Actions Types de ressource Clés de condition

Actions, ressources et clés de condition pour AWS IAM Identity Center

AWS IAM Identity Center (préfixe de service :sso) fournit les ressources, actions et clés de contexte de condition spécifiques au service suivantes à utiliser dans les politiques d'autorisation IAM.

Références :

Découvrez comment configurer ce service.
Affichez la liste des opérations d'API disponibles pour ce service.
Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.

Rubriques

Actions définies par AWS IAM Identity Center
Types de ressources définis par AWS IAM Identity Center
Clés de condition pour AWS IAM Identity Center

Actions définies par AWS IAM Identity Center

Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

La colonne Niveau d'accès du tableau Actions décrit la manière dont l'action est classée (liste, lecture, gestion des autorisations ou balisage). Cette classification peut vous aider à comprendre le niveau d'accès accordé par une action utilisée dans une politique. Pour plus d'informations sur les niveaux d'accès, consultez la section Niveaux d'accès dans les résumés des politiques.

La colonne Types de ressources indique si chaque action prend en charge les autorisations au niveau des ressources. S'il n'y a pas de valeur pour cette colonne, vous devez indiquer toutes les ressources (« * ») dans l'élément Resource de votre déclaration de politique. Si la colonne inclut un type de ressource, vous pouvez indiquer un ARN de ce type dans une déclaration avec cette action. Si l'action comporte une ou plusieurs ressources requises, l'appelant doit être autorisé à utiliser l'action avec ces ressources. Les ressources requises sont indiquées dans le tableau par un astérisque (*). Si vous limitez l'accès aux ressources avec l'Resourceélément dans une politique IAM, vous devez inclure un ARN ou un modèle pour chaque type de ressource requis. Certaines actions prennent en charge plusieurs types de ressources. Si le type de ressource est facultatif (non indiqué comme obligatoire), vous pouvez choisir d'utiliser l'un, mais pas l'autre.

La colonne Clés de condition inclut des clés que vous pouvez spécifier dans l'élément Condition d'une déclaration de politique. Pour plus d'informations sur les clés de condition associées aux ressources du service, consultez la colonne Clés de condition du tableau des types de ressources.

La colonne Actions dépendantes du tableau Actions indique les autorisations supplémentaires qui peuvent être nécessaires pour lancer une action avec succès. Ces autorisations peuvent être nécessaires en plus de l'autorisation pour l'action elle-même. Lorsqu'une action spécifie des actions dépendantes, ces dépendances peuvent s'appliquer à des ressources supplémentaires définies pour cette action, et pas uniquement à la première ressource répertoriée dans le tableau.

Note

Les clés de condition des ressources sont répertoriées dans le tableau Types de ressources. Vous pouvez trouver un lien vers le type de ressource qui s'applique à une action dans la colonne Types de ressources (* obligatoire) du tableau Actions. Le type de ressource indiqué dans le tableau Types de ressources inclut la colonne Clés de condition, qui contient les clés de condition de ressource qui s'appliquent à une action dans le tableau Actions.

Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Actions.

Actions	Description	Niveau d'accès	Types de ressources (*obligatoire)	Clés de condition	Actions dépendantes
AssociateDirectory	Accorde l'autorisation de connecter un répertoire à utiliser par AWS IAM Identity Center	Écrire			ds:AuthorizeApplication identitystore:CreateIdentityStore kms:Decrypt
AssociateProfile	Accorde l'autorisation de créer une association entre un utilisateur de répertoire ou un groupe et un profil	Écrire			kms:Decrypt
AttachCustomerManagedPolicyReferenceToPermissionSet	Accorde l'autorisation d'attacher une référence de politique gérée par le client à un jeu d'autorisations	Gestion des autorisations	Instance*		kms:Decrypt
AttachCustomerManagedPolicyReferenceToPermissionSet		Gestion des autorisations	PermissionSet*
AttachManagedPolicyToPermissionSet	Accorde l'autorisation d'associer une politique AWS gérée à un ensemble d'autorisations	Gestion des autorisations	Instance*		kms:Decrypt
AttachManagedPolicyToPermissionSet		Gestion des autorisations	PermissionSet*
CreateAccountAssignment	Accorde l'autorisation d'attribuer l'accès à un principal pour un ensemble d'autorisations spécifié Compte AWS à l'aide d'un ensemble d'autorisations spécifié	Écrire	Account*		kms:Decrypt
			Instance*
			PermissionSet*
CreateApplication	Accorde l'autorisation de créer une application	Écrire	ApplicationProvider*		kms:Decrypt
			Instance*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateApplicationAssignment	Octroie l'autorisation de créer une affectation d'application.	Écrire	Application*		kms:Decrypt
CreateApplicationAssignment		Écrire		sso:ApplicationAccount
CreateApplicationInstance	Accorde l'autorisation d'ajouter une instance d'application à AWS IAM Identity Center	Écrire			kms:Decrypt
CreateApplicationInstanceCertificate	Accorde l'autorisation d'ajouter un nouveau certificat pour une instance d'application	Écrire			kms:Decrypt
CreateInstance	Octroie l'autorisation de créer une instance de centre d'identité.	Écrire	Instance*		iam:CreateServiceLinkedRole identitystore:CreateIdentityStore organizations:DescribeOrganization
CreateInstance		Écrire		aws:RequestTag/${TagKey} aws:TagKeys
CreateInstanceAccessControlAttributeConfiguration	Accorde l'autorisation d'activer l'instance pour ABAC et de spécifier les attributs	Écrire	Instance*		iam:AttachRolePolicy iam:CreateRole iam:DeleteRole iam:DeleteRolePolicy iam:DetachRolePolicy iam:GetRole iam:ListAttachedRolePolicies iam:ListRolePolicies iam:PutRolePolicy iam:UpdateAssumeRolePolicy kms:Decrypt
CreateManagedApplicationInstance	Accorde l'autorisation d'ajouter une instance d'application gérée à AWS IAM Identity Center	Écrire			kms:Decrypt
CreatePermissionSet	Accorde l'autorisation de créer un jeu d'autorisations	Écriture	Instance*		kms:Decrypt
			PermissionSet*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateProfile	Accorde l'autorisation de créer un profil pour une instance d'application	Écriture			kms:Decrypt
CreateTrust	Accorde l'autorisation de créer une approbation de fédération dans un compte cible	Écrire			kms:Decrypt
CreateTrustedTokenIssuer	Octroie l'autorisation de créer un émetteur de jeton sécurisé pour une instance.	Écrire	Instance*		kms:Decrypt
CreateTrustedTokenIssuer		Écrire		aws:RequestTag/${TagKey} aws:TagKeys
DeleteAccountAssignment	Accorde l'autorisation de supprimer l'accès d'un directeur à partir d'un ensemble d'autorisations spécifié Compte AWS à l'aide d'un ensemble d'autorisations spécifié	Écrire	Account*		kms:Decrypt
			Instance*
			PermissionSet*
DeleteApplication	Accorde l'autorisation de supprimer une application	Écrire	Application*		kms:Decrypt
DeleteApplication	Accorde l'autorisation de supprimer une application	Écrire		sso:ApplicationAccount
DeleteApplicationAccessScope	Octroie l'autorisation de supprimer un champ d'accès à une application.	Écrire	Application*		kms:Decrypt
DeleteApplicationAccessScope		Écrire		sso:ApplicationAccount
DeleteApplicationAssignment	Octroie l'autorisation de supprimer une affectation d'application.	Écrire	Application*		kms:Decrypt
DeleteApplicationAssignment		Écrire		sso:ApplicationAccount
DeleteApplicationAuthenticationMethod	Octroie l'autorisation de supprimer une méthode d'authentification pour une application.	Écrire	Application*		kms:Decrypt
DeleteApplicationAuthenticationMethod		Écrire		sso:ApplicationAccount
DeleteApplicationGrant	Octroie l'autorisation de supprimer une autorisation d'une application.	Écrire	Application*		kms:Decrypt
DeleteApplicationGrant		Écrire		sso:ApplicationAccount
DeleteApplicationInstance	Accorde l'autorisation de supprimer l'instance de l'application	Écriture			kms:Decrypt
DeleteApplicationInstanceCertificate	Accorde l'autorisation pde our supprimer un certificat arrivé à expiration ou inactif de l'instance d'application	Écrire			kms:Decrypt
DeleteInlinePolicyFromPermissionSet	Accorde l'autorisation de supprimer la politique en ligne d'un jeu d'autorisations spécifié	Écrire	Instance*		kms:Decrypt
DeleteInlinePolicyFromPermissionSet		Écrire	PermissionSet*
DeleteInstance	Octroie l'autorisation de supprimer une instance de centre d'identité.	Écrire	Instance*		identitystore:DeleteIdentityStore
DeleteInstanceAccessControlAttributeConfiguration	Accorde l'autorisation de désactiver ABAC et de supprimer la liste des attributs de l'instance	Écriture	Instance*		kms:Decrypt
DeleteManagedApplicationInstance	Accorde l'autorisation de supprimer l'instance de l'application gérée	Écriture			kms:Decrypt
DeletePermissionSet	Accorde l'autorisation de supprimer un jeu d'autorisations	Écrire	Instance*		kms:Decrypt
DeletePermissionSet	Accorde l'autorisation de supprimer un jeu d'autorisations	Écrire	PermissionSet*
DeletePermissionsBoundaryFromPermissionSet	Accorde l'autorisation de supprimer la limite d'autorisations d'un jeu d'autorisations	Gestion des autorisations	Instance*		kms:Decrypt
DeletePermissionsBoundaryFromPermissionSet		Gestion des autorisations	PermissionSet*
DeleteProfile	Accorde l'autorisation de supprimer le profil d'une instance d'application	Écrire			kms:Decrypt
DeleteTrustedTokenIssuer	Octroie l'autorisation de supprimer un émetteur de jeton sécurisé pour une instance.	Écrire	TrustedTokenIssuer*		kms:Decrypt
DescribeAccountAssignmentCreationStatus	Accorde l'autorisation de décrire le statut de la demande de création d'affectation	Lecture	Instance*		kms:Decrypt
DescribeAccountAssignmentDeletionStatus	Accorde l'autorisation de décrire le statut d'une demande de suppression d'affectation	Lecture	Instance*		kms:Decrypt
DescribeApplication	Octroie l'autorisation d'obtenir des informations sur une application.	Lecture	Application*		kms:Decrypt
DescribeApplication		Lecture		sso:ApplicationAccount
DescribeApplicationAssignment	Octroie l'autorisation de récupérer une affectation d'application.	Lecture	Application*		kms:Decrypt
DescribeApplicationAssignment		Lecture		sso:ApplicationAccount
DescribeApplicationProvider	Octroie l'autorisation de décrire un fournisseur d'application.	Lecture	ApplicationProvider*
DescribeInstance	Octroie l'autorisation d'obtenir des informations sur une instance de centre d'identité.	Lecture	Instance*
DescribeInstanceAccessControlAttributeConfiguration	Accorde l'autorisation d'obtenir la liste des attributs utilisés par l'instance pour ABAC	Lecture	Instance*		kms:Decrypt
DescribePermissionSet	Accorde l'autorisation de décrire un jeu d'autorisations	Lecture	Instance*		kms:Decrypt
DescribePermissionSet	Accorde l'autorisation de décrire un jeu d'autorisations	Lecture	PermissionSet*
DescribePermissionSetProvisioningStatus	Accorde l'autorisation de décrire l'état de la demande de provisionnement du jeu d'autorisations donnée	Lecture	Instance*		kms:Decrypt
DescribeRegisteredRegions	Accorde l'autorisation d'obtenir les régions dans lesquelles votre organisation a activé AWS IAM Identity Center	Lecture
DescribeTrustedTokenIssuer	Octroie l'autorisation de décrire un émetteur de jeton sécurisé pour une instance.	Lecture	TrustedTokenIssuer*		kms:Decrypt
DetachCustomerManagedPolicyReferenceFromPermissionSet	Accorde l'autorisation de détacher une référence de politique gérée par le client d'un jeu d'autorisations	Gestion des autorisations	Instance*		kms:Decrypt
DetachCustomerManagedPolicyReferenceFromPermissionSet		Gestion des autorisations	PermissionSet*
DetachManagedPolicyFromPermissionSet	Accorde l'autorisation de détacher la politique AWS gérée attachée de l'ensemble d'autorisations spécifié	Gestion des autorisations	Instance*		kms:Decrypt
DetachManagedPolicyFromPermissionSet		Gestion des autorisations	PermissionSet*
DisassociateDirectory	Accorde l'autorisation de dissocier un répertoire à utiliser par AWS IAM Identity Center	Écrire			ds:UnauthorizeApplication identitystore:DeleteIdentityStore kms:Decrypt
DisassociateProfile	Accorde l'autorisation de dissocier un utilisateur ou un groupe de répertoires d'un profil	Écrire			kms:Decrypt
GetApplicationAccessScope	Octroie l'autorisation d'obtenir un champ d'accès à une application.	Lecture	Application*		kms:Decrypt
GetApplicationAccessScope		Lecture		sso:ApplicationAccount
GetApplicationAssignmentConfiguration	Octroie l'autorisation de lire des configurations d'affectation pour une application.	Lecture	Application*		kms:Decrypt
GetApplicationAssignmentConfiguration		Lecture		sso:ApplicationAccount
GetApplicationAuthenticationMethod	Octroie l'autorisation d'obtenir une méthode d'authentification pour une application.	Lecture	Application*		kms:Decrypt
GetApplicationAuthenticationMethod		Lecture		sso:ApplicationAccount
GetApplicationGrant	Octroie l'autorisation d'obtenir des informations sur une autorisation associée à une application.	Lecture	Application*		kms:Decrypt
GetApplicationGrant		Lecture		sso:ApplicationAccount
GetApplicationInstance	Accorde l'autorisation de récupérer les détails d'une instance d'application	Lecture			kms:Decrypt
GetApplicationSessionConfiguration	Accorde l'autorisation d'obtenir la configuration de session pour une application	Lecture	Application*		kms:Decrypt
GetApplicationSessionConfiguration		Lecture		sso:ApplicationAccount
GetApplicationTemplate	Accorde l'autorisation de récupérer les détails du modèle d'application	Lecture
GetInlinePolicyForPermissionSet	Accorde l'autorisation d'obtenir la politique en ligne affectée au jeu d'autorisations	Lecture	Instance*		kms:Decrypt
GetInlinePolicyForPermissionSet		Lecture	PermissionSet*
GetManagedApplicationInstance	Accorde l'autorisation de récupérer les détails d'une instance d'application	Lecture			kms:Decrypt
GetMfaDeviceManagementForDirectory	Accorde l'autorisation de récupérer les paramètres de gestion des appareils MFA pour le répertoire	Lecture			kms:Decrypt
GetPermissionSet	Accorde l'autorisation de récupérer les détails d'un jeu d'autorisations	Lecture			kms:Decrypt
GetPermissionsBoundaryForPermissionSet	Accorde l'autorisation d'obtenir la limite d'autorisations pour un jeu d'autorisations	Lecture	Instance*		kms:Decrypt
GetPermissionsBoundaryForPermissionSet		Lecture	PermissionSet*
GetProfile	Accorde l'autorisation de récupérer un profil pour une instance d'application	Lecture			kms:Decrypt
GetSSOStatus	Accorde l'autorisation de vérifier si AWS IAM Identity Center est activé	Lecture
GetSharedSsoConfiguration	Accorde l'autorisation de récupérer la configuration partagée pour l'instance SSO actuelle	Lecture			kms:Decrypt
GetSsoConfiguration	Accorde l'autorisation de récupérer la configuration de l'instance SSO actuelle	Lecture			kms:Decrypt
GetTrust	Accorde l'autorisation de récupérer l'approbation de fédération dans un compte cible	Lecture			kms:Decrypt
ImportApplicationInstanceServiceProviderMetadata	Accorde l'autorisation de mettre à jour l'instance d'application en chargeant un fichier de métadonnées SAML de l'application fourni par le fournisseur de service	Écrire			kms:Decrypt
ListAccountAssignmentCreationStatus	Accorde l'autorisation de répertorier le statut des demandes de création d' Compte AWS affectation pour une instance SSO spécifiée	Liste	Instance*		kms:Decrypt
ListAccountAssignmentDeletionStatus	Accorde l'autorisation de répertorier le statut des demandes de suppression d' Compte AWS affectation pour une instance SSO spécifiée	Liste	Instance*		kms:Decrypt
ListAccountAssignments	Accorde l'autorisation de répertorier le destinataire du fichier spécifié Compte AWS avec l'ensemble d'autorisations spécifié	Liste	Account*		kms:Decrypt
			Instance*
			PermissionSet*
ListAccountAssignmentsForPrincipal	Octroie l'autorisation de répertorier les comptes affectés à un utilisateur ou à un groupe.	Liste	Instance*		kms:Decrypt
ListAccountsForProvisionedPermissionSet	Accorde l'autorisation de répertorier tous les AWS comptes pour lesquels l'ensemble d'autorisations spécifié est fourni	Liste	Instance*		kms:Decrypt
ListAccountsForProvisionedPermissionSet		Liste	PermissionSet*
ListApplicationAccessScopes	Octroie l'autorisation de répertorier des champs d'accès à une application.	Liste	Application*		kms:Decrypt
ListApplicationAccessScopes		Liste		sso:ApplicationAccount
ListApplicationAssignments	Octroie l'autorisation de répertorier les affectations d'application.	Liste	Application*		kms:Decrypt
ListApplicationAssignments		Liste		sso:ApplicationAccount
ListApplicationAssignmentsForPrincipal	Octroie l'autorisation de répertorier les applications affectées à un utilisateur ou à un groupe.	Liste	Instance*		kms:Decrypt
ListApplicationAssignmentsForPrincipal		Liste		sso:ApplicationAccount
ListApplicationAuthenticationMethods	Octroie l'autorisation de répertorier les méthodes d'authentification pour une application.	Liste	Application*		kms:Decrypt
ListApplicationAuthenticationMethods		Liste		sso:ApplicationAccount
ListApplicationGrants	Octroie l'autorisation de répertorier les autorisations d'une application.	Liste	Application*		kms:Decrypt
ListApplicationGrants		Liste		sso:ApplicationAccount
ListApplicationInstanceCertificates	Accorde l'autorisation de récupérer tous les certificats pour une instance d'application donnée	Lecture			kms:Decrypt
ListApplicationInstances	Accorde l'autorisation de récupérer toutes les instances d'application	Liste			kms:Decrypt sso:GetApplicationInstance
ListApplicationProviders	Octroie l'autorisation de répertorier les fournisseurs d'applications.	Liste	ApplicationProvider*
ListApplicationTemplates	Accorde l'autorisation de récupérer tous les modèles d'application pris en charge	Liste			sso:GetApplicationTemplate
ListApplications	Accorde l'autorisation pour récupérer toutes les applications associées à l'instance d'IAM Identity Center.	Liste			kms:Decrypt
ListCustomerManagedPolicyReferencesInPermissionSet	Accorde l'autorisation de répertorier les références de politiques gérées par le client qui sont attachées à un jeu d'autorisations spécifié	Liste	Instance*		kms:Decrypt
ListCustomerManagedPolicyReferencesInPermissionSet		Liste	PermissionSet*
ListDirectoryAssociations	Accorde l'autorisation de récupérer les informations relatives à l'annuaire connecté à AWS IAM Identity Center	Lecture			kms:Decrypt
ListInstances	Accorde l'autorisation de répertorier les instances SSO auxquelles l'appelant a accès	Liste
ListManagedPoliciesInPermissionSet	Accorde l'autorisation de répertorier les politiques AWS gérées associées à un ensemble d'autorisations spécifié	Liste	Instance*		kms:Decrypt
ListManagedPoliciesInPermissionSet		Liste	PermissionSet*
ListPermissionSetProvisioningStatus	Accorde l'autorisation de répertorier le statut des demandes de provisionnement de jeu d'autorisations pour une instance SSO spécifiée	Liste	Instance*		kms:Decrypt
ListPermissionSets	Accorde l'autorisation de récupérer tous les jeux d'autorisations	Liste	Instance*		kms:Decrypt
ListPermissionSetsProvisionedToAccount	Accorde l'autorisation de répertorier tous les ensembles d'autorisations fournis à un utilisateur spécifié Compte AWS	Liste	Account*		kms:Decrypt
ListPermissionSetsProvisionedToAccount		Liste	Instance*
ListProfileAssociations	Accorde l'autorisation de récupérer l'utilisateur de répertoire ou le groupe associé au profil	Lecture			kms:Decrypt
ListProfiles	Accorde l'autorisation de récupérer tous les profils d'une instance d'application	Liste			kms:Decrypt sso:GetProfile
ListTagsForResource	Accorde l'autorisation de répertorier les identifications qui sont attachées à la ressource spécifiée	Lecture	Application		kms:Decrypt
			Instance
			PermissionSet
			TrustedTokenIssuer
ListTrustedTokenIssuers	Octroie l'autorisation de répertorier les émetteurs de jetons sécurisés pour une instance.	Liste	Instance*		kms:Decrypt
ProvisionPermissionSet	Accorde l'autorisation de provisionner un jeu d'autorisations spécifié sur la cible spécifiée	Écrire	Account*		kms:Decrypt
			Instance*
			PermissionSet*
PutApplicationAccessScope	Accorde l'autorisation d'accéder à create/update une étendue d'accès à une application	Écrire	Application*		kms:Decrypt
PutApplicationAccessScope		Écrire		sso:ApplicationAccount
PutApplicationAssignmentConfiguration	Accorde l'autorisation d'ajouter des configurations d’affectation à une application	Écrire	Application*		kms:Decrypt
PutApplicationAssignmentConfiguration		Écrire		sso:ApplicationAccount
PutApplicationAuthenticationMethod	Accorde l'autorisation d' create/update utiliser une méthode d'authentification à une application	Écrire	Application*		kms:Decrypt
PutApplicationAuthenticationMethod		Écrire		sso:ApplicationAccount
PutApplicationGrant	Accorde l'autorisation d'octroyer create/update une subvention à une demande	Écrire	Application*		kms:Decrypt
PutApplicationGrant		Écrire		sso:ApplicationAccount
PutApplicationSessionConfiguration	Accorde l'autorisation de configurer une session pour une application	Écrire	Application*		kms:Decrypt
PutApplicationSessionConfiguration		Écrire		sso:ApplicationAccount
PutInlinePolicyToPermissionSet	Accorde l'autorisation d'attacher une politique IAM en ligne à un jeu d'autorisations	Écrire	Instance*		kms:Decrypt
PutInlinePolicyToPermissionSet		Écrire	PermissionSet*
PutMfaDeviceManagementForDirectory	Accorde l'autorisation de placer les paramètres de gestion des appareils MFA pour le répertoire	Écrire			kms:Decrypt
PutPermissionsBoundaryToPermissionSet	Accorde l'autorisation d'ajouter la limite d'autorisations à un jeu d'autorisations	Gestion des autorisations	Instance*		kms:Decrypt
PutPermissionsBoundaryToPermissionSet		Gestion des autorisations	PermissionSet*
PutPermissionsPolicy	Accorde l'autorisation d'ajouter une politique à un jeu d'autorisations	Gestion des autorisations			kms:Decrypt
SearchGroups	Accorde l'autorisation de rechercher des groupes dans le répertoire associé.	Lecture			ds:DescribeDirectories kms:Decrypt
SearchUsers	Accorde l'autorisation de rechercher des utilisateurs dans le répertoire associé.	Lecture			ds:DescribeDirectories kms:Decrypt
StartSSO	Accorde l'autorisation d'initialiser AWS IAM Identity Center	Écrire			kms:Decrypt kms:DescribeKey kms:Encrypt kms:GenerateDataKeyWithoutPlaintext organizations:DescribeOrganization organizations:EnableAWSServiceAccess
TagResource	Accorde l'autorisation d'associer un jeu d'identifications à une ressource spécifiée	Identification	Application		kms:Decrypt
			Instance
			PermissionSet
			TrustedTokenIssuer
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Accorde l'autorisation de dissocier un jeu d'identifications d'une ressource spécifiée	Identification	Application		kms:Decrypt
			Instance
			PermissionSet
			TrustedTokenIssuer
				aws:TagKeys
UpdateApplication	Accorde l'autorisation de mettre à jour une application	Écrire	Application*		kms:Decrypt
UpdateApplication	Accorde l'autorisation de mettre à jour une application	Écrire		sso:ApplicationAccount
UpdateApplicationInstanceActiveCertificate	Accorde l'autorisation de définir un certificat en tant que certificat actif pour cette instance d'application	Écriture			kms:Decrypt
UpdateApplicationInstanceDisplayData	Accorde l'autorisation de mettre à jour les données d'affichage d'une instance d'application	Écriture			kms:Decrypt
UpdateApplicationInstanceResponseConfiguration	Accorde l'autorisation de mettre à jour la configuration de réponse de fédération pour l'instance d'application	Écriture			kms:Decrypt
UpdateApplicationInstanceResponseSchemaConfiguration	Accorde l'autorisation de mettre à jour la configuration du schéma de réponse de fédération pour l'instance d'application	Écriture			kms:Decrypt
UpdateApplicationInstanceSecurityConfiguration	Accorde l'autorisation de mettre à jour les détails de sécurité pour l'instance d'application	Écriture			kms:Decrypt
UpdateApplicationInstanceServiceProviderConfiguration	Accorde l'autorisation de mettre à jour la configuration relative au fournisseur de services pour l'instance d'application	Écriture			kms:Decrypt
UpdateApplicationInstanceStatus	Accorde l'autorisation de mettre à jour le statut d'une instance d'application	Écrire			kms:Decrypt
UpdateInstance	Octroie l'autorisation de mettre à jour une instance de centre d'identité.	Écrire	Instance*		identitystore:UpdateIdentityStore kms:Decrypt kms:DescribeKey kms:Encrypt kms:GenerateDataKeyWithoutPlaintext
UpdateInstanceAccessControlAttributeConfiguration	Accorde l'autorisation de mettre à jour les attributs à utiliser avec l'instance pour ABAC	Écriture	Instance*		kms:Decrypt
UpdateManagedApplicationInstanceStatus	Accorde l'autorisation de mettre à jour le statut d'une instance d'application gérée	Écrire			kms:Decrypt
UpdatePermissionSet	Accorde l'autorisation de mettre à jour le jeu d'autorisations	Gestion des autorisations	Instance*		kms:Decrypt
UpdatePermissionSet		Gestion des autorisations	PermissionSet*
UpdateProfile	Accorde l'autorisation de mettre à jour le profil d'une instance d'application	Écriture			kms:Decrypt
UpdateSSOConfiguration	Accorde l'autorisation de mettre à jour la configuration de l'instance SSO actuelle	Écriture			kms:Decrypt
UpdateTrust	Accorde l'autorisation de mettre à jour l'approbation de fédération dans un compte cible	Écrire			kms:Decrypt
UpdateTrustedTokenIssuer	Octroie l'autorisation de mettre à jour un émetteur de jeton sécurisé pour une instance.	Écrire	TrustedTokenIssuer*		kms:Decrypt

Types de ressources définis par AWS IAM Identity Center

Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM. Chaque action du tableau Actions identifie les types de ressources pouvant être spécifiés avec cette action. Un type de ressource peut également définir les clés de condition que vous pouvez inclure dans une politique. Ces clés sont affichées dans la dernière colonne du tableau. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Types de ressources.

Types de ressources	ARN	Clés de condition
PermissionSet	`arn:${Partition}:sso:::permissionSet/${InstanceId}/${PermissionSetId}`	aws:ResourceTag/${TagKey}
Account	`arn:${Partition}:sso:::account/${AccountId}`
Instance	`arn:${Partition}:sso:::instance/${InstanceId}`	aws:ResourceTag/${TagKey}
Application	`arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}`	aws:ResourceTag/${TagKey} sso:ApplicationAccount
TrustedTokenIssuer	`arn:${Partition}:sso::${AccountId}:trustedTokenIssuer/${InstanceId}/${TrustedTokenIssuerId}`	aws:ResourceTag/${TagKey}
ApplicationProvider	`arn:${Partition}:sso::aws:applicationProvider/${ApplicationProviderId}`

Clés de condition pour AWS IAM Identity Center

AWS IAM Identity Center définit les clés de condition suivantes qui peuvent être utilisées dans l'Conditionélément d'une politique IAM. Vous pouvez utiliser ces clés pour affiner les conditions d’application de la déclaration de politique. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Clés de condition.

Pour afficher les clés de condition globales disponibles pour tous les services, consultez la section Clés contextuelles de condition AWS globales.

Clés de condition	Description	Type
aws:RequestTag/${TagKey}	Filtre l'accès en fonction des identifications transmises dans la demande	Chaîne
aws:ResourceTag/${TagKey}	Filtre l'accès en fonction des identifications associées à la ressource	Chaîne
aws:TagKeys	Filtre l'accès en fonction des clés d'identification qui sont transmises dans la demande	ArrayOfString
sso:ApplicationAccount	Filtre l'accès en fonction du compte qui crée l'application. Cette clé de condition n'est pas prise en charge pour les applications SAML gérées par le client	Chaîne

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

AWS Analyseur d'accès IAM

AWS Répertoire du centre d'identité IAM