Directory Service API アクセス許可: アクション、リソース、条件リファレンス
アクセスコントロール をセットアップし、IAM ID (ID ベースのポリシー) にアタッチできるアクセス許可ポリシーを作成する際、Directory Service API アクセス許可: アクション、リソース、条件リファレンス の表をリファレンスとして使用できます。テーブル内の各 API エントリには以下が含まれます。
-
API オペレーションの名前。
-
各 API オペレーションに対応するアクション、またはその実行のためのアクセス権限を付与できるアクションを示しています。
-
アクセス権限を付与できる AWS リソース
ポリシーの Action フィールドでアクションを指定し、ポリシーの Resource フィールドでリソースの値を指定します。アクションを指定するには、API オペレーション名 (ds:CreateDirectory など) の前に ds: プレフィックスを使用します。AWS アプリケーションによっては、そのポリシーに ds:AuthorizeApplication、ds:CheckAlias、ds:CreateIdentityPoolDirectory、ds:GetAuthorizedApplicationDetails、ds:UpdateAuthorizedApplication や ds:UnauthorizeApplicationなどの非公開の Directory Service API オペレーションを使用することが必要になる場合があります。
Directory Service 一部の API は、を介してのみ呼び出すことができます AWS マネジメントコンソール。これらはプログラムで呼び出すことができないという意味ではパブリック API ではなく、どの SDK からも提供されていません。このサーバーにはユーザー認証情報が必要です。これらの API オペレーションにはds:DisableRoleAccess、ds:EnableRoleAccess、およびが含まれますds:UpdateDirectory。
Directory Service および Directory Service Data ポリシーで AWS グローバル条件キーを使用して、条件を表すことができます。AWS キーの完全なリストについては、「IAM ユーザーガイド」の「利用可能なグローバル条件キー」を参照してください。
Directory Service API とアクションで必要なアクセス許可
AWS Directory Service Data API とアクションが必要なアクセス権限
注記
アクションを指定するには、API オペレーション名 (例えば、ds-data:AddGroupMember) の前に ds-data: プレフィックスを使用します。
| Directory Service Data API オペレーション | 必要な許可 (API アクション) | リソース |
|---|---|---|
| AddGroupMember |
|
* |
| CreateGroup |
|
* |
| CreateUser |
|
* |
| DeleteGroup |
|
* |
| DeleteUser |
|
* |
| DescribeGroup |
|
* |
| DescribeUser |
|
* |
| DisableUser |
|
* |
| ListGroups |
|
* |
| ListGroupMembers |
|
* |
| ListGroupsForMember |
|
* |
| ListUsers |
|
* |
| RemoveGroupMember |
|
* |
| SearchGroups |
|
* |
| SearchUsers |
|
* |
| UpdateGroup |
|
* |
| UpdateUser |
|
* |
関連トピック
