Amazon Fraud Detector 的操作、资源和条件键

Amazon Fraud Detector（服务前缀：frauddetector）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

• 了解如何配置该服务。

• 查看适用于该服务的 API 操作列表。

• 了解如何使用 IAM 权限策略保护该服务及其资源。

Amazon Fraud Detector 定义的操作

您可以在 IAM policy 语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
BatchCreateVariable	授予创建一批变量的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
BatchGetVariable	授予获取一批变量的权限	List	variable*
CancelBatchImportJob	授予取消指定的批量导入任务的权限	Write	batch-import*
CancelBatchPredictionJob	授予取消指定的批量预测作业的权限	Write	batch-prediction*
CreateBatchImportJob	授予创建批量导入任务的权限	Write	batch-import*
			event-type*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateBatchPredictionJob	授予创建批量预测作业的权限	Write	batch-prediction*
			detector*
			detector-version*
			event-type*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateDetectorVersion	授予创建探测器版本的权限。探测器版本一开始处于 DRAFT 状态	Write	detector*
			external-model
			model-version
				aws:RequestTag/${TagKey} aws:TagKeys
CreateList	授予创建列表的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateModel	授予使用指定模型类型创建模型的权限	Write	event-type*
			model*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateModelVersion	授予使用指定模型类型和模型 ID 创建模型版本的权限	Write	model*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateRule	授予创建用于指定探测器的规则的权限	Write	detector*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateVariable	授予创建变量的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
DeleteBatchImportJob	授予删除批量导入任务的权限	Write	batch-import*
DeleteBatchPredictionJob	授予删除批量预测作业的权限	Write	batch-prediction*
DeleteDetector	授予删除探测器的权限。在删除某个探测器之前，您必须先删除与该探测器关联的所有探测器版本和规则版本	Write	detector*
DeleteDetectorVersion	授予删除探测器版本的权限。无法删除处于 ACTIVE 状态的探测器版本	Write	detector-version*
DeleteEntityType	授予删除实体类型的权限。无法删除事件类型中包含的实体类型	Write	entity-type*
DeleteEvent	授予删除指定事件的权限	Write	event-type*
DeleteEventType	授予删除事件类型的权限。无法删除探测器或模型中使用的事件类型	Write	event-type*
DeleteEventsByEventType	授予删除指定事件类型事件的权限	Write	event-type*
DeleteExternalModel	授予从 Amazon Fraud Detector 中删除 SageMaker 模型的权限。如果 Amazon SageMaker 模型未与检测器版本关联，则可将其删除	Write	external-model*
DeleteLabel	授予删除标签的权限。无法删除 Amazon Fraud Detector 中事件类型所包含的标签。无法删除分配给事件 ID 的标签。必须先删除相关的事件 ID	Write	label*
DeleteList	授予删除列表的权限	Write	list*
				aws:ResourceTag/${TagKey}
DeleteModel	授予删除模型的权限。您可以删除 Amazon Fraud Detector 中的模型和模型版本，前提是它们未与探测器版本关联	Write	model*
DeleteModelVersion	授予删除模型版本的权限。您可以删除 Amazon Fraud Detector 中的模型和模型版本，前提是它们未与探测器版本关联	Write	model-version*
DeleteOutcome	授予删除结果的权限。无法删除规则版本中使用的结果	Write	outcome*
DeleteRule	授予删除规则的权限。如果某个规则由 ACTIVE 或 INACTIVE 探测器版本使用，则无法将其删除	Write	rule*
DeleteVariable	授予删除变量的权限。无法删除 Amazon Fraud Detector 中事件类型所包含的变量	Write	variable*
DescribeDetector	授予获取指定探测器的所有版本的权限	Read	detector*
DescribeModelVersions	授予获取指定模型类型或指定模型类型及模型 ID 的所有模型版本的权限。您还可以获取单个指定模型版本的详细信息	Read	model-version
GetBatchImportJobValidationReport [仅权限]	授予权限以获取特定批量导入任务的数据验证报告	Read	batch-import*
GetBatchImportJobs	如果您指定了任务 ID，则授予获取所有批量导入任务或特定任务的权限	List	batch-import
GetBatchPredictionJobs	如果您指定了作业 ID，则授予获取所有批量预测作业或特定作业的权限。这是一个分页的 API。如果您提供空的 maxResults，则此操作每页最多检索 50 条记录。如果您提供 maxResults，则值必须介于 1 到 50 之间。要获取下一页结果，请在您的请求中提供 GetBatchPredictionJobsResponse 中的分页标记。空分页标记从开头提取记录	List	batch-prediction
GetDeleteEventsByEventTypeStatus	授予获取特定事件类型 DeleteEventsByEventType API 执行状态的权限	Read	event-type*
GetDetectorVersion	授予获取特定探测器版本的权限	Read	detector-version*
GetDetectors	如果指定了 DetectorID，则授予获取所有探测器或单个探测器的权限。这是一个分页的 API。如果您提供空的 maxResults，则此操作每页最多检索 10 条记录。如果您提供 maxResults，则值必须介于 5 到 10 之间。要获取下一页结果，请在您的请求中提供 GetDetectorsResponse 中的分页标记。空分页标记从开头提取记录	List	detector
GetEntityTypes	如果指定了名称，则授予获取所有实体类型或特定实体类型的权限。这是一个分页的 API。如果您提供空的 maxResults，则此操作每页最多检索 10 条记录。如果您提供 maxResults，则值必须介于 5 到 10 之间。要获取下一页结果，请在您的请求中提供 GetEntityTypesResponse 中的分页标记。空分页标记从开头提取记录	List	entity-type
GetEvent	授予获取指定事件详细信息的权限	Read	event-type*
GetEventPrediction	授予根据探测器版本评估事件的权限。如果未提供版本 ID，则使用探测器的 (ACTIVE) 版本。	Read	detector*
			detector-version*
			event-type*
GetEventPredictionMetadata	授予权限以获取特定预测的更多详细信息	Read	detector*
			detector-version*
			event-type*
GetEventTypes	如果提供了名称，则授予获取所有事件类型或特定事件类型的权限。这是一个分页的 API。如果您提供空的 maxResults，则此操作每页最多检索 10 条记录。如果您提供 maxResults，则值必须介于 5 到 10 之间。要获取下一页结果，请在您的请求中提供 GetEventTypesResponse 中的分页标记。空分页标记从开头提取记录	List	event-type
GetExternalModels	授予获取已导入服务中的一个或多个 Amazon SageMaker 模型的详细信息的权限。这是一个分页的 API。如果您提供空的 maxResults，则此操作每页最多检索 10 条记录。如果您提供 maxResults，则值必须介于 5 到 10 之间。要获取下一页结果，请在您的请求中提供 GetExternalModelsResult 中的分页标记。空分页标记从开头提取记录	List	external-model
GetKMSEncryptionKey	如果已指定 Key Management Service (KMS) 客户主密钥 (CMK) 以用于加密 Amazon Fraud Detector 中的内容，则授予获取加密密钥的权限	Read
GetLabels	如果提供了名称，则授予获取所有标签或特定标签的权限。这是一个分页的 API。如果您提供空的 maxResults，则此操作每页最多检索 50 条记录。如果您提供 maxResults，则值必须介于 10 到 50 之间。要获取下一页结果，请在您的请求中提供 GetGetLabelsResponse 中的分页标记。空分页标记从开头提取记录	List	label
GetListElements	授予获取列表元素的权限	Read	list*
				aws:ResourceTag/${TagKey}
GetListsMetadata	授予获取列表元数据的权限	List	list
				aws:ResourceTag/${TagKey}
GetModelVersion	授予获取指定模型版本详细信息的权限	Read	model-version*
GetModels	授予获取对一个或多个模型的权限。如果未提供模型类型和模型 ID，则获取 AWS 账户 的所有模型。如果指定了模型类型但未提供模型 ID，则获取 AWS 账户 和模型类型的所有模型。如果指定了（模型类型，模型 ID）元组，则获取特定模型	List	model
GetOutcomes	授予获取一个或多个结果的权限。这是一个分页的 API。如果您提供空的 maxResults，则此操作每页最多检索 100 条记录。如果您提供 maxResults，则值必须介于 50 到 100 之间。要获取下一页结果，请在您的请求中提供 GetOutcomesResult 中的分页标记。空分页标记从开头提取记录	List	outcome
GetRules	如果未指定 ruleId 和 ruleVersion，则授予获取探测器的所有规则（分页）的权限。获取检测器和 ruleId 的所有规则（如果存在，则分页）。如果同时指定了 ruleId 和 ruleVersion，则获取特定规则	List	rule
GetVariables	授予获取所有变量或特定变量的权限。这是一个分页的 API。提供空的 maxSizePerPage 会导致每页最多检索 100 条记录。如果您提供 maxSizePerPage，则该值必须介于 50 到 100 之间。要获取下一页结果，请在您的请求中提供 GetVariablesResult 中的分页标记。空分页标记从开头提取记录	List	variable
ListEventPredictions	授予权限以获取过去的预测列表	List	detector
			detector-version
			event-type
ListTagsForResource	授予列出与资源关联的所有标签的权限。这是一个分页的 API。要获取下一页结果，请在您的请求中提供响应中的分页标记。空分页标记从开头提取记录	Read	batch-import
			batch-prediction
			detector
			detector-version
			entity-type
			event-type
			external-model
			label
			list
			model
			model-version
			outcome
			rule
			variable
PutDetector	授予创建或更新探测器的权限	Write	detector*
			event-type*
				aws:RequestTag/${TagKey} aws:TagKeys
PutEntityType	授予创建或更新实体类型的权限。实体表示正在执行事件的对象。作为欺诈预测的一部分，您可以传递实体 ID 来指示执行该事件的特定实体。实体类型对实体进行分类。示例分类包括客户、卖家或账户	Write	entity-type*
				aws:RequestTag/${TagKey} aws:TagKeys
PutEventType	授予创建或更新事件类型的权限。事件是对欺诈风险进行评估的业务活动。使用 Amazon Fraud Detector，您可以为事件生成欺诈预测。事件类型定义发送到 Amazon Fraud Detector 的事件的结构。这包括作为事件一部分发送的变量、执行事件的实体（如客户）以及对事件进行分类的标签。示例事件类型包括在线付款交易、账户注册和身份验证	Write	event-type*
				aws:RequestTag/${TagKey} aws:TagKeys
PutExternalModel	授予创建或更新 Amazon SageMaker 模型终端节点的权限。您还可以使用此操作更新模型终端节点的配置，包括 IAM 角色和/或映射变量	Write	event-type*
			external-model*
				aws:RequestTag/${TagKey} aws:TagKeys
PutKMSEncryptionKey	授予指定用于加密 Amazon Fraud Detector 中内容的 Key Management Service (KMS) 客户主密钥 (CMK) 的权限	Write
PutLabel	授予创建或更新标签的权限。标签将事件归类为欺诈事件或合法事件。标签与事件类型相关联，用于在 Amazon Fraud Detector 中训练受监督的机器学习模型	Write	label*
				aws:RequestTag/${TagKey} aws:TagKeys
PutOutcome	授予创建或更新结果的权限	Write	outcome*
				aws:RequestTag/${TagKey} aws:TagKeys
SendEvent	授予发送事件的权限	Write	event-type*
				aws:RequestTag/${TagKey} aws:TagKeys
TagResource	授予将标签分配给资源的权限	Tagging	batch-import
			batch-prediction
			detector
			detector-version
			entity-type
			event-type
			external-model
			label
			list
			model
			model-version
			outcome
			rule
			variable
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	授予权限以从资源中删除标签	Tagging	batch-import
			batch-prediction
			detector
			detector-version
			entity-type
			event-type
			external-model
			label
			list
			model
			model-version
			outcome
			rule
			variable
				aws:TagKeys
UpdateDetectorVersion	授予更新探测器版本的权限。您可以更新的探测器版本属性包括模型、外部模型终端节点、规则、规则执行模式和描述。您只能更新处于 DRAFT 状态的探测器版本	Write	detector*
			external-model
			model-version
UpdateDetectorVersionMetadata	授予更新探测器版本描述的权限。您可以更新任何探测器版本（DRAFT、ACTIVE 或 INACTIVE）的元数据	Write	detector-version*
UpdateDetectorVersionStatus	授予更新探测器版本状态的权限。您可以使用 UpdateDetectorVersionStatus 来执行以下升级或降级：DRAFT 到 ACTIVE、ACTIVE 到 INACTIVE 以及 INACTIVE 到 ACTIVE	Write	detector-version*
UpdateEventLabel	授予更新现有事件记录标签值的权限	Write	event-type*
				aws:RequestTag/${TagKey} aws:TagKeys
UpdateList	授予更新列表的权限	Write	list*
				aws:ResourceTag/${TagKey}
UpdateModel	授予更新模型的权限。您可以使用此操作更新描述属性	Write	model*
UpdateModelVersion	授予更新模型版本的权限。更新模型版本将使用更新的训练数据重新训练现有模型版本，并生成模型的新次要版本。您可以使用此操作更新训练数据集位置和数据访问角色属性。此操作创建并训练模型的新次要版本，例如版本 1.01、1.02、1.03	Write	model*
				aws:RequestTag/${TagKey} aws:TagKeys
UpdateModelVersionStatus	授予更新模型版本状态的权限	Write	model-version*
UpdateRuleMetadata	授予更新规则元数据的权限。可以更新描述属性	Write	rule*
UpdateRuleVersion	授予更新导致新规则版本的规则版本的权限。更新生成新规则版本（版本 1、2、3……）的规则版本	Write	rule*
				aws:RequestTag/${TagKey} aws:TagKeys
UpdateVariable	授予更新变量的权限	Write	variable*

Amazon Fraud Detector 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
batch-prediction	arn:${Partition}:frauddetector:${Region}:${Account}:batch-prediction/${ResourcePath}	aws:ResourceTag/${TagKey}
detector	arn:${Partition}:frauddetector:${Region}:${Account}:detector/${ResourcePath}	aws:ResourceTag/${TagKey}
detector-version	arn:${Partition}:frauddetector:${Region}:${Account}:detector-version/${ResourcePath}	aws:ResourceTag/${TagKey}
entity-type	arn:${Partition}:frauddetector:${Region}:${Account}:entity-type/${ResourcePath}	aws:ResourceTag/${TagKey}
external-model	arn:${Partition}:frauddetector:${Region}:${Account}:external-model/${ResourcePath}	aws:ResourceTag/${TagKey}
event-type	arn:${Partition}:frauddetector:${Region}:${Account}:event-type/${ResourcePath}	aws:ResourceTag/${TagKey}
label	arn:${Partition}:frauddetector:${Region}:${Account}:label/${ResourcePath}	aws:ResourceTag/${TagKey}
model	arn:${Partition}:frauddetector:${Region}:${Account}:model/${ResourcePath}	aws:ResourceTag/${TagKey}
model-version	arn:${Partition}:frauddetector:${Region}:${Account}:model-version/${ResourcePath}	aws:ResourceTag/${TagKey}
outcome	arn:${Partition}:frauddetector:${Region}:${Account}:outcome/${ResourcePath}	aws:ResourceTag/${TagKey}
rule	arn:${Partition}:frauddetector:${Region}:${Account}:rule/${ResourcePath}	aws:ResourceTag/${TagKey}
variable	arn:${Partition}:frauddetector:${Region}:${Account}:variable/${ResourcePath}	aws:ResourceTag/${TagKey}
batch-import	arn:${Partition}:frauddetector:${Region}:${Account}:batch-import/${ResourcePath}	aws:ResourceTag/${TagKey}
list	arn:${Partition}:frauddetector:${Region}:${Account}:list/${ResourcePath}	aws:ResourceTag/${TagKey}

Amazon Fraud Detector 的条件键

Amazon Fraud Detector 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
aws:RequestTag/${TagKey}	根据在请求中传递的标签筛选操作	字符串
aws:ResourceTag/${TagKey}	根据与资源关联的标签筛选操作	字符串
aws:TagKeys	根据在请求中传递的标签键筛选操作	字符串数组