Operationen Aktionen Permission-only Aktionen Ressourcentypen Bedingungsschlüssel

Aktionen, Ressourcen und Bedingungsschlüssel für AWS Control Tower

AWS Control Tower (Dienstpräfix:controltower) stellt die folgenden dienstspezifischen Operationen, Ressourcen, Aktionen und Bedingungsschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Erfahren Sie, wie Sie diesen Service konfigurieren.
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.
Sehen Sie sich die Referenz zur programmatischen Serviceautorisierung für diesen Dienst an.

Themen

API-Operationen, definiert von AWS Control Tower
Aktionen definiert von AWS Control Tower
Permission-only Aktionen für AWS Control Tower
Ressourcentypen, definiert durch AWS Control Tower
Bedingungsschlüssel für AWS Control Tower

API-Operationen, definiert von AWS Control Tower

In der folgenden Tabelle werden API-Operationen den IAM-Aktionen zugeordnet, die sie autorisieren. Es werden nur Bedingungsschlüssel aufgeführt, die statische Werte für die angegebene API und Aktion haben. Den vollständigen Satz von Bedingungsschlüsseln, die von jeder Aktion unterstützt werden, finden Sie in der Tabelle Aktionen.

Operation	IAM-Aktion	Zugriffsebene
CreateLandingZone	Kontrollturm: CreateLandingZone	Schreiben
	Kontrollturm: PerformPreLaunchChecks	Lesen
	Kontrollturm: SetupLandingZone	Schreiben
	Kontrollturm: TagResource	Markieren, Schreiben
DeleteLandingZone	Kontrollturm: DeleteLandingZone	Schreiben
DisableBaseline	Kontrollturm: DeregisterOrganizationalUnit	Schreiben
DisableBaseline	Kontrollturm: DisableBaseline	Schreiben
DisableControl	Kontrollturm: DisableControl	Schreiben
DisableControl	Kontrollturm: DisableGuardrail	Schreiben
EnableBaseline	Kontrollturm: EnableBaseline	Schreiben
	Kontrollturm: ManageOrganizationalUnit	Schreiben
	Kontrollturm: TagResource	Markieren, Schreiben
EnableControl	Kontrollturm: EnableControl	Schreiben
	Kontrollturm: EnableGuardrail	Schreiben
	Kontrollturm: TagResource	Markieren, Schreiben
GetBaseline	Kontrollturm: GetBaseline	Lesen
GetBaselineOperation	Kontrollturm: DescribeRegisterOrganizationalUnitOperation	Lesen
GetBaselineOperation	Kontrollturm: GetBaselineOperation	Lesen
GetControlOperation	Kontrollturm: GetControlOperation	Lesen
GetEnabledBaseline	Kontrollturm: DescribeManagedAccount	Lesen
	Kontrollturm: DescribeManagedOrganizationalUnit	Lesen
	Kontrollturm: GetEnabledBaseline	Lesen
GetEnabledControl	Kontrollturm: DescribeGuardrailForTarget	Lesen
GetEnabledControl	Kontrollturm: GetEnabledControl	Lesen
GetLandingZone	Kontrollturm: DescribeLandingZoneConfiguration	Lesen
	Kontrollturm: GetAvailableUpdates	Lesen
	Kontrollturm: GetLandingZone	Lesen
	Kontrollturm: GetLandingZoneDriftStatus	Lesen
	Kontrollturm: GetLandingZoneStatus	Lesen
GetLandingZoneOperation	Kontrollturm: GetLandingZoneOperation	Lesen
GetLandingZoneOperation	Kontrollturm: GetLandingZoneStatus	Lesen
ListBaselines	Kontrollturm: ListBaselines	Auflisten
ListControlOperations	Kontrollturm: ListControlOperations	Auflisten
ListEnabledBaselines	Kontrollturm: ListEnabledBaselines	Auflisten
	Kontrollturm: ListManagedAccounts	Auflisten
	Kontrollturm: ListManagedOrganizationalUnits	Auflisten
ListEnabledControls	Kontrollturm: ListEnabledControls	Auflisten
ListEnabledControls	Kontrollturm: ListGuardrailsForTarget	Auflisten
ListLandingZoneOperations	Kontrollturm: GetLandingZoneStatus	Lesen
ListLandingZoneOperations	Kontrollturm: ListLandingZoneOperations	Auflisten
ListLandingZones	Kontrollturm: GetHomeRegion	Lesen
ListLandingZones	Kontrollturm: ListLandingZones	Auflisten
ListTagsForResource	Kontrollturm: ListTagsForResource	Lesen
ResetEnabledBaseline	Kontrollturm: ManageOrganizationalUnit	Schreiben
ResetEnabledBaseline	Kontrollturm: ResetEnabledBaseline	Schreiben
ResetEnabledControl	Kontrollturm: ResetEnabledControl	Schreiben
ResetLandingZone	Kontrollturm: ResetLandingZone	Schreiben
ResetLandingZone	Kontrollturm: SetupLandingZone	Schreiben
TagResource	Kontrollturm: TagResource	Markieren, Schreiben
UntagResource	Kontrollturm: UntagResource	Markieren, Schreiben
UpdateEnabledBaseline	Kontrollturm: ManageOrganizationalUnit	Schreiben
UpdateEnabledBaseline	Kontrollturm: UpdateEnabledBaseline	Schreiben
UpdateEnabledControl	Kontrollturm: UpdateEnabledControl	Schreiben
UpdateLandingZone	Kontrollturm: SetupLandingZone	Schreiben
UpdateLandingZone	Kontrollturm: UpdateLandingZone	Schreiben

Aktionen definiert von AWS Control Tower

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
CreateLandingZone	Gewährt die Berechtigung zum Erstellen einer Landing Zone		as: RequestTag /$ {} TagKey war: TagKeys	Schreiben
DeleteLandingZone	Erteilt die Erlaubnis, die landing zone des AWS Control Tower zu löschen	LandingZone*	aws: ResourceTag /$ {} TagKey	Schreiben
DisableBaseline	Erteilt die Erlaubnis, eine Baseline auf einem Ziel zu deaktivieren	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Schreiben
DisableControl	Gewährt die Berechtigung zum Entfernen einer Kontrolle aus einer Organisationseinheit	EnabledControl*	as: ResourceTag /$ {} TagKey	Schreiben
EnableBaseline	Erteilt die Erlaubnis, eine Baseline auf einem Ziel zu aktivieren		aws: RequestTag /$ {} TagKey war: TagKeys	Schreiben
EnableControl	Erteilt die Berechtigung zum Aktivieren eines Steuerelements für eine Organisationseinheit	EnabledControl	aws: RequestTag /$ {} TagKey as: ResourceTag /$ {} TagKey war: TagKeys	Schreiben
GetBaseline	Erteilt die Erlaubnis, Baseline-Details abzurufen	Basisplan*		Lesen
GetBaselineOperation	Erteilt die Erlaubnis, den aktuellen Status eines bestimmten Basisvorgangs abzurufen			Lesen
GetControlOperation	Erteilt die Berechtigung, den aktuellen Status eines bestimmten DisableControl Vorgangs EnabledControl abzurufen			Lesen
GetEnabledBaseline	Erteilt die Erlaubnis, eine aktivierte Baseline abzurufen	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Lesen
GetEnabledControl	Gewährt die Berechtigung zum Abrufen einer aktivierten Kontrolle aus einer Organisationseinheit	EnabledControl*	as: ResourceTag /$ {} TagKey	Lesen
GetLandingZone	Gewährt die Berechtigung zum Abrufen des aktuellen Status der Einrichtung der Landing Zone	LandingZone*	as: ResourceTag /$ {} TagKey	Lesen
GetLandingZoneDriftStatus	Gewährt die Berechtigung zum Abrufen des aktuellen Abweichungsstatus der Landing Zone			Lesen
GetLandingZoneOperation	Gewährt die Berechtigung zum Abrufen des aktuellen Status eines bestimmten Landing-Zone-Vorgangs			Lesen
ListBaselines	Erteilt die Erlaubnis, Baselines aufzulisten			Auflisten
ListControlOperations	Erteilt die Berechtigung, alle Kontrollvorgänge aufzulisten			Auflisten
ListDriftDetails	Erteilt die Erlaubnis, Drift-Vorkommen im AWS Control Tower aufzulisten			Lesen
ListEnabledBaselines	Erteilt die Erlaubnis, aktivierte Baselines aufzulisten			Auflisten
ListEnabledControls	Gewährt die Berechtigung zum Auflisten aller aktivierten Kontrollen in einer angegebenen Organisationseinheit			Auflisten
ListExternalConfigRuleCompliance	Erteilt die Erlaubnis, die Einhaltung externer AWS Konfigurationsregeln aufzulisten			Lesen
ListLandingZoneOperations	Erteilt die Erlaubnis, alle Landezonenoperationen aufzulisten			Auflisten
ListLandingZones	Gewährt die Berechtigung zum Auflisten aller Landing Zone			Auflisten
ListTagsForResource	Gewährt die Berechtigung zum Auflisten der Tags für eine Ressource	EnabledBaseline	aws: ResourceTag /$ {} TagKey	Lesen
		EnabledControl	as: ResourceTag /$ {} TagKey
		LandingZone	as: ResourceTag /$ {} TagKey
ResetEnabledBaseline	Erteilt die Erlaubnis, eine aktivierte Baseline zurückzusetzen	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Schreiben
ResetEnabledControl	Erteilt die Erlaubnis, eine aktivierte Steuerung für eine Organisationseinheit zurückzusetzen	EnabledControl*	aws: ResourceTag /$ {} TagKey	Schreiben
ResetLandingZone	Gewährt die Berechtigung zum Zurücksetzen einer Landing Zone	LandingZone*	as: ResourceTag /$ {} TagKey	Schreiben
TagResource	Gewährt die Berechtigung zum Hinzufügen von Tags zu einer Ressource	EnabledBaseline	as: RequestTag /$ {} TagKey as: ResourceTag /$ {} TagKey war: TagKeys	Taggen, Schreiben
		EnabledControl	als: RequestTag /$ {} TagKey as: ResourceTag /$ {} TagKey war: TagKeys
		LandingZone	aws: RequestTag /$ {} TagKey as: ResourceTag /$ {} TagKey war: TagKeys
UntagResource	Gewährt die Berechtigung zum Entfernen von Tags aus einer Ressource	EnabledBaseline	aws: ResourceTag /$ {} TagKey war: TagKeys	Taggen, Schreiben
		EnabledControl	als: ResourceTag /$ {} TagKey war: TagKeys
		LandingZone	aws: ResourceTag /$ {} TagKey war: TagKeys
UpdateEnabledBaseline	Erteilt die Erlaubnis, eine aktivierte Baseline zu aktualisieren	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Schreiben
UpdateEnabledControl	Gewährt die Berechtigung zum Aktualisieren einer aktivierten Kontrolle aus einer Organisationseinheit	EnabledControl*	as: ResourceTag /$ {} TagKey	Schreiben
UpdateLandingZone	Gewährt die Berechtigung zum Aktualisieren einer Landing Zone	LandingZone*	as: ResourceTag /$ {} TagKey	Schreiben

Permission-only Aktionen für AWS Control Tower

Die folgenden Aktionen werden von AWS Control Tower definiert, können jedoch nicht direkt über eine API-Operation aufgerufen werden. Sie können nur in IAM-Richtlinienerklärungen verwendet werden, um Berechtigungen zu gewähren oder zu verweigern.

Aktionen	Description	Zugriffsebene
CreateManagedAccount	Erteilt die Erlaubnis, ein von AWS Control Tower verwaltetes Konto zu erstellen	Schreiben
DeregisterManagedAccount	Erteilt die Erlaubnis, ein über die Account Factory erstelltes Konto von AWS Control Tower abzumelden	Schreiben
DeregisterOrganizationalUnit	Erteilt die Erlaubnis, eine Organisationseinheit von der AWS Control Tower Tower-Verwaltung abzumelden	Schreiben
DescribeAccountFactoryConfig	Gewährt die Berechtigung zum Beschreiben der Konfiguration der aktuellen Account Factory	Lesen
DescribeCoreService	Erteilt die Erlaubnis, Ressourcen zu beschreiben, die von Core-Konten in AWS Control Tower verwaltet werden	Lesen
DescribeGuardrail	Gewährt die Berechtigung zum Beschreiben einesr Leitlinie	Lesen
DescribeGuardrailForTarget	Gewährt die Berechtigung zum Beschreiben einer Leitlinie für eine Organisationseinheit	Lesen
DescribeLandingZoneConfiguration	Gewährt die Berechtigung zum Beschreiben der aktuellen Konfiguration der Landing Zone	Lesen
DescribeManagedAccount	Gewährt die Berechtigung zum Beschreiben eines Kontos, das über die Account Factory erstellt wurde	Lesen
DescribeManagedOrganizationalUnit	Erteilt die Erlaubnis, eine vom AWS Control Tower verwaltete AWS Organisationseinheit einer Organisation zu beschreiben	Lesen
DescribeRegisterOrganizationalUnitOperation	Gewährt die Berechtigung zum Beschreiben eines Vorgangs einer registrierten Organisationseinheit	Lesen
DescribeSingleSignOn	Erteilt die Erlaubnis, die aktuelle AWS Control Tower IAM Identity Center-Konfiguration zu beschreiben	Lesen
DisableGuardrail	Gewährt die Berechtigung zum Deaktivieren eine Leitlinie von einer Organisationseinheit	Schreiben
EnableGuardrail	Gewährt die Berechtigung zum Aktivieren einer Leitlinie für eine Organisationseinheit	Schreiben
GetAccountInfo	Gewährt die Berechtigung zum Beschreiben einer Konto-E-Mail-Adresse und Bestätigen ihres Vorhandenseins	Lesen
GetAvailableUpdates	Erteilt die Erlaubnis, verfügbare Updates für die aktuelle AWS Control Tower Tower-Bereitstellung aufzulisten	Lesen
GetGuardrailComplianceStatus	Gewährt die Berechtigung zum Abrufen des aktuellen Compliancestatus einer Leitlinie	Lesen
GetHomeRegion	Erteilt die Erlaubnis, die Heimatregion des AWS Control Tower Tower-Setups abzurufen	Lesen
GetLandingZoneStatus	Gewährt die Berechtigung zum Abrufen des aktuellen Status der Einrichtung der Landing Zone	Lesen
ListDirectoryGroups	Erteilt die Berechtigung, die aktuellen Verzeichnisgruppen aufzulisten, die über IAM Identity Center verfügbar sind	Auflisten
ListEnabledGuardrails	Gewährt die Berechtigung zum Auflisten aktuell aktivierter Leitlinien	Auflisten
ListExtendGovernancePrecheckDetails	Gewährt die Berechtigung zum Auflisten der Details von Vorabprüfungen für eine Organisationseinheit	Auflisten
ListGuardrailViolations	Gewährt die Berechtigung zum Auflisten bestehender Leitlinienverstöße	Auflisten
ListGuardrails	Gewährt die Berechtigung zum Auflisten aller verfügbaren Leitlinien	Auflisten
ListGuardrailsForTarget	Gewährt die Berechtigung zum Auflisten der Leitlinien und ihres aktuellen Status für eine Organisationseinheit	Auflisten
ListManagedAccounts	Erteilt die Erlaubnis, über AWS Control Tower verwaltete Konten aufzulisten	Auflisten
ListManagedAccountsForGuardrail	Gewährt die Berechtigung zum Auflisten verwalteter Konten mit einer bestimmten angewendeten Leitlinie	Auflisten
ListManagedAccountsForParent	Gewährt die Berechtigung zum Auflisten verwalteter Konten unter einer Organisationseinheit	Auflisten
ListManagedOrganizationalUnits	Erteilt die Erlaubnis, von AWS Control Tower verwaltete Organisationseinheiten aufzulisten	Auflisten
ListManagedOrganizationalUnitsForGuardrail	Gewährt die Berechtigung zum Auflisten verwalteter Organisationseinheiten, auf die eine bestimmte Leitlinie angewendet wurde	Auflisten
ManageOrganizationalUnit	Erteilt die Erlaubnis, eine Organisationseinheit einzurichten, die von AWS Control Tower verwaltet werden soll	Schreiben
PerformPreLaunchChecks	Gewährt die Berechtigung zum Ausführen von Bestätigungen in einem Konto	Lesen
SetupLandingZone	Erteilt die Erlaubnis, die landing zone des AWS Control Tower einzurichten oder zu aktualisieren	Schreiben
UpdateAccountFactoryConfig	Gewährt die Berechtigung, die Konfiguration der Account-Factory-Konfiguration zu aktualisieren	Schreiben

Ressourcentypen, definiert durch AWS Control Tower

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden.

Ressourcentypen	ARN	Bedingungsschlüssel
Basislinie	arn: $ {Partition} :Kontrollturm: $ {Region} ::baseline/$ {} BaselineId
EnabledBaseline	arn: $ {Partition} :controltower: $ {Region} :$ {Konto} :enabledbaseline/$ {} EnabledBaselineId	asTagKey: /$ {} ResourceTag
EnabledControl	arn: $ {Partition} :controltower: $ {Region} :$ {Account} :enabledcontrol/$ {} EnabledControlId	asTagKey: /$ {} ResourceTag
LandingZone	arn: $ {Partition} :Kontrollturm: $ {Region} :$ {Konto} :Landingzone/$ {} LandingZoneId	awsTagKey: /$ {} ResourceTag

Bedingungsschlüssel für AWS Control Tower

AWS Control Tower definiert die folgenden Bedingungsschlüssel, die im Condition Element einer IAM-Richtlinie verwendet werden können.

Bedingungsschlüssel	Beschreibung	Typ
aws: RequestTag /$ {} TagKey	Filtert den Zugriff durch die Tags, die in der Anfrage übergeben werden	Zeichenfolge
as: ResourceTag /$ {} TagKey	Filtert den Zugriff basierend auf den Tags, die der Ressource zugeordnet sind.	Zeichenfolge
war: TagKeys	Filtert den Zugriff basierend auf den Tag-Schlüssel, die in der Anfrage übergeben werden	ArrayOfString

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

AWS Kontrollkatalog (Kontrollkatalog)

AWS Kosten- und Nutzungsbericht (cur)