Operasi Tindakan Permission-only tindakan Jenis sumber daya Kunci syarat

Tindakan, sumber daya, dan kunci persyaratan untuk AWS Control Tower

AWS Control Tower (awalan layanan:controltower) menyediakan operasi, sumber daya, tindakan, dan kunci kondisi khusus layanan berikut untuk digunakan dalam kebijakan izin IAM.

Referensi:

Pelajari cara mengonfigurasi layanan ini.
Lihat daftar Operasi API yang tersedia untuk layanan ini.
Pelajari cara mengamankan layanan ini dan sumber dayanya dengan menggunakan kebijakan izin IAM.
Lihat referensi otorisasi layanan terprogram untuk layanan ini.

Topik

Operasi API didefinisikan oleh AWS Control Tower
Tindakan yang didefinisikan oleh AWS Control Tower
Permission-only tindakan untuk AWS Control Tower
Jenis sumber daya didefinisikan oleh AWS Control Tower
Kunci kondisi untuk AWS Control Tower

Operasi API didefinisikan oleh AWS Control Tower

Tabel berikut memetakan operasi API ke tindakan IAM yang mereka otorisasi. Hanya kunci kondisi yang memiliki nilai statis untuk API dan tindakan yang diberikan yang terdaftar; untuk set lengkap kunci kondisi yang didukung oleh setiap tindakan, lihat tabel Tindakan.

Operasi	Tindakan IAM	Tingkat akses
CreateLandingZone	menara kontrol: CreateLandingZone	Tulis
	menara kontrol: PerformPreLaunchChecks	Baca
	menara kontrol: SetupLandingZone	Tulis
	menara kontrol: TagResource	Menandai, Menulis
DeleteLandingZone	menara kontrol: DeleteLandingZone	Tulis
DisableBaseline	menara kontrol: DeregisterOrganizationalUnit	Tulis
DisableBaseline	menara kontrol: DisableBaseline	Tulis
DisableControl	menara kontrol: DisableControl	Tulis
DisableControl	menara kontrol: DisableGuardrail	Tulis
EnableBaseline	menara kontrol: EnableBaseline	Tulis
	menara kontrol: ManageOrganizationalUnit	Tulis
	menara kontrol: TagResource	Menandai, Menulis
EnableControl	menara kontrol: EnableControl	Tulis
	menara kontrol: EnableGuardrail	Tulis
	menara kontrol: TagResource	Menandai, Menulis
GetBaseline	menara kontrol: GetBaseline	Baca
GetBaselineOperation	menara kontrol: DescribeRegisterOrganizationalUnitOperation	Baca
GetBaselineOperation	menara kontrol: GetBaselineOperation	Baca
GetControlOperation	menara kontrol: GetControlOperation	Baca
GetEnabledBaseline	menara kontrol: DescribeManagedAccount	Baca
	menara kontrol: DescribeManagedOrganizationalUnit	Baca
	menara kontrol: GetEnabledBaseline	Baca
GetEnabledControl	menara kontrol: DescribeGuardrailForTarget	Baca
GetEnabledControl	menara kontrol: GetEnabledControl	Baca
GetLandingZone	menara kontrol: DescribeLandingZoneConfiguration	Baca
	menara kontrol: GetAvailableUpdates	Baca
	menara kontrol: GetLandingZone	Baca
	menara kontrol: GetLandingZoneDriftStatus	Baca
	menara kontrol: GetLandingZoneStatus	Baca
GetLandingZoneOperation	menara kontrol: GetLandingZoneOperation	Baca
GetLandingZoneOperation	menara kontrol: GetLandingZoneStatus	Baca
ListBaselines	menara kontrol: ListBaselines	Daftar
ListControlOperations	menara kontrol: ListControlOperations	Daftar
ListEnabledBaselines	menara kontrol: ListEnabledBaselines	Daftar
	menara kontrol: ListManagedAccounts	Daftar
	menara kontrol: ListManagedOrganizationalUnits	Daftar
ListEnabledControls	menara kontrol: ListEnabledControls	Daftar
ListEnabledControls	menara kontrol: ListGuardrailsForTarget	Daftar
ListLandingZoneOperations	menara kontrol: GetLandingZoneStatus	Baca
ListLandingZoneOperations	menara kontrol: ListLandingZoneOperations	Daftar
ListLandingZones	menara kontrol: GetHomeRegion	Baca
ListLandingZones	menara kontrol: ListLandingZones	Daftar
ListTagsForResource	menara kontrol: ListTagsForResource	Baca
ResetEnabledBaseline	menara kontrol: ManageOrganizationalUnit	Tulis
ResetEnabledBaseline	menara kontrol: ResetEnabledBaseline	Tulis
ResetEnabledControl	menara kontrol: ResetEnabledControl	Tulis
ResetLandingZone	menara kontrol: ResetLandingZone	Tulis
ResetLandingZone	menara kontrol: SetupLandingZone	Tulis
TagResource	menara kontrol: TagResource	Menandai, Menulis
UntagResource	menara kontrol: UntagResource	Menandai, Menulis
UpdateEnabledBaseline	menara kontrol: ManageOrganizationalUnit	Tulis
UpdateEnabledBaseline	menara kontrol: UpdateEnabledBaseline	Tulis
UpdateEnabledControl	menara kontrol: UpdateEnabledControl	Tulis
UpdateLandingZone	menara kontrol: SetupLandingZone	Tulis
UpdateLandingZone	menara kontrol: UpdateLandingZone	Tulis

Tindakan yang didefinisikan oleh AWS Control Tower

Anda dapat menyebutkan tindakan berikut dalam elemen Action pernyataan kebijakan IAM. Gunakan kebijakan untuk memberikan izin untuk melaksanakan operasi dalam AWS. Saat Anda menggunakan sebuah tindakan dalam sebuah kebijakan, Anda biasanya mengizinkan atau menolak akses ke operasi API atau perintah CLI dengan nama yang sama. Namun, dalam beberapa kasus, satu tindakan tunggal mengontrol akses ke lebih dari satu operasi. Atau, beberapa operasi memerlukan beberapa tindakan yang berbeda.

Tindakan	Deskripsi	Jenis sumber daya (*diperlukan)	Kunci syarat	Tingkat akses
CreateLandingZone	Memberikan izin untuk membuat landing zone		aws: RequestTag /$ {} TagKey aws: TagKeys	Tulis
DeleteLandingZone	Memberikan izin untuk menghapus landing zone AWS Control Tower	LandingZone*	aws: ResourceTag /$ {} TagKey	Tulis
DisableBaseline	Memberikan izin untuk menonaktifkan Baseline pada target	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Tulis
DisableControl	Memberikan izin untuk menghapus kontrol dari unit organisasi	EnabledControl*	aws: ResourceTag /$ {} TagKey	Tulis
EnableBaseline	Memberikan izin untuk mengaktifkan Baseline pada target		aws: RequestTag /$ {} TagKey aws: TagKeys	Tulis
EnableControl	Memberikan izin untuk mengaktifkan kontrol untuk unit organisasi	EnabledControl	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws: TagKeys	Tulis
GetBaseline	Memberikan izin untuk mendapatkan rincian Baseline	Garis dasar*		Baca
GetBaselineOperation	Memberikan izin untuk mendapatkan status operasi Baseline tertentu saat ini			Baca
GetControlOperation	Memberikan izin untuk mendapatkan status tertentu EnabledControl atau DisableControl operasi saat ini			Baca
GetEnabledBaseline	Memberikan izin untuk mendapatkan Baseline yang diaktifkan	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Baca
GetEnabledControl	Memberikan izin untuk mendapatkan kontrol yang diaktifkan dari unit organisasi	EnabledControl*	aws: ResourceTag /$ {} TagKey	Baca
GetLandingZone	Memberikan izin untuk mendapatkan status pengaturan landing zone saat ini	LandingZone*	aws: ResourceTag /$ {} TagKey	Baca
GetLandingZoneDriftStatus	Memberikan izin untuk mendapatkan status drift landing zone saat ini			Baca
GetLandingZoneOperation	Memberikan izin untuk mendapatkan status operasi landing zone tertentu saat ini			Baca
ListBaselines	Memberikan izin untuk membuat daftar Baseline			Daftar
ListControlOperations	Memberikan izin untuk membuat daftar semua operasi kontrol			Daftar
ListDriftDetails	Memberikan izin untuk membuat daftar kejadian drift di Control Tower AWS			Baca
ListEnabledBaselines	Memberikan izin untuk membuat daftar Baseline yang diaktifkan			Daftar
ListEnabledControls	Memberikan izin untuk mencantumkan semua kontrol yang diaktifkan dalam unit organisasi tertentu			Daftar
ListExternalConfigRuleCompliance	Memberikan izin untuk membuat daftar kepatuhan aturan AWS Config eksternal			Baca
ListLandingZoneOperations	Memberikan izin untuk membuat daftar semua operasi landing zone			Daftar
ListLandingZones	Memberikan izin untuk membuat daftar semua zona pendaratan			Daftar
ListTagsForResource	Memberikan izin untuk membuat daftar tag untuk sumber daya	EnabledBaseline	aws: ResourceTag /$ {} TagKey	Baca
		EnabledControl	aws: ResourceTag /$ {} TagKey
		LandingZone	aws: ResourceTag /$ {} TagKey
ResetEnabledBaseline	Memberikan izin untuk mengatur ulang Baseline yang diaktifkan	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Tulis
ResetEnabledControl	Memberikan izin untuk mengatur ulang kontrol yang diaktifkan untuk unit organisasi	EnabledControl*	aws: ResourceTag /$ {} TagKey	Tulis
ResetLandingZone	Memberikan izin untuk mengatur ulang landing zone	LandingZone*	aws: ResourceTag /$ {} TagKey	Tulis
TagResource	Memberikan izin untuk menambahkan tag ke sumber daya	EnabledBaseline	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws: TagKeys	Menandai, Menulis
		EnabledControl	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws: TagKeys
		LandingZone	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws: TagKeys
UntagResource	Memberikan izin untuk menghapus tag dari sumber daya	EnabledBaseline	aws: ResourceTag /$ {} TagKey aws: TagKeys	Menandai, Menulis
		EnabledControl	aws: ResourceTag /$ {} TagKey aws: TagKeys
		LandingZone	aws: ResourceTag /$ {} TagKey aws: TagKeys
UpdateEnabledBaseline	Memberikan izin untuk memperbarui Baseline yang diaktifkan	EnabledBaseline*	aws: ResourceTag /$ {} TagKey	Tulis
UpdateEnabledControl	Memberikan izin untuk memperbarui kontrol yang diaktifkan untuk unit organisasi	EnabledControl*	aws: ResourceTag /$ {} TagKey	Tulis
UpdateLandingZone	Memberikan izin untuk memperbarui landing zone	LandingZone*	aws: ResourceTag /$ {} TagKey	Tulis

Permission-only tindakan untuk AWS Control Tower

Tindakan berikut ditentukan oleh AWS Control Tower tetapi tidak langsung dapat dipanggil melalui operasi API apa pun. Mereka hanya dapat digunakan dalam pernyataan kebijakan IAM untuk memberikan atau menolak izin.

Tindakan	Deskripsi	Tingkat akses
CreateManagedAccount	Memberikan izin untuk membuat akun yang dikelola oleh AWS Control Tower	Tulis
DeregisterManagedAccount	Memberikan izin untuk membatalkan pendaftaran akun yang dibuat melalui pabrik akun dari Control Tower AWS	Tulis
DeregisterOrganizationalUnit	Memberikan izin untuk membatalkan pendaftaran unit organisasi dari manajemen Control Tower AWS	Tulis
DescribeAccountFactoryConfig	Memberikan izin untuk menjelaskan konfigurasi pabrik akun saat ini	Baca
DescribeCoreService	Memberikan izin untuk mendeskripsikan sumber daya yang dikelola oleh akun inti di AWS Control Tower	Baca
DescribeGuardrail	Memberikan izin untuk menggambarkan pagar pembatas	Baca
DescribeGuardrailForTarget	Memberikan izin untuk menggambarkan pagar pembatas untuk unit organisasi	Baca
DescribeLandingZoneConfiguration	Memberikan izin untuk menjelaskan konfigurasi Zona Pendaratan saat ini	Baca
DescribeManagedAccount	Memberikan izin untuk mendeskripsikan akun yang dibuat melalui pabrik akun	Baca
DescribeManagedOrganizationalUnit	Memberikan izin untuk mendeskripsikan unit AWS organisasi Organizations yang dikelola oleh AWS Control Tower	Baca
DescribeRegisterOrganizationalUnitOperation	Memberikan izin untuk mendeskripsikan Operasi Unit Organisasi Register	Baca
DescribeSingleSignOn	Memberikan izin untuk menjelaskan konfigurasi AWS Control Tower IAM Identity Center saat ini	Baca
DisableGuardrail	Memberikan izin untuk menonaktifkan pagar pembatas dari unit organisasi	Tulis
EnableGuardrail	Memberikan izin untuk mengaktifkan pagar pembatas ke unit organisasi	Tulis
GetAccountInfo	Memberikan izin untuk mendeskripsikan email akun dan memvalidasi bahwa email itu ada	Baca
GetAvailableUpdates	Memberikan izin untuk membuat daftar pembaruan yang tersedia untuk penerapan AWS Control Tower saat ini	Baca
GetGuardrailComplianceStatus	Memberikan izin untuk mendapatkan status kepatuhan pagar pembatas saat ini	Baca
GetHomeRegion	Memberikan izin untuk mendapatkan wilayah asal pengaturan AWS Control Tower	Baca
GetLandingZoneStatus	Memberikan izin untuk mendapatkan status pengaturan landing zone saat ini	Baca
ListDirectoryGroups	Memberikan izin untuk membuat daftar grup direktori saat ini yang tersedia melalui IAM Identity Center	Daftar
ListEnabledGuardrails	Memberikan izin untuk mencantumkan pagar pembatas yang saat ini diaktifkan	Daftar
ListExtendGovernancePrecheckDetails	Memberikan izin untuk mencantumkan rincian Prececk untuk Unit Organisasi	Daftar
ListGuardrailViolations	Memberikan izin untuk membuat daftar pelanggaran pagar pembatas yang ada	Daftar
ListGuardrails	Memberikan izin untuk membuat daftar semua pagar pembatas yang tersedia	Daftar
ListGuardrailsForTarget	Memberikan izin untuk membuat daftar pagar pembatas dan statusnya saat ini untuk unit organisasi	Daftar
ListManagedAccounts	Memberikan izin untuk membuat daftar akun yang dikelola melalui AWS Control Tower	Daftar
ListManagedAccountsForGuardrail	Memberikan izin untuk membuat daftar akun terkelola dengan pagar pembatas tertentu diterapkan	Daftar
ListManagedAccountsForParent	Memberikan izin untuk membuat daftar akun terkelola di bawah unit organisasi	Daftar
ListManagedOrganizationalUnits	Memberikan izin untuk membuat daftar unit organisasi yang dikelola oleh AWS Control Tower	Daftar
ListManagedOrganizationalUnitsForGuardrail	Memberikan izin untuk membuat daftar unit organisasi terkelola yang memiliki pagar pembatas tertentu diterapkan	Daftar
ManageOrganizationalUnit	Memberikan izin untuk mendirikan unit organisasi yang akan dikelola oleh AWS Control Tower	Tulis
PerformPreLaunchChecks	Memberikan izin untuk melakukan validasi di akun	Baca
SetupLandingZone	Memberikan izin untuk mengatur atau memperbarui landing zone AWS Control Tower	Tulis
UpdateAccountFactoryConfig	Memberikan izin untuk memperbarui konfigurasi pabrik akun	Tulis

Jenis sumber daya didefinisikan oleh AWS Control Tower

Jenis sumber daya berikut ditentukan oleh layanan ini dan dapat digunakan dalam elemen Resource pernyataan kebijakan izin IAM.

Jenis sumber daya	ARN	Kunci syarat
Baseline	arn: $ {Partition} :controltower: $ {Wilayah} ::baseline/$ {} BaselineId
EnabledBaseline	arn: $ {Partition} :controltower: $ {Wilayah} :$ {Akun} :enabledbaseline/$ {} EnabledBaselineId	aws: ResourceTag /$ {} TagKey
EnabledControl	arn: $ {Partition} :controltower: $ {Wilayah} :$ {Akun} :enabledcontrol/$ {} EnabledControlId	aws: ResourceTag /$ {} TagKey
LandingZone	arn: $ {Partition} :controltower: $ {Wilayah} :$ {Akun} :landingzone/$ {} LandingZoneId	aws: ResourceTag /$ {} TagKey

Kunci kondisi untuk AWS Control Tower

AWS Control Tower mendefinisikan kunci kondisi berikut yang dapat digunakan dalam Condition elemen kebijakan IAM.

Kunci syarat	Deskripsi	Tipe
aws: RequestTag /$ {} TagKey	Filter akses berdasarkan tanda yang diberikan dalam permintaan	String
aws: ResourceTag /$ {} TagKey	Filter akses dengan tanda yang terkait dengan sumber daya	String
aws: TagKeys	Filter akses berdasarkan kunci tanda yang diberikan dalam permintaan	ArrayOfString

Awas Javascript dinonaktifkan atau tidak tersedia di browser Anda.

Untuk menggunakan Dokumentasi AWS, Javascript harus diaktifkan. Lihat halaman Bantuan browser Anda untuk petunjuk.

Konvensi Dokumen

AWS Katalog Kontrol (controlcatalog)

AWS Laporan Biaya dan Penggunaan (cur)