Amazon Route 53 的操作、资源和条件键

Amazon Route 53（服务前缀：route53）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

• 了解如何配置该服务。

• 查看适用于该服务的 API 操作列表。

• 了解如何使用 IAM 权限策略保护该服务及其资源。

Amazon Route 53 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
ActivateKeySigningKey	授予激活密钥签名密钥的权限，以使 DNSSEC 可以将其用于签名	Write	hostedzone*
AssociateVPCWithHostedZone	授予将其他 Amazon VPC 与私有托管区域相关联的权限	写入	hostedzone		ec2:DescribeVpcs
ChangeCidrCollection	授予在 CIDR 集合中创建或删除 CIDR 块的权限	写入	cidrcollection*
ChangeResourceRecordSets	授予创建、更新或删除记录的权限，其中包含指定域或子域名称的权威 DNS 信息	Write	hostedzone*
				route53:ChangeResourceRecordSetsNormalizedRecordNames route53:ChangeResourceRecordSetsRecordTypes route53:ChangeResourceRecordSetsActions
ChangeTagsForResource	授予为运行状况检查或托管区域添加、编辑或删除标签的权限	标记	healthcheck*
			hostedzone*
CreateCidrCollection	授予创建新的 CIDR 集合的权限	写入
CreateHealthCheck	授予创建新的运行状况检查的权限，该运行状况检查监控 Web 应用程序、Web 服务器以及其他资源的运行状况和性能	Write
CreateHostedZone	授予创建公有托管区域的权限，该托管区域用于指定域名系统 (DNS) 如何路由域（如 example.com）及其子域的 Internet 流量	Write			ec2:DescribeVpcs
CreateKeySigningKey	授予创建与托管区域关联的新密钥签名密钥的权限	Write	hostedzone*
CreateQueryLoggingConfig	授予为 DNS 查询日志记录创建配置的权限	Write	hostedzone*
CreateReusableDelegationSet	授予创建可供多个托管区域重用的委派集（一组四个名称服务器）的权限	Write
CreateTrafficPolicy	授予创建流量策略的权限，该流量策略用于为一个域名（如 example.com）或一个子域名（如 www.example.com）创建多个 DNS 记录	Write
CreateTrafficPolicyInstance	授予基于指定流量策略版本中的设置在指定托管区域中创建记录的权限	Write	hostedzone*
			trafficpolicy*
CreateTrafficPolicyVersion	授予创建现有流量策略的新版本的权限	写入	trafficpolicy*
CreateVPCAssociationAuthorization	授予权限以授权创建指定 VPC 的用户提交 AssociateVPC WithHostedZone 请求，该请求将该 VPC 与由其他账户创建的指定托管区域相关联 AWS 账户	写入	hostedzone*
DeactivateKeySigningKey	授予停用密钥签名密钥的权限，以使 DNSSEC 不会将其用于签名	写入	hostedzone*
DeleteCidrCollection	授予删除 CIDR 集合的权限	写入	cidrcollection*
DeleteHealthCheck	授予删除运行状况检查的权限	Write	healthcheck*
DeleteHostedZone	授予删除托管区域的权限	Write	hostedzone*
DeleteKeySigningKey	授予删除密钥签名密钥的权限	Write	hostedzone*
DeleteQueryLoggingConfig	授予为 DNS 查询日志记录删除配置的权限	Write	queryloggingconfig*
DeleteReusableDelegationSet	授予删除可重用委派集的权限	Write	delegationset*
DeleteTrafficPolicy	授予删除流量策略的权限	Write	trafficpolicy*
DeleteTrafficPolicyInstance	授予删除流量策略实例以及 Route 53 在您创建该实例时创建的所有记录的权限	Write	trafficpolicyinstance*
DeleteVPCAssociationAuthorization	授予删除使 Amazon Virtual Private Cloud 与 Route 53 私有托管区域相关联的授权的权限	Write	hostedzone*
DisableHostedZoneDNSSEC	授予在特定托管区域中禁用 DNSSEC 签名的权限	Write	hostedzone*
DisassociateVPCFromHostedZone	授予取消 Amazon Virtual Private Cloud 与 Route 53 私有托管区域的关联的权限	Write	hostedzone		ec2:DescribeVpcs
EnableHostedZoneDNSSEC	授予在特定托管区域中启用 DNSSEC 签名的权限	Write	hostedzone*
GetAccountLimit	授予获取当前账户的指定限制（例如，您使用账户可创建的运行状况检查的最大数量）的权限	Read
GetChange	授予获取创建、更新或删除一个或多个记录的请求的当前状态的权限	List	change*
GetCheckerIpRanges	授予获取 Route 53 运行状况检查程序用于检查资源运行状况的 IP 范围列表的权限	List
GetDNSSEC	授予获取特定托管区域 DNSSEC 信息的权限，包括托管区域中的密钥签名密钥	Read	hostedzone*
GetGeoLocation	授予获取有关 Route 53 地理位置记录是否支持指定地理位置的信息的权限	List
GetHealthCheck	授予获取有关指定运行状况检查的信息的权限	读取	healthcheck*
GetHealthCheckCount	授予获取与当前关联的运行状况检查数量的权限 AWS 账户	列出
GetHealthCheckLastFailureReason	授予获取指定运行状况检查最近失败的原因的权限	List	healthcheck*
GetHealthCheckStatus	授予获取指定运行状况检查的状态的权限	List	healthcheck*
GetHostedZone	授予获取有关指定托管区域（包括 Route 53 分配给托管区域的四个名称服务器）的信息的权限	列出	hostedzone*
GetHostedZoneCount	授予获取与当前区域关联的托管区域数量的权限 AWS 账户	列出
GetHostedZoneLimit	授予获取指定托管区域的指定限制的权限	Read	hostedzone*
GetQueryLoggingConfig	授予获取有关 DNS 查询日志记录的指定配置的信息的权限	Read	queryloggingconfig*
GetReusableDelegationSet	授予获取有关指定可重用委派集（包括分配给委派集的四个名称服务器）的信息的权限	List	delegationset*
GetReusableDelegationSetLimit	授予获取可与指定可重用委派集关联的托管区域的最大数量的权限	Read	delegationset*
GetTrafficPolicy	授予获取有关指定流量策略版本的信息的权限	Read	trafficpolicy*
GetTrafficPolicyInstance	授予获取有关指定流量策略实例的信息的权限	读取	trafficpolicyinstance*
GetTrafficPolicyInstanceCount	授予获取与当前流量策略关联的流量策略实例数量的权限 AWS 账户	读取
ListCidrBlocks	授予获取指定 CIDR 集合中 CIDR 块列表的权限	列出	cidrcollection*
ListCidrCollections	授予获取与当前 CIDR 集合关联的 CIDR 集合列表的权限 AWS 账户	列出
ListCidrLocations	授予获取属于指定 CIDR 集合的 CIDR 位置列表的权限	列出	cidrcollection*
ListGeoLocations	授予获取对于地理位置 Route 53 支持的地理位置列表的权限	读取
ListHealthChecks	授予获取与当前状态关联的运行状况检查列表的权限 AWS 账户	读取
ListHostedZones	授予获取与当前托管区域关联的公共和私有托管区域列表的权限 AWS 账户	列出
ListHostedZonesByName	授予获取按词典顺序排列的您的托管区域列表的权限。托管区域按名称进行排序并颠倒了标签，例如 com.example.www。	列出
ListHostedZonesByVPC	授予权限以获取与指定的 VPC 关联的所有私有托管区域的列表	列出			ec2:DescribeVpcs
ListQueryLoggingConfigs	授予列出与当前 AWS 账户 或与指定托管区域关联的配置关联的 DNS 查询日志记录配置的权限	列出	hostedzone
ListResourceRecordSets	授予列出指定托管区域中的记录的权限	列出	hostedzone*
ListReusableDelegationSets	授予权限以列出与当前 AWS 账户关联的可重用委派集。	读取
ListTagsForResource	授予列出一个运行状况检查或托管区域的标签的权限	读取	healthcheck
			hostedzone
ListTagsForResources	授予列出最多 10 个运行状况检查或托管区域的标签的权限	读取	healthcheck
			hostedzone
ListTrafficPolicies	授予权限以获取有关与当前 AWS 账户关联的每个流量策略的最新版本的信息。策略按创建顺序列出	列出
ListTrafficPolicyInstances	授予权限以获取有关您使用当前流量策略创建的流量策略实例的信息 AWS 账户	读取
ListTrafficPolicyInstancesByHostedZone	授予获取有关您在指定托管区域中创建的流量策略实例的信息的权限	List	hostedzone*
ListTrafficPolicyInstancesByPolicy	授予获取有关您使用指定流量策略版本创建的流量策略实例的信息的权限	List	trafficpolicy*
ListTrafficPolicyVersions	授予获取有关指定流量策略的所有版本的信息的权限	List	trafficpolicy*
ListVPCAssociationAuthorizations	授予获取由其他账户创建并可与指定托管区域关联的 VPC 列表的权限	List	hostedzone*
TestDNSAnswer	授予获取 Route 53 为响应指定记录名称和类型的 DNS 查询而返回的值的权限	Read
UpdateHealthCheck	授予更新现有运行状况检查的权限	Write	healthcheck*
UpdateHostedZoneComment	授予更新指定托管区域的注释的权限	Write	hostedzone*
UpdateTrafficPolicyComment	授予更新指定流量策略版本的注释的权限	Write	trafficpolicy*
UpdateTrafficPolicyInstance	授予更新指定托管区域中基于指定流量策略版本中的设置创建的记录的权限	Write	trafficpolicyinstance*

Amazon Route 53 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
cidrcollection	arn:${Partition}:route53:::cidrcollection/${Id}
change	arn:${Partition}:route53:::change/${Id}
delegationset	arn:${Partition}:route53:::delegationset/${Id}
healthcheck	arn:${Partition}:route53:::healthcheck/${Id}
hostedzone	arn:${Partition}:route53:::hostedzone/${Id}
trafficpolicy	arn:${Partition}:route53:::trafficpolicy/${Id}
trafficpolicyinstance	arn:${Partition}:route53:::trafficpolicyinstance/${Id}
queryloggingconfig	arn:${Partition}:route53:::queryloggingconfig/${Id}
vpc	arn:${Partition}:ec2:${Region}:${Account}:vpc/${VpcId}

Amazon Route 53 的条件键

Amazon Route 53 定义以下可在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
route53:ChangeResourceRecordSetsActions	按请求中的更改操作 “创建”、“UPSERT” 或 “删除” 筛选访问权限 ChangeResourceRecordSets	ArrayOfString
route53:ChangeResourceRecordSetsNormalizedRecordNames	按 ChangeResourceRecordSets 请求中的标准化 DNS 记录名称筛选访问权限	ArrayOfString
route53:ChangeResourceRecordSetsRecordTypes	按 ChangeResourceRecordSets 请求中的 DNS 记录类型筛选访问权限	ArrayOfString