluir qualquer servidor de recursos do OAuth 2.0 de grupos de usuários	Escrever	userpool*
DeleteUser	Concede permissão para permitir que um usuário exclua a si mesmo	Escrever
DeleteUserAttributes	Concede permissão para excluir os atributos de um usuário	Escrever
DeleteUserPool	Concede permissão para excluir grupos de usuários	Escrever	userpool*
DeleteUserPoolClient	Concede permissão para excluir qualquer cliente de aplicação de grupo de usuários	Escrever	userpool*
DeleteUserPoolDomain	Concede permissão para excluir qualquer domínio de grupo de usuários	Escrever	userpool*
DescribeIdentityProvider	Concede permissão para descrever qualquer provedor de identidades de grupo de usuários	Leitura	userpool*
DescribeResourceServer	Concede permissão para descrever qualquer servidor de recursos do OAuth 2.0	Leitura	userpool*
DescribeRiskConfiguration	Concede permissão para descrever as definições de configuração de risco de grupos de usuários e clientes de aplicações	Leitura	userpool*
DescribeUserImportJob	Concede permissão para descrever qualquer trabalho de importação de usuário	Leitura	userpool*
DescribeUserPool	Concede permissão para descrever grupos de usuários	Leitura	userpool*
DescribeUserPoolClient	Concede permissão para descrever qualquer cliente de aplicação de grupo de usuários	Leitura	userpool*
DescribeUserPoolDomain	Concede permissão para descrever qualquer domínio de grupo de usuários	Leitura
DisassociateWebACL [somente permissão]	Concede permissão para desassociar o grupo de usuários com uma Web ACL do AWS WAF	Escrever	userpool*
ForgetDevice	Concede permissão para esquecer o dispositivo especificado	Escrever
ForgotPassword	Concede permissão para enviar uma mensagem ao usuário final com um código de confirmação que é necessário para alterar a senha do usuário	Escrever
GetCSVHeader	Concede permissão para gerar cabeçalhos para um arquivo .csv de importação de usuário	Leitura	userpool*
GetDevice	Concede permissão para obter o dispositivo	Leitura
GetGroup	Concede permissão para descrever um grupo de usuários	Leitura	userpool*
GetIdentityProviderByIdentifier	Concede permissão para correlacionar um identificador de IdP de grupo de usuários ao nome do IdP	Leitura	userpool*
GetLogDeliveryConfiguration	Concede permissão para obter a configuração detalhada do log de atividades para um grupo de usuários	Leitura	userpool*
GetSigningCertificate	Concede permissão para pesquisar certificados de assinatura para grupos de usuários	Leitura	userpool*
GetUICustomization	Concede permissão para obter informações de personalização da interface de usuário para a interface de usuário hospedada de qualquer cliente de aplicação	Leitura	userpool*
GetUser	Concede permissão para obter os atributos e metadados de um usuário	Leitura
GetUserAttributeVerificationCode	Concede permissão para obter o código de verificação do atributo do usuário para o nome do atributo especificado	Leitura
GetUserPoolMfaConfig	Concede permissão para pesquisar a configuração de MFA de grupos de usuários	Leitura	userpool*
GetWebACLForResource [somente permissão]	Concede permissão para obter a ACL web do AWS WAF associada a um grupo de usuários do Amazon Cognito	Leitura	userpool*
GlobalSignOut	Concede permissão para desconectar usuários de todos os dispositivos	Escrever
InitiateAuth	Concede permissão para iniciar o fluxo de autenticação	Escrever
ListDevices	Concede permissão para listar os dispositivos	Lista
ListGroups	Concede permissão para listar todos os grupos em grupos de usuários	Lista	userpool*
ListIdentityProviders	Concede permissão para listar todos os provedores de identidades nos grupos de usuários	Lista	userpool*
ListResourceServers	Concede permissão para listar todos os servidores de recursos em grupos de usuários	Lista	userpool*
ListResourcesForWebACL [somente permissão]	Concede permissão para listar os grupos de usuários associados a uma Web ACL AWS do WAF	Lista	webacl*
ListTagsForResource	Concede permissão para listar as tags atribuídas a um grupo de usuários do Amazon Cognito	Lista	userpool
ListUserImportJobs	Concede permissão para listar todos os trabalhos de importação de usuário	Lista	userpool*
ListUserPoolClients	Concede permissão para listar todos os clientes de aplicação em grupos de usuários	Lista	userpool*
ListUserPools	Concede permissão para listar todos os grupos de usuários	Lista
ListUsers	Concede permissão para listar todos os usuários de grupo de usuários	Lista	userpool*
ListUsersInGroup	Concede permissão para listar os usuários em qualquer grupo	Lista	userpool*
ResendConfirmationCode	Concede permissão para reenviar a confirmação (para confirmação do registro) a um usuário específico no grupo de usuários	Escrever
RespondToAuthChallenge	Concede permissão para responder ao desafio de autenticação	Escrever
RevokeToken	Concede permissão para revogar todos os tokens de acesso gerados pelo token de atualização especificado	Escrever
SetLogDeliveryConfiguration	Concede permissão para configurar ou modificar a configuração detalhada do log de atividades para um grupo de usuários	Escrever	userpool*
SetRiskConfiguration	Concede permissão para definir a configuração de risco para grupos de usuários e clientes de aplicações	Escrever	userpool*
SetUICustomization	Concede permissão para personalizar a interface do usuário hospedada para qualquer cliente de aplicação	Escrever	userpool*
SetUserMFAPreference	Concede permissão para definir a preferência de MFA para o usuário no grupo de usuários	Escrever
SetUserPoolMfaConfig	Concede permissão para definir a configuração de MFA de um grupo de usuários	Escrever	userpool*
SetUserSettings	Concede permissão para definir configurações do usuário, como a autenticação multifator (MFA)	Escrever
SignUp	Concede permissão para registrar o usuário no grupo de usuários especificado e cria um nome de usuário, uma senha e atributos de usuário	Escrever
StartUserImportJob	Concede permissão para iniciar qualquer trabalho de importação de usuário	Escrever	userpool*
StopUserImportJob	Concede permissão para interromper qualquer trabalho de importação de usuário	Escrever	userpool*
TagResource	Concede permissão para marcar um grupo de usuários	Tags	userpool
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Concede permissão para desmarcar um grupo de usuários	Tags	userpool
				aws:TagKeys
UpdateAuthEventFeedback	Concede permissão para atualizar os comentários do evento de autenticação de usuário	Escrever	userpool*
UpdateDeviceStatus	Concede permissão para atualizar o status do dispositivo	Escrever
UpdateGroup	Concede permissão para atualizar a configuração de qualquer grupo	Escrever	userpool*
UpdateIdentityProvider	Concede permissão para atualizar a configuração de IdP de qualquer grupo de usuários	Escrever	userpool*
UpdateResourceServer	Concede permissão para atualizar a configuração de qualquer servidor doe recursos do OAuth 2.0	Escrever	userpool*
UpdateUserAttributes	Concede permissão para o usuário atualizar um atributo específico (um de cada vez)	Escrever
UpdateUserPool	Concede permissão para atualizar a configuração de grupos de usuários	Escrever	userpool*
				aws:RequestTag/${TagKey} aws:TagKeys
UpdateUserPoolClient	Concede permissão para atualizar qualquer cliente de grupo de usuários	Escrever	userpool*
UpdateUserPoolDomain	Concede permissão para substituir o certificado para qualquer domínio personalizado	Escrever	userpool*
VerifySoftwareToken	Concede permissão para registrar o código da TOTP inserido de um usuário e marcar o status de MFA de token de software do usuário como verificado, em caso de êxito	Escrever
VerifyUserAttribute	Concede permissão para verificar um atributo do usuário usando um código de verificação único	Escrever

Tipos de recursos definidos pelos grupos de usuários do Amazon Cognito

Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos	ARN	Chaves de condição
userpool	arn:${Partition}:cognito-idp:${Region}:${Account}:userpool/${UserPoolId}	aws:ResourceTag/${TagKey}
webacl	arn:${Partition}:wafv2:${Region}:${Account}:${Scope}/webacl/${Name}/${Id}

Chaves de condição dos grupos de usuários do Amazon Cognito

Os Grupos de usuários do Amazon Cognito definem as seguintes chaves de condição que podem ser usadas no elemento Condition de uma política do IAM. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para visualizar as chaves de condição globais disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição	Descrição	Tipo
aws:RequestTag/${TagKey}	Filtra acesso pela presença de pares de chave-valor da etiqueta na solicitação	String
aws:ResourceTag/${TagKey}	Filtra o acesso por pares chave-valor da etiqueta anexados ao recurso	String
aws:TagKeys	Filtra o acesso por uma chave presente na solicitação	ArrayOfString