Operationen Aktionen Permission-only Aktionen Ressourcentypen Bedingungsschlüssel

Aktionen, Ressourcen und Bedingungsschlüssel für AWS Shield

AWS Shield (Dienstpräfix:shield) stellt die folgenden dienstspezifischen Operationen, Ressourcen, Aktionen und Bedingungsschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Erfahren Sie, wie Sie diesen Service konfigurieren.
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.
Sehen Sie sich die Referenz zur programmatischen Dienstautorisierung für diesen Dienst an.

Themen

API-Operationen, definiert von AWS Shield
Aktionen definiert von AWS Shield
Permission-only Aktionen für AWS Shield
Ressourcentypen, definiert durch AWS Shield
Bedingungsschlüssel für AWS Shield

API-Operationen, definiert von AWS Shield

In der folgenden Tabelle werden API-Operationen den IAM-Aktionen zugeordnet, die sie autorisieren. Es werden nur Bedingungsschlüssel aufgeführt, die statische Werte für die angegebene API und Aktion haben. Den vollständigen Satz von Bedingungsschlüsseln, die von jeder Aktion unterstützt werden, finden Sie in der Tabelle Aktionen.

Operation	IAM-Aktion	Bedingungsschlüssel	Mögliche Werte	Zugriffsebene
AssociateDRTLogBucket	Schild: AssociateDRTLogBucket			Schreiben
Assoziierte RT-Rolle	Schild: Assoziierte RT-Role			Schreiben
Assoziierte RT-Rolle	ich bin: PassRole	ich bin: PassedToService	drt.shield.amazonaws.com	Schreiben
AssociateHealthCheck	Schild: AssociateHealthCheck			Schreiben
AssociateProactiveEngagementDetails	Schild: AssociateProactiveEngagementDetails			Schreiben
CreateProtection	Schild: CreateProtection			Schreiben
CreateProtection	Schild: TagResource			Markieren, Schreiben
CreateProtectionGroup	Schild: CreateProtectionGroup			Schreiben
CreateProtectionGroup	Schild: TagResource			Markieren, Schreiben
CreateSubscription	Schild: CreateSubscription			Schreiben
DeleteProtection	Schild: DeleteProtection			Schreiben
DeleteProtectionGroup	Schild: DeleteProtectionGroup			Schreiben
DeleteSubscription	Schild: DeleteSubscription			Schreiben
DescribeAttack	Schild: DescribeAttack			Lesen
DescribeAttack	Schild: DescribeProtectionGroup			Lesen
DescribeAttackStatistics	Schild: DescribeAttackStatistics			Lesen
Beschriebener RT-Access	Shield: Beschriebener RT-Zugriff			Lesen
DescribeEmergencyContactSettings	Schild: DescribeEmergencyContactSettings			Lesen
DescribeProtection	Schild: DescribeProtection			Lesen
DescribeProtectionGroup	Schild: DescribeProtectionGroup			Lesen
DescribeSubscription	Schild: DescribeSubscription			Lesen
DisableApplicationLayerAutomaticResponse	Schild: DisableApplicationLayerAutomaticResponse			Schreiben
DisableProactiveEngagement	Schild: DisableProactiveEngagement			Schreiben
DisassociateDRTLogBucket	Schild: DisassociateDRTLogBucket			Schreiben
Getrennte DR-Rolle	Schild: Getrennte DR-Rolle			Schreiben
DisassociateHealthCheck	Schild: DisassociateHealthCheck			Schreiben
EnableApplicationLayerAutomaticResponse	Schild: EnableApplicationLayerAutomaticResponse			Schreiben
EnableProactiveEngagement	Schild: EnableProactiveEngagement			Schreiben
GetSubscriptionState	Schild: GetSubscriptionState			Lesen
ListAttacks	Schild: ListAttacks			Auflisten
ListProtectionGroups	Schild: ListProtectionGroups			Auflisten
ListProtections	Schild: ListProtections			Auflisten
ListResourcesInProtectionGroup	Schild: ListResourcesInProtectionGroup			Auflisten
ListTagsForResource	Schild: ListTagsForResource			Lesen
TagResource	Schild: TagResource			Markieren, Schreiben
UntagResource	Schild: UntagResource			Markieren, Schreiben
UpdateApplicationLayerAutomaticResponse	Schild: UpdateApplicationLayerAutomaticResponse			Schreiben
UpdateEmergencyContactSettings	Schild: UpdateEmergencyContactSettings			Schreiben
UpdateProtectionGroup	Schild: UpdateProtectionGroup			Schreiben
UpdateSubscription	Schild: UpdateSubscription			Schreiben

Aktionen definiert von AWS Shield

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
AssociateDRTLogBucket	Gewährt die Berechtigung zum Autorisieren des DDoS Response Teams für den Zugriff auf den angegebenen Amazon-S3-Bucket mit Ihren Ablauf-Protokollen			Schreiben
Assoziierte DR-Rolle	Erteilt dem DDoS-Response-Team, das die angegebene Rolle verwendet, die Erlaubnis, auf Sie zuzugreifen, um Sie bei der Abwehr von DDoS-Angriffen bei AWS-Konto potenziellen Angriffen zu unterstützen			Schreiben
AssociateHealthCheck	Gewährt die Berechtigung zum Hinzufügen einer gesundheitsbasierten Erkennung zum Shield Advanced-Schutz für eine Ressource	Schutz*	as: ResourceTag /$ {} TagKey	Schreiben
AssociateProactiveEngagementDetails	Gewährt die Berechtigung zum Initialisieren eines proaktiven Engagements und zum Festlegen der Liste der Kontakte, die das DDoS Response Team (DRT) verwenden soll			Write
CreateProtection	Gewährt die Berechtigung zum Aktivieren des DDoS-Schutzservices für einen bestimmten Ressourcen-ARN		as: RequestTag /$ {} TagKey war: TagKeys	Schreiben
CreateProtectionGroup	Gewährt die Berechtigung zum Erstellen einer Gruppierung geschützter Ressourcen, damit sie als Kollektiv behandelt werden können		aws: RequestTag /$ {} TagKey war: TagKeys	Schreiben
CreateSubscription	Gewährt die Berechtigung zum Aktivieren des Abonnements			Write
DeleteProtection	Gewährt die Berechtigung zum Löschen eines bestehenden Schutzes	Schutz*	as: ResourceTag /$ {} TagKey	Schreiben
DeleteProtectionGroup	Gewährt die Berechtigung zum Entfernen der angegebenen Schutzgruppe	Schutzgruppe*	als: /$ {} ResourceTag TagKey	Schreiben
DeleteSubscription	Gewährt die Berechtigung zum Deaktivieren des Abonnements			Schreiben
DescribeAttack	Erteilt die Erlaubnis zum Abrufen von Angriffsdetails. Um die Angriffsdetails durch die verwaltete AWS WAF-Anti-DDoS-Regelgruppe zu schützen, ruft diese Aktion zusätzlich wafv2: auf, DescribeTopContributorsByEvent um die Mitwirkenden an Angriffen auf Anwendungsebene abzurufen. Dazu ist die wafv2: -Berechtigung in der IAM-Richtlinie erforderlich DescribeTopContributorsByEvent	Angriff*		Lesen
DescribeAttackStatistics	Erteilt die Erlaubnis, Informationen über die Anzahl und Art der Angriffe zu beschreiben, die AWS Shield im letzten Jahr entdeckt hat			Lesen
Beschriebener RT-Access	Erteilt die Erlaubnis, die aktuelle Rolle und die Liste der Amazon S3 S3-Log-Buckets zu beschreiben, die vom DDoS-Response-Team für den Zugriff auf Sie verwendet werden, und unterstützt Sie AWS-Konto gleichzeitig bei der Abwehr von Angriffen			Lesen
DescribeEmergencyContactSettings	Gewährt die Berechtigung zum Auflisten der E-Mail-Adressen, über die das DRT sich bei einem mutmaßlichen Angriff mit Ihnen in Verbindung setzen kann.			Read
DescribeProtection	Gewährt die Berechtigung zum Abrufen von Schutzinformationen	Schutz*	as: ResourceTag /$ {} TagKey	Lesen
DescribeProtectionGroup	Gewährt die Berechtigung zum Beschreiben der Spezifikation für die angegebene Schutzgruppe	Schutzgruppe*	als: /$ {} ResourceTag TagKey	Lesen
DescribeSubscription	Gewährt die Berechtigung zum Abrufen von Abonnementdetails wie Startzeit			Lesen
DisableApplicationLayerAutomaticResponse	Gewährt die Berechtigung zum Deaktivieren der automatischen Reaktion der Anwendungsschicht für Shield-Advanced-Schutz für eine Ressource			Schreiben
DisableProactiveEngagement	Gewährt die Berechtigung zum Entfernen der Autorisierung des DDoS Response Teams (DRT), um Kontakte über Eskalationen zu benachrichtigen			Write
DisassociateDRTLogBucket	Gewährt die Berechtigung zum Aufheben des Zugriffs des DDoS Response Teams auf den angegebenen Amazon-S3-Bucket, der Ihre Ablauf-Protokolle enthält.			Schreiben
Rolle disassociated	Erteilt die Erlaubnis, dem DDoS Response-Team den Zugriff auf Ihr AWS-Konto			Schreiben
DisassociateHealthCheck	Gewährt die Berechtigung zum Entfernen der gesundheitsbasierten Erkennung aus dem Shield Advanced-Schutz für eine Ressource	Schutz*	as: ResourceTag /$ {} TagKey	Schreiben
EnableApplicationLayerAutomaticResponse	Gewährt die Berechtigung zum Aktivieren der automatischen Reaktion der Anwendungsschicht für Shield-Advanced-Schutz für eine Ressource			Schreiben
EnableProactiveEngagement	Gewährt die Berechtigung zum Autorisieren des DDoS Response Teams (DRT), E-Mail und Telefon zu verwenden, um Kontakte über Eskalationen zu benachrichtigen			Write
GetSubscriptionState	Gewährt die Berechtigung zum Abrufen des Status eines Abonnements			Read
ListAttacks	Gewährt die Berechtigung zum Auflisten aller bestehenden Angriffe			List
ListProtectionGroups	Gewährt die Berechtigung zum Abrufen der Schutzgruppen für das Konto			List
ListProtections	Gewährt die Berechtigung zum Auflisten aller bestehenden Schutzmaßnahmen			List
ListResourcesInProtectionGroup	Gewährt die Berechtigung zum Abrufen der Ressourcen, die in der Schutzgruppe enthalten sind	Schutzgruppe*	als: /$ {} ResourceTag TagKey	Auflisten
ListTagsForResource	Erteilt die Erlaubnis, Informationen über AWS Tags für einen bestimmten Amazon-Ressourcennamen (ARN) in AWS Shield abzurufen	Schutz	as: ResourceTag /$ {} TagKey	Lesen
ListTagsForResource		Schutzgruppe	als: ResourceTag /$ {} TagKey	Lesen
TagResource	Erteilt die Erlaubnis, Tags für eine Ressource in AWS Shield hinzuzufügen oder zu aktualisieren	Schutz	as: RequestTag /$ {} TagKey as: ResourceTag /$ {} TagKey war: TagKeys	Taggen, Schreiben
TagResource		Schutzgruppe	als: RequestTag /$ {} TagKey as: ResourceTag /$ {} TagKey war: TagKeys	Taggen, Schreiben
UntagResource	Erteilt die Erlaubnis, Tags aus einer Ressource in AWS Shield zu entfernen	Schutz	as: ResourceTag /$ {} TagKey war: TagKeys	Taggen, Schreiben
UntagResource		Schutzgruppe	als: ResourceTag /$ {} TagKey war: TagKeys	Taggen, Schreiben
UpdateApplicationLayerAutomaticResponse	Gewährt die Berechtigung zum Aktualisieren der automatischen Reaktion der Anwendungsschicht für Shield-Advanced-Schutz für eine Ressource			Schreiben
UpdateEmergencyContactSettings	Gewährt die Berechtigung zum Aktualisieren der Details der Liste mit E-Mail-Adressen, über die das DRT sich bei einem mutmaßlichen Angriff mit Ihnen in Verbindung setzen kann.			Write
UpdateProtectionGroup	Gewährt die Berechtigung zum Aktualisieren einer bestehenden Schutzgruppe	Schutzgruppe*	als: /$ {} ResourceTag TagKey	Schreiben
UpdateSubscription	Gewährt die Berechtigung zum Aktualisieren der Details eines bestehenden Abonnements			Schreiben

Permission-only Aktionen für AWS Shield

Die folgenden Aktionen werden von AWS Shield definiert, können jedoch nicht direkt über eine API-Operation aufgerufen werden. Sie können nur in IAM-Richtlinienerklärungen verwendet werden, um Berechtigungen zu erteilen oder zu verweigern.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
DescribeAttackContributors	Erteilt die Erlaubnis, detaillierte Informationen über die Mitwirkenden an einem bestimmten DDoS-Angriff abzurufen	Angriff*		Lesen
DescribeAttackContributors		Schutzgruppe	als: ResourceTag /$ {} TagKey	Lesen
GetGlobalThreatData	Erteilt die Erlaubnis, globale Bedrohungsdaten und Trends aus den AWS Bedrohungsüberwachungssystemen von Shield abzurufen			Lesen
ListMitigations	Erteilt die Berechtigung zum Abrufen einer Liste von Schutzmaßnahmen, die bei DDoS-Angriffen angewendet wurden	Angriff*		Auflisten

Ressourcentypen, definiert durch AWS Shield

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden.

Ressourcentypen	ARN	Bedingungsschlüssel
angreifen	arn: $ {Partition} :shield: :$ {Account} :attack/$ {Id}
Schutz	arn: $ {Partition} :shield: :$ {Account} :protection/$ {Id}	aws: /$ {} ResourceTag TagKey
Schutzgruppe	arn: $ {Partition} :shield: :$ {Account} :protection-group/$ {Id}	asTagKey: /$ {} ResourceTag

Bedingungsschlüssel für AWS Shield

AWS Shield definiert die folgenden Bedingungsschlüssel, die im Condition Element einer IAM-Richtlinie verwendet werden können.

Bedingungsschlüssel	Beschreibung	Typ
aws: RequestTag /$ {} TagKey	Filtert Aktionen basierend auf dem Vorhandensein von Tag-Schlüssel-Wert-Paaren in der Anforderung.	Zeichenfolge
as: ResourceTag /$ {} TagKey	Filtert Aktionen basierend auf den Tag-Schlüssel-Wert-Paaren, die an die Ressource angefügt wurden.	Zeichenfolge
war: TagKeys	Filtert Aktionen basierend auf dem Vorhandensein von Tag-Schlüsseln in der Anforderung.	ArrayOfString

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

AWS Dienst zur Bereitstellung verwalteter privater Netzwerke (private Netzwerke)

AWS Shield-Direktor für Netzwerksicherheit (Netzwerksicherheitsdirektor)