AWS 物联网的操作、资源和条件键 FleetWise

AWS IoT FleetWise （服务前缀:iotfleetwise）提供以下特定于服务的资源、操作和条件上下文密钥以在 IAM 权限策略中使用。

参考：

• 了解如何配置该服务。

• 查看适用于该服务的 API 操作列表。

• 了解如何使用 IAM 权限策略保护该服务及其资源。

AWS 物联网定义的操作 FleetWise

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
AssociateVehicleFleet	授予将给定工具与机群关联的权限	写入	fleet*
			vehicle*
BatchCreateVehicle	授予创建大量车辆的权限	写入	decodermanifest*		iot:CreateThing iot:DescribeThing
			modelmanifest*
			vehicle*
				aws:RequestTag/${TagKey} aws:TagKeys
BatchUpdateVehicle	授予更新大量车辆的权限	写入	vehicle*
			decodermanifest
			modelmanifest
				iotfleetwise:UpdateToModelManifestArn iotfleetwise:UpdateToDecoderManifestArn
CreateCampaign	授予创建活动的权限	写入	campaign*
			fleet*
			signalcatalog*
			vehicle*
				aws:RequestTag/${TagKey} aws:TagKeys iotfleetwise:DestinationArn
CreateDecoderManifest	授予为现有模型创建解码器清单的权限	写入	decodermanifest*
			modelmanifest*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateFleet	授予权限以创建机群	写入	fleet*
			signalcatalog*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateModelManifest	授予权限以创建模型清单定义	写入	modelmanifest*
			signalcatalog*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateSignalCatalog	授予权限以创建信号目录	写入	signalcatalog*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateVehicle	授予权限以创建工具	写入	decodermanifest*		iot:CreateThing iot:DescribeThing
			modelmanifest*
			vehicle*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteCampaign	授予删除活动的权限	写入	campaign*
DeleteDecoderManifest	授予权限以删除给定的解码器清单	写入	decodermanifest*
DeleteFleet	授予删除机群的权限	写入	fleet*
DeleteModelManifest	授予权限以删除给定的模型清单	写入	modelmanifest*
DeleteSignalCatalog	授予权限以删除特定信号目录	写入	signalcatalog*
DeleteVehicle	授予删除工具的权限	写入	vehicle*
DisassociateVehicleFleet	授予权限以取消工具与现有机群的关联	写入	fleet*
			vehicle*
GetCampaign	授予权限以获取给定活动的摘要信息	读取	campaign*
GetDecoderManifest	授予权限以获取给定解码器清单定义的摘要信息	读取	decodermanifest*
GetEncryptionConfiguration	授予获取基于 KMS 的加密状态的权限 AWS 账户	读取
GetFleet	授予权限以获取机群的摘要信息	读取	fleet*
GetLoggingOptions	授予获取日志选项的权限 AWS 账户	读取
GetModelManifest	授予权限以获取给定模型清单定义的摘要信息	读取	modelmanifest*
GetRegisterAccountStatus	授予获取 IoT 账户注册状态的权限 FleetWise	读取
GetSignalCatalog	授予权限以获取特定信号目录的摘要信息	读取	signalcatalog*
GetVehicle	授予权限以获取工具的摘要信息	读取	vehicle*
GetVehicleStatus	授予权限以获取在特定工具上运行的活动的状态	读取	vehicle*
ImportDecoderManifest	授予导入现有解码器清单的权限	写入	decodermanifest*
ImportSignalCatalog	授予权限以通过导入现有定义创建信号目录	写入	signalcatalog*
				aws:RequestTag/${TagKey} aws:TagKeys
ListCampaigns	授予列出活动的权限	读取
ListDecoderManifestNetworkInterfaces	授予列出与现有解码器清单关联的网络接口的权限	列出	decodermanifest*
ListDecoderManifestSignals	授予权限以列出解码器清单信号	列出	decodermanifest*
ListDecoderManifests	授予列出所有解码器清单的权限，并在模型清单上使用可选筛选条件	读取
ListFleets	授予列出所有机群的权限	读取
ListFleetsForVehicle	授予列出与给定工具关联的所有机群的权限	读取	vehicle*
ListModelManifestNodes	授予权限以列出给定模型清单的所有节点	列出	modelmanifest*
ListModelManifests	授予列出所有模型清单的权限，并在信号目录上使用可选筛选条件	读取
ListSignalCatalogNodes	授予列出给定信号目录的所有节点的权限	读取	signalcatalog*
ListSignalCatalogs	授予权限以列出所有信号目录	读取
ListTagsForResource	授予权限以列出资源的标签	读取	campaign
			decodermanifest
			fleet
			modelmanifest
			signalcatalog
			vehicle
ListVehicles	授予列出所有工具的权限，并在模型清单上使用可选筛选条件	读取
ListVehiclesInFleet	授予列出给定机群中的工具的权限	读取	fleet*
PutEncryptionConfiguration	授予启用或禁用基于 KMS 的加密的权限 AWS 账户	写入
PutLoggingOptions	授予放置日志选项的权限 AWS 账户	写入
RegisterAccount	授予向物联网注册 AWS 账户 的权限 FleetWise	写入			iam:PassRole
TagResource	授予权限以将标签添加到资源中	Tagging	campaign
			decodermanifest
			fleet
			modelmanifest
			signalcatalog
			vehicle
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	授予权限以从资源中删除标签	标记	campaign
			decodermanifest
			fleet
			modelmanifest
			signalcatalog
			vehicle
				aws:TagKeys
UpdateCampaign	授予更新给定活动的权限	写入	campaign*
UpdateDecoderManifest	授予权限以更新解码器清单定义	写入	decodermanifest*
UpdateFleet	授予权限以更新机群	写入	fleet*
UpdateModelManifest	授予权限以更新给定的模型清单定义	写入	modelmanifest*
UpdateSignalCatalog	授予权限以更新特定的信号目录定义	写入	signalcatalog*
UpdateVehicle	授予权限以更新工具	写入	vehicle*
			decodermanifest
			modelmanifest
				iotfleetwise:UpdateToModelManifestArn iotfleetwise:UpdateToDecoderManifestArn

AWS 物联网定义的资源类型 FleetWise

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
campaign	arn:${Partition}:iotfleetwise:${Region}:${Account}:campaign/${CampaignName}	aws:ResourceTag/${TagKey}
decodermanifest	arn:${Partition}:iotfleetwise:${Region}:${Account}:decoder-manifest/${Name}	aws:ResourceTag/${TagKey}
fleet	arn:${Partition}:iotfleetwise:${Region}:${Account}:fleet/${FleetId}	aws:ResourceTag/${TagKey}
modelmanifest	arn:${Partition}:iotfleetwise:${Region}:${Account}:model-manifest/${Name}	aws:ResourceTag/${TagKey}
signalcatalog	arn:${Partition}:iotfleetwise:${Region}:${Account}:signal-catalog/${Name}	aws:ResourceTag/${TagKey}
vehicle	arn:${Partition}:iotfleetwise:${Region}:${Account}:vehicle/${VehicleId}	aws:ResourceTag/${TagKey}

AWS 物联网的条件密钥 FleetWise

AWS IoT FleetWise 定义了以下条件键，这些条件键可用于 IAM 策略的Condition元素。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
aws:RequestTag/${TagKey}	根据在请求中是否具有标签键值对来筛选访问权限	String
aws:ResourceTag/${TagKey}	按附加到资源的标签键值对筛选操作	String
aws:TagKeys	根据在请求中是否具有标签键来筛选访问	ArrayOfString
iotfleetwise:DestinationArn	按活动目标 ARN 筛选访问权限，例如 S3 桶 ARN 或 Timestream ARN	ARN
iotfleetwise:UpdateToDecoderManifestArn	按物联网 FleetWise 解码器清单 ARN 列表筛选访问权限	ARN
iotfleetwise:UpdateToModelManifestArn	按物联网 FleetWise 模型清单 ARN 列表筛选访问权限	ARN