Opérations Actions Permission-only actions Types de ressources Clés de condition

Actions, ressources et clés de condition pour AWS CloudTrail

AWS CloudTrail (préfixe de service :cloudtrail) fournit les opérations, ressources, actions et clés de condition spécifiques au service suivantes à utiliser dans les politiques d'autorisation IAM.

Références :

Découvrez comment configurer ce service.
Affichez la liste des opérations d'API disponibles pour ce service.
Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.
Consultez la référence d'autorisation de service programmatique pour ce service.

Rubriques

Opérations d'API définies par AWS CloudTrail
Actions définies par AWS CloudTrail
Permission-only actions pour AWS CloudTrail
Types de ressources définis par AWS CloudTrail
Clés de condition pour AWS CloudTrail

Opérations d'API définies par AWS CloudTrail

Le tableau suivant fait correspondre les opérations d'API aux actions IAM qu'elles autorisent. Seules les clés de condition qui ont des valeurs statiques pour l'API et l'action données sont répertoriées ; pour l'ensemble complet des clés de condition prises en charge par chaque action, consultez le tableau Actions.

Opération	Action IAM	Clé de condition	Valeur (s) possible (s)	Niveau d’accès
AddTags	traînée nuageuse : AddTags			Marquage, écriture
CancelQuery	traînée nuageuse : CancelQuery			Écrire
CreateChannel	traînée nuageuse : AddTags			Marquage, écriture
CreateChannel	traînée nuageuse : CreateChannel			Écrire
CreateDashboard	traînée nuageuse : AddTags			Marquage, écriture
	traînée nuageuse : CreateDashboard			Écrire
	traînée nuageuse : StartDashboardRefresh			Écrire
	traînée nuageuse : StartQuery			Écrire
CreateEventDataStore	traînée nuageuse : AddTags			Marquage, écriture
CreateEventDataStore	traînée nuageuse : CreateEventDataStore			Écrire
CreateTrail	traînée nuageuse : AddTags			Marquage, écriture
	traînée nuageuse : CreateTrail			Écrire
	iam : PassRole	iam : PassedToService	cloudtrail.amazonaws.com, cloudtrail.preprod.amazonaws.com	Écrire
DeleteChannel	traînée nuageuse : DeleteChannel			Écrire
DeleteDashboard	traînée nuageuse : DeleteDashboard			Écrire
DeleteEventDataStore	traînée nuageuse : DeleteEventDataStore			Écrire
DeleteResourcePolicy	traînée nuageuse : DeleteResourcePolicy			Écrire
DeleteTrail	traînée nuageuse : DeleteTrail			Écrire
DeregisterOrganizationDelegatedAdmin	traînée nuageuse : DeregisterOrganizationDelegatedAdmin			Écrire
DescribeQuery	traînée nuageuse : DescribeQuery			Lecture
DescribeTrails	traînée nuageuse : DescribeTrails			Lecture
DisableFederation	traînée nuageuse : DisableFederation			Écrire
EnableFederation	traînée nuageuse : EnableFederation			Écrire
EnableFederation	iam : PassRole	iam : PassedToService	cloudtrail.amazonaws.com, cloudtrail.preprod.amazonaws.com	Écrire
GenerateQuery	traînée nuageuse : GenerateQuery			Écrire
GetChannel	traînée nuageuse : GetChannel			Lecture
GetDashboard	traînée nuageuse : GetDashboard			Lecture
GetEventConfiguration	traînée nuageuse : GetEventConfiguration			Lecture
GetEventDataStore	traînée nuageuse : GetEventDataStore			Lecture
GetEventSelectors	traînée nuageuse : GetEventSelectors			Lecture
GetImport	traînée nuageuse : GetImport			Lecture
GetInsightSelectors	traînée nuageuse : GetInsightSelectors			Lecture
GetQueryResults	traînée nuageuse : GetQueryResults			Lecture
GetResourcePolicy	traînée nuageuse : GetResourcePolicy			Lecture
GetTrail	traînée nuageuse : GetTrail			Lecture
GetTrailStatus	traînée nuageuse : GetTrailStatus			Lecture
ListChannels	traînée nuageuse : ListChannels			List
ListDashboards	traînée nuageuse : ListDashboards			List
ListEventDataStores	traînée nuageuse : ListEventDataStores			List
ListImportFailures	traînée nuageuse : ListImportFailures			Lecture
ListImports	traînée nuageuse : ListImports			List
ListInsightsData	traînée nuageuse : ListInsightsData			List
ListInsightsMetricData	traînée nuageuse : ListInsightsData			List
ListInsightsMetricData	traînée nuageuse : LookupEvents			Lecture
ListPublicKeys	traînée nuageuse : ListPublicKeys			Lecture
ListQueries	traînée nuageuse : ListQueries			List
ListTags	traînée nuageuse : ListTags			Lecture
ListTrails	traînée nuageuse : ListTrails			List
LookupEvents	traînée nuageuse : LookupEvents			Lecture
PutEventConfiguration	traînée nuageuse : PutEventConfiguration			Écrire
PutEventSelectors	traînée nuageuse : PutEventSelectors			Écrire
PutInsightSelectors	traînée nuageuse : PutInsightSelectors			Écrire
PutResourcePolicy	traînée nuageuse : PutResourcePolicy			Écrire
RegisterOrganizationDelegatedAdmin	traînée nuageuse : RegisterOrganizationDelegatedAdmin			Écrire
RemoveTags	traînée nuageuse : RemoveTags			Marquage, écriture
RestoreEventDataStore	traînée nuageuse : RestoreEventDataStore			Écrire
SearchSampleQueries	traînée nuageuse : SearchSampleQueries			Lecture
StartDashboardRefresh	traînée nuageuse : StartDashboardRefresh			Écrire
StartDashboardRefresh	traînée nuageuse : StartQuery			Écrire
StartEventDataStoreIngestion	traînée nuageuse : StartEventDataStoreIngestion			Écrire
StartImport	traînée nuageuse : StartImport			Écrire
StartImport	iam : PassRole	iam : PassedToService	cloudtrail.amazonaws.com, cloudtrail.preprod.amazonaws.com	Écrire
StartLogging	traînée nuageuse : StartLogging			Écrire
StartQuery	traînée nuageuse : StartQuery			Écrire
StopEventDataStoreIngestion	traînée nuageuse : StopEventDataStoreIngestion			Écrire
StopImport	traînée nuageuse : StopImport			Écrire
StopLogging	traînée nuageuse : StopLogging			Écrire
UpdateChannel	traînée nuageuse : UpdateChannel			Écrire
UpdateDashboard	traînée nuageuse : StartDashboardRefresh			Écrire
	traînée nuageuse : StartQuery			Écrire
	traînée nuageuse : UpdateDashboard			Écrire
UpdateEventDataStore	traînée nuageuse : UpdateEventDataStore			Écrire
UpdateTrail	traînée nuageuse : UpdateTrail			Écrire
UpdateTrail	iam : PassRole	iam : PassedToService	cloudtrail.amazonaws.com, cloudtrail.preprod.amazonaws.com	Écrire

Actions définies par AWS CloudTrail

Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

Actions	Description	Types de ressources (*obligatoire)	Clés de condition	Niveau d’accès
AddTags	Autorise l'ajout d'une ou plusieurs balises à un parcours, à une banque de données d'événements, à une chaîne ou à un tableau de bord, dans la limite de 50	canal	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys	Marquage, écriture
		tableau de bord	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys
		banque de données sur les événements	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys
		sentier	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys
CancelQuery	Accorde l'autorisation d'annuler une requête en cours d'exécution	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Écrire
CreateChannel	Accorde l'autorisation de créer un canal.	chaîne*	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys	Écrire
CreateChannel	Accorde l'autorisation de créer un canal.	banque de données d'événements*	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys	Écrire
CreateDashboard	Accorde l'autorisation de créer un tableau de bord	tableau de bord*	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys	Écrire
CreateEventDataStore	Accorde l'autorisation de créer un magasin de données d'événement	banque de données d'événements*	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys	Écrire
CreateTrail	Accorde l'autorisation de créer un journal d'activité qui spécifie les paramètres pour la livraison de données de journal dans un compartiment Amazon S3.	chemin*	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys	Écrire
DeleteChannel	Accorde l'autorisation de supprimer un canal.	chaîne*	était : ResourceTag /$ {} TagKey	Écrire
DeleteDashboard	Accorde l'autorisation de supprimer un tableau de bord	tableau de bord*	était : ResourceTag /$ {} TagKey	Écrire
DeleteEventDataStore	Accorde l'autorisation de supprimer un magasin de données d'événement	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Écrire
DeleteResourcePolicy	Accorde l'autorisation de supprimer une politique de ressource d'un plan de réponse.	canal	était : ResourceTag /$ {} TagKey	Écrire
		tableau de bord	était : ResourceTag /$ {} TagKey
		banque de données sur les événements	était : ResourceTag /$ {} TagKey
DeleteTrail	Accorde l'autorisation de supprimer un journal d'activité.	chemin*	était : ResourceTag /$ {} TagKey	Écrire
DeregisterOrganizationDelegatedAdmin	Accorde l'autorisation de désenregistrer le compte d'un membre AWS d'Organizations en tant qu'administrateur délégué			Écrire
DescribeQuery	Accorde l'autorisation de répertorier les détails de la requête	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Lecture
DescribeTrails	Accorde l'autorisation de répertorier les paramètres des journaux d'activité associés à la région actuelle de votre compte			Lecture
DisableFederation	Accorde l'autorisation de désactiver la fédération des données du magasin de données d'événements à l'aide du catalogue de données AWS Glue	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Écrire
EnableFederation	Accorde l'autorisation d'activer la fédération des données du magasin de données événementielles à l'aide du catalogue de données AWS Glue	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Écrire
GenerateQuery	Accorde l'autorisation de générer une requête pour un magasin de données d'événements spécifié à l'aide du générateur de requêtes CloudTrail Lake	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Écrire
GetChannel	Accorde l'autorisation de renvoyer les informations à propos d’une chaîne spécifique	chaîne*	était : ResourceTag /$ {} TagKey	Lecture
GetDashboard	Accorde l'autorisation de répertorier les paramètres du tableau de bord	tableau de bord*	était : ResourceTag /$ {} TagKey	Lecture
GetEventConfiguration	Accorde l'autorisation de répertorier les configurations d'événements configurées pour un journal ou un magasin de données d'événements	banque de données sur les événements	était : ResourceTag /$ {} TagKey	Lecture
GetEventConfiguration		sentier	était : ResourceTag /$ {} TagKey	Lecture
GetEventDataStore	Accorde l'autorisation de répertorier les paramètres du magasin de données d'événement	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Lecture
GetEventDataStoreData	Accorde l'autorisation d'obtenir des données d'un magasin de données d'événements à l'aide du catalogue de données AWS Glue	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Lecture
GetEventSelectors	Accorde l'autorisation de répertorier les paramètres des sélecteurs d'événements configurés pour un journal d'activité	chemin*	était : ResourceTag /$ {} TagKey	Lecture
GetImport	Accorde l'autorisation de récupérer des informations sur une tâche d'importation spécifique			Lecture
GetInsightSelectors	Accorde l'autorisation de répertorier les sélecteurs CloudTrail Insights configurés pour un magasin de données de parcours ou d'événements	banque de données sur les événements	était : ResourceTag /$ {} TagKey	Lecture
GetInsightSelectors		sentier	était : ResourceTag /$ {} TagKey	Lecture
GetQueryResults	Accorde l'autorisation de récupérer les résultats d'une requête terminée	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Lecture
GetResourcePolicy	Accorde l'autorisation d'obtenir la politique de ressource attachée à un secret	canal	était : ResourceTag /$ {} TagKey	Lecture
		tableau de bord	était : ResourceTag /$ {} TagKey
		banque de données sur les événements	était : ResourceTag /$ {} TagKey
GetTrail	Accorde l'autorisation de répertorier les paramètres du journal d'activité	chemin*	était : ResourceTag /$ {} TagKey	Lecture
GetTrailStatus	Accorde l'autorisation de récupérer une JSON-formatted liste d'informations sur le parcours spécifié	chemin*	était : ResourceTag /$ {} TagKey	Lecture
ListChannels	Accorde l'autorisation de répertorier les chaînes dans le compte actuel et leurs noms sources			List
ListDashboards	Autorise votre compte à répertorier les tableaux de bord associés à la région actuelle			List
ListEventDataStores	Accorde l'autorisation de répertorier les magasins de données d'événement associés à la région actuelle de votre compte			List
ListImportFailures	Accorde l'autorisation de renvoyer une liste d’échecs pour l’importation spécifiée			Lecture
ListImports	Accorde l'autorisation de renvoyer des informations sur toutes les importations, ou sur un ensemble sélectionné d'importations par ImportStatus ou par destination			List
ListInsightsData	Accorde l'autorisation de récupérer les données capturées par CloudTrail Insights	chemin*	était : ResourceTag /$ {} TagKey	List
ListPublicKeys	Accorde l'autorisation de répertorier les clés publiques dont les clés privées ont été utilisées pour signer les fichiers de journal d'activité dans un laps de temps spécifié			Lecture
ListQueries	Accorde l'autorisation de répertorier les requêtes associées à un magasin de données d'événement	banque de données d'événements*	était : ResourceTag /$ {} TagKey	List
ListTags	Autorise à répertorier les balises pour les sentiers, les magasins de données d'événements, les chaînes ou les tableaux de bord de la région actuelle	canal	était : ResourceTag /$ {} TagKey	Lecture
		tableau de bord	était : ResourceTag /$ {} TagKey
		banque de données sur les événements	était : ResourceTag /$ {} TagKey
		sentier	était : ResourceTag /$ {} TagKey
ListTrails	Accorde l'autorisation de répertorier les journaux d'activité associés à la région actuelle de votre compte			List
LookupEvents	Accorde l'autorisation de rechercher et de récupérer des données métriques pour les événements d'activité des API capturés par CloudTrail le biais de la création, de la mise à jour ou de la suppression de ressources dans votre compte			Lecture
PutEventConfiguration	Accorde l'autorisation de créer et de mettre à jour des configurations d'événements pour un parcours ou un magasin de données d'événements	banque de données sur les événements	était : ResourceTag /$ {} TagKey	Écrire
PutEventConfiguration		sentier	était : ResourceTag /$ {} TagKey	Écrire
PutEventSelectors	Accorde l'autorisation de créer et mettre à jour les sélecteurs d'événements pour un journal d'activité	chemin*	était : ResourceTag /$ {} TagKey	Écrire
PutInsightSelectors	Autorise la création et la mise à jour CloudTrail des sélecteurs Insights pour un magasin de données de parcours ou d'événements	banque de données sur les événements	était : ResourceTag /$ {} TagKey	Écrire
PutInsightSelectors		sentier	était : ResourceTag /$ {} TagKey	Écrire
PutResourcePolicy	Accorde l'autorisation d'attacher une politique de ressource à un secret	canal	était : ResourceTag /$ {} TagKey	Écrire
		tableau de bord	était : ResourceTag /$ {} TagKey
		banque de données sur les événements	était : ResourceTag /$ {} TagKey
RegisterOrganizationDelegatedAdmin	Accorde l'autorisation d'enregistrer un compte membre d' AWS Organizations en tant qu'administrateur délégué			Écrire
RemoveTags	Accorde l'autorisation de supprimer des balises d'un parcours, d'une banque de données d'événements, d'une chaîne ou d'un tableau de bord	canal	était : ResourceTag /$ {} TagKey lois : TagKeys	Marquage, écriture
		tableau de bord	était : ResourceTag /$ {} TagKey lois : TagKeys
		banque de données sur les événements	était : ResourceTag /$ {} TagKey lois : TagKeys
		sentier	était : ResourceTag /$ {} TagKey lois : TagKeys
RestoreEventDataStore	Accorde l'autorisation de restaurer un magasin de données d'événement	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Écrire
SearchSampleQueries	Accorde l'autorisation d'effectuer une recherche sémantique pour les exemples de CloudTrail requêtes Lake			Lecture
StartDashboardRefresh	Accorde l'autorisation de démarrer une actualisation sur le tableau de bord spécifié	tableau de bord*	était : ResourceTag /$ {} TagKey	Écrire
StartEventDataStoreIngestion	Accorde l'autorisation de démarrer l'ingestion sur un magasin de données d'événement	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Écrire
StartImport	Accorde l'autorisation de démarrer une importation d'événements de suivi enregistrés depuis un compartiment S3 source vers un magasin de données d'événements de destination			Écrire
StartLogging	Accorde l'autorisation de démarrer l'enregistrement des appels d' AWS API et la livraison des fichiers journaux pour un suivi	chemin*	était : ResourceTag /$ {} TagKey	Écrire
StartQuery	Accorde l'autorisation de démarrer une nouvelle requête sur un magasin de données d'événement spécifié	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Écrire
StopEventDataStoreIngestion	Accorde l'autorisation de d'arrêter l'ingestion sur un magasin de données d'événement	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Écrire
StopImport	Accorde l'autorisation d'arrêter une importation spécifiée			Écrire
StopLogging	Autorise l'arrêt de l'enregistrement des appels d' AWS API et de la livraison des fichiers journaux pour un suivi	chemin*	était : ResourceTag /$ {} TagKey	Écrire
UpdateChannel	Accorde l'autorisation de mettre à jour un canal.	chaîne*	était : ResourceTag /$ {} TagKey	Écrire
UpdateDashboard	Accorde l'autorisation de mettre à jour un tableau de bord	tableau de bord*	était : ResourceTag /$ {} TagKey	Écrire
UpdateEventDataStore	Accorde l'autorisation de mettre à jour un magasin de données d'événement	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Écrire
UpdateTrail	Accorde l'autorisation de mettre à jour les paramètres qui spécifient la livraison de fichiers journaux	chemin*	était : ResourceTag /$ {} TagKey	Écrire

Permission-only actions pour AWS CloudTrail

Les actions suivantes sont définies par une opération d'API AWS CloudTrail mais ne sont pas directement invocables par le biais d'une quelconque opération d'API. Ils ne peuvent être utilisés dans les déclarations de politique IAM que pour accorder ou refuser des autorisations.

Actions	Description	Types de ressources (*obligatoire)	Clés de condition	Niveau d’accès
CreateServiceLinkedChannel	Accorde l'autorisation de créer un canal lié à un service qui spécifie les paramètres de livraison des données de journal à un service AWS	chaîne*	était : ResourceTag /$ {} TagKey	Écrire
DeleteServiceLinkedChannel	Accorde l'autorisation de supprimer un canal lié à un service	chaîne*	était : ResourceTag /$ {} TagKey	Écrire
GenerateQueryResultsSummary	Accorde l'autorisation de générer un résumé des résultats pour des requêtes spécifiées à l'aide du générateur de langage CloudTrail naturel	banque de données d'événements*	était : ResourceTag /$ {} TagKey	Lecture
GetServiceLinkedChannel	Accorde l'autorisation de répertorier les paramètres du canal lié à un service	chaîne*	était : ResourceTag /$ {} TagKey	Lecture
ListServiceLinkedChannels	Accorde l'autorisation de répertorier les canaux liés aux services associés à la région actuelle pour un compte spécifié			List
UpdateServiceLinkedChannel	Accorde l'autorisation de mettre à jour les paramètres des canaux liés au service pour la livraison des données de journal à un service AWS	chaîne*	était : ResourceTag /$ {} TagKey	Écrire

Types de ressources définis par AWS CloudTrail

Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM.

Types de ressources	ARN	Clés de condition
canal	arn : $ {Partition} :cloudtrail : $ {Region} :$ {Account} :channel/$ {} ChannelId	était : ResourceTag /$ {} TagKey
tableau de bord	arn : $ {Partition} :cloudtrail : $ {Region} :$ {Account} :dashboard/$ {} DashboardName	était : ResourceTag /$ {} TagKey
banque de données sur les événements	arn : $ {Partition} :cloudtrail : $ {Region} :$ {Account} :eventdatastore/$ {} EventDataStoreId	était : ResourceTag /$ {} TagKey
sentier	arn : $ {Partition} :cloudtrail : $ {Region} :$ {Account} :trail/$ {} TrailName	était : ResourceTag /$ {} TagKey

Clés de condition pour AWS CloudTrail

AWS CloudTrail définit les clés de condition suivantes qui peuvent être utilisées dans l'Conditionélément d'une politique IAM.

Clés de condition	Description	Type
était : RequestTag /$ {} TagKey	Filtre l'accès en fonction des paires clé-valeur de la balise dans la demande	Chaîne
était : ResourceTag /$ {} TagKey	Filtre l'accès en fonction des balises attachées à une ressource	Chaîne
lois : TagKeys	Filtre l'accès en fonction des clés d'identification dans une demande	ArrayOfString

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

AWS CloudShell (coque nuageuse)

AWS CloudTrail Données (données CloudTrail-Data)