Tindakan, sumber daya, dan kunci kondisi untuk Pusat AWS Identitas IAM

AWS Pusat Identitas IAM (awalan layanan:sso) menyediakan sumber daya khusus layanan, tindakan, dan kunci konteks kondisi berikut untuk digunakan dalam kebijakan izin IAM.

Referensi:

Pelajari cara mengonfigurasi layanan ini.
Lihat daftar Operasi API yang tersedia untuk layanan ini.
Pelajari cara mengamankan layanan ini dan sumber dayanya dengan menggunakan kebijakan izin IAM.

Topik

Tindakan yang ditentukan oleh AWS IAM Identity Center
Jenis sumber daya yang ditentukan oleh AWS IAM Identity Center
Kunci kondisi untuk Pusat AWS Identitas IAM

Tindakan yang ditentukan oleh AWS IAM Identity Center

Anda dapat menyebutkan tindakan berikut dalam elemen Action pernyataan kebijakan IAM. Gunakan kebijakan untuk memberikan izin untuk melaksanakan operasi dalam AWS. Saat Anda menggunakan sebuah tindakan dalam sebuah kebijakan, Anda biasanya mengizinkan atau menolak akses ke operasi API atau perintah CLI dengan nama yang sama. Namun, dalam beberapa kasus, satu tindakan tunggal mengontrol akses ke lebih dari satu operasi. Atau, beberapa operasi memerlukan beberapa tindakan yang berbeda.

Kolom tingkat akses pada tabel Tindakan menjelaskan cara tindakan diklasifikasikan (Daftar, Baca, Manajemen izin, atau Penandaan). Klasifikasi ini dapat membantu Anda memahami tingkat akses yang diberikan tindakan saat Anda menggunakannya dalam kebijakan. Untuk informasi selengkapnya tentang tingkat akses, lihat Tingkat akses dalam ringkasan kebijakan.

Kolom tipe sumber daya pada tabel Tindakan menunjukkan apakah setiap tindakan mendukung izin tingkat sumber daya. Jika tidak ada nilai untuk kolom ini, Anda harus menentukan semua sumber daya (“*”) yang berlaku kebijakan dalam Resource elemen pernyataan kebijakan Anda. Jika kolom mencantumkan jenis sumber daya, maka Anda dapat menyebutkan ARN dengan jenis tersebut dalam sebuah pernyataan dengan tindakan tersebut. Jika tindakan memiliki satu atau lebih sumber daya yang diperlukan, pemanggil harus memiliki izin untuk menggunakan tindakan dengan sumber daya tersebut. Sumber daya yang diperlukan ditunjukkan dalam tabel dengan tanda bintang (*). Jika Anda membatasi akses sumber daya dengan Resource elemen dalam kebijakan IAM, Anda harus menyertakan ARN atau pola untuk setiap jenis sumber daya yang diperlukan. Beberapa tindakan mendukung berbagai jenis sumber daya. Jika jenis sumber daya opsional (tidak ditunjukkan sesuai kebutuhan), maka Anda dapat memilih untuk menggunakan salah satu jenis sumber daya opsional.

Kolom Condition keys pada tabel Actions menyertakan kunci yang dapat Anda tentukan dalam Condition elemen pernyataan kebijakan. Untuk informasi selengkapnya tentang kunci kondisi yang terkait dengan sumber daya untuk layanan, lihat kolom Kunci kondisi pada tabel Jenis sumber daya.

Kolom Tindakan dependen pada tabel Tindakan menunjukkan izin tambahan yang mungkin diperlukan untuk berhasil memanggil tindakan. Izin ini mungkin diperlukan selain izin untuk tindakan itu sendiri. Saat tindakan menentukan tindakan dependen, dependensi tersebut mungkin berlaku untuk sumber daya tambahan yang ditentukan untuk tindakan tersebut, bukan hanya sumber daya pertama yang tercantum dalam tabel.

catatan

Kunci kondisi sumber daya tercantum dalam tabel Jenis sumber daya. Anda dapat menemukan tautan ke jenis sumber daya yang berlaku untuk tindakan di kolom Jenis sumber daya (*wajib) pada tabel Tindakan. Jenis sumber daya dalam tabel Jenis sumber daya menyertakan kolom Kunci kondisi, yang merupakan kunci kondisi sumber daya yang berlaku untuk tindakan dalam tabel Tindakan.

Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tindakan.

Tindakan	Deskripsi	Tingkat akses	Jenis sumber daya (*diperlukan)	Kunci syarat	Tindakan bergantung
AssociateDirectory	Memberikan izin untuk menghubungkan direktori yang akan digunakan oleh AWS IAM Identity Center	Tulis			ds:AuthorizeApplication identitystore:CreateIdentityStore kms:Decrypt
AssociateProfile	Memberikan izin untuk membuat asosiasi antara pengguna direktori atau grup dan profil	Tulis			kms:Decrypt
AttachCustomerManagedPolicyReferenceToPermissionSet	Memberikan izin untuk melampirkan referensi kebijakan terkelola pelanggan ke set izin	Manajemen izin	Instance*		kms:Decrypt
AttachCustomerManagedPolicyReferenceToPermissionSet		Manajemen izin	PermissionSet*
AttachManagedPolicyToPermissionSet	Memberikan izin untuk melampirkan kebijakan AWS terkelola ke set izin	Manajemen izin	Instance*		kms:Decrypt
AttachManagedPolicyToPermissionSet		Manajemen izin	PermissionSet*
CreateAccountAssignment	Memberikan izin untuk menetapkan akses ke Principal untuk yang ditentukan Akun AWS menggunakan set izin tertentu	Tulis	Account*		kms:Decrypt
			Instance*
			PermissionSet*
CreateApplication	Memberikan izin untuk membuat aplikasi	Tulis	ApplicationProvider*		kms:Decrypt
			Instance*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateApplicationAssignment	Memberikan izin untuk membuat tugas aplikasi	Tulis	Application*		kms:Decrypt
CreateApplicationAssignment	Memberikan izin untuk membuat tugas aplikasi	Tulis		sso:ApplicationAccount
CreateApplicationInstance	Memberikan izin untuk menambahkan instance aplikasi ke AWS IAM Identity Center	Tulis			kms:Decrypt
CreateApplicationInstanceCertificate	Memberikan izin untuk menambahkan sertifikat baru untuk contoh aplikasi	Tulis			kms:Decrypt
CreateInstance	Memberikan izin untuk membuat instance pusat identitas	Tulis	Instance*		iam:CreateServiceLinkedRole identitystore:CreateIdentityStore organizations:DescribeOrganization
CreateInstance	Memberikan izin untuk membuat instance pusat identitas	Tulis		aws:RequestTag/${TagKey} aws:TagKeys
CreateInstanceAccessControlAttributeConfiguration	Memberikan izin untuk mengaktifkan instance untuk ABAC dan menentukan atribut	Tulis	Instance*		iam:AttachRolePolicy iam:CreateRole iam:DeleteRole iam:DeleteRolePolicy iam:DetachRolePolicy iam:GetRole iam:ListAttachedRolePolicies iam:ListRolePolicies iam:PutRolePolicy iam:UpdateAssumeRolePolicy kms:Decrypt
CreateManagedApplicationInstance	Memberikan izin untuk menambahkan instance aplikasi terkelola ke AWS IAM Identity Center	Tulis			kms:Decrypt
CreatePermissionSet	Memberikan izin untuk membuat set izin	Tulis	Instance*		kms:Decrypt
			PermissionSet*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateProfile	Memberikan izin untuk membuat profil untuk instance aplikasi	Tulis			kms:Decrypt
CreateTrust	Memberikan izin untuk membuat kepercayaan federasi di akun target	Tulis			kms:Decrypt
CreateTrustedTokenIssuer	Memberikan izin untuk membuat penerbit token tepercaya untuk sebuah instance	Tulis	Instance*		kms:Decrypt
CreateTrustedTokenIssuer		Tulis		aws:RequestTag/${TagKey} aws:TagKeys
DeleteAccountAssignment	Memberikan izin untuk menghapus akses Principal dari yang ditentukan Akun AWS menggunakan set izin tertentu	Tulis	Account*		kms:Decrypt
			Instance*
			PermissionSet*
DeleteApplication	Memberikan izin untuk menghapus aplikasi	Tulis	Application*		kms:Decrypt
DeleteApplication	Memberikan izin untuk menghapus aplikasi	Tulis		sso:ApplicationAccount
DeleteApplicationAccessScope	Memberikan izin untuk menghapus cakupan akses ke aplikasi	Tulis	Application*		kms:Decrypt
DeleteApplicationAccessScope	Memberikan izin untuk menghapus cakupan akses ke aplikasi	Tulis		sso:ApplicationAccount
DeleteApplicationAssignment	Memberikan izin untuk menghapus tugas aplikasi	Tulis	Application*		kms:Decrypt
DeleteApplicationAssignment	Memberikan izin untuk menghapus tugas aplikasi	Tulis		sso:ApplicationAccount
DeleteApplicationAuthenticationMethod	Memberikan izin untuk menghapus metode otentikasi ke aplikasi	Tulis	Application*		kms:Decrypt
DeleteApplicationAuthenticationMethod		Tulis		sso:ApplicationAccount
DeleteApplicationGrant	Memberikan izin untuk menghapus hibah dari aplikasi	Tulis	Application*		kms:Decrypt
DeleteApplicationGrant	Memberikan izin untuk menghapus hibah dari aplikasi	Tulis		sso:ApplicationAccount
DeleteApplicationInstance	Memberikan izin untuk menghapus instance aplikasi	Tulis			kms:Decrypt
DeleteApplicationInstanceCertificate	Memberikan izin untuk menghapus sertifikat yang tidak aktif atau kedaluwarsa dari instance aplikasi	Tulis			kms:Decrypt
DeleteInlinePolicyFromPermissionSet	Memberikan izin untuk menghapus kebijakan inline dari set izin yang ditentukan	Tulis	Instance*		kms:Decrypt
DeleteInlinePolicyFromPermissionSet		Tulis	PermissionSet*
DeleteInstance	Memberikan izin untuk menghapus instance pusat identitas	Tulis	Instance*		identitystore:DeleteIdentityStore
DeleteInstanceAccessControlAttributeConfiguration	Memberikan izin untuk menonaktifkan ABAC dan menghapus daftar atribut untuk instance	Tulis	Instance*		kms:Decrypt
DeleteManagedApplicationInstance	Memberikan izin untuk menghapus instance aplikasi terkelola	Tulis			kms:Decrypt
DeletePermissionSet	Memberikan izin untuk menghapus set izin	Tulis	Instance*		kms:Decrypt
DeletePermissionSet	Memberikan izin untuk menghapus set izin	Tulis	PermissionSet*
DeletePermissionsBoundaryFromPermissionSet	Memberikan izin untuk menghapus batas izin dari set izin	Manajemen izin	Instance*		kms:Decrypt
DeletePermissionsBoundaryFromPermissionSet	Memberikan izin untuk menghapus batas izin dari set izin	Manajemen izin	PermissionSet*
DeleteProfile	Memberikan izin untuk menghapus profil untuk instance aplikasi	Tulis			kms:Decrypt
DeleteTrustedTokenIssuer	Memberikan izin untuk menghapus penerbit token tepercaya untuk sebuah instance	Tulis	TrustedTokenIssuer*		kms:Decrypt
DescribeAccountAssignmentCreationStatus	Memberikan izin untuk menjelaskan status permintaan pembuatan tugas	Baca	Instance*		kms:Decrypt
DescribeAccountAssignmentDeletionStatus	Memberikan izin untuk menjelaskan status permintaan penghapusan tugas	Baca	Instance*		kms:Decrypt
DescribeApplication	Memberikan izin untuk mendapatkan informasi tentang aplikasi	Baca	Application*		kms:Decrypt
DescribeApplication		Baca		sso:ApplicationAccount
DescribeApplicationAssignment	Memberikan izin untuk mengambil tugas aplikasi	Baca	Application*		kms:Decrypt
DescribeApplicationAssignment	Memberikan izin untuk mengambil tugas aplikasi	Baca		sso:ApplicationAccount
DescribeApplicationProvider	Memberikan izin untuk mendeskripsikan penyedia aplikasi	Baca	ApplicationProvider*
DescribeInstance	Memberikan izin untuk mendapatkan informasi tentang instance pusat identitas	Baca	Instance*
DescribeInstanceAccessControlAttributeConfiguration	Memberikan izin untuk mendapatkan daftar atribut yang digunakan oleh instance untuk ABAC	Baca	Instance*		kms:Decrypt
DescribePermissionSet	Memberikan izin untuk menjelaskan set izin	Baca	Instance*		kms:Decrypt
DescribePermissionSet	Memberikan izin untuk menjelaskan set izin	Baca	PermissionSet*
DescribePermissionSetProvisioningStatus	Memberikan izin untuk menjelaskan status permintaan Penyediaan Set Izin yang diberikan	Baca	Instance*		kms:Decrypt
DescribeRegisteredRegions	Memberikan izin untuk mendapatkan wilayah tempat organisasi Anda mengaktifkan Pusat Identitas AWS IAM	Baca
DescribeTrustedTokenIssuer	Memberikan izin untuk mendeskripsikan penerbit token tepercaya untuk sebuah instance	Baca	TrustedTokenIssuer*		kms:Decrypt
DetachCustomerManagedPolicyReferenceFromPermissionSet	Memberikan izin untuk melepaskan referensi kebijakan terkelola pelanggan dari set izin	Manajemen izin	Instance*		kms:Decrypt
DetachCustomerManagedPolicyReferenceFromPermissionSet		Manajemen izin	PermissionSet*
DetachManagedPolicyFromPermissionSet	Memberikan izin untuk melepaskan kebijakan AWS terkelola terlampir dari set izin yang ditentukan	Manajemen izin	Instance*		kms:Decrypt
DetachManagedPolicyFromPermissionSet		Manajemen izin	PermissionSet*
DisassociateDirectory	Memberikan izin untuk memisahkan direktori yang akan digunakan oleh AWS IAM Identity Center	Tulis			ds:UnauthorizeApplication identitystore:DeleteIdentityStore kms:Decrypt
DisassociateProfile	Memberikan izin untuk memisahkan pengguna direktori atau grup dari profil	Tulis			kms:Decrypt
GetApplicationAccessScope	Memberikan izin untuk mendapatkan ruang lingkup akses ke aplikasi	Baca	Application*		kms:Decrypt
GetApplicationAccessScope		Baca		sso:ApplicationAccount
GetApplicationAssignmentConfiguration	Memberikan izin untuk membaca konfigurasi tugas untuk aplikasi	Baca	Application*		kms:Decrypt
GetApplicationAssignmentConfiguration		Baca		sso:ApplicationAccount
GetApplicationAuthenticationMethod	Memberikan izin untuk mendapatkan metode otentikasi ke aplikasi	Baca	Application*		kms:Decrypt
GetApplicationAuthenticationMethod		Baca		sso:ApplicationAccount
GetApplicationGrant	Memberikan izin untuk mendapatkan rincian tentang hibah milik aplikasi	Baca	Application*		kms:Decrypt
GetApplicationGrant		Baca		sso:ApplicationAccount
GetApplicationInstance	Memberikan izin untuk mengambil detail untuk instance aplikasi	Baca			kms:Decrypt
GetApplicationSessionConfiguration	Memberikan izin untuk mendapatkan konfigurasi sesi untuk aplikasi	Baca	Application*		kms:Decrypt
GetApplicationSessionConfiguration		Baca		sso:ApplicationAccount
GetApplicationTemplate	Memberikan izin untuk mengambil detail template aplikasi	Baca
GetInlinePolicyForPermissionSet	Memberikan izin untuk mendapatkan kebijakan inline yang ditetapkan ke set izin	Baca	Instance*		kms:Decrypt
GetInlinePolicyForPermissionSet		Baca	PermissionSet*
GetManagedApplicationInstance	Memberikan izin untuk mengambil detail untuk instance aplikasi	Baca			kms:Decrypt
GetMfaDeviceManagementForDirectory	Memberikan izin untuk mengambil pengaturan Manajemen Perangkat Mfa untuk direktori	Baca			kms:Decrypt
GetPermissionSet	Memberikan izin untuk mengambil rincian set izin	Baca			kms:Decrypt
GetPermissionsBoundaryForPermissionSet	Memberikan izin untuk mendapatkan batas izin untuk set izin	Baca	Instance*		kms:Decrypt
GetPermissionsBoundaryForPermissionSet	Memberikan izin untuk mendapatkan batas izin untuk set izin	Baca	PermissionSet*
GetProfile	Memberikan izin untuk mengambil profil untuk instance aplikasi	Baca			kms:Decrypt
GetSSOStatus	Memberikan izin untuk memeriksa apakah Pusat AWS Identitas IAM diaktifkan	Baca
GetSharedSsoConfiguration	Memberikan izin untuk mengambil konfigurasi bersama untuk instance SSO saat ini	Baca			kms:Decrypt
GetSsoConfiguration	Memberikan izin untuk mengambil konfigurasi untuk instance SSO saat ini	Baca			kms:Decrypt
GetTrust	Memberikan izin untuk mengambil kepercayaan federasi di akun target	Baca			kms:Decrypt
ImportApplicationInstanceServiceProviderMetadata	Memberikan izin untuk memperbarui instance aplikasi dengan mengunggah file metadata SAMP aplikasi yang disediakan oleh penyedia layanan	Tulis			kms:Decrypt
ListAccountAssignmentCreationStatus	Memberikan izin untuk mencantumkan status permintaan pembuatan Akun AWS tugas untuk instance SSO tertentu	Daftar	Instance*		kms:Decrypt
ListAccountAssignmentDeletionStatus	Memberikan izin untuk mencantumkan status permintaan penghapusan Akun AWS tugas untuk instance SSO tertentu	Daftar	Instance*		kms:Decrypt
ListAccountAssignments	Memberikan izin untuk membuat daftar penerima tugas yang ditentukan Akun AWS dengan set izin yang ditentukan	Daftar	Account*		kms:Decrypt
			Instance*
			PermissionSet*
ListAccountAssignmentsForPrincipal	Memberikan izin untuk membuat daftar akun yang ditetapkan ke pengguna atau grup	Daftar	Instance*		kms:Decrypt
ListAccountsForProvisionedPermissionSet	Memberikan izin untuk mencantumkan semua AWS akun tempat set izin yang ditentukan disediakan	Daftar	Instance*		kms:Decrypt
ListAccountsForProvisionedPermissionSet		Daftar	PermissionSet*
ListApplicationAccessScopes	Memberikan izin untuk membuat daftar cakupan akses ke aplikasi	Daftar	Application*		kms:Decrypt
ListApplicationAccessScopes		Daftar		sso:ApplicationAccount
ListApplicationAssignments	Memberikan izin untuk membuat daftar tugas aplikasi	Daftar	Application*		kms:Decrypt
ListApplicationAssignments	Memberikan izin untuk membuat daftar tugas aplikasi	Daftar		sso:ApplicationAccount
ListApplicationAssignmentsForPrincipal	Memberikan izin untuk membuat daftar aplikasi yang ditugaskan ke pengguna atau grup	Daftar	Instance*		kms:Decrypt
ListApplicationAssignmentsForPrincipal		Daftar		sso:ApplicationAccount
ListApplicationAuthenticationMethods	Memberikan izin untuk mencantumkan metode otentikasi ke aplikasi	Daftar	Application*		kms:Decrypt
ListApplicationAuthenticationMethods		Daftar		sso:ApplicationAccount
ListApplicationGrants	Memberikan izin untuk membuat daftar hibah dari aplikasi	Daftar	Application*		kms:Decrypt
ListApplicationGrants	Memberikan izin untuk membuat daftar hibah dari aplikasi	Daftar		sso:ApplicationAccount
ListApplicationInstanceCertificates	Memberikan izin untuk mengambil semua sertifikat untuk contoh aplikasi tertentu	Baca			kms:Decrypt
ListApplicationInstances	Memberikan izin untuk mengambil semua instance aplikasi	Daftar			kms:Decrypt sso:GetApplicationInstance
ListApplicationProviders	Memberikan izin untuk membuat daftar penyedia aplikasi	Daftar	ApplicationProvider*
ListApplicationTemplates	Memberikan izin untuk mengambil semua templat aplikasi yang didukung	Daftar			sso:GetApplicationTemplate
ListApplications	Memberikan izin untuk mengambil semua aplikasi yang terkait dengan instance IAM Identity Center	Daftar			kms:Decrypt
ListCustomerManagedPolicyReferencesInPermissionSet	Memberikan izin untuk mencantumkan referensi kebijakan terkelola pelanggan yang dilampirkan ke set izin	Daftar	Instance*		kms:Decrypt
ListCustomerManagedPolicyReferencesInPermissionSet		Daftar	PermissionSet*
ListDirectoryAssociations	Memberikan izin untuk mengambil detail tentang direktori yang terhubung ke Pusat Identitas AWS IAM	Baca			kms:Decrypt
ListInstances	Memberikan izin untuk membuat daftar Instans SSO yang dapat diakses oleh penelepon	Daftar
ListManagedPoliciesInPermissionSet	Memberikan izin untuk mencantumkan kebijakan AWS terkelola yang dilampirkan ke set izin tertentu	Daftar	Instance*		kms:Decrypt
ListManagedPoliciesInPermissionSet		Daftar	PermissionSet*
ListPermissionSetProvisioningStatus	Memberikan izin untuk mencantumkan status permintaan Penyediaan Set Izin untuk instance SSO tertentu	Daftar	Instance*		kms:Decrypt
ListPermissionSets	Memberikan izin untuk mengambil semua set izin	Daftar	Instance*		kms:Decrypt
ListPermissionSetsProvisionedToAccount	Memberikan izin untuk mencantumkan semua set izin yang disediakan ke yang ditentukan Akun AWS	Daftar	Account*		kms:Decrypt
ListPermissionSetsProvisionedToAccount		Daftar	Instance*
ListProfileAssociations	Memberikan izin untuk mengambil direktori pengguna atau grup yang terkait dengan profil	Baca			kms:Decrypt
ListProfiles	Memberikan izin untuk mengambil semua profil untuk instance aplikasi	Daftar			kms:Decrypt sso:GetProfile
ListTagsForResource	Memberikan izin untuk membuat daftar tag yang dilampirkan ke sumber daya tertentu	Baca	Application		kms:Decrypt
			Instance
			PermissionSet
			TrustedTokenIssuer
ListTrustedTokenIssuers	Memberikan izin untuk mencantumkan penerbit token tepercaya untuk sebuah instance	Daftar	Instance*		kms:Decrypt
ProvisionPermissionSet	Memberikan izin untuk memberikan izin tertentu yang ditetapkan ke target yang ditentukan	Tulis	Account*		kms:Decrypt
			Instance*
			PermissionSet*
PutApplicationAccessScope	Memberikan izin ke create/update ruang lingkup akses ke aplikasi	Tulis	Application*		kms:Decrypt
PutApplicationAccessScope		Tulis		sso:ApplicationAccount
PutApplicationAssignmentConfiguration	Memberikan izin untuk menambahkan konfigurasi tugas ke aplikasi	Tulis	Application*		kms:Decrypt
PutApplicationAssignmentConfiguration		Tulis		sso:ApplicationAccount
PutApplicationAuthenticationMethod	Memberikan izin untuk metode create/update otentikasi ke aplikasi	Tulis	Application*		kms:Decrypt
PutApplicationAuthenticationMethod		Tulis		sso:ApplicationAccount
PutApplicationGrant	Memberikan izin untuk create/update hibah untuk aplikasi	Tulis	Application*		kms:Decrypt
PutApplicationGrant	Memberikan izin untuk create/update hibah untuk aplikasi	Tulis		sso:ApplicationAccount
PutApplicationSessionConfiguration	Memberikan izin untuk menempatkan konfigurasi sesi untuk aplikasi	Tulis	Application*		kms:Decrypt
PutApplicationSessionConfiguration		Tulis		sso:ApplicationAccount
PutInlinePolicyToPermissionSet	Memberikan izin untuk melampirkan kebijakan inline IAM ke set izin	Tulis	Instance*		kms:Decrypt
PutInlinePolicyToPermissionSet		Tulis	PermissionSet*
PutMfaDeviceManagementForDirectory	Memberikan izin untuk menempatkan pengaturan Manajemen Perangkat Mfa untuk direktori	Tulis			kms:Decrypt
PutPermissionsBoundaryToPermissionSet	Memberikan izin untuk menambahkan batas izin ke set izin	Manajemen izin	Instance*		kms:Decrypt
PutPermissionsBoundaryToPermissionSet	Memberikan izin untuk menambahkan batas izin ke set izin	Manajemen izin	PermissionSet*
PutPermissionsPolicy	Memberikan izin untuk menambahkan kebijakan ke set izin	Manajemen izin			kms:Decrypt
SearchGroups	Memberikan izin untuk mencari grup dalam direktori terkait	Baca			ds:DescribeDirectories kms:Decrypt
SearchUsers	Memberikan izin untuk mencari pengguna dalam direktori terkait	Baca			ds:DescribeDirectories kms:Decrypt
StartSSO	Memberikan izin untuk menginisialisasi AWS IAM Identity Center	Tulis			kms:Decrypt kms:DescribeKey kms:Encrypt kms:GenerateDataKeyWithoutPlaintext organizations:DescribeOrganization organizations:EnableAWSServiceAccess
TagResource	Memberikan izin untuk mengaitkan satu set tag dengan sumber daya tertentu	Penandaan	Application		kms:Decrypt
			Instance
			PermissionSet
			TrustedTokenIssuer
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Memberikan izin untuk memisahkan satu set tag dari sumber daya tertentu	Penandaan	Application		kms:Decrypt
			Instance
			PermissionSet
			TrustedTokenIssuer
				aws:TagKeys
UpdateApplication	Memberikan izin untuk memperbarui aplikasi	Tulis	Application*		kms:Decrypt
UpdateApplication	Memberikan izin untuk memperbarui aplikasi	Tulis		sso:ApplicationAccount
UpdateApplicationInstanceActiveCertificate	Memberikan izin untuk menetapkan sertifikat sebagai sertifikat aktif untuk contoh aplikasi ini	Tulis			kms:Decrypt
UpdateApplicationInstanceDisplayData	Memberikan izin untuk memperbarui data tampilan instance aplikasi	Tulis			kms:Decrypt
UpdateApplicationInstanceResponseConfiguration	Memberikan izin untuk memperbarui konfigurasi respons federasi untuk instance aplikasi	Tulis			kms:Decrypt
UpdateApplicationInstanceResponseSchemaConfiguration	Memberikan izin untuk memperbarui konfigurasi skema respons federasi untuk instance aplikasi	Tulis			kms:Decrypt
UpdateApplicationInstanceSecurityConfiguration	Memberikan izin untuk memperbarui detail keamanan untuk instance aplikasi	Tulis			kms:Decrypt
UpdateApplicationInstanceServiceProviderConfiguration	Memberikan izin untuk memperbarui konfigurasi terkait penyedia layanan untuk instance aplikasi	Tulis			kms:Decrypt
UpdateApplicationInstanceStatus	Memberikan izin untuk memperbarui status instance aplikasi	Tulis			kms:Decrypt
UpdateInstance	Memberikan izin untuk memperbarui instance pusat identitas	Tulis	Instance*		identitystore:UpdateIdentityStore kms:Decrypt kms:DescribeKey kms:Encrypt kms:GenerateDataKeyWithoutPlaintext
UpdateInstanceAccessControlAttributeConfiguration	Memberikan izin untuk memperbarui atribut yang akan digunakan dengan instance untuk ABAC	Tulis	Instance*		kms:Decrypt
UpdateManagedApplicationInstanceStatus	Memberikan izin untuk memperbarui status instance aplikasi terkelola	Tulis			kms:Decrypt
UpdatePermissionSet	Memberikan izin untuk memperbarui set izin	Manajemen izin	Instance*		kms:Decrypt
UpdatePermissionSet	Memberikan izin untuk memperbarui set izin	Manajemen izin	PermissionSet*
UpdateProfile	Memberikan izin untuk memperbarui profil untuk instance aplikasi	Tulis			kms:Decrypt
UpdateSSOConfiguration	Memberikan izin untuk memperbarui konfigurasi untuk instance SSO saat ini	Tulis			kms:Decrypt
UpdateTrust	Memberikan izin untuk memperbarui kepercayaan federasi di akun target	Tulis			kms:Decrypt
UpdateTrustedTokenIssuer	Memberikan izin untuk memperbarui penerbit token tepercaya untuk sebuah instance	Tulis	TrustedTokenIssuer*		kms:Decrypt

Jenis sumber daya yang ditentukan oleh AWS IAM Identity Center

Jenis sumber daya berikut ditentukan oleh layanan ini dan dapat digunakan dalam elemen Resource pernyataan kebijakan izin IAM. Setiap tindakan dalam Tabel tindakan mengidentifikasi jenis sumber daya yang dapat ditentukan dengan tindakan tersebut. Jenis sumber daya juga dapat menentukan kunci kondisi mana yang dapat Anda sertakan dalam kebijakan. Tombol-tombol ini ditampilkan di kolom terakhir dari tabel Jenis sumber daya. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tipe sumber daya.

Jenis sumber daya	ARN	Kunci syarat
PermissionSet	`arn:${Partition}:sso:::permissionSet/${InstanceId}/${PermissionSetId}`	aws:ResourceTag/${TagKey}
Account	`arn:${Partition}:sso:::account/${AccountId}`
Instance	`arn:${Partition}:sso:::instance/${InstanceId}`	aws:ResourceTag/${TagKey}
Application	`arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}`	aws:ResourceTag/${TagKey} sso:ApplicationAccount
TrustedTokenIssuer	`arn:${Partition}:sso::${AccountId}:trustedTokenIssuer/${InstanceId}/${TrustedTokenIssuerId}`	aws:ResourceTag/${TagKey}
ApplicationProvider	`arn:${Partition}:sso::aws:applicationProvider/${ApplicationProviderId}`

Kunci kondisi untuk Pusat AWS Identitas IAM

AWS IAM Identity Center mendefinisikan kunci kondisi berikut yang dapat digunakan dalam Condition elemen kebijakan IAM. Anda dapat menggunakan kunci ini untuk menyempurnakan syarat lebih lanjut saat pernyataan kebijakan berlaku. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tombol kondisi.

Untuk melihat kunci kondisi global yang tersedia untuk semua layanan, lihat kunci konteks kondisi AWS global.

Kunci syarat	Deskripsi	Jenis
aws:RequestTag/${TagKey}	Filter akses berdasarkan tanda yang diberikan dalam permintaan	String
aws:ResourceTag/${TagKey}	Filter akses dengan tanda yang terkait dengan sumber daya	String
aws:TagKeys	Filter akses berdasarkan kunci tanda yang diberikan dalam permintaan	ArrayOfString
sso:ApplicationAccount	Memfilter akses oleh akun yang membuat aplikasi. Kunci kondisi ini tidak didukung untuk aplikasi SAFL yang dikelola pelanggan	String

Awas Javascript dinonaktifkan atau tidak tersedia di browser Anda.

Untuk menggunakan Dokumentasi AWS, Javascript harus diaktifkan. Lihat halaman Bantuan browser Anda untuk petunjuk.

Konvensi Dokumen

AWS Penganalisis Akses IAM

AWS Direktori Pusat Identitas IAM