Amazon Cognito 使用者集區的動作、資源與條件索引鍵

Amazon Cognito 使用者集區 （服務字首：cognito-idp） 提供下列服務特定的資源、動作和條件內容索引鍵，可用於 IAM 許可政策。

參考資料：

• 了解如何設定此服務。

• 檢視API此服務可用的操作清單 。

• 了解如何使用IAM許可政策來保護此服務及其資源。

Amazon Cognito 使用者集區定義的動作

您可以在IAM政策陳述式的 Action元素中指定下列動作。使用政策來授予在 AWS中執行操作的許可。當您在政策中使用動作時，通常會允許或拒絕對相同名稱API的操作或CLI命令的存取。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。

「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作ARN的陳述式中指定該類型的 。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您在IAM政策中使用 Resource元素限制資源存取，則必須為每個所需資源類型包含 ARN或 模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。

「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。

注意

資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。

如需下表各欄的詳細資訊，請參閱動作資料表。

動作	描述	存取層級	資源類型 (*必填項目)	條件索引鍵	相依動作
AddCustomAttributes	准許將使用者屬性新增至使用者集區結構描述	寫入	userpool*
AdminAddUserToGroup	准許將任何使用者新增至任何群組	寫入	userpool*
AdminConfirmSignUp	准許在沒有確認代碼的情況下確認任何使用者的註冊	寫入	userpool*
AdminCreateUser	准許建立新的使用者，並透過電子郵件或 傳送歡迎訊息 SMS	寫入	userpool*
AdminDeleteUser	准許刪除任何使用者	寫入	userpool*
AdminDeleteUserAttributes	准許從任何使用者刪除屬性	寫入	userpool*
AdminDisableProviderForUser	准許取消任何使用者集區使用者與第三方身分提供者 (IdP) 使用者的連結	寫入	userpool*
AdminDisableUser	准許停用任何使用者	寫入	userpool*
AdminEnableUser	准許啟用任何使用者	寫入	userpool*
AdminForgetDevice	准許取消註冊任何使用者的裝置	寫入	userpool*
AdminGetDevice	准許取得任何使用者裝置的相關資訊	讀取	userpool*
AdminGetUser	准許依使用者名稱查詢任何使用者	讀取	userpool*
AdminInitiateAuth	准許驗證任何使用者身分	寫入	userpool*
AdminLinkProviderForUser	准許將任何使用者集區使用者連結至第三方 IdP 使用者	寫入	userpool*
AdminListDevices	准許列出任何使用者記住的裝置	清單	userpool*
AdminListGroupsForUser	准許列出任何使用者所屬的群組	清單	userpool*
AdminListUserAuthEvents	准許列出任何使用者登入事件	讀取	userpool*
AdminRemoveUserFromGroup	准許從任何群組移除任何使用者	寫入	userpool*
AdminResetUserPassword	准許重設任何使用者的密碼	寫入	userpool*
AdminRespondToAuthChallenge	准許在任何使用者身分驗證期間回應身分驗證挑戰	寫入	userpool*
AdminSetUserMFAPreference	准許設定任何使用者的偏好MFA方法	寫入	userpool*
AdminSetUserPassword	准許設定任何使用者的密碼	寫入	userpool*
AdminSetUserSettings	准許設定任何使用者的使用者設定	寫入	userpool*
AdminUpdateAuthEventFeedback	准許更新任何使用者身分驗證事件的進階安全回饋	寫入	userpool*
AdminUpdateDeviceStatus	准許更新任何使用者記住的裝置的狀態	寫入	userpool*
AdminUpdateUserAttributes	准許更新任何使用者的標準或自訂屬性	寫入	userpool*
AdminUserGlobalSignOut	准許將任何使用者從所有工作階段登出	寫入	userpool*
AssociateSoftwareToken	准許傳回使用者唯一產生的共用密鑰程式碼	寫入
AssociateWebACL [僅限許可]	准許將使用者集區與 Web AWS WAF建立關聯 ACL	寫入	userpool*
			webacl*
ChangePassword	准許為使用者集區中指定的使用者變更密碼	寫入
ConfirmDevice	准許確認追蹤裝置。此API呼叫是開始裝置追蹤的呼叫	寫入
ConfirmForgotPassword	准許讓使用者輸入確認碼以重設忘記的密碼	寫入
ConfirmSignUp	准許確認使用者已註冊並處理之前使用者的現有別名	寫入
CreateGroup	准許建立新的使用者集區群組	寫入	userpool*
CreateIdentityProvider	准許將身分提供者新增至使用者集區	寫入	userpool*
CreateResourceServer	准許建立和設定 OAuth 2.0 資源伺服器的範圍	寫入	userpool*
CreateUserImportJob	准許建立使用者CSV匯入任務	寫入	userpool*
CreateUserPool	准許建立和設定使用者集區的密碼政策	寫入		aws:RequestTag/${TagKey} aws:TagKeys aws:ResourceTag/${TagKey}
CreateUserPoolClient	准許建立使用者集區應用程式用戶端	寫入	userpool*
CreateUserPoolDomain	准許新增使用者集區網域	寫入	userpool*
DeleteGroup	准許刪除任何空的使用者集區群組	寫入	userpool*
DeleteIdentityProvider	准許從使用者集區刪除任何身分提供者	寫入	userpool*
DeleteResourceServer	准許從使用者集區中刪除任何 OAuth 2.0 資源伺服器	寫入	userpool*
DeleteUser	准許讓使用者刪除自己	寫入
DeleteUserAttributes	准許為使用者刪除屬性	寫入
DeleteUserPool	准許刪除使用者集區	寫入	userpool*
DeleteUserPoolClient	准許刪除任何使用者集區應用程式用戶端	寫入	userpool*
DeleteUserPoolDomain	准許刪除任何使用者集區網域	寫入	userpool*
DescribeIdentityProvider	准許描述任何使用者集區身分提供者	讀取	userpool*
DescribeResourceServer	准許描述任何 OAuth 2.0 資源伺服器	讀取	userpool*
DescribeRiskConfiguration	准許描述使用者集區和應用程式用戶端的風險組態設定	讀取	userpool*
DescribeUserImportJob	准許描述任何使用者匯入任務	讀取	userpool*
DescribeUserPool	准許描述使用者集區	讀取	userpool*
DescribeUserPoolClient	准許描述任何使用者集區應用程式用戶端	讀取	userpool*
DescribeUserPoolDomain	准許描述任何使用者集區網域	讀取
DisassociateWebACL [僅限許可]	准許取消使用者集區與 AWS WAF Web 的關聯 ACL	寫入	userpool*
ForgetDevice	准許清除指定的裝置	寫入
ForgotPassword	准許將包含確認碼的訊息傳送給最終使用者，此確認碼是變更使用者密碼的必要項目	寫入
GetCSVHeader	准許為使用者匯入 .csv 檔案產生標頭	讀取	userpool*
GetDevice	准許取得裝置	讀取
GetGroup	准許描述使用者集區群組	讀取	userpool*
GetIdentityProviderByIdentifier	准許將使用者集區 IdP 識別符與 IdP 名稱關聯	讀取	userpool*
GetLogDeliveryConfiguration	准許取得使用者集區的詳細活動記錄組態	讀取	userpool*
GetSigningCertificate	准許查詢使用者集區的簽署憑證	讀取	userpool*
GetUICustomization	准許取得任何應用程式用戶端的託管 UI 的 UI 自訂資訊	讀取	userpool*
GetUser	准許取得使用者的使用者屬性和中繼資料	讀取
GetUserAttributeVerificationCode	准許取得指定屬性名稱的使用者屬性驗證碼	讀取
GetUserPoolMfaConfig	准許查詢使用者集區的MFA組態	讀取	userpool*
GetWebACLForResource [僅限許可]	准許取得 AWS WAF與 ACL Amazon Cognito 使用者集區相關聯的 Web	讀取	userpool*
GlobalSignOut	准許將使用者從所有裝置登出	寫入
InitiateAuth	准許啟動驗證流程	寫入
ListDevices	准許列出裝置	清單
ListGroups	准許列出使用者集區中的所有群組	清單	userpool*
ListIdentityProviders	准許列出使用者集區中的所有身分提供者	清單	userpool*
ListResourceServers	准許列出使用者集區中的所有資源伺服器	清單	userpool*
ListResourcesForWebACL [僅限許可]	准許列出與 AWS WAF Web 相關聯的使用者集區 ACL	清單	webacl*
ListTagsForResource	准許列出指派給 Amazon Cognito 使用者集區的標籤	清單	userpool
ListUserImportJobs	准許列出所有使用者匯入任務	清單	userpool*
ListUserPoolClients	准許列出使用者集區中的所有應用程式用戶端	清單	userpool*
ListUserPools	准許列出所有使用者集區	清單
ListUsers	准許列出所有使用者集區使用者	清單	userpool*
ListUsersInGroup	准許列出任何群組中的使用者	清單	userpool*
ResendConfirmationCode	准許將確認 (註冊確認) 重新傳送給使用者集區中的特定使用者	寫入
RespondToAuthChallenge	准許回應身分驗證挑戰	寫入
RevokeToken	准許將指定重新整理權杖產生的所有存取權杖撤銷	寫入
SetLogDeliveryConfiguration	准許設定或修改使用者集區的詳細活動記錄組態	寫入	userpool*
SetRiskConfiguration	准許設定使用者集區和應用程式用戶端的風險組態	寫入	userpool*
SetUICustomization	准許自訂任何應用程式用戶端的託管 UI	寫入	userpool*
SetUserMFAPreference	准許在 userpool 中設定使用者的MFA偏好設定	寫入
SetUserPoolMfaConfig	准許設定使用者集區MFA組態	寫入	userpool*
SetUserSettings	准許設定使用者設定，例如多重要素驗證 （MFA）	寫入
SignUp	准許在指定的使用者集區中註冊使用者，並建立使用者名稱、密碼和使用者屬性	寫入
StartUserImportJob	准許啟動任何使用者匯入任務	寫入	userpool*
StopUserImportJob	准許停止任何使用者匯入任務	寫入	userpool*
TagResource	准許標記使用者集區	標記	userpool
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	准許取消標記使用者集區	標記	userpool
				aws:TagKeys
UpdateAuthEventFeedback	准許更新使用者驗證事件的意見回饋	寫入	userpool*
UpdateDeviceStatus	准許更新裝置狀態	寫入
UpdateGroup	准許更新任何群組的組態	寫入	userpool*
UpdateIdentityProvider	准許更新任何使用者集區 IdP 的組態	寫入	userpool*
UpdateResourceServer	准許更新任何 OAuth 2.0 資源伺服器的組態	寫入	userpool*
UpdateUserAttributes	准許讓使用者更新特定屬性 (一次更新一個)	寫入
UpdateUserPool	准許更新使用者集區的組態	寫入	userpool*
				aws:RequestTag/${TagKey} aws:TagKeys
UpdateUserPoolClient	准許更新任何使用者集區用戶端	寫入	userpool*
UpdateUserPoolDomain	准許取代任何自訂網域的憑證	寫入	userpool*
VerifySoftwareToken	准許註冊使用者輸入的TOTP程式碼，並在成功時將使用者的軟體字符MFA狀態標記為已驗證	寫入
VerifyUserAttribute	准許使用一次性驗證碼驗證使用者屬性	寫入

Amazon Cognito User Pools 定義的資源類型

下列資源類型由此服務定義，可用於IAM許可政策陳述式的 Resource元素。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。

資源類型	ARN	條件索引鍵
userpool	arn:${Partition}:cognito-idp:${Region}:${Account}:userpool/${UserPoolId}	aws:ResourceTag/${TagKey}
webacl	arn:${Partition}:wafv2:${Region}:${Account}:${Scope}/webacl/${Name}/${Id}

Amazon Cognito 使用者集區條件索引鍵

Amazon Cognito 使用者集區會定義下列條件索引鍵，可用於IAM政策的 Condition元素。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵表。

若要檢視所有服務都可使用的全域條件鍵，請參閱可用全域條件鍵。

條件索引鍵	描述	Type
aws:RequestTag/${TagKey}	依請求中的標籤鍵值對是否存在篩選存取權	字串
aws:ResourceTag/${TagKey}	依連接到資源的標籤鍵值對篩選存取權	字串
aws:TagKeys	依請求中的金鑰是否存在來篩選存取	ArrayOfString