Amazon 的操作、资源和条件密钥 DataZone - 服务授权参考
操作资源类型条件键

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon 的操作、资源和条件密钥 DataZone

Amazon DataZone （服务前缀:datazone）提供以下特定于服务的资源、操作和条件上下文密钥，供在IAM权限策略中使用。

参考：

Amazon 定义的操作 DataZone

您可以在IAM策略声明的Action元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。当您在策略中使用操作时，通常会允许或拒绝访问具有相同名称的API操作或CLI命令。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。如果该列包含资源类型，则可以在带有该操作ARN的语句中指定该类型的资源类型。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您使用IAM策略中的Resource元素限制资源访问权限，则必须为每种必需的资源类型包含ARN或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
AcceptPredictions 授予接受预测的权限 写入
AcceptSubscriptionRequest 授予批准数据资产订阅请求的权限 写入
AddEntityOwner 授予向诸如域单元之类的实体添加所有者的权限 写入
AddPolicyGrant 授予添加策略的权限授权 写入
AssociateEnvironmentRole 授予在默认服务蓝图环境中关联角色的权限 写入
CancelMetadataGenerationRun 授予取消元数据生成运行的权限 写入
CancelSubscription 授予撤消或取消订阅已批准的数据资产订阅的权限 写入
CreateAsset 授予创建资产的权限 写入
CreateAssetFilter 授予创建资产筛选器的权限 写入
CreateAssetRevision 授予创建资产新修订版的权限 写入
CreateAssetType 授予创建资产类型的权限 写入
CreateDataProduct 授予创建数据产品的权限 写入
CreateDataProductRevision 授予创建数据产品修订版的权限 写入
CreateDataSource 授予创建新内容的权限 DataSource 写入
CreateDomain 授予配置域名的权限，该域是包含其他 Amazon DataZone 资源的顶级实体 写入

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDomainUnit 授予创建域单元的权限 写入
CreateEnvironment 授予创建用于发布和订阅数据的已配置资源集合的权限 写入
CreateEnvironmentAction 授予在默认服务蓝图环境中创建环境操作的权限 写入
CreateEnvironmentBlueprint[仅权限] 授予创建自定义环境蓝图的权限，该蓝图允许用户将环境添加到其项目中 写入
CreateEnvironmentProfile 授予从蓝图创建模板的权限，该模板可用于创建环境 写入
CreateFormType 授予创建表单类型或其新修订版的权限 写入
CreateGlossary 授予创建业务词汇表的权限 写入
CreateGlossaryTerm 授予创建词汇表术语的权限 写入
CreateGroupProfile 授予为IAM身份中心 DataZone 群组创建群组资料的权限 写入
CreateListingChangeSet 授予创建列表更改集的权限 写入
CreateProject 授予创建项目以使您的团队能够发布和订阅数据的权限 写入
CreateProjectMembership 授予将用户添加到项目的权限 写入
CreateProjectProfile[仅权限] 授予创建项目配置文件的权限 写入
CreateSubscriptionGrant 授予在订阅目标上为已批准的订阅创建授予的权限 写入
CreateSubscriptionRequest 授予创建数据资产订阅请求的权限 写入
CreateSubscriptionTarget 授予为项目中的环境创建订阅目标的权限 写入
CreateUserProfile 授予在客户IAM身份中心为现有用户创建用户个人资料的权限 写入
DeleteAsset 授予权限以删除资产 写入
DeleteAssetFilter 授予删除资产筛选器的权限 写入
DeleteAssetType 授予删除资产类型的权限 写入
DeleteDataProduct 授予删除数据产品的权限 写入
DeleteDataSource 授予更新现有内容的权限 DataSource 写入
DeleteDomain 授予删除预置域的权限 写入

domain*

DeleteDomainSharingPolicy[仅权限] 授予删除 DataZone 域资源策略的权限 权限管理
DeleteDomainUnit 授予删除现有域单元的权限 写入
DeleteEnvironment 授予删除环境的权限 写入
DeleteEnvironmentAction 授予在默认服务蓝图环境中删除环境操作的权限 写入
DeleteEnvironmentBlueprint[仅权限] 授予删除环境蓝图的权限 写入
DeleteEnvironmentBlueprintConfiguration 授予删除环境蓝图配置的权限 写入
DeleteEnvironmentProfile 授予删除环境配置文件的权限 写入
DeleteFormType 授予删除表单类型的权限 写入
DeleteGlossary 授予删除业务词汇表的权限 写入
DeleteGlossaryTerm 授予删除词汇表术语的权限 写入
DeleteListing 授予删除列表的权限 写入
DeleteProject 授予删除使您的团队能够发布和订阅数据的项目的权限 写入
DeleteProjectMembership 授予从项目中删除用户的权限 写入
DeleteProjectProfile[仅权限] 授予删除项目配置文件的权限 写入
DeleteSubscriptionGrant 授予从订阅目标删除订阅授予的权限 写入
DeleteSubscriptionRequest 授予删除数据资产的挂起订阅请求的权限 写入
DeleteSubscriptionTarget 授予从项目中的环境中删除订阅目标的权限 写入
DeleteTimeSeriesDataPoints 授予删除现有内容的权限 TimeSeriesDataPoints 写入
DisassociateEnvironmentRole 授予在默认服务蓝图环境中取消关联角色的权限 写入
GetAsset 授予检索资产的权限 读取
GetAssetFilter 授予获取资产筛选器的权限 读取
GetAssetType 授予获取资产类型的权限 读取
GetDataProduct 授予获取数据产品的权限 读取
GetDataSource 授予 DataZone 使用其标识符 DataSource 在 Amazon 中获取现有产品的权限 读取
GetDataSourceRun DataZone 使用其标识符授予在 Amazon 中获取 DataSource 运行任务的权限 读取
GetDomain 授予检索域相关信息的权限 读取

domain*

GetDomainSharingPolicy[仅权限] 授予检索 DataZone 域资源策略的权限 读取
GetDomainUnit 授予获取现有域单元的权限 读取
GetEnvironment 授予获取环境详细信息的权限 读取
GetEnvironmentAction 授予在默认服务蓝图环境中执行环境操作的权限 读取
授予获取环境操作链接的权限 读取
GetEnvironmentBlueprint 授予获取环境蓝图详细信息的权限 读取
GetEnvironmentBlueprintConfiguration 授予获取环境蓝图配置的权限 读取
GetEnvironmentCredentials 授予获取代入环境用户角色的短期凭证的权限 读取
GetEnvironmentProfile 授予获取环境配置文件详细信息的权限 读取
GetFormType 授予获取表单类型的权限 读取
GetGlossary 授予获取业务词汇表的权限 读取
GetGlossaryTerm 授予获取词汇表术语的权限 读取
GetGroupProfile 授予检索现有 DataZone 群组资料的权限 读取
GetIamPortalLoginUrl 向IAM委托人授予登录 DataZone 门户的权限 权限管理
GetLineageNode 授予获取血统节点的权限 读取
GetListing 授予获取列表的权限 读取
GetMetadataGenerationRun 授予获取元数据生成运行的权限 读取
GetProject 授予获取项目详细信息的权限 读取
GetProjectProfile[仅权限] 授予获取项目资料详细信息的权限 读取
GetSubscription 授予检索订阅的权限 读取
GetSubscriptionEligibility[仅权限] 授予获取订阅资格的权限 读取
GetSubscriptionGrant 授予检索订阅授予的权限 读取
GetSubscriptionRequestDetails 授予拒绝数据资产订阅请求的权限 读取
GetSubscriptionTarget 授予检索订阅目标详细信息的权限 读取
GetTimeSeriesDataPoint 授予 DataZone 使用其标识符获取 Amazon TimeSeriesDataPoints 中现有商品的权限 读取
GetUserProfile 授予检索 DataZone 域中现有用户的用户个人资料的权限 读取
ListAccountEnvironments 授予在 AWS 账户中所有域中列出环境的权限 列出
ListAssetFilters 授予列出资产筛选器的权限 列出
ListAssetRevisions 授予列出资产修订的权限 列出
ListDataProductRevisions 授予列出数据产品修订版的权限 列出
ListDataSourceRunActivities 授予在 Asset 上列出 DataSource 运行作业活动的权限 列出
ListDataSourceRuns 授予列出 DataSource 运行任务的权限 列出
ListDataSources 授予列出现有商品的权限 DataSources 列出
ListDomainUnitsForParent 授予列出给定父域单元的子域单元的权限 列出
ListDomains 授予检索所有域的权限 列出
ListEntityOwners 授予列出实体（如域单元）所有者的权限 列出
ListEnvironmentActions 授予在默认服务蓝图环境中列出环境操作的权限 列出
ListEnvironmentBlueprintConfigurationSummaries[仅权限] 授予列出环境蓝图配置摘要的权限 列出
ListEnvironmentBlueprintConfigurations 授予列出环境蓝图配置的权限 列出
ListEnvironmentBlueprints 授予列出环境蓝图的域的权限 列出
ListEnvironmentProfiles 授予列出环境配置文件的域的权限 列出
ListEnvironments 授予在域中显示环境的权限 列出
ListGroupsForUser 授予列出 DataZone 用户个人资料所属的所有 DataZone 群组个人资料的权限 列出
ListLineageNodeHistory 授予列出世系节点历史版本的权限 列出
ListMetadataGenerationRuns 授予列出元数据生成运行的权限 列出
ListNotifications 授予列出 DataZone 用户的通知和事件的权限 列出
ListPolicyGrants 授予列出策略授权的权限 列出
ListProjectMemberships 授予列出项目成员的权限 列出
ListProjectProfiles[仅权限] 授予列出项目配置文件的权限 列出
ListProjects 授予权限以列出项目 列出
ListSubscriptionGrants 授予列出已订阅主体的订阅授予的权限 列出
ListSubscriptionRequests 授予列出订阅请求的权限 列出
ListSubscriptionTargets 授予列出订阅目标的权限 列出
ListSubscriptions 授予列出订阅的权限 列出
ListTagsForResource 授予权限以检索与资源关联的所有标签 读取

domain

ListTimeSeriesDataPoints 授予列出现有商品的权限 TimeSeriesDataPoints 列出
ListWarehouseMetadata[仅权限] 授予列出可用 Manager 密钥的权限 列出
PostLineageEvent 授予发布世系事件的权限 写入
PostTimeSeriesDataPoints 授予发布新内容的权限 TimeSeriesDataPoints 写入
ProvisionDomain[仅权限] 授予使用默认项目设置预置域的权限 写入
PutDomainSharingPolicy[仅权限] 授予为 DataZone 域添加资源策略的权限 权限管理
PutEnvironmentBlueprintConfiguration 授予放置环境蓝图配置的权限 写入
RefreshToken[仅权限] 授予刷新令牌的权限 写入
RejectPredictions 授予拒绝预测的权限 写入
RejectSubscriptionRequest 授予拒绝数据资产订阅请求的权限 写入
RemoveEntityOwner 授予移除实体（如域单元）的现有所有者的权限 写入
RemovePolicyGrant 授予移除策略授予的权限 写入
RevokeSubscription 授予撤消订阅的权限 写入
授予搜索 DataZone 实体的权限 列出
SearchGroupProfiles 授予搜索 DataZone 群组资料和IAM身份中心群组的权限 列出
SearchListings 授予搜索列表的权限 列出
SearchTypes 授予在域中搜索资产类型和表单类型等类型的权限 列出
SearchUserProfiles 授予搜索 DataZone 用户个人资料、Ident IAM ity Center 用户和 DataZone IAM委托人资料的权限 列出
SsoLogin[仅权限] 授予使用登录的权限 SSO 写入
SsoLogout[仅权限] 授予以用户身份SSO注销的权限 写入
StartDataSourceRun 授予启动 DataSource 运行作业的权限 写入
StartMetadataGenerationRun 授予启动元数据生成运行的权限 写入
StopMetadataGenerationRun 授予停止元数据生成运行的权限 写入
TagResource 授予权限以添加或更新资源的标签 标记

domain*

aws:RequestTag/${TagKey}

aws:TagKeys

UntagResource 授予权限以删除与资源关联的标签 标记

domain*

aws:TagKeys

UpdateAssetFilter 授予更新资产筛选器的权限 写入
UpdateDataSource 授予更新现有内容的权限 DataSource 写入
UpdateDataSourceRunActivities[仅权限] 授予更新数据源运行活动的权限 写入
UpdateDomain 授予更新域的信息的权限 写入

domain*

UpdateDomainUnit 授予更新现有域单元的权限 写入
UpdateEnvironment 授予更新环境设置的权限 写入
UpdateEnvironmentAction 授予在默认服务蓝图环境中更新环境操作的权限 写入
UpdateEnvironmentBlueprint[仅权限] 授予更新环境蓝图设置的权限 写入
UpdateEnvironmentConfiguration[仅权限] 授予更新环境配置的权限 写入
UpdateEnvironmentDeploymentStatus[仅权限] 授予更新环境部署状态的权限 写入
UpdateEnvironmentProfile 授予更新 EnvironmentProfile 配置的权限 写入
UpdateGlossary 授予更新业务词汇表的权限 写入
UpdateGlossaryTerm 授予更新词汇表术语的权限 写入
UpdateGroupProfile 授予更新 DataZone 群组资料的权限 写入
UpdateProject 授予更新使您的团队能够发布和订阅数据的项目的权限 写入
UpdateProjectProfile[仅权限] 授予更新项目资料的权限 写入
UpdateSubscriptionGrantStatus 授予更新自定义授予的订阅授予状态的权限 写入
UpdateSubscriptionRequest 授予更新数据资产订阅请求的业务原因的权限 写入
UpdateSubscriptionTarget 授予更新订阅目标的权限 写入
UpdateUserProfile 授予更新 DataZone 用户个人资料的权限 写入
ValidatePassRole[仅权限] 授予验证传递角色的权限 写入

Amazon 定义的资源类型 DataZone

以下资源类型由此服务定义，可以在IAM权限策略声明的Resource元素中使用。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
domain arn:${Partition}:datazone:${Region}:${Account}:domain/${DomainId}

aws:ResourceTag/${TagKey}

Amazon 的条件密钥 DataZone

Amazon DataZone 定义了以下可在IAM策略Condition元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键 描述 类型
aws:RequestTag/${TagKey} 按请求中传递的标签筛选访问权限 字符串
aws:ResourceTag/${TagKey} 按与资源关联的标签筛选访问权限 字符串
aws:TagKeys 按请求中传递的标签键筛选访问权限 ArrayOfString