Ações, recursos e chaves de condição do AWS Storage Gateway - Referência de autorização do serviço

Ações, recursos e chaves de condição do AWS Storage Gateway

O AWS Storage Gateway (prefixo do serviço: storagegateway) fornece os seguintes recursos, ações e chaves de contexto de condição específicos ao serviço para uso em políticas de permissão do IAM.

Referências:

Ações definidas pelo AWS Storage Gateway

Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Resource types (Tipos de recursos) indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma declaração com essa ação. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você especificar um ARN de permissão no nível do recurso em uma instrução que esteja usando essa ação, ele deverá ser desse tipo. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um, mas não o outro.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações Descrição Nível de acesso Tipos de recursos (*necessários) Chaves de condição Ações dependentes
ActivateGateway Concede permissão para ativar o gateway que você implantou anteriormente no host Write

aws:RequestTag/${TagKey}

aws:TagKeys

AddCache Concede permissão para configurar um ou mais discos locais de gateway como cache para um gateway de volume de cache Write

gateway*

AddTagsToResource Concede permissão para adicionar uma ou mais etiquetas ao recurso especificado Marcação

gateway

share

tape

volume

aws:RequestTag/${TagKey}

aws:TagKeys

AddUploadBuffer Concede permissão para configurar um ou mais discos locais de gateway como buffer de upload para um gateway especificado Write

gateway*

AddWorkingStorage Concede permissão para configurar um ou mais discos locais de gateway como armazenamento funcional para um gateway Write

gateway*

AssignTapePool Concede permissão para mover uma fita para o grupo de destino especificado Write

tape*

tapepool*

AssociateFileSystem Concede permissão para associar um sistema de arquivos do Amazon FSx ao gateway de arquivos do Amazon FSx Write

gateway*

ds:DescribeDirectories

ec2:DescribeNetworkInterfaces

fsx:DescribeFileSystems

iam:CreateServiceLinkedRole

logs:CreateLogDelivery

logs:GetLogDelivery

logs:ListLogDeliveries

logs:UpdateLogDelivery

aws:RequestTag/${TagKey}

aws:TagKeys

AttachVolume Concede permissão para conectar um volume a uma conexão iSCSI e associa o volume ao gateway especificado Write

gateway*

volume*

BypassGovernanceRetention Concede permissão para que o bloqueio de retenção de governança em um grupo seja ignorado Write

tapepool*

CancelArchival Concede permissão para cancelar o arquivamento de uma fita virtual na prateleira de fitas virtuais (VTS), depois que o processo de arquivamento for iniciado. Write

gateway*

tape*

CancelRetrieval Concede permissão para cancelar a recuperação de um fita virtual da prateleira de fitas virtuais (VTS) em um gateway, depois que o processo de arquivamento for iniciado Write

gateway*

tape*

CreateCachediSCSIVolume Concede permissão para criar um volume armazenado em cache em um gateway armazenado em cache especificado Essa operação tem suporte apenas para a arquitetura de volume armazenada em cache no gateway Write

gateway*

volume*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateNFSFileShare Concede permissão para criar um compartilhamento de arquivos do NFS em um gateway de arquivos existente Write

gateway*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSMBFileShare Concede permissão para criar um compartilhamento de arquivos do SMB em um gateway de arquivos existente Write

gateway*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSnapshot Concede permissão para iniciar um snapshot de um volume Write

volume*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSnapshotFromVolumeRecoveryPoint Concede permissão para iniciar um snapshot de um gateway em um ponto de recuperação de volume Write

volume*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateStorediSCSIVolume Concede permissão para criar um volume em um gateway especificado Write

gateway*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTapePool Concede permissão para criar um grupo de fitas Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTapeWithBarcode Concede permissão para criar uma fita virtual usando seu próprio código de barras Write

gateway*

tapepool*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTapes Concede permissão para criar uma ou mais fitas virtuais. Você grava dados em fitas virtuais e, em seguida, arquiva as fitas Write

gateway*

tapepool*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAutomaticTapeCreationPolicy Concede permissão para excluir a política de criação de fita automática configurada em um gateway-VTL Write

gateway*

DeleteBandwidthRateLimit Concede permissão para excluir os limites da taxa de largura de banda de um gateway Write

gateway*

DeleteChapCredentials Concede permissão para excluir as credenciais do Challenge-Handshake Authentication Protocol (CHAP) de um destino do iSCSI e de um par de iniciadores especificados. Write

target*

DeleteFileShare Concede permissão para excluir um compartilhamento de arquivos de um gateway de arquivos Write

share*

DeleteGateway Concede permissão para excluir um gateway Write

gateway*

DeleteSnapshotSchedule Concede permissão para excluir um snapshot de um volume Write

volume*

DeleteTape Concede permissão para excluir a fita virtual especificada Write

gateway*

tape*

DeleteTapeArchive Concede permissão para excluir a fita virtual especificada da prateleira de fitas virtuais (VTS) Write
DeleteTapePool Concede permissão para excluir o grupo de fitas especificado Write

tapepool*

DeleteVolume Concede permissão para excluir o volume do gateway especificado que você criou anteriormente usando a API CreateCachediSCSIVolume ou CreateStorediSCSIVolume. Write

volume*

DescribeAvailabilityMonitorTest Concede permissão para obter as informações sobre o teste de monitoramento de alta disponibilidade mais recente que foi realizado no gateway Read

gateway*

DescribeBandwidthRateLimit Concede permissão para obter os limites da taxa de largura de banda de um gateway Read

gateway*

DescribeBandwidthRateLimitSchedule Concede permissão para obter a programação dos limites da taxa de largura de banda de um gateway Read

gateway*

DescribeCache Concede permissão para obter informações sobre o cache de um gateway. Essa operação tem suporte apenas para a arquitetura de volume armazenada em cache no gateway Read

gateway*

DescribeCachediSCSIVolumes Concede permissão para obter uma descrição dos volumes de gateway especificados na solicitação. Essa operação tem suporte apenas para a arquitetura de volume armazenada em cache no gateway Read

volume*

DescribeChapCredentials Concede permissão para obter uma matriz de informações de credenciais do Challenge-Handshake Authentication Protocol (CHAP) para um destino iSCSI especificado, uma para cada par de iniciadores de destino. Read

target*

DescribeFileSystemAssociations Concede permissão para obter uma descrição de uma ou mais associações de sistemas de arquivos Read

fs-association*

DescribeGatewayInformation Concede permissão para obter metadados sobre um gateway, como seu nome, interfaces de rede, fuso horário configurado e o estado (se o gateway está em execução ou não) Read

gateway*

DescribeMaintenanceStartTime Concede permissão para obter a hora de início da manutenção semanal do gateway, incluindo a hora e o dia da semana. Read

gateway*

DescribeNFSFileShares Concede permissão para obter uma descrição para um ou mais compartilhamentos de arquivos de um gateway de arquivos Read

share*

DescribeSMBFileShares Concede permissão para obter uma descrição para um ou mais compartilhamentos de arquivos de um gateway de arquivos Read

share*

DescribeSMBSettings Concede permissão para obter uma descrição das configurações de compartilhamento de arquivos do Server Message Block (SMB) de um gateway de arquivos. Read

gateway*

DescribeSnapshotSchedule Concede permissão para descrever a programação de snapshot para o volume de gateway especificado Read

volume*

DescribeStorediSCSIVolumes Concede permissão para obter a descrição dos volumes de gateway especificados na solicitação Read

volume*

DescribeTapeArchives Concede permissão para obter uma descrição de fitas virtuais especificadas na prateleira de fitas virtuais (VTS) Read
DescribeTapeRecoveryPoints Concede permissão para obter uma lista de pontos de recuperação de fitas virtuais que estão disponíveis para o gateway-VTL especificado. Read

gateway*

DescribeTapes Concede permissão para obter uma descrição do Nome de recurso da Amazon (ARN) das fitas virtuais. Read

gateway*

DescribeUploadBuffer Concede permissão para obter informações sobre o buffer de upload de um gateway Read

gateway*

DescribeVTLDevices Concede permissão para obter uma descrição da biblioteca de fitas virtuais (VTL) do gateway especificado Read

gateway*

DescribeWorkingStorage Concede permissão para obter informações sobre o armazenamento funcional de um gateway Read

gateway*

DetachVolume Concede permissão para desconectar um volume de uma conexão iSCSI e separa o volume do gateway especificado. Write

volume*

DisableGateway Concede permissão para desabilitar um gateway quando ele não estiver mais funcionando Write

gateway*

DisassociateFileSystem Concede permissão para desassociar um sistema de arquivos do Amazon FSx de um gateway de arquivos do Amazon FSx Write

fs-association*

JoinDomain Concede permissão para que você seja incluído em um domínio do Active Directory Write

gateway*

ListAutomaticTapeCreationPolicies Concede permissão para listar as políticas de criação automática de fitas configuradas no gateway-VTL especificado ou em todos os gateway-VTLs pertencentes à sua conta List

gateway*

ListFileShares Concede permissão para obter uma lista dos compartilhamentos de arquivos para um gateway de arquivo específico ou a lista de compartilhamentos de arquivos que pertencem à conta do usuário da chamada List

gateway*

ListFileSystemAssociations Concede permissão para obter uma lista das associações do sistema de arquivos para o gateway especificado List

gateway*

ListGateways Concede permissão para listar gateways de propriedade de uma Conta da AWS em uma região especificada na solicitação. A lista retornada é solicitada pelo Nome de recurso da Amazon (ARN) do gateway. List
ListLocalDisks Concede permissão para obter uma lista dos discos locais do gateway List

gateway*

ListTagsForResource Concede permissão para obter as etiquetas que foram adicionadas ao recurso especificado List

gateway

share

tape

volume

ListTapePools Concede permissão para listar grupos de fitas pertencentes à Conta da AWS List

tapepool*

ListTapes Concede permissão para listar as fitas virtuais em sua biblioteca de fitas virtuais (VTL) e em sua prateleira de fitas virtuais (VTS). List

tape*

ListVolumeInitiators Concede permissão para listar os iniciadores iSCSI que estão conectados a um volume List

volume*

ListVolumeRecoveryPoints Concede permissão para listar os pontos de recuperação de um gateway especificado List

gateway*

ListVolumes Concede permissão para listar os volumes armazenados iSCSI de um gateway List

gateway*

NotifyWhenUploaded Concede permissão para enviar uma notificação por meio do CloudWatch Events quando todos os arquivos gravados em seu compartilhamento de arquivos NFS tiverem sido carregados no Amazon S3. Write

share*

RefreshCache Concede permissão para atualizar o cache do compartilhamento de arquivos especificado Write

share*

RemoveTagsFromResource Concede permissão para remover uma ou mais etiquetas do recurso especificado Marcação

gateway

share

tape

volume

aws:TagKeys

ResetCache Concede permissão para redefinir todos os discos de cache que encontraram um erro e disponibiliza os discos para reconfiguração como armazenamento em cache Write

gateway*

RetrieveTapeArchive Concede permissão para recuperar uma fita virtual arquivada da prateleira de fita virtual (VTS) para um gateway-VTL Write

gateway*

tape*

RetrieveTapeRecoveryPoint Concede permissão para recuperar o ponto de recuperação da fita virtual especificada Write

gateway*

tape*

SetLocalConsolePassword Concede permissão para definir a senha para o console local da VM Write

gateway*

SetSMBGuestPassword Concede permissão para definir a senha para o usuário convidado do SMB Write

gateway*

ShutdownGateway Concede permissão para desligar um gateway Write

gateway*

StartAvailabilityMonitorTest Concede permissão para iniciar um teste que verifica se o gateway especificado está configurado para monitoramento de alta disponibilidade no ambiente de host Write

gateway*

StartGateway Concede permissão para iniciar um gateway que você desligou anteriormente Write

gateway*

UpdateAutomaticTapeCreationPolicy Concede permissão para atualizar a política de criação automática de fita configurada em um gateway-VTL Write

gateway*

tapepool*

UpdateBandwidthRateLimit Concede permissão para atualizar os limites da taxa de largura de banda de um gateway Write

gateway*

UpdateBandwidthRateLimitSchedule Concede permissão para atualizar a programação do limite da taxa de largura de banda de um gateway Write

gateway*

UpdateChapCredentials Concede permissão para atualizar as credenciais do Challenge-Handshake Authentication Protocol (CHAP) em um destino do iSCSI especificado Write

target*

UpdateFileSystemAssociation Concede permissão para atualizar uma associação de sistema de arquivos Write

fs-association*

logs:CreateLogDelivery

logs:DeleteLogDelivery

logs:GetLogDelivery

logs:ListLogDeliveries

logs:UpdateLogDelivery

UpdateGatewayInformation Concede permissão para atualizar os metadados de um gateway, que inclui o nome e o fuso horário do gateway Write

gateway*

UpdateGatewaySoftwareNow Concede permissão para atualizar o software da máquina virtual (VM) do gateway Write

gateway*

UpdateMaintenanceStartTime Concede permissão para atualizar as informações do horário de início da manutenção semanal de um gateway, incluindo a hora e o dia da semana. O horário da manutenção é a hora no fuso horário do gateway. Write

gateway*

UpdateNFSFileShare Concede permissão para atualizar um compartilhamento de arquivos do NFS Write

share*

UpdateSMBFileShare Concede permissão para atualizar um compartilhamento de arquivos do SMB Write

share*

UpdateSMBFileShareVisibility Concede permissão para atualizar se os compartilhamentos em um gateway estão visíveis em uma exibição de rede ou lista de navegação Write

gateway*

UpdateSMBLocalGroups Concede permissão para atualizar a lista de usuários e grupos do Active Directory que têm permissões especiais para compartilhamentos de arquivos SMB no gateway Write

gateway*

UpdateSMBSecurityStrategy Concede permissão para atualizar a estratégia de segurança do SMB em um gateway de arquivos Write

gateway*

UpdateSnapshotSchedule Concede permissão para atualizar uma programação de snapshot configurada para um volume de gateway Write

volume*

aws:RequestTag/${TagKey}

aws:TagKeys

UpdateVTLDeviceType Concede permissão para atualizar o tipo de alterador de mídia em um gateway-VTL Write

device*

Tipos de recursos definidos pelo AWS Storage Gateway

Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos ARN Chaves de condição
device arn:${Partition}:storagegateway:${Region}:${Account}:gateway/${GatewayId}/device/${Vtldevice}
fs-association arn:${Partition}:storagegateway:${Region}:${Account}:fs-association/${FsaId}

aws:ResourceTag/${TagKey}

gateway arn:${Partition}:storagegateway:${Region}:${Account}:gateway/${GatewayId}

aws:ResourceTag/${TagKey}

share arn:${Partition}:storagegateway:${Region}:${Account}:share/${ShareId}

aws:ResourceTag/${TagKey}

tape arn:${Partition}:storagegateway:${Region}:${Account}:tape/${TapeBarcode}

aws:ResourceTag/${TagKey}

tapepool arn:${Partition}:storagegateway:${Region}:${Account}:tapepool/${PoolId}

aws:ResourceTag/${TagKey}

target arn:${Partition}:storagegateway:${Region}:${Account}:gateway/${GatewayId}/target/${IscsiTarget}
volume arn:${Partition}:storagegateway:${Region}:${Account}:gateway/${GatewayId}/volume/${VolumeId}

aws:ResourceTag/${TagKey}

Chaves de condição do AWS Storage Gateway

O AWS Storage Gateway define as seguintes chaves de condição que podem ser usadas no elemento Condition de uma política do IAM. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para visualizar as chaves de condição globais disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição Descrição Type
aws:RequestTag/${TagKey} Filtra o acesso pelo conjunto de valores permitido para cada uma das etiquetas String
aws:ResourceTag/${TagKey} Filtra o acesso pelo valor-etiqueta associado ao recurso String
aws:TagKeys Filtra o acesso pela presença de etiquetas obrigatórias na solicitação ArrayOfString