Opérations Actions Permission-only actions Types de ressources Clés de condition

Actions, ressources et clés de condition pour AWS Shield

AWS Shield (préfixe de service :shield) fournit les opérations, ressources, actions et clés de condition spécifiques aux services suivantes à utiliser dans les politiques d'autorisation IAM.

Références :

Découvrez comment configurer ce service.
Affichez la liste des opérations d'API disponibles pour ce service.
Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.
Consultez la référence d'autorisation de service programmatique pour ce service.

Rubriques

Opérations d'API définies par AWS Shield
Actions définies par AWS Shield
Permission-only actions pour AWS Shield
Types de ressources définis par AWS Shield
Clés de condition pour AWS Shield

Opérations d'API définies par AWS Shield

Le tableau suivant fait correspondre les opérations d'API aux actions IAM qu'elles autorisent. Seules les clés de condition qui ont des valeurs statiques pour l'API et l'action données sont répertoriées ; pour l'ensemble complet des clés de condition prises en charge par chaque action, consultez le tableau Actions.

Opération	Action IAM	Clé de condition	Valeur (s) possible (s)	Niveau d’accès
AssociateDRTLogBucket	bouclier : AssociateDRTLogBucket			Écrire
Rôle DR associé	Bouclier : rôle DR associé			Écrire
Rôle DR associé	iam : PassRole	iam : PassedToService	drt.shield.amazonaws.com	Écrire
AssociateHealthCheck	bouclier : AssociateHealthCheck			Écrire
AssociateProactiveEngagementDetails	bouclier : AssociateProactiveEngagementDetails			Écrire
CreateProtection	bouclier : CreateProtection			Écrire
CreateProtection	bouclier : TagResource			Marquage, écriture
CreateProtectionGroup	bouclier : CreateProtectionGroup			Écrire
CreateProtectionGroup	bouclier : TagResource			Marquage, écriture
CreateSubscription	bouclier : CreateSubscription			Écrire
DeleteProtection	bouclier : DeleteProtection			Écrire
DeleteProtectionGroup	bouclier : DeleteProtectionGroup			Écrire
DeleteSubscription	bouclier : DeleteSubscription			Écrire
DescribeAttack	bouclier : DescribeAttack			Lecture
DescribeAttack	bouclier : DescribeProtectionGroup			Lecture
DescribeAttackStatistics	bouclier : DescribeAttackStatistics			Lecture
Accès au RTD décrit	Bouclier : accès au RT décrit			Lecture
DescribeEmergencyContactSettings	bouclier : DescribeEmergencyContactSettings			Lecture
DescribeProtection	bouclier : DescribeProtection			Lecture
DescribeProtectionGroup	bouclier : DescribeProtectionGroup			Lecture
DescribeSubscription	bouclier : DescribeSubscription			Lecture
DisableApplicationLayerAutomaticResponse	bouclier : DisableApplicationLayerAutomaticResponse			Écrire
DisableProactiveEngagement	bouclier : DisableProactiveEngagement			Écrire
DisassociateDRTLogBucket	bouclier : DisassociateDRTLogBucket			Écrire
Rôle DR dissocié	Bouclier : rôle DR dissocié			Écrire
DisassociateHealthCheck	bouclier : DisassociateHealthCheck			Écrire
EnableApplicationLayerAutomaticResponse	bouclier : EnableApplicationLayerAutomaticResponse			Écrire
EnableProactiveEngagement	bouclier : EnableProactiveEngagement			Écrire
GetSubscriptionState	bouclier : GetSubscriptionState			Lecture
ListAttacks	bouclier : ListAttacks			List
ListProtectionGroups	bouclier : ListProtectionGroups			List
ListProtections	bouclier : ListProtections			List
ListResourcesInProtectionGroup	bouclier : ListResourcesInProtectionGroup			List
ListTagsForResource	bouclier : ListTagsForResource			Lecture
TagResource	bouclier : TagResource			Marquage, écriture
UntagResource	bouclier : UntagResource			Marquage, écriture
UpdateApplicationLayerAutomaticResponse	bouclier : UpdateApplicationLayerAutomaticResponse			Écrire
UpdateEmergencyContactSettings	bouclier : UpdateEmergencyContactSettings			Écrire
UpdateProtectionGroup	bouclier : UpdateProtectionGroup			Écrire
UpdateSubscription	bouclier : UpdateSubscription			Écrire

Actions définies par AWS Shield

Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

Actions	Description	Types de ressources (*obligatoire)	Clés de condition	Niveau d’accès
AssociateDRTLogBucket	Autorise l'équipe DDoS Response Team à accéder au compartiment Amazon S3 spécifié contenant vos journaux de flux.			Écrire
Rôle DR associé	Accorde l'autorisation d'autoriser l'équipe de réponse aux attaques DDoS, utilisant le rôle spécifié, à accéder à votre compte afin de vous aider Compte AWS à atténuer les attaques DDoS lors d'attaques potentielles			Écrire
AssociateHealthCheck	Accorde l'autorisation d'ajouter à la protection Shield Advanced une détection basée sur l'état pour une ressource.	protection*	était : ResourceTag /$ {} TagKey	Écrire
AssociateProactiveEngagementDetails	Accorde l'autorisation d'initialiser l'implication proactive et de définir la liste des contacts à utiliser par l'équipe DDoS Response Team (DRT).			Écriture
CreateProtection	Accorde l'autorisation d'activer le service de protection DDoS pour un ARN de ressource donnée.		était : RequestTag /$ {} TagKey lois : TagKeys	Écrire
CreateProtectionGroup	Accorde l'autorisation de créer un groupement de ressources protégées afin qu'elles puissent être traitées collectivement.		était : RequestTag /$ {} TagKey lois : TagKeys	Écrire
CreateSubscription	Accorde l'autorisation d'activer l'abonnement.			Écriture
DeleteProtection	Accorde l'autorisation de supprimer une protection existante.	protection*	était : ResourceTag /$ {} TagKey	Écrire
DeleteProtectionGroup	Accorde l'autorisation de supprimer le groupe de protection spécifié.	groupe de protection*	était : ResourceTag /$ {} TagKey	Écrire
DeleteSubscription	Accorde l'autorisation de désactiver l'abonnement.			Écrire
DescribeAttack	Accorde l'autorisation d'obtenir les détails de l'attaque. Pour protéger les détails des attaques par le groupe de règles géré anti-DDoS AWS WAF, cette action appelle également wafv2 : DescribeTopContributorsByEvent pour récupérer les contributeurs aux attaques de la couche application, ce qui nécessite l'autorisation wafv2 : dans la politique IAM DescribeTopContributorsByEvent	attaque*		Lecture
DescribeAttackStatistics	Donne l'autorisation de décrire des informations sur le nombre et le type d'attaques détectées par AWS Shield au cours de l'année écoulée			Lecture
Accès à la DRT décrit	Accorde l'autorisation de décrire le rôle actuel et la liste des buckets de log Amazon S3 utilisés par l'équipe de réponse aux attaques DDoS pour accéder à vos données Compte AWS tout en contribuant à l'atténuation des attaques			Lecture
DescribeEmergencyContactSettings	Accorde l'autorisation de lister les adresses e-mail que l'équipe DRT peut utiliser pour vous contacter lors d'une attaque suspectée.			Lecture
DescribeProtection	Accorde l'autorisation d'obtenir des détails de protection.	protection*	était : ResourceTag /$ {} TagKey	Lecture
DescribeProtectionGroup	Accorde l'autorisation de décrire la spécification pour le groupe de protection spécifié.	groupe de protection*	était : ResourceTag /$ {} TagKey	Lecture
DescribeSubscription	Accorde l'autorisation d'obtenir les détails de l'abonnement, tels que l'heure de début.			Lecture
DisableApplicationLayerAutomaticResponse	Accorde l'autorisation de désactiver la réponse automatique de la couche d'application pour la protection Shield Advanced d'une ressource			Écrire
DisableProactiveEngagement	Accorde l'autorisation de supprimer l'autorisation donnée à l'équipe DDoS Response Team (DRT) de signaler les escalades aux contacts.			Écriture
DisassociateDRTLogBucket	Accorde l'autorisation de supprimer l'accès de l'équipe DDoS Response Team au compartiment Amazon S3 spécifié contenant vos journaux de flux.			Écrire
Rôle DR dissocié	Accorde l'autorisation de supprimer l'accès de l'équipe de réponse aux attaques DDoS à votre Compte AWS			Écrire
DisassociateHealthCheck	Accorde l'autorisation de supprimer de la protection Shield Advanced une détection basée sur l'état pour une ressource.	protection*	était : ResourceTag /$ {} TagKey	Écrire
EnableApplicationLayerAutomaticResponse	Accorde l'autorisation d'activer la réponse automatique de la couche d'application pour la protection Shield Advanced d'une ressource			Écrire
EnableProactiveEngagement	Autorise l'équipe DDoS Response Team (DRT) à utiliser l'e-mail et le téléphone pour signaler les escalades aux contacts.			Écriture
GetSubscriptionState	Accorde l'autorisation d'obtenir l'état de l'abonnement.			Lecture
ListAttacks	Accorde l'autorisation de répertorier toutes les attaques existantes.			Liste
ListProtectionGroups	Accorde l'autorisation de récupérer les groupes de protection pour le compte.			Liste
ListProtections	Accorde l'autorisation de répertorier toutes les protections existantes.			Liste
ListResourcesInProtectionGroup	Accorde l'autorisation de récupérer les ressources incluses dans le groupe de protection.	groupe de protection*	était : ResourceTag /$ {} TagKey	List
ListTagsForResource	Accorde l'autorisation d'obtenir des informations sur les AWS balises pour un Amazon Resource Name (ARN) spécifié dans AWS Shield	protection	était : ResourceTag /$ {} TagKey	Lecture
ListTagsForResource		groupe de protection	était : ResourceTag /$ {} TagKey	Lecture
TagResource	Autorise l'ajout ou la mise à jour de balises pour une ressource dans AWS Shield	protection	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys	Marquage, écriture
TagResource		groupe de protection	était : RequestTag /$ {} TagKey était : ResourceTag /$ {} TagKey lois : TagKeys	Marquage, écriture
UntagResource	Accorde l'autorisation de supprimer des balises d'une ressource dans AWS Shield	protection	était : ResourceTag /$ {} TagKey lois : TagKeys	Marquage, écriture
UntagResource		groupe de protection	était : ResourceTag /$ {} TagKey lois : TagKeys	Marquage, écriture
UpdateApplicationLayerAutomaticResponse	Accorde l'autorisation de mettre à jour la réponse automatique de la couche d'application pour la protection Shield Advanced d'une ressource			Écrire
UpdateEmergencyContactSettings	Accorde l'autorisation de mettre à jour les détails de la liste des adresses e-mail que l'équipe DRT peut utiliser pour vous contacter lors d'une attaque suspectée.			Écriture
UpdateProtectionGroup	Accorde l'autorisation de mettre à jour un groupe de protection existant.	groupe de protection*	était : ResourceTag /$ {} TagKey	Écrire
UpdateSubscription	Accorde l'autorisation de mettre à jour les détails d'un abonnement existant.			Écrire

Permission-only actions pour AWS Shield

Les actions suivantes sont définies par AWS Shield mais ne sont pas directement invocables par le biais d'une opération d'API. Ils ne peuvent être utilisés dans les déclarations de politique IAM que pour accorder ou refuser des autorisations.

Actions	Description	Types de ressources (*obligatoire)	Clés de condition	Niveau d’accès
DescribeAttackContributors	Accorde l'autorisation d'obtenir des informations détaillées sur les contributeurs à une attaque DDoS spécifique	attaque*		Lecture
DescribeAttackContributors		groupe de protection	était : ResourceTag /$ {} TagKey	Lecture
GetGlobalThreatData	Autorise à récupérer les données et les tendances des renseignements sur les menaces mondiales à partir des systèmes de surveillance des menaces de AWS Shield			Lecture
ListMitigations	Accorde l'autorisation de récupérer une liste des mesures d'atténuation qui ont été appliquées lors d'attaques DDoS	attaque*		List

Types de ressources définis par AWS Shield

Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM.

Types de ressources	ARN	Clés de condition
attaque	arn : $ {Partition} :shield : :$ {Account} :attack/$ {Id}
protection	arn : $ {Partition} :shield : :$ {Account} :protection/$ {Id}	était : ResourceTag /$ {} TagKey
groupe de protection	arn : $ {Partition} :shield : :$ {Account} :protection-group/$ {Id}	était : ResourceTag /$ {} TagKey

Clés de condition pour AWS Shield

AWS Shield définit les clés de condition suivantes qui peuvent être utilisées dans l'Conditionélément d'une politique IAM.

Clés de condition	Description	Type
était : RequestTag /$ {} TagKey	Filtre les actions en fonction de la présence de paires clé-valeur d'identification dans la demande	Chaîne
était : ResourceTag /$ {} TagKey	Filtre les actions en fonction des paires clé-valeur d'identification attachées à la ressource	Chaîne
lois : TagKeys	Filtre les actions en fonction de la présence de clés d'identification dans la demande	ArrayOfString

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

AWS service fournissant des réseaux privés gérés (réseaux privés)

AWS Directeur de la sécurité réseau Shield (directeur de sécurité réseau)