AWS Batch 的動作、資源和條件索引鍵

AWS Batch （服務字首：batch） 提供下列服務特定的資源、動作和條件內容索引鍵，可用於IAM許可政策。

參考資料：

• 了解如何設定此服務。

• 檢視API此服務可用的操作清單 。

• 了解如何使用IAM許可政策來保護此服務及其資源。

AWS Batch 定義的動作

您可以在IAM政策陳述式的 Action元素中指定下列動作。使用政策來授予在 AWS中執行操作的許可。當您在政策中使用 動作時，通常會允許或拒絕存取具有相同名稱API的操作或CLI命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。

「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作ARN的陳述式中指定該類型的 。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您在IAM政策中使用 Resource元素限制資源存取，則必須為每個所需資源類型包含 ARN或 模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。

「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。

注意

資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。

如需下表各欄的詳細資訊，請參閱動作資料表。

動作	描述	存取層級	資源類型 (*必填項目)	條件索引鍵	相依動作
CancelJob	准許取消您帳戶中 AWS 批次任務佇列中的任務	寫入	job*
CreateComputeEnvironment	准許在您的帳戶中建立 AWS 批次運算環境	寫入	compute-environment*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateJobQueue	准許在帳戶中建立 AWS 批次任務佇列	寫入	compute-environment*
			job-queue*	aws:RequestTag/${TagKey} aws:TagKeys
			scheduling-policy
CreateSchedulingPolicy	准許在您的帳戶中建立 AWS 批次排程政策	寫入	scheduling-policy*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteComputeEnvironment	准許刪除您帳戶中的 AWS 批次運算環境	寫入	compute-environment*
DeleteJobQueue	准許刪除您帳戶中的 AWS 批次任務佇列	寫入	job-queue*
DeleteSchedulingPolicy	准許刪除您帳戶中的 AWS 批次排程政策	寫入	scheduling-policy*
DeregisterJobDefinition	准許在帳戶中取消註冊 AWS 批次任務定義	寫入	job-definition-revision*
DescribeComputeEnvironments	准許描述您帳戶中的一個或多個 AWS 批次運算環境	讀取
DescribeJobDefinitions	准許描述您帳戶中的一或多個 AWS 批次任務定義	讀取
DescribeJobQueues	准許描述您帳戶中的一或多個 AWS 批次任務佇列	讀取
DescribeJobs	准許描述您帳戶中的 AWS 批次任務清單	讀取
DescribeSchedulingPolicies	准許描述您帳戶中的一或多個 AWS 批次排程政策	讀取
GetJobQueueSnapshot	准許取得您帳戶中 AWS 批次任務佇列的快照	讀取	job-queue*
ListJobs	准許列出您帳戶中指定 AWS 批次任務佇列的任務	清單
ListSchedulingPolicies	准許列出您帳戶中的 AWS 批次排程政策	讀取
ListTagsForResource	准許列出您帳戶中 AWS 批次資源的標籤	讀取	compute-environment
			job
			job-definition-revision
			job-queue
			scheduling-policy
RegisterJobDefinition	准許在您的帳戶中註冊 AWS 批次任務定義	寫入	job-definition*
				batch:User batch:Privileged batch:Image batch:LogDriver batch:AWSLogsGroup batch:AWSLogsRegion batch:AWSLogsStreamPrefix batch:AWSLogsCreateGroup batch:EKSServiceAccountName batch:EKSImage batch:EKSRunAsUser batch:EKSRunAsGroup batch:EKSPrivileged aws:RequestTag/${TagKey} aws:TagKeys
SubmitJob	准許從您帳戶中的任務定義提交 AWS 批次任務	寫入	job*	batch:ShareIdentifier batch:EKSImage aws:RequestTag/${TagKey} aws:TagKeys
			job-definition*
			job-queue*
TagResource	准許標記您帳戶中的 AWS 批次資源	標記	compute-environment
			job
			job-definition-revision
			job-queue
			scheduling-policy
				aws:RequestTag/${TagKey} aws:TagKeys
TerminateJob	准許在帳戶中的 AWS 批次任務佇列中終止任務	寫入	job*
UntagResource	准許取消標記您帳戶中的 AWS 批次資源	標記	compute-environment
			job
			job-definition-revision
			job-queue
			scheduling-policy
				aws:TagKeys
UpdateComputeEnvironment	准許更新您帳戶中的 AWS 批次運算環境	寫入	compute-environment*
UpdateJobQueue	准許更新您帳戶中的 AWS 批次任務佇列	寫入	job-queue*
			compute-environment
			scheduling-policy
UpdateSchedulingPolicy	准許更新您帳戶中的 AWS 批次排程政策	寫入	scheduling-policy*

AWS Batch 定義的資源類型

下列資源類型由此服務定義，可用於IAM許可政策陳述式的 Resource元素。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。

資源類型	ARN	條件索引鍵
compute-environment	arn:${Partition}:batch:${Region}:${Account}:compute-environment/${ComputeEnvironmentName}	aws:ResourceTag/${TagKey}
job-queue	arn:${Partition}:batch:${Region}:${Account}:job-queue/${JobQueueName}	aws:ResourceTag/${TagKey}
job-definition	arn:${Partition}:batch:${Region}:${Account}:job-definition/${JobDefinitionName}
job-definition-revision	arn:${Partition}:batch:${Region}:${Account}:job-definition/${JobDefinitionName}:${Revision}	aws:ResourceTag/${TagKey}
job	arn:${Partition}:batch:${Region}:${Account}:job/${JobId}	aws:ResourceTag/${TagKey}
scheduling-policy	arn:${Partition}:batch:${Region}:${Account}:scheduling-policy/${SchedulingPolicyName}	aws:ResourceTag/${TagKey}

AWS Batch 的條件索引鍵

AWS Batch 定義下列條件索引鍵，可用於IAM政策的 Condition元素。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵表。

若要檢視所有服務都可使用的全域條件鍵，請參閱可用全域條件鍵。

條件索引鍵	描述	類型
aws:RequestTag/${TagKey}	依要求中傳遞的標籤來篩選存取權	字串
aws:ResourceTag/${TagKey}	依與資源關聯的標籤來篩選存取權	字串
aws:TagKeys	依要求中傳遞的標籤索引鍵來篩選存取權	ArrayOfString
batch:AWSLogsCreateGroup	依指定的日誌記錄驅動程式 (判斷是否會建立日誌的 awslogs 群組) 篩選存取權	Bool
batch:AWSLogsGroup	依日誌所在的 awslog 群組篩選存取權	字串
batch:AWSLogsRegion	依日誌傳送到的區域篩選存取權	字串
batch:AWSLogsStreamPrefix	依 awslog 日誌串流字首篩選存取權	字串
batch:EKSImage	依用來啟動 Amazon EKS任務容器的影像篩選存取權	字串
batch:EKSPrivileged	依指定的權限參數值篩選存取權，該參數值決定容器是否在主機容器執行個體 （類似根使用者） 上獲得提升 Amazon EKS任務的權限	Bool
batch:EKSRunAsGroup	依用於在 Amazon EKS任務中啟動容器的指定群組數字 ID （gid） 篩選存取權	數值
batch:EKSRunAsUser	依用於在 Amazon EKS任務中啟動容器的指定使用者數字 ID （uid） 篩選存取權	數值
batch:EKSServiceAccountName	依用於執行 Amazon EKS任務 Pod 的服務帳戶名稱篩選存取權	字串
batch:Image	依用於啟動容器的映像篩選存取權	字串
batch:LogDriver	依用於容器的日誌驅動程式篩選存取權	字串
batch:Privileged	依指定的權限參數值 (判斷是否授予提高的權限給主機容器執行個體 (與根使用者相似) 上的容器) 篩選存取權	Bool
batch:ShareIdentifier	依提交任務內 shareIdentifier 使用的 篩選存取權	字串
batch:User	依容器內使用的使用者名稱或數值 uid 篩選存取權	字串