本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
AWS Firewall Manager 的動作、資源和條件索引鍵
AWS Firewall Manager 員 (服務前置詞:fms
) 提供下列服務特定資源、動作和條件內容金鑰,以便在 IAM 權限政策中使用。
參考資料:
-
了解如何設定此服務。
-
檢視可供此服務使用的 API 操作清單。
-
了解如何使用 IAM 許可政策來保護此服務及其資源。
AWS Firewall Manager 定義的動作
您可在 IAM 政策陳述式的 Action
元素中指定以下動作。使用政策來授予在 AWS中執行操作的許可。在政策中使用動作時,通常會允許或拒絕存取相同名稱的 API 操作或 CLI 命令。不過,在某些情況下,單一動作可控制對多個操作的存取。或者,某些操作需要多種不同的動作。
「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值,您必須在政策陳述式的 Resource
元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型,則您可以在具有該動作的陳述式中指定該類型的 ARN。如果動作具有一或多個必要資源,呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您使用 IAM 政策中的 Resource
元素限制資源存取,則每種必要的資源類型必須要有 ARN 或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要),則您可以選擇使用其中一種選用資源類型。
「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition
元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊,請參閱「資源類型」資料表的條件索引鍵欄。
注意
資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄,其中包含套用至「動作」資料表中動作的資源條件索引鍵。
如需下表各欄的詳細資訊,請參閱動作資料表。
動作 | 描述 | 存取層級 | 資源類型 (*必填項目) | 條件索引鍵 | 相依動作 |
---|---|---|---|---|---|
AssociateAdminAccount | 授與設定 AWS Firewall Manager 員管理員帳戶的權限,並在所有組織帳號中啟用服務 | 寫入 | |||
AssociateThirdPartyFirewall | 准許將 Firewall Manager 管理員設定為第三方防火牆服務租用户管理員 | 寫入 | |||
BatchAssociateResource | 授與將資源關聯至 AWS Firewall Manager 員資源集的權限 | 寫入 | |||
BatchDisassociateResource | 授與取消資源與 AWS Firewall Manager 員資源集關聯的權限 | 寫入 | |||
DeleteAppsList | 授予永久刪除 AWS Firewall Manager 員應用程式清單的權限 | 寫入 | |||
DeleteNotificationChannel | 授予刪除與 IAM 角色的 AWS Firewall Manager 員關聯以及 Amazon Simple Notification Service (SNS) 主題的權限,該主題用於通知 FM 管理員有關組織中主要 FM 事件和錯誤的資訊 | 寫入 | |||
DeletePolicy | 授予永久刪除 AWS Firewall Manager 員策略的權限 | 寫入 | |||
DeleteProtocolsList | 授與永久刪除 AWS Firewall Manager 員通訊協定清單的權限 | 寫入 | |||
DeleteResourceSet | 授與永久刪除 AWS Firewall Manager 員資源集的權限 | 寫入 | |||
DisassociateAdminAccount | 授與取消已設定為 AWS Firewall Manager 系統管理員帳戶之帳戶之關聯的權限,並停用所有組織帳號中的服務 | 寫入 | |||
DisassociateThirdPartyFirewall | 准許取消 Firewall Manager 管理員與第三方防火牆租用户的關聯 | 寫入 | |||
GetAdminAccount | 授與以 Firewall Manager 員身分傳回與 AWS Firewall Manager 員相關聯之 Organ AWS izations 帳戶的 AWS 權限 | 讀取 | |||
GetAdminScope | 准許傳回所指定帳戶管理範圍的資訊 | 讀取 | |||
GetAppsList | 授與傳回指定 AWS Firewall Manager 員應用程式清單相關資訊的權限 | 讀取 | |||
GetComplianceDetail | 准許擷取特定成員帳戶的詳細合規資訊。詳細資訊包括符合和不符合特定政策的資源 | 讀取 | |||
GetNotificationChannel | 授與擷取用於記錄 AWS Firewall Manager 員 SNS 日誌之 Amazon 簡單通知服務 (SNS) 主題相關資訊的權限 | 讀取 | |||
GetPolicy | 授與擷取有關指定 AWS Firewall Manager 員策略之資訊的權限 | 讀取 | |||
GetProtectionStatus | 准許擷取遭到潛在 DDoS 攻擊時的政策層級攻擊摘要資訊 | 讀取 | |||
GetProtocolsList | 授與傳回指定 AWS Firewall Manager 員通訊協定清單相關資訊的權限 | 讀取 | |||
GetResourceSet | 授與擷取有關指定 AWS Firewall Manager 員資源集之資訊的權限 | 讀取 | |||
GetThirdPartyFirewallAssociationStatus | 准許第三方防火牆廠商租用戶擷取 Firewall Manager 管理員帳戶的加入狀態 | 讀取 | |||
GetViolationDetails | 授與根據指定的 AWS Firewall Manager 員策略擷取資源違規的權限,並 AWS 帳戶 | 讀取 | |||
ListAdminAccountsForOrganization | 授與傳回物件的權限,該 AdminAccounts 物件會列出組織內已登入 Firewall Manager 員的「Firewall Manager 員」管理員 AssociateAdminAccount | 清單 | |||
ListAdminsManagingAccount | 授與列出管理指定 Organ AWS izations 成員帳戶之帳戶的權限 | 清單 | |||
ListAppsLists | 授予返回 AppsListDataSummary 對象數組的權限 | 清單 | |||
ListComplianceStatus | 授與在回應中擷取 PolicyComplianceStatus 物件陣列的權限。用 PolicyComplianceStatus 於取得受指定策略保護的成員帳戶摘要 | 清單 | |||
ListDiscoveredResources | 准許擷取組織帳戶中可與資源集關聯的資源陣列 | 清單 | |||
ListMemberAccounts | 如果發起人是 FMS 管理帳戶,准許擷取成員帳戶 ID 的陣列 | 清單 | |||
ListPolicies | 授予在回應中擷取 PolicySummary 物件陣列的權限 | 清單 | |||
ListProtocolsLists | 授予返回 ProtocolsListDataSummary 對象數組的權限 | 清單 | |||
ListResourceSetResources | 准許擷取目前與資源集關聯的資源陣列 | 清單 | |||
ListResourceSets | 授予擷取 ResourceSetSummary 物件陣列的權限 | 清單 | |||
ListTagsForResource | 准許列出指定資源的標籤 | 讀取 | |||
ListThirdPartyFirewallFirewallPolicies | 准許擷取所有與第三方防火牆管理員帳戶相關聯的第三方防火牆政策清單 | 清單 | |||
PutAdminAccount | 准許建立或更新 Firewall Manager 管理員帳戶 | 寫入 | |||
PutAppsList | 授予建立 AWS Firewall Manager 員應用程式清單的權限 | 寫入 | |||
PutNotificationChannel | 授予指定 IAM 角色和 Amazon Simple Notification Service (SNS) 主題的權限,讓 AWS Firewall Manager 員 (FM) 可以用來通知 FM 管理員有關組織中主要 FM 事件和錯誤的資訊 | 寫入 | |||
PutPolicy | 授予建立 AWS Firewall Manager 員策略的權限 | 寫入 | |||
PutProtocolsList | 授與建立 AWS Firewall Manager 員通訊協定清單的權限 | 寫入 | |||
PutResourceSet | 授與建立 AWS Firewall Manager 員資源集的權限 | 寫入 | |||
TagResource | 准許將標籤新增至指定資源 | 標記 | |||
UntagResource | 准許從指定資源移除標籤 | 標記 | |||
AWS Firewall Manager 定義的資源類型
此服務會定義下列資源類型,並可用在 IAM 許可政策陳述式的 Resource
元素中。動作資料表中的每個動作都會指明可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊,請參閱資源類型資料表。
資源類型 | ARN | 條件索引鍵 |
---|---|---|
policy |
arn:${Partition}:fms:${Region}:${Account}:policy/${Id}
|
|
applications-list |
arn:${Partition}:fms:${Region}:${Account}:applications-list/${Id}
|
|
protocols-list |
arn:${Partition}:fms:${Region}:${Account}:protocols-list/${Id}
|
|
resource-set |
arn:${Partition}:fms:${Region}:${Account}:resource-set/${Id}
|
AWS Firewall Manager 的條件索引鍵
AWS Firewall Manager 員會定義下列可用於 IAM 政策Condition
元素的條件金鑰。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊,請參閱條件索引鍵資料表。
若要檢視所有服務都可使用的全域條件索引鍵,請參閱可用全域條件索引鍵。
條件索引鍵 | 描述 | Type |
---|---|---|
aws:RequestTag/${TagKey} | 依請求中的標籤鍵值對是否存在篩選存取權 | 字串 |
aws:ResourceTag/${TagKey} | 依連接到資源的標籤鍵值對篩選存取權 | 字串 |
aws:TagKeys | 依請求中存在的標籤索引鍵篩選存取權 | ArrayOfString |