AWS Application Discovery Service 的操作、资源和条件键

AWS Application Discovery Service（服务前缀:discovery）提供以下特定于服务的资源、操作和条件上下文密钥，用于IAM权限策略。

参考：

• 了解如何配置该服务。

• 查看此服务可用的API操作列表。

• 了解如何使用IAM权限策略保护此服务及其资源。

AWS Application Discovery Service 定义的操作

您可以在IAM策略声明的Action元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。当您在策略中使用操作时，通常会允许或拒绝访问具有相同名称的API操作或CLI命令。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。如果该列包含资源类型，则可以在带有该操作ARN的语句中指定该类型的资源类型。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您使用IAM策略中的Resource元素限制资源访问权限，则必须为每种必需的资源类型包含ARN或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
AssociateConfigurationItemsToApplication	授予权限 AssociateConfigurationItemsToApplication API。 AssociateConfigurationItemsToApplication 将一个或多个配置项目与应用程序关联	写入
BatchDeleteAgents	授予权限 BatchDeleteAgents API。 BatchDeleteAgents 删除与您的账户关联的一个或多个代理/数据收集器，每个代理/数据收集器均由其代理 ID 识别。删除数据收集器不会删除先前收集的数据	写入
BatchDeleteImportData	授予权限 BatchDeleteImportData API。 BatchDeleteImportData 删除一个或多个 Migration Hub 导入任务，每个任务都由其导入 ID 标识。每个导入任务具有一些记录，它们可以标识服务器或应用程序	写入
CreateApplication	授予权限 CreateApplication API。 CreateApplication 创建具有给定名称和描述的应用程序	写入
CreateTags	授予权限 CreateTags API。 CreateTags 为配置项目创建一个或多个标签。标签是可帮助您对 IT 资产进行分类的元数据。这API接受多个配置项的列表	标记
DeleteApplications	授予权限 DeleteApplications API。 DeleteApplications 删除应用程序列表及其与配置项目的关联	写入
DeleteTags	授予权限 DeleteTags API。 DeleteTags 删除配置项目与一个或多个标签之间的关联。这API接受多个配置项的列表	标记		aws:TagKeys
DescribeAgents	授予权限 DescribeAgents API。 DescribeAgents 按 ID 列出代理或连接器，或者如果您未指定 ID，则列出与您的用户关联的所有代理/连接器	读取
DescribeBatchDeleteConfigurationTask	授予权限 DescribeBatchDeleteConfigurationTask API。 DescribeBatchDeleteConfigurationTask 返回有关批量删除任务的属性，以删除一组配置项目。提供的任务 ID 应该是从的输出中收到的任务 ID StartBatchDeleteConfigurationTask	读取
DescribeConfigurations	授予权限 DescribeConfigurations API。 DescribeConfigurations 检索配置项目IDs列表的属性。提供的所有资源都IDs必须用于相同的资产类型（服务器、应用程序、进程或连接）。输出字段特定于所选的资产类型。例如，服务器配置项的输出包含有关服务器的属性的列表，例如主机名、操作系统和网卡数	读取
DescribeContinuousExports	授予权限 DescribeContinuousExports API。 DescribeContinuousExports 列出由 ID 指定的导出。如果您在不传递任何参数的情况下按原 DescribeContinuousExports 样调用，则可以列出与您的用户关联的所有连续导出	读取
DescribeExportConfigurations	授予权限 DescribeExportConfigurations API。 DescribeExportConfigurations 检索给定导出过程的状态。您可以从最多 100 个进程中检索状态	读取
DescribeExportTasks	授予权限 DescribeExportTasks API。 DescribeExportTasks 检索一个或多个导出任务的状态。您可以检索最多 100 个导出任务的状态	读取
DescribeImportTasks	授予权限 DescribeImportTasks API。 DescribeImportTasks 为您的用户返回一系列导入任务，包括状态信息、时间IDs、导入文件URL的 Amazon S3 对象等	列出
DescribeTags	授予权限 DescribeTags API。 DescribeTags 检索用特定标签标记的配置项目列表。或者检索分配给特定配置项的所有标签的列表	读取
DisassociateConfigurationItemsFromApplication	授予权限 DisassociateConfigurationItemsFromApplication API。 DisassociateConfigurationItemsFromApplication 取消一个或多个配置项目与应用程序的关联	写入
ExportConfigurations	授予权限 ExportConfigurations API。 ExportConfigurations 将所有发现的配置数据导出到 Amazon S3 存储桶或应用程序中，以便您能够查看和评估这些数据。数据包含标签和标签关联、进程、连接、服务器和系统性能	写入
GetDiscoverySummary	授予权限 GetDiscoverySummary API。 GetDiscoverySummary 检索已发现资产的简短摘要	读取
GetNetworkConnectionGraph	授予权限 GetNetworkConnectionGraph API。 GetNetworkConnectionGraph 接受其中一个 IP 地址、服务器 ID 或节点 ID 的输入列表。返回节点和边缘列表，以帮助客户可视化网络连接图。API这用于在 MigrationHub 控制台中可视化网络图功能	读取
ListConfigurations	授予权限 ListConfigurations API。 ListConfigurations 根据您在筛选器中指定的条件检索配置项目列表。筛选条件确定关系要求	列出
ListServerNeighbors	授予权限 ListServerNeighbors API。 ListServerNeighbors 检索与指定服务器相隔一个网络跳跃的服务器列表	列出
StartBatchDeleteConfigurationTask	授予权限 StartBatchDeleteConfigurationTask API。 StartBatchDeleteConfigurationTask 开始异步批量删除您的配置项目。提供的所有资源都IDs必须用于相同的资产类型（服务器、应用程序、进程或连接）。输出是一个唯一的任务 ID，您可以用它来查看删除进度	写入
StartContinuousExport	授予权限 StartContinuousExport API。 StartContinuousExport 开始将代理发现的数据持续流入 Amazon Athena	写入			iam:AttachRolePolicy iam:CreatePolicy iam:CreateRole iam:CreateServiceLinkedRole
StartDataCollectionByAgentIds	授予权限 StartDataCollectionByAgentIds API。 StartDataCollectionByAgentIds 指示指定的代理或连接器开始收集数据	写入
StartExportTask	授予权限 StartExportTask API。 StartExportTask 以指定格式将有关已发现的配置项目和关系的配置数据导出到 S3 存储桶	写入
StartImportTask	授予权限 StartImportTask API。 StartImportTask 启动导入任务。Migration Hub 导入功能允许您将本地环境的详细信息直接导入其中， AWS 而无需使用 Application Discovery Service (ADS) 工具，例如 Discovery Connector 或 Discovery Agent。这样，您就可以选择通过导入的数据直接执行迁移评估和规划，包括能够将设备分组为应用程序并跟踪其迁移状态	写入			discovery:AssociateConfigurationItemsToApplication discovery:CreateApplication discovery:CreateTags discovery:GetDiscoverySummary discovery:ListConfigurations s3:GetObject
StopContinuousExport	授予权限 StopContinuousExport API。 StopContinuousExport 阻止代理发现的数据持续流入 Amazon Athena	写入
StopDataCollectionByAgentIds	授予权限 StopDataCollectionByAgentIds API。 StopDataCollectionByAgentIds 指示指定的代理或连接器停止收集数据	写入
UpdateApplication	授予权限 UpdateApplication API。 UpdateApplication 更新有关应用程序的元数据	写入

AWS Application Discovery Service 定义的资源类型

AWS Application Discovery Service 不支持ARN在IAM策略声明的Resource元素中指定资源。要允许对 AWS Application Discovery Service 的访问权限，请在策略中指定 "Resource": "*"。

注意

要分开访问权限，请创建和使用单独的 AWS 帐户。

AWS Application Discovery Service 的条件键

AWS Application Discovery Service 定义了可以在IAM策略Condition元素中使用的以下条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
aws:TagKeys	按请求中传递的标签键筛选访问权限	ArrayOfString