Amazon 的動作、資源和條件金鑰 WorkSpaces

Amazon WorkSpaces (服務前置詞:workspaces) 提供下列服務特定資源、動作和條件內容金鑰，可用於 IAM 許可政策。

參考資料：

了解如何設定此服務。
檢視可供此服務使用的 API 操作清單。
了解如何使用 IAM 許可政策來保護此服務及其資源。

主題

Amazon 定義的操作 WorkSpaces
Amazon 定義的資源類型 WorkSpaces
Amazon 的條件密鑰 WorkSpaces

Amazon 定義的操作 WorkSpaces

您可在 IAM 政策陳述式的 Action 元素中指定以下動作。使用政策來授予在 AWS中執行操作的許可。在政策中使用動作時，通常會允許或拒絕存取相同名稱的 API 操作或 CLI 命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。

「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作的陳述式中指定該類型的 ARN。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您使用 IAM 政策中的 Resource 元素限制資源存取，則每種必要的資源類型必須要有 ARN 或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。

「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。

注意

資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。

如需下表各欄的詳細資訊，請參閱動作資料表。

動作	描述	存取層級	資源類型 (*必填項目)	條件索引鍵	相依動作
AcceptAccountLinkInvitation	授予接受來自其他 AWS 帳戶之邀請的權限，以共用 WorkSpaces BYOL 的相同組態	寫入
AssociateConnectionAlias	准許將連線別名與目錄關聯	寫入	connectionalias*
AssociateConnectionAlias	准許將連線別名與目錄關聯	寫入	directoryid*
AssociateIpGroups	准許將 IP 存取控制群組與目錄關聯	寫入	directoryid*
AssociateIpGroups	准許將 IP 存取控制群組與目錄關聯	寫入	workspaceipgroup*
AssociateWorkspaceApplication	授與將工作區應用程式與 WorkSpace	寫入	workspaceapplication*
			workspaceid*
				aws:ResourceTag/${TagKey}
AuthorizeIpRules	准許新增規則至 IP 存取控制群組	寫入	workspaceipgroup*		workspaces:UpdateRulesOfIpGroup
CopyWorkspaceImage	授予複製 WorkSpace 圖像的權限	寫入	workspaceimage*		workspaces:DescribeWorkspaceImages
CopyWorkspaceImage	授予複製 WorkSpace 圖像的權限	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateAccountLinkInvitation	授予邀請其他 AWS 帳戶共用 WorkSpaces BYOL 相同組態的權限	寫入
CreateConnectClientAddIn	准許在目錄中建立 Amazon Connect 用戶端增益集	寫入	directoryid*
CreateConnectionAlias	准許建立連線別名以搭配跨區域重新導向使用	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateIpGroup	准許建立 IP 存取控制群組	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateStandbyWorkspaces	授予建立一或多個待命狀態的權限 WorkSpaces	寫入	directoryid*
			workspaceid*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateTags	授予建立資 WorkSpaces 源標籤的權限	標記		aws:RequestTag/${TagKey} aws:TagKeys
CreateUpdatedWorkspaceImage	授予建立更新 WorkSpace 映像檔的權限	寫入	workspaceimage*
CreateUpdatedWorkspaceImage	授予建立更新 WorkSpace 映像檔的權限	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspaceBundle	授予建立 WorkSpace 套裝軟體的權限	寫入	workspacebundle*		workspaces:CreateTags
			workspaceimage*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspaceImage	授予建立新 WorkSpace 映像檔的權限	寫入	workspaceid*
CreateWorkspaceImage	授予建立新 WorkSpace 映像檔的權限	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkspaces	授予建立一或多個權限 WorkSpaces	寫入	directoryid*
			workspacebundle*
			workspaceid*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAccountLinkInvitation	授予刪除其他 AWS 帳戶邀請的權限，以共用 WorkSpaces BYOL 的相同組態	寫入
DeleteClientBranding	授予刪除目錄中 AWS WorkSpaces 用戶端品牌資料的權限	寫入	directoryid*
DeleteConnectClientAddIn	准許在目錄中刪除已在目錄中設定的 Amazon Connect 用戶端增益集	寫入	directoryid*
DeleteConnectionAlias	准許刪除連線別名	寫入	connectionalias*
DeleteIpGroup	准許刪除 IP 存取控制群組	寫入	workspaceipgroup*
DeleteTags	授予刪除 WorkSpaces 資源標籤的權限	標記		aws:RequestTag/${TagKey} aws:TagKeys
DeleteWorkspaceBundle	授與刪除 WorkSpace 套裝軟體的權限	寫入	workspacebundle*
DeleteWorkspaceImage	授予刪除 WorkSpace 圖像的權限	寫入	workspaceimage*
DeployWorkspaceApplications	授予在上部署所有擱置中工作區應用程式的權限 WorkSpace	寫入	workspaceid*
DeployWorkspaceApplications	授予在上部署所有擱置中工作區應用程式的權限 WorkSpace	寫入		aws:ResourceTag/${TagKey}
DeregisterWorkspaceDirectory	授予取消註冊目錄的權限，以便與 Amazon 一起使用 WorkSpaces	寫入	directoryid*
DescribeAccount	授予權限以擷取帳戶的「自攜授權」(BYOL) 組態 WorkSpaces	讀取
DescribeAccountModifications	授與擷取對帳戶使用自有授權 (BYOL) 組態之修改的權限 WorkSpaces	讀取
DescribeApplicationAssociations	授予擷取與 WorkSpace 應用程式相關聯之資源相關資訊的權限	清單	workspaceapplication*
DescribeApplicationAssociations	授予擷取與 WorkSpace 應用程式相關聯之資源相關資訊的權限	清單		aws:ResourceTag/${TagKey}
DescribeApplications	授予取得 WorkSpace 應用程式相關資訊的權限	清單
DescribeBundleAssociations	授予擷取與 WorkSpace 套裝軟體關聯之資源相關資訊的權限	清單	workspacebundle*
DescribeBundleAssociations	授予擷取與 WorkSpace 套裝軟體關聯之資源相關資訊的權限	清單		aws:ResourceTag/${TagKey}
DescribeClientBranding	授予擷取目錄中 AWS WorkSpaces 用戶端品牌資料的權限	讀取	directoryid*
DescribeClientProperties	授予擷取 WorkSpaces 用戶端相關資訊的權限	清單	directoryid*
DescribeConnectClientAddIns	准許擷取已建立的 Amazon Connect 用戶端增益集清單	清單	directoryid*
DescribeConnectionAliasPermissions	授與權限，以擷取連線別名擁有者已授與其他 AWS 帳戶連線別名的權限	讀取	connectionalias*
DescribeConnectionAliases	准許擷取描述用於跨區域重新導向之連線別名的清單	讀取
DescribeImageAssociations	授予擷取與 WorkSpace 影像相關聯之資源相關資訊的權限	清單	workspaceimage*
DescribeImageAssociations	授予擷取與 WorkSpace 影像相關聯之資源相關資訊的權限	清單		aws:ResourceTag/${TagKey}
DescribeIpGroups	准許擷取 IP 存取控制群組的相關資訊	讀取	workspaceipgroup*
DescribeTags	授予描述資 WorkSpaces 源標籤的權限	讀取
DescribeWorkspaceAssociations	授予擷取與相關聯之資源相關資訊的權限 WorkSpace	清單	workspaceid*
DescribeWorkspaceAssociations	授予擷取與相關聯之資源相關資訊的權限 WorkSpace	清單		aws:ResourceTag/${TagKey}
DescribeWorkspaceBundles	授與取得 WorkSpace 套裝軟體相關資訊的權限	清單
DescribeWorkspaceDirectories	授與擷取註冊之目錄相關資訊的權限 WorkSpaces	讀取
DescribeWorkspaceImagePermissions	授予檢索有關 WorkSpace 圖像權限信息的權限	讀取	workspaceimage*
DescribeWorkspaceImages	授予檢索有關 WorkSpace 圖像信息的權限	清單
DescribeWorkspaceSnapshots	授與擷取 WorkSpace 快照相關資訊的權限	清單	workspaceid*
DescribeWorkspaces	授予取得相關資訊的權限 WorkSpaces	清單
DescribeWorkspacesConnectionStatus	授與取得連線狀態的權限 WorkSpaces	讀取
DisassociateConnectionAlias	准許取消連線別名與目錄的關聯	寫入	connectionalias*
DisassociateIpGroups	准許取消 IP 存取控制群組與目錄的關聯	寫入	directoryid*
DisassociateIpGroups	准許取消 IP 存取控制群組與目錄的關聯	寫入	workspaceipgroup*
DisassociateWorkspaceApplication	授與取消工作區應用程式與 WorkSpace	寫入	workspaceapplication*
			workspaceid*
				aws:ResourceTag/${TagKey}
GetAccountLink	授與與另一個 AWS 帳戶擷取連結以共用 WorkSpaces BYOL 設定的權限	讀取
ImportClientBranding	授予在目錄中匯入 AWS WorkSpaces 用戶端品牌資料的權限	寫入	directoryid*
ImportWorkspaceImage	授予將自帶授權 (BYOL) 映像匯入 Amazon 的權限 WorkSpaces	寫入			ec2:DescribeImages ec2:ModifyImageAttribute
ListAccountLinks	授與與共用 WorkSpaces BYOL 設定之 AWS 帳戶連結擷取連結的權限	清單
ListAvailableManagementCidrRanges	授予列出可用 CIDR 範圍的權限，以便為帳戶啟用自有授權 (BYOL) WorkSpaces	清單
MigrateWorkspace	授予移轉權限 WorkSpaces	寫入	workspacebundle*
MigrateWorkspace	授予移轉權限 WorkSpaces	寫入	workspaceid*
ModifyAccount	授予修改帳戶使用授權 (BYOL) 組態的權限 WorkSpaces	寫入
ModifyCertificateBasedAuthProperties	准許修改目錄的憑證型授權屬性	寫入	directoryid*
ModifyClientProperties	授予修改 WorkSpaces 用戶端內容的權限	寫入	directoryid*
ModifySamlProperties	准許修改目錄的 SAML 屬性	寫入	directoryid*
ModifySelfservicePermissions	授與修改使用者自助 WorkSpace 管理功能的權限	許可管理	directoryid*
ModifyWorkspaceAccessProperties	授予指定使用者可用來存取其裝置和作業系統的權限 WorkSpaces	寫入	directoryid*
ModifyWorkspaceCreationProperties	授予修改用於建立之預設屬性的權限 WorkSpaces	寫入	directoryid*
ModifyWorkspaceProperties	授予修改 WorkSpace 屬性的權限，包括執行模式和 AutoStop 期間	寫入	workspaceid*
ModifyWorkspaceState	授予修改狀態的權限 WorkSpaces	寫入	workspaceid*
RebootWorkspaces	授予重新啟動權限 WorkSpaces	寫入	workspaceid*
RebuildWorkspaces	授予重建權限 WorkSpaces	寫入	workspaceid*
RegisterWorkspaceDirectory	授予註冊用於 Amazon 的目錄的權限 WorkSpaces	寫入	directoryid*
RegisterWorkspaceDirectory	授予註冊用於 Amazon 的目錄的權限 WorkSpaces	寫入		aws:RequestTag/${TagKey} aws:TagKeys
RejectAccountLinkInvitation	授予拒絕來自其他 AWS 帳戶的邀請以共用 WorkSpaces BYOL 相同組態的權限	寫入
RestoreWorkspace	授予還原權限 WorkSpaces	寫入	workspaceid*
RevokeIpRules	准許從 IP 存取控制群組移除規則	寫入	workspaceipgroup*		workspaces:UpdateRulesOfIpGroup
StartWorkspaces	授予啟動權限 AutoStop WorkSpaces	寫入	workspaceid*
StopWorkspaces	授予停止權限 AutoStop WorkSpaces	寫入	workspaceid*
Stream	准許聯合身分使用者透過使用現有的憑證及串流工作空間來登入	寫入	directoryid*
Stream	准許聯合身分使用者透過使用現有的憑證及串流工作空間來登入	寫入		workspaces:userId
TerminateWorkspaces	授予終止權限 WorkSpaces	寫入	workspaceid*
UpdateConnectClientAddIn	准許更新 Amazon Connect 用戶端增益集。使用此動作以更新 Amazon Connect 用戶端增益集的名稱和端點 URL	寫入	directoryid*
UpdateConnectionAliasPermission	准許與其他帳戶共享或取消共享連線別名	許可管理	connectionalias*
UpdateRulesOfIpGroup	准許取代 IP 存取控制群組的規則	寫入	workspaceipgroup*		workspaces:AuthorizeIpRules workspaces:RevokeIpRules
UpdateWorkspaceBundle	授予更新 WorkSpace 套裝軟體中使用之 WorkSpace 影像的權限	寫入	workspacebundle*
UpdateWorkspaceBundle	授予更新 WorkSpace 套裝軟體中使用之 WorkSpace 影像的權限	寫入	workspaceimage*
UpdateWorkspaceImagePermission	指定其他帳戶是否有複製 WorkSpace 影像的權限，授予與其他帳戶共用或取消共用影像的權限	許可管理	workspaceimage*

Amazon 定義的資源類型 WorkSpaces

此服務會定義下列資源類型，並可用在 IAM 許可政策陳述式的 Resource 元素中。動作資料表中的每個動作都會指明可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。

資源類型	ARN	條件索引鍵
directoryid	`arn:${Partition}:workspaces:${Region}:${Account}:directory/${DirectoryId}`	aws:ResourceTag/${TagKey}
workspacebundle	`arn:${Partition}:workspaces:${Region}:${Account}:workspacebundle/${BundleId}`	aws:ResourceTag/${TagKey}
workspaceid	`arn:${Partition}:workspaces:${Region}:${Account}:workspace/${WorkspaceId}`	aws:ResourceTag/${TagKey}
workspaceimage	`arn:${Partition}:workspaces:${Region}:${Account}:workspaceimage/${ImageId}`	aws:ResourceTag/${TagKey}
workspaceipgroup	`arn:${Partition}:workspaces:${Region}:${Account}:workspaceipgroup/${GroupId}`	aws:ResourceTag/${TagKey}
connectionalias	`arn:${Partition}:workspaces:${Region}:${Account}:connectionalias/${ConnectionAliasId}`	aws:ResourceTag/${TagKey}
workspaceapplication	`arn:${Partition}:workspaces:${Region}:${Account}:workspaceapplication/${WorkSpaceApplicationId}`	aws:ResourceTag/${TagKey}

Amazon 的條件密鑰 WorkSpaces

Amazon WorkSpaces 定義了下列可用於 IAM 政策Condition元素的條件金鑰。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵資料表。

若要檢視所有服務都可使用的全域條件索引鍵，請參閱可用全域條件索引鍵。

條件索引鍵	描述	類型
aws:RequestTag/${TagKey}	根據請求中傳遞的標籤來篩選存取權	字串
aws:ResourceTag/${TagKey}	根據與資源關聯的標籤來篩選存取權	字串
aws:TagKeys	根據請求中傳遞的標籤索引鍵來篩選存取權	ArrayOfString
workspaces:userId	依 Workspaces 使用者的 ID 篩選存取權	字串

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

Amazon WorkMail Message Flow

Amazon WorkSpaces Application Manager