本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
Amazon Elastic Container Service 的動作、資源與條件索引鍵
Amazon Elastic Container Service （服務字首：ecs） 提供下列服務特定的資源、動作和條件內容索引鍵，可用於IAM許可政策。
參考資料：
-
了解如何設定此服務。
-
檢視API此服務可用的操作清單 。
-
了解如何使用IAM許可政策來保護此服務及其資源。
主題
Amazon Elastic Container Service 定義的動作
您可以在IAM政策陳述式的 Action元素中指定下列動作。使用政策來授予在 AWS中執行操作的許可。當您在政策中使用動作時，通常會允許或拒絕對相同名稱API的操作或CLI命令的存取。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。
「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作ARN的陳述式中指定該類型的 。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您在IAM政策中使用 Resource元素限制資源存取，則必須為每個所需資源類型包含 ARN或 模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。
「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。
注意
資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。
如需下表各欄的詳細資訊，請參閱動作資料表。
| 動作 | 描述 | 存取層級 | 資源類型 (*必填項目) | 條件索引鍵 | 相依動作 |
|---|---|---|---|---|---|
| CreateCapacityProvider | 准許建立新容量提供者。容量提供者與 Amazon ECS叢集相關聯，並用於容量提供者策略，以促進叢集自動擴展 | 寫入 | |||
| CreateCluster | 准許建立新的 Amazon ECS叢集 | 寫入 | |||
| CreateService | 透過建立服務，准許從指定任務定義執行和維護所需的任務數量 | 寫入 | |||
| CreateTaskSet | 准許建立新的 Amazon ECS任務集 | 寫入 | |||
| DeleteAccountSetting | 准許修改指定IAM使用者、IAM角色或帳戶根使用者的 資源和資源 ARN ID 格式。您可以指定是否為建立的新ARN資源停用新的和資源 ID 格式 | 寫入 | |||
| DeleteAttributes | 准許從 Amazon ECS 資源中刪除一或多個自訂屬性 | 寫入 | |||
| DeleteCapacityProvider | 准許刪除指定的容量提供者 | 寫入 | |||
| DeleteCluster | 准許刪除指定的叢集 | 寫入 | |||
| DeleteService | 准許刪除叢集內的指定服務 | 寫入 | |||
| DeleteTaskDefinitions | 准許依系列和修訂版刪除指定的任務定義 | 寫入 | |||
| DeleteTaskSet | 准許刪除指定的任務集 | 寫入 | |||
| DeregisterContainerInstance | 准許從指定的叢集取消註冊 Amazon ECS容器執行個體 | 寫入 | |||
| DeregisterTaskDefinition | 准許依系列和修訂版取消註冊指定的任務定義 | 寫入 | |||
| DescribeCapacityProviders | 准許描述一或多個 Amazon ECS容量提供者 | 讀取 | |||
| DescribeClusters | 准許描述一個或多個叢集 | 讀取 | |||
| DescribeContainerInstances | 准許描述 Amazon ECS容器執行個體 | 讀取 | |||
| DescribeServices | 准許描述叢集中執行之指定服務 | 讀取 | |||
| DescribeTaskDefinition | 准許描述任務定義。您可以指定系列和修訂版本，以尋找特定任務定義的相關資訊，也可以直接指定系列以尋找該系列中的最新ACTIVE修訂版本 | 讀取 | |||
| DescribeTaskSets | 准許描述 Amazon ECS任務集 | 讀取 | |||
| DescribeTasks | 准許描述指定的任務或任務 | 讀取 | |||
| DiscoverPollEndpoint | 准許取得 Amazon ECS代理程式的端點以輪詢更新 | 寫入 | |||
| ExecuteCommand | 准許在 Amazon ECS容器上遠端執行命令 | 寫入 | |||
| GetTaskProtection | 准許擷取 Amazon ECS服務中任務的保護狀態 | 讀取 | |||
| ListAccountSettings | 准許列出指定委託人 Amazon ECS 資源的帳戶設定 | 讀取 | |||
| ListAttributes | 准許列出指定目標類型和叢集內 Amazon ECS 資源的屬性 | 清單 | |||
| ListClusters | 准許取得現有叢集的清單 | 列出 | |||
| ListContainerInstances | 准許取得指定叢集中容器執行個體的清單 | 列出 | |||
| ListServices | 准許取得在指定叢集中執行之服務的清單 | 清單 | |||
| ListServicesByNamespace | 准許取得在指定 AWS 雲端 Map Namespace 中執行的服務清單 | 清單 | |||
| ListTagsForResource | 准許取得特定資源標籤的清單 | 讀取 | |||
| ListTaskDefinitionFamilies | 准許取得已註冊至您帳戶的任務定義系列清單 （其中可能包含不再具有任何任務定義的ACTIVE任務定義系列） | 清單 | |||
| ListTaskDefinitions | 准許取得已向您帳戶註冊的任務定義清單 | 列出 | |||
| ListTasks | 准許取得指定叢集的任務清單 | 列出 | |||
| Poll [僅限許可] | 准許代理程式與 Amazon ECS服務連線，以報告狀態並取得命令 | 寫入 | |||
| PutAccountSetting | 准許修改指定IAM使用者、IAM角色或帳戶根使用者的 資源和資源 ARN ID 格式。您可以指定是否為建立的新ARN資源啟用新的和資源 ID 格式。需要啟用此設定才能使用新的 Amazon ECS功能，例如資源標記 | 寫入 | |||
| PutAccountSettingDefault | 准許修改未設定個別帳戶設定的帳戶中IAM所有使用者的資源類型ARN和資源 ID 格式。需要啟用此設定才能使用新的 Amazon ECS功能，例如資源標記 | 寫入 | |||
| PutAttributes | 准許在 Amazon ECS 資源上建立或更新屬性 | 寫入 | |||
| PutClusterCapacityProviders | 准許修改叢集的可用容量提供者和預設容量提供者策略 | 寫入 | |||
| RegisterContainerInstance | 准許將EC2執行個體註冊至指定的叢集 | 寫入 | |||
| RegisterTaskDefinition | 准許從提供的系列和 註冊新的任務定義 containerDefinitions | 寫入 | |||
| RunTask | 准許使用隨機置放和預設 Amazon ECS排程器啟動任務 | 寫入 |
iam:PassRole |
||
| StartTask | 准許從指定容器執行個體或執行個體上的指定任務定義，開始進行新的任務 | 寫入 |
iam:PassRole |
||
| StartTelemetrySession | 准許啟動遙測工作階段 | 寫入 | |||
| StopTask | 准許停止執行任務 | 寫入 | |||
| SubmitAttachmentStateChanges | 准許傳送附件已變更狀態的確認通知 | 寫入 | |||
| SubmitContainerStateChange | 准許傳送容器已變更狀態的確認通知 | 寫入 | |||
| SubmitTaskStateChange | 准許傳送任務已變更狀態的確認通知 | 寫入 | |||
| TagResource | 准許標記指定資源 | 標記 | |||
| UntagResource | 准許取消標記指定資源 | 標記 | |||
| UpdateCapacityProvider | 准許更新指定的容量提供者 | 寫入 | |||
| UpdateCluster | 准許修改用於叢集之組態或設定 | 寫入 | |||
| UpdateClusterSettings | 准許修改用於叢集的設定 | 寫入 | |||
| UpdateContainerAgent | 准許更新指定ECS容器執行個體上的 Amazon 容器代理程式 | 寫入 | |||
| UpdateContainerInstancesState | 准許使用者修改 Amazon ECS容器執行個體的狀態 | 寫入 | |||
| UpdateService | 准許修改服務的參數 | 寫入 | |||
| UpdateServicePrimaryTaskSet | 准許修改服務中使用之主要任務集 | 寫入 | |||
| UpdateTaskProtection | 准許修改任務的保護狀態 | 寫入 | |||
| UpdateTaskSet | 准許更新指定的任務集 | 寫入 | |||
Amazon Elastic Container Service 定義的資源類型
下列資源類型由此服務定義，可用於IAM許可政策陳述式的 Resource元素。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。
| 資源類型 | ARN | 條件索引鍵 |
|---|---|---|
| cluster |
arn:${Partition}:ecs:${Region}:${Account}:cluster/${ClusterName}
|
|
| container-instance |
arn:${Partition}:ecs:${Region}:${Account}:container-instance/${ClusterName}/${ContainerInstanceId}
|
|
| service |
arn:${Partition}:ecs:${Region}:${Account}:service/${ClusterName}/${ServiceName}
|
|
| task |
arn:${Partition}:ecs:${Region}:${Account}:task/${ClusterName}/${TaskId}
|
|
| task-definition |
arn:${Partition}:ecs:${Region}:${Account}:task-definition/${TaskDefinitionFamilyName}:${TaskDefinitionRevisionNumber}
|
|
| capacity-provider |
arn:${Partition}:ecs:${Region}:${Account}:capacity-provider/${CapacityProviderName}
|
|
| task-set |
arn:${Partition}:ecs:${Region}:${Account}:task-set/${ClusterName}/${ServiceName}/${TaskSetId}
|
Amazon Elastic Container Service 的條件索引鍵
Amazon Elastic Container Service 定義下列條件索引鍵，可用於IAM政策的 Condition元素。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵表。
若要檢視所有服務都可使用的全域條件鍵，請參閱可用全域條件鍵。
| 條件索引鍵 | 描述 | 類型 |
|---|---|---|
| aws:RequestTag/${TagKey} | 依要求中傳遞的標籤來篩選存取權 | 字串 |
| aws:ResourceTag/${TagKey} | 依連接到資源的標籤鍵值對篩選存取權 | 字串 |
| aws:TagKeys | 依要求中傳遞的標籤索引鍵來篩選存取權 | ArrayOfString |
| ecs:CreateAction | 依資源建立API動作的名稱篩選存取權 | 字串 |
| ecs:ResourceTag/${TagKey} | 依連接到資源的標籤鍵值對篩選存取權 | 字串 |
| ecs:account-setting | 依 Amazon ECS帳戶設定名稱篩選存取權 | 字串 |
| ecs:capacity-provider | 依 Amazon ECS容量提供者ARN的 篩選存取權 | ARN |
| ecs:cluster | 依 Amazon ECS叢集ARN的 篩選存取權 | ARN |
| ecs:container-instances | 依 Amazon ECS容器執行個體ARN的 篩選存取權 | ARN |
| ecs:container-name | 依ECS任務定義中定義的 Amazon ECS容器名稱篩選存取權 | 字串 |
| ecs:enable-ebs-volumes | 依ECS任務或服務的 Amazon ECS受管 Amazon EBS磁碟區功能篩選存取權 | 字串 |
| ecs:enable-execute-command | 依 Amazon ECS任務或 Amazon ECS服務的執行命令功能篩選存取權 | 字串 |
| ecs:enable-service-connect | 依 Service Connect 組態中的啟用欄位值篩選存取權 | 字串 |
| ecs:fargate-ephemeral-storage-kms-key | 依 AWS KMS請求中提供的金鑰 ID 篩選存取權 | 字串 |
| ecs:namespace | 依 Service Connect 組態中定義的ARN AWS 雲端 地圖命名空間篩選存取權 | ARN |
| ecs:service | 依 Amazon ARN ECS服務的 篩選存取權 | ARN |
| ecs:task | 依 Amazon ECS任務ARN的 篩選存取權 | ARN |
| ecs:task-definition | 依 Amazon ARN ECS任務定義的 篩選存取權 | ARN |
