Actions, ressources et clés de condition pour Amazon Macie
Amazon Macie (préfixe de service :macie2) fournit les opérations, ressources, actions et clés de condition spécifiques aux services suivantes à utiliser dans les politiques d'autorisation IAM.
Références :
-
Découvrez comment configurer ce service.
-
Affichez la liste des opérations d'API disponibles pour ce service.
-
Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.
-
Consultez la référence d'autorisation de service programmatique
pour ce service.
Rubriques
Opérations d'API définies par Amazon Macie
Le tableau suivant fait correspondre les opérations d'API aux actions IAM qu'elles autorisent. Seules les clés de condition qui ont des valeurs statiques pour l'API et l'action données sont répertoriées ; pour l'ensemble complet des clés de condition prises en charge par chaque action, consultez le tableau Actions.
| Opération | Action IAM | Clé de condition | Valeur (s) possible (s) | Niveau d’accès |
|---|---|---|---|---|
|
AcceptInvitation |
Écrire |
|||
|
BatchGetCustomDataIdentifiers |
Lecture |
|||
|
BatchUpdateAutomatedDiscoveryAccounts |
Écrire |
|||
|
CreateAllowList |
Écrire |
|||
Marquage, écriture |
||||
|
CreateClassificationJob |
Écrire |
|||
Marquage, écriture |
||||
|
CreateCustomDataIdentifier |
Écrire |
|||
Marquage, écriture |
||||
|
CreateFindingsFilter |
Écrire |
|||
Marquage, écriture |
||||
|
CreateInvitations |
Écrire |
|||
|
CreateMember |
Écrire |
|||
Marquage, écriture |
||||
|
CreateSampleFindings |
Écrire |
|||
|
DeclineInvitations |
Écrire |
|||
|
DeleteAllowList |
Écrire |
|||
|
DeleteCustomDataIdentifier |
Écrire |
|||
|
DeleteFindingsFilter |
Écrire |
|||
|
DeleteInvitations |
Écrire |
|||
|
DeleteMember |
Écrire |
|||
|
DescribeBuckets |
Lecture |
|||
|
DescribeClassificationJob |
Lecture |
|||
|
DescribeOrganizationConfiguration |
Lecture |
|||
|
DisableMacie |
Écrire |
|||
|
DisableOrganizationAdminAccount |
Écrire |
|||
|
DisassociateFromAdministratorAccount |
Écrire |
|||
|
DisassociateFromMasterAccount |
Écrire |
|||
|
DisassociateMember |
Écrire |
|||
|
EnableMacie |
Écrire |
|||
|
EnableOrganizationAdminAccount |
Écrire |
|||
|
GetAdministratorAccount |
Lecture |
|||
|
GetAllowList |
Lecture |
|||
|
GetAutomatedDiscoveryConfiguration |
Lecture |
|||
|
GetBucketStatistics |
Lecture |
|||
|
GetClassificationExportConfiguration |
Lecture |
|||
|
GetClassificationScope |
Lecture |
|||
|
GetCustomDataIdentifier |
Lecture |
|||
|
GetFindingStatistics |
Lecture |
|||
|
GetFindings |
Lecture |
|||
|
GetFindingsFilter |
Lecture |
|||
|
GetFindingsPublicationConfiguration |
Lecture |
|||
|
GetInvitationsCount |
Lecture |
|||
|
GetMacieSession |
Lecture |
|||
|
GetMasterAccount |
Lecture |
|||
|
GetMember |
Lecture |
|||
|
GetResourceProfile |
Lecture |
|||
|
GetRevealConfiguration |
Lecture |
|||
|
GetSensitiveDataOccurrences |
Lecture |
|||
|
GetSensitiveDataOccurrencesAvailability |
Lecture |
|||
|
GetSensitivityInspectionTemplate |
Lecture |
|||
|
GetUsageStatistics |
Lecture |
|||
|
GetUsageTotals |
Lecture |
|||
|
ListAllowLists |
List |
|||
|
ListAutomatedDiscoveryAccounts |
List |
|||
|
ListClassificationJobs |
List |
|||
|
ListClassificationScopes |
List |
|||
|
ListCustomDataIdentifiers |
List |
|||
|
ListFindings |
List |
|||
|
ListFindingsFilters |
List |
|||
|
ListInvitations |
List |
|||
|
ListManagedDataIdentifiers |
List |
|||
|
ListMembers |
List |
|||
|
ListOrganizationAdminAccounts |
List |
|||
|
ListResourceProfileArtifacts |
List |
|||
|
ListResourceProfileDetections |
List |
|||
|
ListSensitivityInspectionTemplates |
List |
|||
|
ListTagsForResource |
Lecture |
|||
|
PutClassificationExportConfiguration |
Écrire |
|||
|
PutFindingsPublicationConfiguration |
Écrire |
|||
|
SearchResources |
Lecture |
|||
|
TagResource |
Marquage, écriture |
|||
|
TestCustomDataIdentifier |
Écrire |
|||
|
UntagResource |
Marquage, écriture |
|||
|
UpdateAllowList |
Écrire |
|||
|
UpdateAutomatedDiscoveryConfiguration |
Écrire |
|||
|
UpdateClassificationJob |
Écrire |
|||
|
UpdateClassificationScope |
Écrire |
|||
|
UpdateFindingsFilter |
Écrire |
|||
|
UpdateMacieSession |
Écrire |
|||
|
UpdateMemberSession |
Écrire |
|||
|
UpdateOrganizationConfiguration |
Écrire |
|||
|
UpdateResourceProfile |
Écrire |
|||
|
UpdateResourceProfileDetections |
Écrire |
|||
|
UpdateRevealConfiguration |
Écrire |
|||
iam : PassedToService |
reveal-samples.macie.amazonaws.com |
Écrire |
||
|
UpdateSensitivityInspectionTemplate |
Écrire |
Actions définies par Amazon Macie
Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.
| Actions | Description | Types de ressources (*obligatoire) | Clés de condition | Niveau d’accès |
|---|---|---|---|---|
Accorde l'autorisation d'accepter une invitation d'adhésion à Amazon Macie |
Écriture |
|||
Accorde l'autorisation de récupérer des informations sur un ou plusieurs identificateurs de données personnalisés |
Lecture |
|||
Autorise un administrateur Amazon Macie à modifier le statut de la découverte automatique des données sensibles pour un ou plusieurs comptes de son organisation |
Écrire |
|||
Accorde l'autorisation de créer et de définir les paramètres d'une liste d'autorisation |
Écrire |
|||
Accorde l'autorisation de créer et de définir les paramètres d'une tâche de découverte de données sensibles |
était : RequestTag /$ {} TagKey |
Écrire |
||
Accorde l'autorisation de créer et de définir les paramètres d'un identificateur de données personnalisé |
était : RequestTag /$ {} TagKey |
Écrire |
||
Accorde l'autorisation de créer et de définir les paramètres d'un filtre de résultats |
était : RequestTag /$ {} TagKey |
Écrire |
||
Accorde l'autorisation d'envoyer une invitation d'adhésion à Amazon Macie |
Écriture |
|||
Accorde l'autorisation d'associer un compte à un compte administrateur Amazon Macie |
était : RequestTag /$ {} TagKey |
Écrire |
||
Accorde l'autorisation de créer des exemples de résultats. |
Écriture |
|||
Accorde l'autorisation de refuser les invitations d'adhésion à Amazon Macie |
Écrire |
|||
Accorde l'autorisation de supprimer une liste d'autorisation |
Écrire |
|||
Accorde l'autorisation de supprimer un identificateur de données personnalisé |
Écrire |
|||
Accorde l'autorisation de supprimer un filtre de résultats |
Écrire |
|||
Accorde l'autorisation de supprimer les invitations d'adhésion à Amazon Macie |
Écriture |
|||
Accorde l'autorisation de supprimer l'association entre un compte administrateur Amazon Macie et un compte |
Écrire |
|||
Accorde l'autorisation de récupérer des données statistiques et autres sur les compartiments S3 qu'Amazon Macie surveille et analyse |
Lecture |
|||
Accorde l'autorisation de récupérer des informations sur l'état et les paramètres d'une tâche de découverte de données sensibles |
Lecture |
|||
Accorde l'autorisation de récupérer des informations sur les paramètres de configuration d'Amazon Macie pour une organisation AWS |
Lecture |
|||
Accorde l'autorisation de désactiver un compte Amazon Macie, ce qui supprime également les ressources Macie pour le compte |
Écrire |
|||
Accorde l'autorisation de désactiver un compte en tant que compte administrateur Amazon Macie délégué pour une organisation AWS |
Écrire |
|||
Accorde l'autorisation à un compte membre Amazon Macie de se dissocier de son compte administrateur Macie |
Écrire |
|||
Accorde l'autorisation à un compte membre Amazon Macie de se dissocier de son compte administrateur Macie |
Écrire |
|||
Accorde l'autorisation à un compte administrateur Amazon Macie de se dissocier d'un compte membre Macie |
Écrire |
|||
Accorde l'autorisation d'activer et de spécifier les paramètres de configuration d'un nouveau compte Amazon Macie |
Écrire |
|||
Accorde l'autorisation d'activer un compte en tant que compte administrateur Amazon Macie délégué pour une organisation AWS |
Écrire |
|||
Accorde l'autorisation de récupérer des informations sur le compte administrateur Amazon Macie pour un compte |
Lecture |
|||
Accorde l'autorisation de récupérer les paramètres et l'état d'une liste d'autorisation |
Lecture |
|||
Accorde l'autorisation de récupérer les paramètres de configuration et l'état de la découverte automatique des données sensibles pour un compte administrateur, une organisation ou un compte autonome Amazon Macie |
Lecture |
|||
Accorde l'autorisation de récupérer des données statistiques agrégées pour tous les compartiments S3 qu'Amazon Macie surveille et analyse |
Lecture |
|||
Accorde l'autorisation de récupérer les paramètres d'exportation des résultats de découverte de données sensibles |
Lecture |
|||
Accorde l'autorisation de récupérer les paramètres de la portée de la classification pour un compte |
Lecture |
|||
Accorde l'autorisation de récupérer des informations sur les paramètres d'un identificateur de données personnalisé |
Lecture |
|||
Accorde l'autorisation de récupérer des données statistiques agrégées sur les résultats |
Lecture |
|||
Accorde l'autorisation de récupérer les détails d'un ou plusieurs résultats |
Lecture |
|||
Accorde l'autorisation de récupérer des informations sur les paramètres d'un filtre de résultats |
Lecture |
|||
Accorde l'autorisation de récupérer les paramètres de configuration pour publier les résultats sur AWS Security Hub |
Lecture |
|||
Accorde l'autorisation de récupérer le nombre d'invitations d'adhésion à Amazon Macie reçues par un compte |
Lecture |
|||
Accorde l'autorisation de récupérer des informations sur l'état et les paramètres de configuration d'un compte Amazon Macie |
Lecture |
|||
Accorde l'autorisation de récupérer des informations sur le compte administrateur Amazon Macie pour un compte |
Lecture |
|||
Accorde l'autorisation de récupérer des informations sur un compte associé à un compte administrateur Amazon Macie |
Lecture |
|||
Accorde l'autorisation de récupérer les statistiques de découverte de données sensibles et le score de sensibilité d'un compartiment S3 |
Lecture |
|||
Accorde l'autorisation de récupérer le statut et les paramètres de configuration pour la récupération des occurrences de données sensibles signalées par les résultats |
Lecture |
|||
Accorde l'autorisation de récupérer les occurrences de données sensibles signalées par un résultat |
Lecture |
|||
Accorde l'autorisation de vérifier si les occurrences de données sensibles peuvent être récupérées par un résultat |
Lecture |
|||
Accorde l'autorisation de récupérer les paramètres du modèle d'inspection de la sensibilité pour un compte |
Lecture |
|||
Accorde l'autorisation de récupérer des quotas et des données d'utilisation agrégées pour un ou plusieurs comptes |
Lecture |
|||
Accorde l'autorisation de récupérer des données d'utilisation agrégées pour un compte |
Lecture |
|||
Accorde l'autorisation de récupérer un sous-ensemble d'informations sur toutes les listes d'autorisation pour un compte |
List |
|||
Accorde l'autorisation de récupérer l'état de la découverte automatique des données sensibles pour un compte |
List |
|||
Accorde l'autorisation de récupérer un sous-ensemble d'informations sur l'état et les paramètres d'une ou plusieurs tâches de découverte de données sensibles |
List |
|||
Accorde l'autorisation de récupérer un sous-ensemble d'informations sur la portée de la classification d'un compte |
List |
|||
Accorde l'autorisation de récupérer des informations sur tous les identificateurs de données personnalisés |
Liste |
|||
Accorde l'autorisation de récupérer un sous-ensemble d'informations sur un ou plusieurs résultats |
Liste |
|||
Accorde l'autorisation de récupérer des informations sur tous les filtres de résultats |
Liste |
|||
Accorde l'autorisation de récupérer des informations sur toutes les invitations d'adhésion à Amazon Macie reçues par un compte |
List |
|||
Accorde l'autorisation de récupérer des informations sur les identificateurs de données gérés |
List |
|||
Accorde l'autorisation de récupérer des informations sur les comptes membres Amazon Macie associés à un compte administrateur Amazon Macie |
List |
|||
Accorde l'autorisation de récupérer des informations sur le compte administrateur Amazon Macie délégué à une organisation AWS |
List |
|||
Accorde l'autorisation de récupérer des informations sur les objets sélectionnés par Amazon Macie dans un compartiment S3 pour la découverte automatique de données sensibles |
List |
|||
Accorde l'autorisation de récupérer des informations sur les types et la quantité de données sensibles qu'Amazon Macie a trouvées dans un compartiment S3 |
List |
|||
Accorde l'autorisation de récupérer un sous-ensemble d'informations sur le modèle d'inspection de la sensibilité pour un compte |
List |
|||
Accorde l'autorisation de récupérer les balises d'une ressource Amazon Macie |
Lecture |
|||
Accorde l'autorisation de créer ou de mettre à jour les paramètres de stockage des résultats de découverte de données sensibles |
Écrire |
|||
Autorise la mise à jour des paramètres de configuration pour la publication des résultats sur AWS Security Hub |
Écrire |
|||
Accorde l'autorisation de récupérer des données statistiques et d'autres informations sur AWS les ressources surveillées et analysées par Amazon Macie |
Lecture |
|||
Accorde l'autorisation d'ajouter ou de mettre à jour les balises d'une ressource Amazon Macie |
était : RequestTag /$ {} TagKey |
Marquage, écriture |
||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
|
était : RequestTag /$ {} TagKey |
||||
Accorde l'autorisation de tester un identificateur de données personnalisé |
Écriture |
|||
Accorde l'autorisation de supprimer des balises d'une ressource Amazon Macie. |
Marquage, écriture |
|||
Accorde l'autorisation de mettre à jour les paramètres d'une liste d'autorisation |
Écrire |
|||
Accorde l'autorisation de modifier le statut de la découverte automatique des données sensibles pour un compte administrateur, une organisation ou un compte autonome Amazon Macie |
Écrire |
|||
Accorde l'autorisation de modifier l'état d'une tâche de découverte de données sensibles |
était : RequestTag /$ {} TagKey |
Écrire |
||
Accorde l'autorisation de mettre à jour les paramètres de la portée de la classification pour un compte |
Écrire |
|||
Accorde l'autorisation de mettre à jour les paramètres d'un filtre de résultats |
était : RequestTag /$ {} TagKey |
Écrire |
||
Autorise un compte administrateur Amazon Macie à suspendre ou à réactiver Macie pour un compte membre |
Écrire |
|||
Accorde l'autorisation à un compte administrateur Amazon Macie de suspendre ou de réactiver un compte membre Macie |
Écrire |
|||
Accorde l'autorisation de mettre à jour les paramètres de configuration d'Amazon Macie pour une organisation AWS |
Écrire |
|||
Accorde l'autorisation de mettre à jour le score de sensibilité d'un compartiment S3 |
Écrire |
|||
Accorde l'autorisation de mettre à jour les paramètres d'évaluation de la sensibilité d'un compartiment S3 |
Écrire |
|||
Accorde l'autorisation de mettre à jour le statut et les paramètres de configuration pour la récupération des occurrences de données sensibles signalées par les résultats |
Écrire |
|||
Accorde l'autorisation de mettre à jour les paramètres du modèle d'inspection de la sensibilité pour un compte |
Écrire |
Types de ressources définis par Amazon Macie
Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM.
| Types de ressources | ARN | Clés de condition |
|---|---|---|
arn : $ {Partition} :macie2 : $ {Region} :$ {Account} :allow-list/$ {} ResourceId |
||
arn : $ {Partition} :macie2 : $ {Region} :$ {Account} :classification-job/$ {} ResourceId |
||
arn : $ {Partition} :macie2 : $ {Region} :$ {Account} :custom-data-identifier/$ {} ResourceId |
||
arn : $ {Partition} :macie2 : $ {Region} :$ {Account} :findings-filter/$ {} ResourceId |
||
arn : $ {Partition} :macie2 : $ {Region} :$ {Account} :member/$ {} ResourceId |
Clés de condition pour Amazon Macie
Amazon Macie définit les clés de condition suivantes que vous pouvez utiliser dans l'élément Condition d'une stratégie IAM.
| Clés de condition | Description | Type |
|---|---|---|
Filtre l'accès en fonction de la paire de clés et de valeurs d'identification autorisée dans la demande. |
Chaîne |
|
Filtre l'accès en fonction de la paire de clé et de valeur d'identification d'une ressource. |
Chaîne |
|
Filtre l'accès en fonction de la présence de clés d'identification dans la demande |
ArrayOfString |