Operaciones Acciones Permission-only acciones Tipos de recurso Claves de condición

Acciones, recursos y claves de condición para AWS Control Tower

AWS Control Tower (prefijo de servicio:controltower) proporciona las siguientes operaciones, recursos, acciones y claves de condición específicos del servicio para su uso en las políticas de permisos de IAM.

Referencias:

Obtenga información para configurar este servicio.
Vea una lista de las operaciones de API disponibles para este servicio.
Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.
Consulte la referencia de autorización de servicio programática de este servicio.

Temas

Las operaciones de la API se definen mediante AWS Control Tower
Acciones definidas por AWS Control Tower
Permission-only acciones para AWS Control Tower
Tipos de recursos definidos por AWS Control Tower
Claves de condición para AWS Control Tower

Las operaciones de la API se definen mediante AWS Control Tower

En la siguiente tabla, se asignan las operaciones de la API a las acciones de IAM que autorizan. Solo se muestran las claves de condición que tienen valores estáticos para la API y la acción determinadas; para ver el conjunto completo de claves de condición que admite cada acción, consulte la tabla de acciones.

Operación	Acción de IAM	Nivel de acceso
CreateLandingZone	torre de control: CreateLandingZone	Escritura
	torre de control: PerformPreLaunchChecks	Lectura
	torre de control: SetupLandingZone	Escritura
	torre de control: TagResource	Etiquetar, escribir
DeleteLandingZone	torre de control: DeleteLandingZone	Escritura
DisableBaseline	torre de control: DeregisterOrganizationalUnit	Escritura
DisableBaseline	torre de control: DisableBaseline	Escritura
DisableControl	torre de control: DisableControl	Escritura
DisableControl	torre de control: DisableGuardrail	Escritura
EnableBaseline	torre de control: EnableBaseline	Escritura
	torre de control: ManageOrganizationalUnit	Escritura
	torre de control: TagResource	Etiquetar, escribir
EnableControl	torre de control: EnableControl	Escritura
	torre de control: EnableGuardrail	Escritura
	torre de control: TagResource	Etiquetar, escribir
GetBaseline	torre de control: GetBaseline	Lectura
GetBaselineOperation	torre de control: DescribeRegisterOrganizationalUnitOperation	Lectura
GetBaselineOperation	torre de control: GetBaselineOperation	Lectura
GetControlOperation	torre de control: GetControlOperation	Lectura
GetEnabledBaseline	torre de control: DescribeManagedAccount	Lectura
	torre de control: DescribeManagedOrganizationalUnit	Lectura
	torre de control: GetEnabledBaseline	Lectura
GetEnabledControl	torre de control: DescribeGuardrailForTarget	Lectura
GetEnabledControl	torre de control: GetEnabledControl	Lectura
GetLandingZone	torre de control: DescribeLandingZoneConfiguration	Lectura
	torre de control: GetAvailableUpdates	Lectura
	torre de control: GetLandingZone	Lectura
	torre de control: GetLandingZoneDriftStatus	Lectura
	torre de control: GetLandingZoneStatus	Lectura
GetLandingZoneOperation	torre de control: GetLandingZoneOperation	Lectura
GetLandingZoneOperation	torre de control: GetLandingZoneStatus	Lectura
ListBaselines	torre de control: ListBaselines	Enumeración
ListControlOperations	torre de control: ListControlOperations	Enumeración
ListEnabledBaselines	torre de control: ListEnabledBaselines	Enumeración
	torre de control: ListManagedAccounts	Enumeración
	torre de control: ListManagedOrganizationalUnits	Enumeración
ListEnabledControls	torre de control: ListEnabledControls	Enumeración
ListEnabledControls	torre de control: ListGuardrailsForTarget	Enumeración
ListLandingZoneOperations	torre de control: GetLandingZoneStatus	Lectura
ListLandingZoneOperations	torre de control: ListLandingZoneOperations	Enumeración
ListLandingZones	torre de control: GetHomeRegion	Lectura
ListLandingZones	torre de control: ListLandingZones	Enumeración
ListTagsForResource	torre de control: ListTagsForResource	Lectura
ResetEnabledBaseline	torre de control: ManageOrganizationalUnit	Escritura
ResetEnabledBaseline	torre de control: ResetEnabledBaseline	Escritura
ResetEnabledControl	torre de control: ResetEnabledControl	Escritura
ResetLandingZone	torre de control: ResetLandingZone	Escritura
ResetLandingZone	torre de control: SetupLandingZone	Escritura
TagResource	torre de control: TagResource	Etiquetar, escribir
UntagResource	torre de control: UntagResource	Etiquetar, escribir
UpdateEnabledBaseline	torre de control: ManageOrganizationalUnit	Escritura
UpdateEnabledBaseline	torre de control: UpdateEnabledBaseline	Escritura
UpdateEnabledControl	torre de control: UpdateEnabledControl	Escritura
UpdateLandingZone	torre de control: SetupLandingZone	Escritura
UpdateLandingZone	torre de control: UpdateLandingZone	Escritura

Acciones definidas por AWS Control Tower

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

Acciones	Description (Descripción)	Tipos de recursos (*necesarios)	Claves de condición	Nivel de acceso
CreateLandingZone	Concede permiso para crear una zona de aterrizaje		aws: RequestTag /$ {} TagKey AWS: TagKeys	Escritura
DeleteLandingZone	Concede permiso para eliminar la zona de aterrizaje de AWS Control Tower	LandingZone*	aws: ResourceTag /$ {} TagKey	Escritura
DisableBaseline	Concede permiso para desactivar una línea de base en un destino	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Escritura
DisableControl	Concede permiso para quitar un control de una unidad organizativa	EnabledControl*	aws: ResourceTag /$ {} TagKey	Escritura
EnableBaseline	Concede permiso para activar una línea de base en un destino		aws: RequestTag /$ {} TagKey AWS: TagKeys	Escritura
EnableControl	Concede permiso para activar un control para una unidad organizativa	EnabledControl	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys	Escritura
GetBaseline	Concede permiso para obtener detalles de la línea de base	Línea de base*		Lectura
GetBaselineOperation	Concede permiso para obtener el estado actual de una operación de línea de base concreta			Lectura
GetControlOperation	Otorga permiso para obtener el estado actual de una operación u operación en particular EnabledControl DisableControl			Lectura
GetEnabledBaseline	Concede permiso para obtener una línea de base habilitada	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Lectura
GetEnabledControl	Concede permiso para obtener un control habilitado de una unidad organizativa	EnabledControl*	aws: ResourceTag /$ {} TagKey	Lectura
GetLandingZone	Concede permiso para obtener el estado actual de la configuración de la zona de aterrizaje	LandingZone*	aws: ResourceTag /$ {} TagKey	Lectura
GetLandingZoneDriftStatus	Concede permiso para obtener el estado de desviación de la zona de aterrizaje actual			Lectura
GetLandingZoneOperation	Concede permiso para obtener el estado actual de una operación específica de zona de aterrizaje			Lectura
ListBaselines	Concede permiso para enumerar las líneas de base			Enumeración
ListControlOperations	Concede permiso para enumerar todas las operaciones de control			Enumeración
ListDriftDetails	Otorga permiso para enumerar los casos de deriva en la Torre AWS de Control			Lectura
ListEnabledBaselines	Concede permiso para enumerar líneas de base habilitadas			Enumeración
ListEnabledControls	Concede permiso para enumerar todos los controles habilitados en una unidad organizativa especificada			Enumeración
ListExternalConfigRuleCompliance	Otorga permiso para enumerar el cumplimiento de las reglas de AWS Config externas			Lectura
ListLandingZoneOperations	Concede permiso para enumerar todas las operaciones de la zona de aterrizaje			Enumeración
ListLandingZones	Concede permiso para enumerar todas las zonas de aterrizaje			Enumeración
ListTagsForResource	Concede permiso para enumerar las etiquetas de un recurso	EnabledBaseline	aws: ResourceTag /$ {} TagKey	Lectura
		EnabledControl	aws: ResourceTag /$ {} TagKey
		LandingZone	aws: ResourceTag /$ {} TagKey
ResetEnabledBaseline	Concede permiso para restablecer una línea de base habilitada	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Escritura
ResetEnabledControl	Concede permiso para restablecer un control habilitado para una unidad organizativa.	EnabledControl*	aws: ResourceTag /$ {} TagKey	Escritura
ResetLandingZone	Concede permiso para restablecer una zona de aterrizaje	LandingZone*	aws: ResourceTag /$ {} TagKey	Escritura
TagResource	Otorga permiso para agregar etiquetas a un recurso	EnabledBaseline	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys	Etiquetar, escribir
		EnabledControl	AWS: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys
		LandingZone	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys
UntagResource	Concede permiso para eliminar etiquetas de un recurso	EnabledBaseline	aws: ResourceTag /$ {} TagKey AWS: TagKeys	Etiquetar, escribir
		EnabledControl	AWS: ResourceTag /$ {} TagKey AWS: TagKeys
		LandingZone	aws: ResourceTag /$ {} TagKey AWS: TagKeys
UpdateEnabledBaseline	Concede permiso para actualizar una línea de base habilitada	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Escritura
UpdateEnabledControl	Concede permiso para actualizar un control habilitado para una unidad organizativa	EnabledControl*	aws: ResourceTag /$ {} TagKey	Escritura
UpdateLandingZone	Concede permiso para actualizar una zona de aterrizaje	LandingZone*	aws: ResourceTag /$ {} TagKey	Escritura

Permission-only acciones para AWS Control Tower

AWS Control Tower define las siguientes acciones, pero no se pueden invocar directamente a través de ninguna operación de API. Solo se pueden utilizar en las declaraciones de política de IAM para conceder o denegar permisos.

Acciones	Description (Descripción)	Nivel de acceso
CreateManagedAccount	Otorga permiso para crear una cuenta gestionada por AWS Control Tower	Escritura
DeregisterManagedAccount	Otorga permiso para anular el registro de una cuenta creada a través de la fábrica de cuentas de Control Tower AWS	Escritura
DeregisterOrganizationalUnit	Otorga permiso para anular el registro de una unidad organizativa de la administración de la Torre de AWS Control	Escritura
DescribeAccountFactoryConfig	Concede permiso para describir la configuración de creación de cuentas actual	Lectura
DescribeCoreService	Otorga permiso para describir los recursos gestionados por las cuentas principales de la Torre AWS de Control	Lectura
DescribeGuardrail	Concede permiso para describir una barrera de protección	Lectura
DescribeGuardrailForTarget	Concede permiso para describir una barrera de protección para una unidad organizativa	Lectura
DescribeLandingZoneConfiguration	Concede permiso para describir la configuración de la zona de aterrizaje actual	Lectura
DescribeManagedAccount	Concede permiso para describir una cuenta creada a través de la creación de cuentas	Lectura
DescribeManagedOrganizationalUnit	Otorga permiso para describir la unidad AWS organizativa de una organización gestionada por AWS Control Tower	Lectura
DescribeRegisterOrganizationalUnitOperation	Concede permiso para describir una operación de una unidad organizativa de registro	Lectura
DescribeSingleSignOn	Otorga permiso para describir la configuración actual del Centro de Identidad de IAM de la Torre de AWS Control Tower	Lectura
DisableGuardrail	Concede permiso para desactivar una barrera de protección de una unidad organizativa	Escritura
EnableGuardrail	Concede permiso para habilitar una barrera de protección para una unidad organizativa	Escritura
GetAccountInfo	Concede permiso para describir el correo electrónico de una cuenta y validar que existe	Lectura
GetAvailableUpdates	Otorga permiso para enumerar las actualizaciones disponibles para el despliegue actual AWS de la Torre de Control	Lectura
GetGuardrailComplianceStatus	Concede permiso para obtener el estado de cumplimiento actual de una barrera de protección	Lectura
GetHomeRegion	Otorga permiso para configurar la región de origen de la Torre de AWS Control	Lectura
GetLandingZoneStatus	Concede permiso para obtener el estado actual de la configuración de la zona de aterrizaje	Lectura
ListDirectoryGroups	Concede permiso para enumerar los grupos de directorio actuales disponibles a través de IAM Identity Center	Enumeración
ListEnabledGuardrails	Concede permiso para enumerar las barreras de protección habilitadas actualmente	Enumeración
ListExtendGovernancePrecheckDetails	Concede permiso para enumerar los detalles de comprobación previa de una unidad organizativa	Enumeración
ListGuardrailViolations	Concede permiso para enumerar las infracciones de barreras de protección existentes	Enumeración
ListGuardrails	Concede permiso para enumerar todas las barreras de protección disponibles	Enumeración
ListGuardrailsForTarget	Concede permiso para enumerar las barreras de protección y su estado actual para una unidad organizativa	Enumeración
ListManagedAccounts	Otorga permiso para enumerar las cuentas administradas a través de la Torre AWS de Control	Enumeración
ListManagedAccountsForGuardrail	Concede permiso para enumerar cuentas administradas con una barrera de protección especificada aplicada	Enumeración
ListManagedAccountsForParent	Concede permiso para enumerar cuentas administradas en una unidad organizativa	Enumeración
ListManagedOrganizationalUnits	Otorga permiso para enumerar las unidades organizativas administradas por la Torre AWS de Control	Enumeración
ListManagedOrganizationalUnitsForGuardrail	Concede permiso para enumerar las unidades organizativas administradas con una barrera de protección especificada aplicada	Enumeración
ManageOrganizationalUnit	Otorga permiso para configurar una unidad organizativa que será gestionada por AWS Control Tower	Escritura
PerformPreLaunchChecks	Concede permiso para realizar validaciones en una cuenta	Lectura
SetupLandingZone	Otorga permiso para configurar o actualizar la zona de aterrizaje AWS de la Torre de Control	Escritura
UpdateAccountFactoryConfig	Concede permiso para actualizar la configuración de la creación de cuentas	Escritura

Tipos de recursos definidos por AWS Control Tower

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM.

Tipos de recurso	ARN	Claves de condición
Base de referencia	arn: $ {Partition} :controltower: $ {Region} :baseline/$ {} BaselineId
EnabledBaseline	arn: $ {Partition}: controltower: $ {Region} :$ {Account} :enabledbaseline/$ {} EnabledBaselineId	ResourceTagaws: /$ {} TagKey
EnabledControl	arn: $ {Partition}: controltower: $ {Region} :$ {Account} :enabledcontrol/$ {} EnabledControlId	ResourceTagAWS: /$ {} TagKey
LandingZone	arn: $ {Partition}: controltower: $ {Region} :$ {Account} :landingzone/$ {} LandingZoneId	ResourceTagAWS: /$ {} TagKey

Claves de condición para AWS Control Tower

AWS Control Tower define las siguientes claves de condición que se pueden usar en el Condition elemento de una política de IAM.

Claves de condición	Descripción	Tipo
aws: RequestTag /$ {} TagKey	Filtra el acceso por las etiquetas que se pasan en la solicitud	Cadena
aws: ResourceTag /$ {} TagKey	Filtra el acceso por las etiquetas asociadas al recurso	Cadena
AWS: TagKeys	Filtra el acceso por las claves de etiquetas que se pasan en la solicitud	ArrayOfString

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

AWS Catálogo de controles (catálogo de control)

AWS Informe de costo y uso (cur)