AWS Service Catalog 的動作、資源和條件索引鍵

AWS Service Catalog (服務前置詞:servicecatalog) 提供下列服務特定資源、動作和條件內容金鑰，以供 IAM 權限政策使用。

參考資料：

了解如何設定此服務。
檢視可供此服務使用的 API 操作清單。
了解如何使用 IAM 許可政策來保護此服務及其資源。

主題

AWS Service Catalog 定義的動作
AWS Service Catalog 定義的資源類型
AWS Service Catalog 的條件索引鍵

AWS Service Catalog 定義的動作

您可在 IAM 政策陳述式的 Action 元素中指定以下動作。使用政策來授予在 AWS中執行操作的許可。在政策中使用動作時，通常會允許或拒絕存取相同名稱的 API 操作或 CLI 命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。

「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作的陳述式中指定該類型的 ARN。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您使用 IAM 政策中的 Resource 元素限制資源存取，則每種必要的資源類型必須要有 ARN 或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。

「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。

注意

資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。

如需下表各欄的詳細資訊，請參閱動作資料表。

動作	描述	存取層級	資源類型 (*必填項目)	條件索引鍵	相依動作
AcceptPortfolioShare	准許接受與您共享的產品組合	寫入	Portfolio*
AssociateAttributeGroup	准許關聯屬性群組與應用程式	寫入	Application*
AssociateAttributeGroup	准許關聯屬性群組與應用程式	寫入	AttributeGroup*
AssociateBudgetWithResource	准許將 WebACL 與資源建立關聯。	寫入
AssociatePrincipalWithPortfolio	准許將 IAM 委託人與產品組合建立關聯，讓指定的委託人能夠存取與指定產品組合關聯的任何產品	寫入	Portfolio*
AssociateProductWithPortfolio	准許建立產品組合的關聯	寫入
AssociateResource	准許關聯資源與應用程式	寫入	Application*		cloudformation:DescribeStacks resource-groups:CreateGroup resource-groups:GetGroup resource-groups:Tag
AssociateResource	准許關聯資源與應用程式	寫入		servicecatalog:ResourceType servicecatalog:Resource
AssociateServiceActionWithProvisioningArtifact	准許將動作與佈建成品建立關聯	寫入	Product*
AssociateTagOptionWithResource	授予將指定 TagOption 與指定產品組合或產品相關聯的權限	寫入	Portfolio
AssociateTagOptionWithResource	授予將指定 TagOption 與指定產品組合或產品相關聯的權限	寫入	Product
BatchAssociateServiceActionWithProvisioningArtifact	准許將多個自助動作與佈建成品建立關聯	寫入
BatchDisassociateServiceActionFromProvisioningArtifact	准許取消批次自助服務動作與指定佈建成品的關聯	寫入
CopyProduct	准許將指定的來源產品複製到指定的目標產品或新的產品。	寫入
CreateApplication	准許建立應用程式	寫入	Application*		iam:CreateServiceLinkedRole
CreateApplication	准許建立應用程式	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateAttributeGroup	准許建立屬性群組	寫入	AttributeGroup*
CreateAttributeGroup	准許建立屬性群組	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateConstraint	准許建立關聯產品和產品組合的限制條件	寫入	Product*
CreatePortfolio	准許建立分割區	寫入	Portfolio*
CreatePortfolio	准許建立分割區	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreatePortfolioShare	授予與他人分享您擁有的投資組合的權限 AWS 帳戶	許可管理	Portfolio*
CreateProduct	准許建立產品及該產品的第一個佈建成品	寫入	Product*
CreateProduct	准許建立產品及該產品的第一個佈建成品	寫入		aws:RequestTag/${TagKey} aws:TagKeys
CreateProvisionedProductPlan	准許新增已佈建產品計劃	寫入		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
CreateProvisioningArtifact	准許將新佈建成品新增至現有產品	寫入	Product*
CreateServiceAction	准許建立自助服務動作	寫入
CreateTagOption	授予建立權限 TagOption	寫入
DeleteApplication	如果已從應用程式移除所有關聯，則准許刪除該應用程式	寫入	Application*
DeleteAttributeGroup	如果已從屬性群組移除所有關聯，則准許刪除屬性群組	寫入	AttributeGroup*
DeleteConstraint	准許從相關產品和產品組合移除和刪除現有限制條件	寫入
DeletePortfolio	准許在某產品組合中的所有關聯和共享遭移除時，刪除該產品組合	寫入	Portfolio*
DeletePortfolioShare	授予取消共享您先前與之共享投資組合的投資組合的權限 AWS 帳戶	許可管理	Portfolio*
DeleteProduct	准許在從產品中移除所有關聯時刪除產品	寫入	Product*
DeleteProvisionedProductPlan	准許刪除已佈建產品計劃	寫入		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
DeleteProvisioningArtifact	准許從產品刪除佈建成品	寫入	Product*
DeleteServiceAction	准許刪除自助服務動作	寫入
DeleteTagOption	授予刪除指定的權限 TagOption	寫入
DescribeConstraint	准許描述限制條件	讀取
DescribeCopyProductStatus	准許取得指定複製產品的作業狀態	讀取
DescribePortfolio	准許描述入口網站	讀取	Portfolio*
DescribePortfolioShareStatus	准許取得指定組合共享作業的狀態	讀取
DescribePortfolioShares	准許檢視針對指定產品組合所建立之每個產品組合共用的摘要	列出	Portfolio*
DescribeProduct	准許將產品描述為一般使用者	讀取	Product*
DescribeProductAsAdmin	准許管理員身分描述產品	讀取	Product*
DescribeProductView	准許將產品描述為一般使用者	讀取
DescribeProvisionedProduct	准許描述已佈建產品	讀取		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
DescribeProvisionedProductPlan	准許描述已佈建產品計劃	讀取		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
DescribeProvisioningArtifact	准許描述佈建成品	讀取	Product*
DescribeProvisioningParameters	准許描述您所需的參數，來指定成功佈建指定的佈建成品	讀取	Product*
DescribeRecord	准許描述記錄並列出任何輸出	讀取		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
DescribeServiceAction	准許描述自助服務動作	讀取
DescribeServiceActionExecutionParameters	如果您對指定的佈建產品執行指定的服務動作，則會取得預設參數。	讀取		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
DescribeTagOption	授予取得有關指定之資訊的權限 TagOption	讀取
DisableAWSOrganizationsAccess	授予透過組 Organ AWS izations 功能停用投資組合共用的權限	寫入
DisassociateAttributeGroup	准許將屬性群組與應用程式取消關聯	寫入	Application*
DisassociateAttributeGroup	准許將屬性群組與應用程式取消關聯	寫入	AttributeGroup*
DisassociateBudgetFromResource	准許取消預算與資源關聯	寫入
DisassociatePrincipalFromPortfolio	准許將 IAM 主體與產品組合取消關聯	寫入	Portfolio*
DisassociateProductFromPortfolio	准許取消產品與產品組合之關聯	寫入
DisassociateResource	准許將資源與應用程式取消關聯	寫入	Application*		resource-groups:DeleteGroup
DisassociateResource	准許將資源與應用程式取消關聯	寫入		servicecatalog:ResourceType servicecatalog:Resource
DisassociateServiceActionFromProvisioningArtifact	准許將指定自助式動作的關聯與指定佈建成品取消關聯	寫入	Product*
DisassociateTagOptionFromResource	授予取消指定與指定資源之關聯 TagOption 的權限	寫入	Portfolio
DisassociateTagOptionFromResource	授予取消指定與指定資源之關聯 TagOption 的權限	寫入	Product
EnableAWSOrganizationsAccess	授予透過組 Organizations 啟用投資組合共用功能的 AWS 權限	寫入
ExecuteProvisionedProductPlan	准許執行已佈建產品計劃	寫入		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
ExecuteProvisionedProductServiceAction	准許執行已佈建產品計劃	寫入		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
GetAWSOrganizationsAccessStatus	授予取得 AWS 組織組合共用功能存取狀態的權限	讀取
GetApplication	准許取得應用程式	讀取	Application*
GetAssociatedResource	准許取得與應用程式相關聯的資源資訊	讀取	Application*
GetAssociatedResource	准許取得與應用程式相關聯的資源資訊	讀取		servicecatalog:ResourceType servicecatalog:Resource
GetAttributeGroup	准許取得屬性群組	讀取	AttributeGroup*
GetConfiguration	授予讀取 AppRegistry 配置的權限	讀取
GetProvisionedProductOutputs	准許取得具有佈建產品 ID 或名稱的已佈建產品輸出	讀取
ImportAsProvisionedProduct	准許將資源匯入佈建的產品	寫入	Product*
ListAcceptedPortfolioShares	准許列出已與您共享且您已接受之投資組合	清單
ListApplications	准許列出應用程式	清單
ListAssociatedAttributeGroups	准許列出與應用程式關聯的屬性群組	列出	Application*
ListAssociatedResources	准許列出與應用程式關聯的資源	清單	Application*
ListAttributeGroups	准許列出屬性群組	清單
ListAttributeGroupsForApplication	准許列出與給定應用程式相關聯之屬性群組	清單	Application*
ListBudgetsForResource	准許列出與資源相關聯之所有預算	列出
ListConstraintsForPortfolio	准許列出與指定組合相關聯之約束	列出
ListLaunchPaths	准許列出以一般使用者身分啟動指定產品的不同方式	列出	Product*
ListOrganizationPortfolioAccess	准許列出可存取指定組合之組織節點	清單
ListPortfolioAccess	授予列出您共享給定投資組合的 AWS 帳戶的權限	清單	Portfolio*
ListPortfolios	准許列出您帳戶中投資組合	列出
ListPortfoliosForProduct	准許列出與指定產品相關聯之產品組合	列出	Product*
ListPrincipalsForPortfolio	准許列出與指定產品組合相關聯的 IAM 委託人	列出	Portfolio*
ListProvisionedProductPlans	准許列出已佈建產品計劃	列出		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
ListProvisioningArtifacts	准許列出與指定產品相關聯之佈建成品	列出	Product*
ListProvisioningArtifactsForServiceAction	准許列出指定自助服務動作之所有佈建成品	列出
ListRecordHistory	准許列出您帳戶中的所有記錄或與特定佈建產品相關的所有記錄	清單		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
ListResourcesForTagOption	授予列出與指定相關聯之資源的權限 TagOption	清單
ListServiceActions	准許列出所有自助服務動作	列出
ListServiceActionsForProvisioningArtifact	准許列出與您帳戶中指定的佈建成品相關聯的所有服務動作	列出	Product*
ListServiceActionsForProvisioningArtifact	准許列出與您帳戶中指定的佈建成品相關聯的所有服務動作	列出		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
ListStackInstancesForProvisionedProduct	准許列出與 CFN_STACKSET 類型佈建產品相關聯之每個堆疊執行個體的帳戶、區域和狀態	清單		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
ListTagOptions	授予列出指定 TagOptions 或全部的權限 TagOptions	清單
ListTagsForResource	准許列出 Service Catalog AppRegistry 資源的標籤	讀取	Application
ListTagsForResource	准許列出 Service Catalog AppRegistry 資源的標籤	讀取	AttributeGroup
NotifyProvisionProductEngineWorkflowResult	准許通知佈建引擎執行的結果	寫入
NotifyTerminateProvisionedProductEngineWorkflowResult	准許通知終止引擎執行的結果	寫入
NotifyUpdateProvisionedProductEngineWorkflowResult	准許通知更新引擎執行的結果	寫入
ProvisionProduct	准許使用指定佈建成品和啟動參數佈建產品	寫入	Product*
PutConfiguration	授予指派 AppRegistry 組態的權限	寫入
RejectPortfolioShare	准許拒絕您先前接受的投資組合	寫入	Portfolio*
ScanProvisionedProducts	准許列出您帳戶中所有已佈建產品	列出		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
SearchProducts	准許列出您作為一般使用者可用產品	列出
SearchProductsAsAdmin	准許列出您帳戶中的所有產品或與特定產品組合關聯的所有產品	列出
SearchProvisionedProducts	准許列出您帳戶中所有已佈建產品	清單		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
SyncResource	授予將資源與其目前狀態同步處理的權限 AppRegistry	寫入			cloudformation:UpdateStack
TagResource	准許標記 Service Catalog AppRegistry 資源	標記	Application
			AttributeGroup
				aws:TagKeys aws:RequestTag/${TagKey}
TerminateProvisionedProduct	准許終止現有已佈建產品	寫入		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
UntagResource	准許從 Service Catalog AppRegistry 資源中移除標籤	標記	Application
			AttributeGroup
				aws:TagKeys aws:RequestTag/${TagKey}
UpdateApplication	准許更新現有應用程式的屬性	寫入	Application*		iam:CreateServiceLinkedRole
UpdateAttributeGroup	准許更新現有屬性群組的屬性	寫入	AttributeGroup*
UpdateConstraint	准許更新現有約束的中繼資料欄位	寫入
UpdatePortfolio	准許更新現有組合的中繼資料欄位和/或標籤	寫入	Portfolio*
UpdatePortfolio	准許更新現有組合的中繼資料欄位和/或標籤	寫入		aws:RequestTag/${TagKey} aws:TagKeys
UpdatePortfolioShare	准許啟用或停用現有產品組合共用的資源共用	許可管理	Portfolio*
UpdateProduct	准許更新現有產品的中繼資料欄位和/或標籤	寫入	Product*
UpdateProduct	准許更新現有產品的中繼資料欄位和/或標籤	寫入		aws:RequestTag/${TagKey} aws:TagKeys
UpdateProvisionedProduct	准許更新現有已佈建產品	寫入		servicecatalog:accountLevel servicecatalog:roleLevel servicecatalog:userLevel
UpdateProvisionedProductProperties	准許更新現有已佈建產品內容	寫入
UpdateProvisioningArtifact	准許更新現有佈建成品之中繼資料欄位	寫入	Product*
UpdateServiceAction	准許更新自助服務動作	寫入
UpdateTagOption	授予更新指定的的權限 TagOption	寫入

AWS Service Catalog 定義的資源類型

此服務會定義下列資源類型，並可用在 IAM 許可政策陳述式的 Resource 元素中。動作資料表中的每個動作都會指明可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。

資源類型	ARN	條件索引鍵
Application	`arn:${Partition}:servicecatalog:${Region}:${Account}:/applications/${ApplicationId}`	aws:ResourceTag/${TagKey}
AttributeGroup	`arn:${Partition}:servicecatalog:${Region}:${Account}:/attribute-groups/${AttributeGroupId}`	aws:ResourceTag/${TagKey}
Portfolio	`arn:${Partition}:catalog:${Region}:${Account}:portfolio/${PortfolioId}`	aws:ResourceTag/${TagKey}
Product	`arn:${Partition}:catalog:${Region}:${Account}:product/${ProductId}`	aws:ResourceTag/${TagKey}

AWS Service Catalog 的條件索引鍵

AWS Service Catalog 定義了下列可用於 IAM 政策Condition元素的條件金鑰。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵資料表。

若要檢視所有服務都可使用的全域條件索引鍵，請參閱可用全域條件索引鍵。

注意

如需有關呈現如何在 IAM 政策中使用這些條件索引鍵的政策範例，請參閱《Service Catalog 管理員指南》中的佈建產品管理的存取政策範例。

條件索引鍵	描述	Type
aws:RequestTag/${TagKey}	依請求中的標籤鍵值對是否存在篩選存取權	字串
aws:ResourceTag/${TagKey}	依連接到資源的標籤鍵值對篩選存取權	字串
aws:TagKeys	依請求中是否存在標籤索引鍵來篩選存取	ArrayOfString
servicecatalog:Resource	在 AppRegistry 關聯資源 API 中控制哪些值可以指定為 Resource 參數來篩選存取	字串
servicecatalog:ResourceType	在 AppRegistry 關聯資源 API 中控制哪些值可以指定為 ResourceType 參數來篩選存取	字串
servicecatalog:accountLevel	依使用者篩選存取權，對帳戶中任何人建立的資源進行檢視和執行動作	字串
servicecatalog:roleLevel	依使用者篩選存取權，對他們自己或與他們聯合之相同角色的任何人建立的資源進行檢視和執行動作	字串
servicecatalog:userLevel	依使用者篩選存取權，僅對他們建立的資源進行檢視和執行動作	字串

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

AWS Serverless Application Repository

AWS 提供託管專用網絡的服務