Ações, recursos e chaves de condição do AWS Well-Architected Tool

O AWS Well-Architected Tool (prefixo de serviço: wellarchitected) fornece os seguintes recursos, ações e chaves de contexto de condição específicos do serviço para uso em políticas de permissão do IAM.

Referências:

• Saiba como configurar este serviço.

• Visualize uma lista das operações de API disponíveis para este serviço.

• Saiba como proteger este serviço e seus recursos usando políticas de permissão do IAM.

Ações definidas pelo AWS Well-Architected Tool

Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.

A coluna Tipos de recursos na tabela Ações indica se cada ação é compatível com permissões no nível do recurso. Se não houver valor para essa coluna, você deverá especificar todos os recursos ("*") aos quais a política se aplica no elemento Resource de sua declaração de política. Se a coluna incluir um tipo de recurso, você poderá especificar um ARN desse tipo em uma instrução com essa ação. Se a ação tiver um ou mais recursos necessários, o chamador deverá ter permissão para usar a ação com esses recursos. Os recursos obrigatórios são indicados na tabela com um asterisco (*). Se você limitar o acesso aos recursos com o elemento Resource em uma política do IAM, deverá incluir um ARN ou padrão para cada tipo de recurso necessário. Algumas ações oferecem suporte a vários tipos de recursos. Se o tipo de recurso for opcional (não indicado como obrigatório), você poderá optar por usar um dos tipos de recurso opcionais.

A coluna Chaves de condição na tabela Ações inclui chaves que você pode especificar em um elemento Condition da declaração de política. Para obter mais informações sobre as chaves de condição associadas aos recursos do serviço, consulte a coluna Chaves de condição da tabela Tipos de recursos.

nota

As chaves de condição do recurso estão listadas na tabela Tipos de recursos. Você pode encontrar um link para o tipo de recurso que se aplica a uma ação na coluna Tipos de recursos (*obrigatório) da tabela Ações. O tipo de recurso na tabela Tipos de recursos inclui a coluna Chaves de condição, que são as chaves de condição do recurso que se aplicam a uma ação na tabela Ações.

Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de ações.

Ações	Descrição	Nível de acesso	Tipos de recursos (*necessários)	Chaves de condição	Ações dependentes
AssociateLenses	Concede permissão para associar uma lente à workload especificada	Escrever	workload*
AssociateProfiles	Concede permissão para associar um perfil à workload especificada	Escrever	workload*
CreateLensShare	Concede permissão a um proprietário de uma lente para compartilhar com outras contas da AWS e usuários do IAM	Escrever	lens*
CreateLensVersion	Concede permissão para criar uma nova versão de lentes	Escrever	lens*
CreateMilestone	Concede permissão para criar um novo marco para a workload especificada	Escrever	workload*
CreateProfile	Concede permissão para criar um novo perfil	Escrever		aws:RequestTag/${TagKey} aws:TagKeys
CreateProfileShare	Concede permissão a um proprietário de um perfil para compartilhar com outras contas da AWS e usuários do IAM	Escrever	profile*
CreateReviewTemplate	Concede permissão para criar um novo modelo de revisão	Escrever		aws:RequestTag/${TagKey} aws:TagKeys
CreateTemplateShare	Concede permissão a um proprietário de um modelo de revisão para compartilhar com outras contas da AWS e usuários do IAM	Escrever	review-template*
CreateWorkload	Concede permissão para criar uma nova workload	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkloadShare	Concede permissão para compartilhar uma workload com outra conta	Escrever	workload*
DeleteLens	Concede permissão para excluir uma lente	Escrever	lens*
DeleteLensShare	Concede permissão para excluir um compartilhamento de lentes existente	Escrever	lens*
DeleteProfile	Concede permissão para excluir um perfil	Escrever	profile*
DeleteProfileShare	Concede permissão para excluir um compartilhamento de perfil existente	Escrever	profile*
DeleteReviewTemplate	Concede permissão para excluir um modelo de revisão existente	Escrever	review-template*
DeleteTemplateShare	Concede permissão para excluir um compartilhamento de modelo de revisão existente	Escrever	review-template*
DeleteWorkload	Concede permissão para excluir uma workload existente	Write	workload*
DeleteWorkloadShare	Concede permissão para excluir um compartilhamento de workload existente	Write	workload*
DisassociateLenses	Concede permissão para desassociar uma lente da workload especificada	Escrever	workload*
DisassociateProfiles	Concede permissão para desassociar um perfil da workload especificada	Escrever	workload*
ExportLens	Concede permissão para exportar uma lente existente	Leitura	lens*
GetAnswer	Concede permissão para recuperar a resposta especificada da revisão de lente especificada	Leitura	workload*
GetConsolidatedReport	Concede permissão para obter métricas de relatórios consolidados ou gerar o relatório consolidado em PDF na conta	Leitura
GetLens	Concede permissão para obter uma lente existente	Leitura	lens*
				aws:ResourceTag/${TagKey}
GetLensReview	Concede permissão para recuperar a revisão de lente especificada da workload especificada	Read	workload*
GetLensReviewReport	Concede permissão para recuperar o relatório para a revisão de lente especificada	Read	workload*
GetLensVersionDifference	Concede permissão para obter a diferença entre a versão especificada da lente e a versão mais recente da lente disponível	Read	lens*
GetMilestone	Concede permissão para recuperar o marco especificado da workload especificada	Leitura	workload*
GetProfile	Concede permissão para recuperar o perfil especificado	Leitura	profile*
				aws:ResourceTag/${TagKey}
GetProfileTemplate	Concede permissão para recuperar o modelo de perfil especificado	Leitura
GetReviewTemplate	Concede permissão para recuperar o modelo de revisão especificado	Leitura	review-template*
				aws:ResourceTag/${TagKey}
GetReviewTemplateAnswer	Concede permissão para recuperar a resposta especificada da revisão de lente do modelo de revisão especificado	Leitura	review-template*
GetReviewTemplateLensReview	Concede permissão para recuperar a revisão de lente especificada do modelo de revisão especificado	Leitura	review-template*
GetWorkload	Concede permissão para recuperar a workload especificada	Leitura	workload*
				aws:ResourceTag/${TagKey}
ImportLens	Concede permissão para importar novas lentes	Escrever		aws:RequestTag/${TagKey} aws:TagKeys
ListAnswers	Concede permissão para listar as respostas da revisão de lente especificada	Lista	workload*
ListCheckDetails	Concede permissão para listar os detalhes de verificação da workload	Lista	workload*
ListCheckSummaries	Concede permissão para listar os resumos de verificação da workload	Lista	workload*
ListLensReviewImprovements	Concede permissão para listar as melhorias da revisão de lente especificada	List	workload*
ListLensReviews	Concede permissão para listar as revisões de lente da workload especificada	Lista	workload*
ListLensShares	Concede permissão para listar todos os compartilhamentos criados para uma lente	Lista	lens*
ListLenses	Concede permissão para listar as lentes disponíveis para esta conta	List
ListMilestones	Concede permissão para listar os marcos da workload especificada	List	workload*
ListNotifications	Concede permissão para listar notificações relacionadas à conta ou ao recurso especificado	Lista
ListProfileNotifications	Concede permissão para listar notificações de perfil relacionadas ao recurso especificado	Lista
ListProfileShares	Concede permissão para listar todos os compartilhamentos criados para um perfil	Lista	profile*
ListProfiles	Concede permissão para listar os perfis disponíveis para esta conta	Lista
ListReviewTemplateAnswers	Concede permissão para listar as respostas da revisão de lente do modelo de revisão especificado	Lista	review-template*
ListReviewTemplates	Concede permissão para listar os modelos de revisão disponíveis para essa conta	Lista
ListShareInvitations	Concede permissão para listar os convites de compartilhamento de workload da conta ou usuário especificado	List
ListTagsForResource	Concede permissão para listar etiquetas para um recurso Well-Architected	Leitura	lens
			profile
			review-template
			workload
				aws:ResourceTag/${TagKey}
ListTemplateShares	Concede permissão para listar todos os compartilhamentos criados para um modelo de revisão	Lista	review-template*
ListWorkloadShares	Concede permissão para listar os compartilhamentos de workload da workload especificada	List	workload*
ListWorkloads	Concede permissão para listar as cargas de trabalho nesta conta	List
TagResource	Concede permissão para marcar um recurso Well-Architected	Marcação	lens
			profile
			review-template
			workload
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	Concede permissão para desmarcar um recurso Well-Architected	Marcação	lens
			profile
			review-template
			workload
				aws:TagKeys
UpdateAnswer	Concede permissão para atualizar propriedades da resposta especificada	Escrever	workload*
UpdateGlobalSettings	Concede permissão para atualizar configurações de forma a habilitar o suporte de aws-organization	Escrever
UpdateLensReview	Concede permissão para atualizar as propriedades da revisão de lente especificada	Escrever	workload*
UpdateProfile	Concede permissão para atualizar propriedades do perfil especificado	Escrever	profile*
UpdateReviewTemplate	Concede permissão para atualizar as propriedades do modelo de revisão especificado	Escrever	review-template*
UpdateReviewTemplateAnswer	Concede permissão para atualizar as propriedades da resposta do modelo de revisão especificado	Escrever	review-template*
UpdateReviewTemplateLensReview	Concede permissão para atualizar as propriedades da revisão de lente do modelo de revisão especificado	Escrever	review-template*
UpdateShareInvitation	Concede permissão para atualizar o status do convite de compartilhamento de workload especificado	Write
UpdateWorkload	Concede permissão para atualizar propriedades da workload especificada	Escrever	workload*
UpdateWorkloadShare	Concede permissão para atualizar as propriedades do compartilhamento de carga de trabalho especificado	Escrever	workload*
UpgradeLensReview	Concede permissão para atualizar a revisão de lente especificada para usar a versão mais recente da lente associada	Escrever	workload*
UpgradeProfileVersion	Concede permissão para atualizar a workload especificada para usar a versão mais recente do perfil associado	Escrever	profile*
			workload*
UpgradeReviewTemplateLensReview	Concede permissão para atualizar a revisão de lente especificada do modelo de revisão especificado	Escrever	review-template*

Tipos de recursos definidos pelo AWS Well-Architected Tool

Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM. Cada ação na Tabela de ações identifica os tipos de recursos que podem ser especificados com essa ação. Um tipo de recurso também pode definir quais chaves de condição você pode incluir em uma política. Essas chaves são exibidas na última coluna da tabela Tipos de recursos. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de tipos de recursos.

Tipos de recursos	ARN	Chaves de condição
workload	arn:${Partition}:wellarchitected:${Region}:${Account}:workload/${ResourceId}	aws:ResourceTag/${TagKey}
lens	arn:${Partition}:wellarchitected:${Region}:${Account}:lens/${ResourceId}	aws:ResourceTag/${TagKey}
profile	arn:${Partition}:wellarchitected:${Region}:${Account}:profile/${ResourceId}	aws:ResourceTag/${TagKey}
review-template	arn:${Partition}:wellarchitected:${Region}:${Account}:review-template/${ResourceId}	aws:ResourceTag/${TagKey}

Chaves de condição do AWS Well-Architected Tool

O AWS Well-Architected Tool define as seguintes chaves de condição que podem ser usadas no elemento Condition de uma política do IAM. É possível usar essas chaves para refinar ainda mais as condições sob as quais a declaração de política se aplica. Para obter detalhes sobre as colunas na tabela a seguir, consulte Tabela de chaves de condição.

Para visualizar as chaves de condição globais disponíveis para todos os serviços, consulte Chaves de condição globais disponíveis.

Chaves de condição	Descrição	Tipo
aws:RequestTag/${TagKey}	Filtra o acesso por pares de chave-valor da etiqueta na solicitação	String
aws:ResourceTag/${TagKey}	Filtra o acesso por pares chave-valor da etiqueta anexados ao recurso	String
aws:TagKeys	Filtra o acesso pelas chaves da etiqueta na solicitação	ArrayOfString