Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Cognito Identity
Amazon Cognito Identity (Servicepräfix:cognito-identity) stellt die folgenden dienstspezifischen Operationen, Ressourcen, Aktionen und Bedingungsschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.
Referenzen:
-
Erfahren Sie, wie Sie diesen Service konfigurieren.
-
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
-
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.
-
Sehen Sie sich die Referenz zur programmatischen Serviceautorisierung für diesen Service
an.
Themen
Von Amazon Cognito Identity definierte API-Operationen
Die folgende Tabelle ordnet API-Operationen den IAM-Aktionen zu, die sie autorisieren. Es werden nur Bedingungsschlüssel aufgeführt, die statische Werte für die angegebene API und Aktion haben. Den vollständigen Satz von Bedingungsschlüsseln, die von jeder Aktion unterstützt werden, finden Sie in der Tabelle Aktionen.
| Operation | IAM-Aktion | Bedingungsschlüssel | Mögliche Werte | Zugriffsebene |
|---|---|---|---|---|
|
CreateIdentityPool |
Schreiben |
|||
Markieren, Schreiben |
||||
|
DeleteIdentities |
Schreiben |
|||
|
DeleteIdentityPool |
Schreiben |
|||
|
DescribeIdentity |
Lesen |
|||
|
DescribeIdentityPool |
Lesen |
|||
|
GetCredentialsForIdentity |
Lesen |
|||
|
GetId |
Schreiben |
|||
|
GetIdentityPoolRoles |
Lesen |
|||
|
GetOpenIdToken |
Lesen |
|||
|
GetOpenIdTokenForDeveloperIdentity |
Lesen |
|||
|
GetPrincipalTagAttributeMap |
Lesen |
|||
|
ListIdentities |
Auflisten |
|||
|
ListIdentityPools |
Auflisten |
|||
|
ListTagsForResource |
Lesen |
|||
|
LookupDeveloperIdentity |
Lesen |
|||
|
MergeDeveloperIdentities |
Schreiben |
|||
|
SetIdentityPoolRoles |
Schreiben |
|||
Schreiben |
||||
|
SetPrincipalTagAttributeMap |
Schreiben |
|||
|
TagResource |
Markieren, Schreiben |
|||
|
UnlinkDeveloperIdentity |
Schreiben |
|||
|
UnlinkIdentity |
Schreiben |
|||
|
UntagResource |
Markieren, Schreiben |
|||
|
UpdateIdentityPool |
Markieren, Schreiben |
|||
Markieren, Schreiben |
||||
Schreiben |
Von Amazon Cognito Identity definierte Aktionen
Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.
| Aktionen | Description | Ressourcentypen (*erforderlich) | Bedingungsschlüssel | Zugriffsebene |
|---|---|---|---|---|
Gewährt die Berechtigung zum Erstellen eines neuen Identitäten-Pools |
Schreiben |
|||
Gewährt die Berechtigung zum Löschen von Identitäten aus einem Identitäten-Pool. Sie können eine Liste mit 1 bis 60 Identitäten zum Löschen angeben |
Schreiben |
|||
Gewährt die Berechtigung zum Löschen eines Benutzerpools. Sobald ein Pool gelöscht wird, können die Benutzer keine Authentifizierung mit dem Pool mehr durchführen |
Schreiben |
|||
Gewährt die Berechtigung zur Ausgabe von Metadaten im Zusammenhang mit der angegebenen Identität einschließlich Erstellungszeitpunkt der Identität und zugeordneter verknüpfter Anmeldungen |
Lesen |
|||
Gewährt die Berechtigung zum Abrufen von Informationen zu einem bestimmten Identitäten-Pool, einschließlich Pool-Name, ID-Beschreibung, Erstellungsdatum und aktueller Anzahl von Benutzern |
Lesen |
|||
Gewährt die Berechtigung zur Ausgabe von Anmeldeinformationen für die bereitgestellte Identitäts-ID |
kognitive Identitätsauthentifizierung: AccountId kognitive Identitätsauthentifizierung: IdentityPoolArn |
Lesen |
||
Gewährt die Berechtigung zum Generieren einer Cognito-ID (oder zum Abrufen). Durch das Angeben mehrerer Anmeldungen wird ein implizit verknüpftes Konto erstellt |
kognitive Identitätsauthentifizierung: AccountId kognitive Identitätsauthentifizierung: IdentityPoolArn |
Schreiben |
||
Erteilt die Erlaubnis, Analysedaten über die gesamte aktuelle Anzahl von Identitäten für alle Identitätspool-Identitätsanbieter () abzurufen IdPs |
Lesen |
|||
Erteilt die Erlaubnis, Analysedaten über die Anzahl neuer Identitäten und die Gesamtzahl der Identitäten für alle Identitätspool-Identitätsanbieter abzurufen () IdPs |
Lesen |
|||
Gewährt die Berechtigung zum Abrufen der Rollen für einen Identitäten-Pool |
Lesen |
|||
Erteilt die Erlaubnis, Analysedaten über die Anzahl neuer Identitäten und die Gesamtzahl der Identitäten für einen Identitätspool-Identitätsanbieter () abzurufen IdPs |
Lesen |
|||
Gewährt die Berechtigung zum Abrufen eines OpenID-Tokens unter Verwendung einer bekannten Cognito-ID |
kognitive Identitätsauthentifizierung: AccountId kognitive Identitätsauthentifizierung: IdentityPoolArn |
Lesen |
||
Erteilt einem Benutzer, der durch Ihren Backend-Authentifizierungsprozess authentifiziert wurde, die Erlaubnis, ein Cognito IdentityId - und ein OpenID Connect-Token zu registrieren (oder abzurufen) |
Lesen |
|||
Gewährt die Berechtigung zum Abrufen der Prinzipal-Tags für einen Identitäten-Pool und einen Anbieter |
Lesen |
|||
Gewährt die Berechtigung zum Auflisten von Identitäten in einem Identitäten-Pool |
Auflisten |
|||
Gewährt die Berechtigung zum Auflisten aller Cognito-Identitäten-Pools, die für Ihr Konto registriert sind |
List |
|||
Gewährt die Berechtigung zum Auflisten der Tags, die einem Amazon Cognito-Identitäten-Pool zugeordnet sind |
Lesen |
|||
Erteilt die Berechtigung zum Abrufen der mit einer IdentityId verknüpften DeveloperUserIdentifier Identität oder der Liste der mit einer DeveloperUserIdentifiers verknüpften Identität IdentityId für eine bestehende Identität |
Lesen |
|||
Erteilt die Erlaubnis, zwei Benutzer zusammenzuführen IdentityIds, die unterschiedliche, im selben Identitätspool existieren und von demselben Entwickleranbieter identifiziert wurden |
Schreiben |
|||
Gewährt die Berechtigung zum Festlegen der Rollen für einen Identitäten-Pool. Diese Rollen werden verwendet, wenn Handlungsaufforderungen abgegeben werden GetCredentialsForIdentity |
Schreiben |
|||
Gewährt die Berechtigung zum Festlegen der Prinzipal-Tags für einen Identitäten-Pool und einen Anbieter. Diese Tags werden verwendet, wenn GetOpenIdToken Handlungsaufforderungen abgegeben werden |
Schreiben |
|||
Gewährt die Berechtigung zum Zuweisen einer Reihe von Tags zu einem Amazon Cognito-Identitäten-Pool |
Markieren, Schreiben |
|||
Erteilt die Erlaubnis, die Verknüpfung zwischen einer und einer vorhandenen DeveloperUserIdentifier Identität aufzuheben |
Schreiben |
|||
Gewährt die Berechtigung zum Aufheben der Verknüpfung eines Identitätsverbunds mit einem vorhandenen Konto |
Schreiben |
|||
Gewährt die Berechtigung zum Entfernen der angegebenen Tags aus einem Amazon Cognito-Identitäten-Pool |
Markieren, Schreiben |
|||
Gewährt die Berechtigung zum Aktualisieren eines Identitäten-Pools |
Schreiben |
Von Amazon Cognito Identity definierte Ressourcentypen
Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden.
| Ressourcentypen | ARN | Bedingungsschlüssel |
|---|---|---|
arn: $ {Partition} :cognito-identity: $ {Region} :$ {Konto} :identitypool/$ {} IdentityPoolId |
Bedingungsschlüssel für Amazon Cognito Identity
Amazon Cognito Identity definiert die folgenden Bedingungsschlüssel, die im Condition-Element einer IAM-Richtlinie verwendet werden können.
| Bedingungsschlüssel | Beschreibung | Typ |
|---|---|---|
Filtert den Zugriff nach Tag-Schlüssel-Wert-Paaren in der Anforderung |
Zeichenfolge |
|
Filtert Aktionen nach Tag-Schlüssel-Werte-Paaren, die der Ressource angefügt sind |
Zeichenfolge |
|
Filtert den Zugriff durch einen Schlüssel in der Anforderung |
ArrayOfString |
|
Filtert den Zugriff nach der Eigentümer-ID für authentifizierte Benutzer im Identitätspool. AWS-Konto Gilt für nicht authentifizierte (öffentliche) API-Operationen |
Zeichenfolge |
|
Filtert den Zugriff anhand der Identitätspool-ID für eine bestimmte Identitäts-ID eines authentifizierten Benutzers. Gilt für nicht authentifizierte (öffentliche) API-Operationen |
ARN |
|
Filtert den Zugriff nach der AWS-Konto Eigentümer-ID eines Identitätspools für Gastbenutzer des Identitätspools. Gilt für nicht authentifizierte (öffentliche) API-Operationen |
Zeichenfolge |
|
Filtert den Zugriff anhand der Identitätspool-ID für eine bestimmte Identitäts-ID eines Gastbenutzers. Gilt für nicht authentifizierte (öffentliche) API-Operationen |
ARN |
|
Filtert den Zugriff nach der Identitätspool-ID für eine bestimmte Identitäts-ID für und DeleteIdentities DescribeIdentity |
ARN |
