Ações, recursos e chaves de condição para o AWS Clean Rooms

AWS O Clean Rooms (prefixo do serviço:cleanrooms) fornece os seguintes recursos, ações e chaves de contexto de condições específicos do serviço para uso em IAM políticas de permissão.

Referências:

• Saiba como configurar este serviço.

• Veja uma lista das APIoperações disponíveis para esse serviço.

• Saiba como proteger esse serviço e seus recursos usando políticas de IAM permissão.

Ações definidas pelo AWS Clean Rooms

Você pode especificar as seguintes ações no Action elemento de uma declaração de IAM política. Use políticas para conceder permissões para executar uma operação na AWS. Quando você usa uma ação em uma política, geralmente permite ou nega acesso à API operação ou ao CLI comando com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma declaração com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o Resource elemento em uma IAM política, deverá incluir um padrão ARN ou para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações	Descrição	Nível de acesso	Tipos de recursos (*necessários)	Chaves de condição	Ações dependentes
BatchGetCollaborationAnalysisTemplate	Concede permissão para visualizar detalhes dos analysisTemplates associados à colaboração	Leitura	analysistemplate*		cleanrooms:GetCollaborationAnalysisTemplate
			collaboration*
BatchGetSchema	Concede permissão para visualizar detalhes de esquemas	Leitura	collaboration*		cleanrooms:GetSchema
			configuredtableassociation
			idmappingtable
BatchGetSchemaAnalysisRule	Concede permissão para visualizar as regras de análise associadas aos esquemas	Leitura	collaboration*		cleanrooms:GetSchema
			configuredtableassociation
			idmappingtable
CreateAnalysisTemplate	Concede permissão para criar um novo modelo de análise	Escrever	analysistemplate*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateCollaboration	Concede permissão para criar uma nova colaboração, um ambiente compartilhado de colaboração de dados	Escrever	collaboration*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateConfiguredAudienceModelAssociation	Concede permissão para vincular um modelo de público configurado pelo Cleanrooms ML a uma colaboração com a criação de uma nova associação	Escrever	configuredaudiencemodelassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	cleanrooms-ml:GetConfiguredAudienceModel cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateConfiguredTable	Concede permissão para criar uma nova tabela configurada	Escrever	configuredtable*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	glue:BatchGetPartition glue:GetDatabase glue:GetDatabases glue:GetPartition glue:GetPartitions glue:GetSchemaVersion glue:GetTable glue:GetTables
CreateConfiguredTableAnalysisRule	Concede permissão para criar uma regra de análise para uma tabela configurada	Escrever	configuredtable*
CreateConfiguredTableAssociation	Concede permissão para vincular uma tabela configurada a uma colaboração ao criar uma nova associação	Escrever	configuredtable*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	iam:PassRole
			configuredtableassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateConfiguredTableAssociationAnalysisRule	Concede permissão para criar uma regra de análise para uma associação de tabela configurada	Escrever	configuredtableassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateIdMappingTable	Concede permissão para vincular um fluxo de trabalho de mapeamento de ID a uma colaboração criando uma nova tabela de mapeamento de ID	Escrever	idmappingtable*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	entityresolution:AddPolicyStatement entityresolution:GetIdMappingWorkflow
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateIdNamespaceAssociation	Concede permissão para vincular um namespace de ID de resolução de AWS entidade a uma colaboração criando uma nova associação	Escrever	idnamespaceassociation*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	entityresolution:AddPolicyStatement entityresolution:GetIdNamespace
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateMembership	Concede permissão para participar de colaborações mediante a criação de uma associação	Escrever	collaboration*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	iam:PassRole logs:CreateLogDelivery logs:CreateLogGroup logs:DeleteLogDelivery logs:DescribeLogGroups logs:DescribeResourcePolicies logs:GetLogDelivery logs:ListLogDeliveries logs:PutResourcePolicy logs:UpdateLogDelivery s3:GetBucketLocation
			membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreatePrivacyBudgetTemplate	Concede permissão para criar um novo modelo de orçamento de privacidade	Escrever	membership*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
			privacybudgettemplate*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
DeleteAnalysisTemplate	Concede permissão para excluir um modelo de análise existente	Escrever	analysistemplate*
DeleteCollaboration	Concede permissão para excluir uma colaboração existente	Escrever	collaboration*		cleanrooms-ml:DeleteConfiguredAudienceModelPolicy cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
DeleteConfiguredAudienceModelAssociation	Concede permissão para excluir uma associação de modelo de público configurada existente	Escrever	configuredaudiencemodelassociation*		cleanrooms-ml:DeleteConfiguredAudienceModelPolicy cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
DeleteConfiguredTable	Concede permissão para excluir uma tabela configurada	Escrever	configuredtable*
DeleteConfiguredTableAnalysisRule	Concede permissão para excluir uma regra de análise existente	Escrever	configuredtable*
DeleteConfiguredTableAssociation	Concede permissão para remover uma associação de tabela configurada de uma colaboração	Escrever	configuredtableassociation*
DeleteConfiguredTableAssociationAnalysisRule	Concede permissão para excluir uma regra de análise de associação de tabela configurada existente	Escrever	configuredtableassociation*
DeleteIdMappingTable	Concede permissão para remover uma tabela de mapeamento de ID de uma colaboração	Escrever	idmappingtable*		entityresolution:DeletePolicyStatement
			membership*
DeleteIdNamespaceAssociation	Concede permissão para remover uma associação de namespace de ID de uma colaboração	Escrever	idnamespaceassociation*		entityresolution:DeletePolicyStatement
			membership*
DeleteMember	Concede permissão para excluir membros de uma colaboração	Escrever	collaboration*		cleanrooms-ml:DeleteConfiguredAudienceModelPolicy cleanrooms-ml:GetConfiguredAudienceModelPolicy cleanrooms-ml:PutConfiguredAudienceModelPolicy
DeleteMembership	Concede permissão para sair de colaborações mediante a exclusão de uma associação	Escrever	membership*
DeletePrivacyBudgetTemplate	Concede permissão para excluir um modelo de orçamento de privacidade existente	Escrever	privacybudgettemplate*
GetAnalysisTemplate	Concede permissão para exibir detalhes de um modelo de análise	Leitura	analysistemplate*
GetCollaboration	Concede permissão para visualizar detalhes de uma colaboração	Leitura	collaboration*
GetCollaborationAnalysisTemplate	Concede permissão para exibir detalhes de um modelo de análise em uma colaboração	Leitura	analysistemplate*
			collaboration*
GetCollaborationConfiguredAudienceModelAssociation	Concede permissão para visualizar detalhes para uma associação de modelo de público configurada em uma colaboração	Leitura	collaboration*
			configuredaudiencemodelassociation*
GetCollaborationIdNamespaceAssociation	Concede permissão para obter a associação do namespace id em uma colaboração	Leitura	collaboration*
			idnamespaceassociation*
GetCollaborationPrivacyBudgetTemplate	Concede permissão para exibir detalhes de um modelo de orçamento de privacidade em uma colaboração	Leitura	collaboration*
			privacybudgettemplate*
GetConfiguredAudienceModelAssociation	Concede permissão para visualizar detalhes de uma associação de modelo de público configurada	Leitura	configuredaudiencemodelassociation*
GetConfiguredTable	Concede permissão para visualizar detalhes para uma tabela configurada	Leitura	configuredtable*
GetConfiguredTableAnalysisRule	Concede permissão para visualizar regras de análise para uma tabela configurada	Leitura	configuredtable*
GetConfiguredTableAssociation	Concede permissão para visualizar detalhes para uma associação de tabela configurada	Leitura	configuredtableassociation*
GetConfiguredTableAssociationAnalysisRule	Concede permissão para visualizar as regras de análise de uma associação de tabela configurada	Leitura	configuredtableassociation*
GetIdMappingTable	Concede permissão para visualizar detalhes de uma tabela de mapeamento de ID	Leitura	idmappingtable*
			membership*
GetIdNamespaceAssociation	Concede permissão para visualizar detalhes de uma associação de namespace de id	Leitura	idnamespaceassociation*		entityresolution:GetIdNamespace
			membership*
GetMembership	Concede permissão para visualizar detalhes sobre uma associação	Leitura	membership*
GetPrivacyBudgetTemplate	Concede permissão para exibir detalhes de um modelo de orçamento de privacidade	Leitura	privacybudgettemplate*
GetProtectedQuery	Concede permissão para visualizar uma consulta protegida	Leitura	membership*
GetSchema	Concede permissão para visualizar detalhes de um esquema	Leitura	collaboration*
			configuredtableassociation*
GetSchemaAnalysisRule	Concede permissão para visualizar regras de análise associadas a um esquema	Leitura	collaboration*		cleanrooms:GetSchema
			configuredtableassociation*
ListAnalysisTemplates	Concede permissão para listar modelos de análise disponíveis	Listar	analysistemplate*
			membership*
ListCollaborationAnalysisTemplates	Concede permissão para listar modelos de análise disponíveis em uma colaboração	Listar	collaboration*
ListCollaborationConfiguredAudienceModelAssociations	Concede permissão para listar associações de modelos de público configuradas disponíveis em uma colaboração	Listar	collaboration*
ListCollaborationIdNamespaceAssociations	Concede permissão para listar o namespace de ID em uma colaboração	Listar	collaboration*
ListCollaborationPrivacyBudgetTemplates	Concede permissão para listar modelos de orçamento de privacidade disponíveis em uma colaboração	Listar	collaboration*
ListCollaborationPrivacyBudgets	Concede permissão para listar orçamentos de privacidade em uma colaboração	Listar	collaboration*
ListCollaborations	Concede permissão para listar colaborações disponíveis	Listar
ListConfiguredAudienceModelAssociations	Concede permissão para listar associações de modelos de público configuradas para uma associação	Listar	configuredaudiencemodelassociation*
			membership*
ListConfiguredTableAssociations	Concede permissão para listar associações de tabela configuradas para uma associação	Listar	configuredtableassociation*
			membership*
ListConfiguredTables	Concede permissão para listar as tabelas configuradas disponíveis	Listar
ListIdMappingTables	Concede permissão para listar as tabelas de mapeamento de ID disponíveis para uma associação	Listar	idmappingtable*
			membership*
ListIdNamespaceAssociations	Concede permissão para listar associações de dados de resolução de entidades para uma associação	Listar	idnamespaceassociation*
			membership*
ListMembers	Concede permissão para listar os membros de uma colaboração	Listar	collaboration*
ListMemberships	Concede permissão para listar as associações disponíveis	Listar
ListPrivacyBudgetTemplates	Concede permissão para listar modelos de orçamento de privacidade disponíveis	Listar	membership*
			privacybudgettemplate*
ListPrivacyBudgets	Concede permissão para listar orçamentos de privacidade disponíveis	Listar	membership*
ListProtectedQueries	Concede permissão para visualizar consultas protegidas	Listar	membership*
ListSchemas	Concede permissão para visualizar os esquemas disponíveis de uma colaboração	Listar	collaboration*
ListTagsForResource	Concede permissão para listar as etiquetas de um recurso	Listar	analysistemplate
			collaboration
			configuredaudiencemodelassociation
			configuredtable
			configuredtableassociation
			membership
			privacybudgettemplate
PopulateIdMappingTable	Concede permissão para iniciar um Id Mapping Job em AWS Entity Resolution para gerar resultados de mapeamento de id na colaboração em salas limpas.	Escrever	idmappingtable*		entityresolution:GetIdMappingWorkflow
			membership*
PreviewPrivacyImpact	Concede permissão para visualizar as configurações de modelos de orçamento de privacidade	Leitura	membership*
StartProtectedQuery	Concede permissão para iniciar consultas protegidas	Escrever	membership*		cleanrooms:GetCollaborationAnalysisTemplate cleanrooms:GetSchema s3:GetBucketLocation s3:ListBucket s3:PutObject
			analysistemplate
			configuredtableassociation
			idmappingtable
TagResource	Concede permissão para marcar um recurso	Marcação	analysistemplate
			collaboration
			configuredaudiencemodelassociation
			configuredtable
			configuredtableassociation
			idmappingtable
			idnamespaceassociation
			membership
			privacybudgettemplate
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	Concede permissão para desmarcar um recurso	Tags	analysistemplate
			collaboration
			configuredaudiencemodelassociation
			configuredtable
			configuredtableassociation
			idmappingtable
			idnamespaceassociation
			membership
			privacybudgettemplate
				aws:TagKeys
UpdateAnalysisTemplate	Concede permissão para atualizar detalhes do modelo de análise	Escrever	analysistemplate*
UpdateCollaboration	Concede permissão para atualizar detalhes da colaboração	Escrever	collaboration*
UpdateConfiguredAudienceModelAssociation	Concede permissão para atualizar uma associação de modelo de público configurada	Escrever	configuredaudiencemodelassociation*
UpdateConfiguredTable	Concede permissão para atualizar uma tabela configurada existente	Escrever	configuredtable*
UpdateConfiguredTableAnalysisRule	Concede permissão para atualizar regras de análise para uma tabela configurada	Escrever	configuredtable*
UpdateConfiguredTableAssociation	Concede permissão para atualizar uma associação de tabela configurada	Escrever	configuredtableassociation*		iam:PassRole
UpdateConfiguredTableAssociationAnalysisRule	Concede permissão para atualizar as regras de análise para uma associação de tabela configurada	Escrever	configuredtableassociation*
UpdateIdMappingTable	Concede permissão para atualizar uma tabela de mapeamento de ID	Escrever	idmappingtable*
			membership*
UpdateIdNamespaceAssociation	Concede permissão para atualizar uma associação de entrada de resolução de entidade	Escrever	idnamespaceassociation*		entityresolution:GetIdNamespace
			membership*
UpdateMembership	Concede permissão para atualizar detalhes de uma associação	Escrever	membership*		iam:PassRole logs:CreateLogDelivery logs:CreateLogGroup logs:DeleteLogDelivery logs:DescribeLogGroups logs:DescribeResourcePolicies logs:GetLogDelivery logs:ListLogDeliveries logs:PutResourcePolicy logs:UpdateLogDelivery s3:GetBucketLocation
UpdatePrivacyBudgetTemplate	Concede permissão para atualizar detalhes do modelo de orçamento de privacidade	Escrever	privacybudgettemplate*
UpdateProtectedQuery	Concede permissão para atualizar consultas protegidas	Escrever	membership*

Tipos de recursos definidos pelo AWS Clean Rooms

Os seguintes tipos de recursos são definidos por esse serviço e podem ser usados no Resource elemento das declarações de política de IAM permissão. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos	ARN	Chaves de condição
analysistemplate	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/analysistemplate/${AnalysisTemplateId}	aws:ResourceTag/${TagKey}
collaboration	arn:${Partition}:cleanrooms:${Region}:${Account}:collaboration/${CollaborationId}	aws:ResourceTag/${TagKey}
configuredaudiencemodelassociation	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/configuredaudiencemodelassociation/${ConfiguredAudienceModelAssociationId}	aws:ResourceTag/${TagKey}
configuredtable	arn:${Partition}:cleanrooms:${Region}:${Account}:configuredtable/${ConfiguredTableId}	aws:ResourceTag/${TagKey}
configuredtableassociation	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/configuredtableassociation/${ConfiguredTableAssociationId}	aws:ResourceTag/${TagKey}
idmappingtable	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/idmappingtable/${IdMappingTableId}	aws:ResourceTag/${TagKey}
idnamespaceassociation	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/idnamespaceassociation/${IdNamespaceAssociationId}	aws:ResourceTag/${TagKey}
membership	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}	aws:ResourceTag/${TagKey}
privacybudgettemplate	arn:${Partition}:cleanrooms:${Region}:${Account}:membership/${MembershipId}/privacybudgettemplate/${PrivacyBudgetTemplateId}	aws:ResourceTag/${TagKey}

Chaves de condição para o AWS Clean Rooms

AWS O Clean Rooms define as seguintes chaves de condição que podem ser usadas no Condition elemento de uma IAM política. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para ver as chaves de condição globais que estão disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição	Descrição	Tipo
aws:RequestTag/${TagKey}	Filtra o acesso pelas etiquetas que são transmitidas na solicitação	Segmento
aws:ResourceTag/${TagKey}	Filtra o acesso pelas etiquetas associadas ao recurso	Segmento
aws:TagKeys	Filtra o acesso pelas chaves da etiqueta que são transmitidas na solicitação	ArrayOfString