Amazon WorkSpaces のアクション、リソース、および条件キー - サービス認可リファレンス
アクションリソースタイプ条件キー

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon WorkSpaces のアクション、リソース、および条件キー

Amazon WorkSpaces (サービスプレフィックス: workspaces) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のリソースやアクション、条件コンテキストキーが用意されています。

参照:

Amazon WorkSpaces で定義されるアクション

IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。

Actions テーブルのアクセスレベル列は、アクションの分類方法 (List、Read、Permissions Management、Tagging) を示しています。このように分類することで、ポリシーで使用する際にアクションで付与するアクセスレベルを理解しやすくなります。アクセスレベルの詳細については、ポリシー概要の「アクセスレベル」を参照してください。

[アクション] テーブルの [リソースタイプ] 列は、各アクションがリソースレベルの許可をサポートしているかどうかを示します。この列に値がない場合は、ポリシーステートメントの Resource 要素で、ポリシーが適用されるすべてのリソース (「*」) を指定する必要があります。列にリソースタイプが含まれる場合、そのアクションを含むステートメントでそのタイプの ARN を指定できます。アクションで 1 つ以上のリソースが必須となっている場合、呼び出し元には、それらのリソースを伴うアクションを使用するための許可が付与されている必要があります。必須リソースは、アスタリスク (*) でテーブルに示されています。IAM ポリシーの Resource 要素でリソースアクセスを制限する場合は、必要なリソースタイプごとに ARN またはパターンを含める必要があります。一部のアクションでは、複数のリソースタイプがサポートされています。リソースタイプがオプション (必須として示されていない) の場合、オプションのリソースタイプのいずれかを使用することを選択できます。

[アクション] テーブルの [条件キー] 列には、ポリシーステートメントの Condition 要素で指定できるキーが含まれます。サービスのリソースに関連付けられている条件キーの詳細については、[リソースタイプ] テーブルの [条件キー] 列を参照してください。

Actions テーブルの Dependent actions 列には、アクションを正常に呼び出すために必要な追加のアクセス許可が表示されます。これらのアクセス許可は、アクション自体のアクセス許可に加えて必要になる場合があります。アクションが依存アクションを指定すると、それらの依存関係は、テーブルにリストされている最初のリソースだけでなく、そのアクションに定義された追加のリソースに適用される場合があります。

注記

リソース条件キーは、リソースタイプテーブルに一覧表示されています。アクションに適用されるリソースタイプへのリンクは、[アクション] テーブルの [リソースタイプ (* 必須)] 列にあります。[リソースタイプ] テーブルのリソースタイプには、[アクション] テーブルのアクションに適用されるリソース条件キーである、[条件キー] 列が含まれています。

以下の表の列の詳細については、「アクションテーブル」を参照してください。

アクション 説明 アクセスレベル リソースタイプ (* 必須) 条件キー 依存アクション
AcceptAccountLinkInvitation WorkSpaces BYOL の同じ設定を共有する他の AWS アカウントからの招待を受け入れるアクセス許可を付与します 書き込み
AssociateConnectionAlias 接続エイリアスをディレクトリに関連付けるためのアクセス許可を付与します 書き込み

connectionalias*

directoryid*

AssociateIpGroups IP アクセスコントロールグループをディレクトリに関連付けるためのアクセス許可を付与します 書き込み

directoryid*

workspaceipgroup*

AssociateWorkspaceApplication WorkSpace とワークスペースアプリケーションを関連付けるアクセス許可を付与します 書き込み

workspaceapplication*

workspaceid*

aws:ResourceTag/${TagKey}

AuthorizeIpRules IP アクセスコントロールグループにルールを追加するためのアクセス許可を付与します 書き込み

workspaceipgroup*

workspaces:UpdateRulesOfIpGroup

CopyWorkspaceImage WorkSpace イメージをコピーするためのアクセス許可を付与します 書き込み

workspaceimage*

workspaces:DescribeWorkspaceImages

aws:RequestTag/${TagKey}

aws:TagKeys

CreateAccountLinkInvitation WorkSpaces BYOL の同じ設定を共有するように他の AWS アカウントを招待するアクセス許可を付与します 書き込み
CreateConnectClientAddIn ディレクトリ内に Amazon Connect クライアントアドインを作成する許可を付与 書き込み

directoryid*

CreateConnectionAlias クロスリージョンリダイレクトで使用する接続エイリアスを作成するためのアクセス許可を付与します 書き込み

aws:RequestTag/${TagKey}

aws:TagKeys

CreateIpGroup IP アクセスコントロールグループを作成するためのアクセス許可を付与します 書き込み

aws:RequestTag/${TagKey}

aws:TagKeys

CreateRootClientCertificate [アクセス許可のみ] ルートクライアント証明書を作成するアクセス許可を付与します 書き込み

certificateid*

CreateStandbyWorkspaces 1 つ以上の Standby WorkSpaces を作成する許可を付与 書き込み

directoryid*

workspaceid*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTags WorkSpaces リソースのタグを作成するためのアクセス許可を付与します Tagging

aws:RequestTag/${TagKey}

aws:TagKeys

CreateUpdatedWorkspaceImage 更新された WorkSpace イメージを作成するためのアクセス許可を付与する 書き込み

workspaceimage*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateWorkspaceBundle WorkSpace バンドルを作成するためのアクセス許可を付与します 書き込み

workspacebundle*

workspaces:CreateTags

workspaceimage*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateWorkspaceImage 新しい WorkSpace イメージを作成するアクセス許可を付与 書き込み

workspaceid*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateWorkspaces 1 つ以上の WorkSpaces を作成するためのアクセス許可を付与します 書き込み

directoryid*

workspacebundle*

workspaceid*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateWorkspacesPool WorkSpaces Pool を作成する許可を付与する 書き込み

directoryid*

workspacebundle*

workspacespoolid*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAccountLinkInvitation WorkSpaces BYOL の同じ設定を共有するために、他の AWS アカウントへの招待を削除するアクセス許可を付与します 書き込み
DeleteClientBranding ディレクトリ内の AWS WorkSpaces クライアントのブランドデータを削除するアクセス許可を付与します 書き込み

directoryid*

DeleteConnectClientAddIn ディレクトリ内で設定された Amazon Connect クライアントアドインを削除する許可を付与 書き込み

directoryid*

DeleteConnectionAlias 接続エイリアスを削除するためのアクセス許可を付与します 書き込み

connectionalias*

DeleteIpGroup IP アクセスコントロールグループを削除するためのアクセス許可を付与します 書き込み

workspaceipgroup*

DeleteRootClientCertificate [アクセス許可のみ] ルートクライアント証明書を削除するアクセス許可を付与します 書き込み

certificateid*

DeleteTags WorkSpaces リソースからタグを削除するためのアクセス許可を付与します タグ付け

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteWorkspaceBundle WorkSpace バンドルを削除するためのアクセス許可を付与します 書き込み

workspacebundle*

DeleteWorkspaceImage WorkSpace イメージを削除するためのアクセス許可を付与します 書き込み

workspaceimage*

DeployWorkspaceApplications 保留中のすべてのワークスペースアプリケーションを WorkSpace にデプロイするアクセス許可を付与します 書き込み

workspaceid*

aws:ResourceTag/${TagKey}

DeregisterWorkspaceDirectory Amazon WorkSpaces との使用からディレクトリを登録解除するためのアクセス許可を付与します 書き込み

directoryid*

DescribeAccount WorkSpaces アカウントの Bring-Your-Own-License (BYOL) の設定を取得するためのアクセス許可を付与します 読み込み
DescribeAccountModifications WorkSpaces アカウントの Bring-Your-Own-License (BYOL) の設定に対する変更を取得するためのアクセス許可を付与します 読み取り
DescribeApplicationAssociations WorkSpace アプリケーションに関連するリソースについての情報を取得するアクセス許可を付与します リスト

workspaceapplication*

aws:ResourceTag/${TagKey}

DescribeApplications WorkSpace アプリケーションに関する情報を取得するためのアクセス許可を付与します リスト
DescribeBundleAssociations WorkSpace バンドルに関連するリソースについての情報を取得するアクセス許可を付与します リスト

workspacebundle*

aws:ResourceTag/${TagKey}

DescribeClientBranding ディレクトリ内の AWS WorkSpaces クライアントのブランドデータを取得するアクセス許可を付与します 読み取り

directoryid*

DescribeClientProperties WorkSpaces クライアントに関する情報を取得するためのアクセス許可を付与します リスト

directoryid*

DescribeConnectClientAddIns 作成された Amazon Connect クライアントアドインのリストを取得する許可を付与 リスト

directoryid*

DescribeConnectionAliasPermissions 接続エイリアスの所有者が接続エイリアスのために他の AWS アカウントに付与したアクセス許可を取得するアクセス許可を付与します 読み取り

connectionalias*

DescribeConnectionAliases クロスリージョンリダイレクトに使用される接続エイリアスを記述するリストを取得するためのアクセス許可を付与します 読み取り
DescribeConsent [許可のみ] BYOL の最小要件への同意に関する情報を取得する許可を付与 読み取り
DescribeCustomWorkspaceImageImport WorkSpace BYOL イメージのインポートタスクに関する情報を取得する許可を付与 読み取り
DescribeImageAssociations WorkSpace イメージに関連するリソースについての情報を取得するアクセス許可を付与します リスト

workspaceimage*

aws:ResourceTag/${TagKey}

DescribeIpGroups IP アクセスコントロールグループに関する情報を取得するためのアクセス許可を付与します 読み込み

workspaceipgroup*

DescribeTags WorkSpaces リソースのタグを記述するためのアクセス許可を付与します 読み取り
DescribeWorkspaceAssociations WorkSpace に関連するリソースについての情報を取得するアクセス許可を付与します リスト

workspaceid*

aws:ResourceTag/${TagKey}

DescribeWorkspaceBundles WorkSpace バンドルに関する情報を取得するためのアクセス許可を付与します リスト
DescribeWorkspaceDirectories WorkSpaces に登録されているディレクトリに関する情報を取得するためのアクセス許可を付与します 読み込み
DescribeWorkspaceImagePermissions WorkSpace イメージのアクセス許可に関する情報を取得するためのアクセス許可を付与します 読み込み

workspaceimage*

DescribeWorkspaceImages WorkSpace イメージに関する情報を取得するためのアクセス許可を付与します リスト
DescribeWorkspaceSnapshots WorkSpace スナップショットに関する情報を取得するためのアクセス許可を付与します リスト

workspaceid*

DescribeWorkspaces WorkSpaces に関する情報を取得するためのアクセス許可を付与します リスト
DescribeWorkspacesConnectionStatus WorkSpaces の接続状態を取得するためのアクセス許可を付与します 読み取り
DescribeWorkspacesPoolSessions WorkSpaces Pool のセッションに関する情報を取得する許可を付与する リスト

workspacespoolid*

DescribeWorkspacesPools WorkSpaces Pool に関する情報を取得するための許可を付与する リスト
DirectoryAccessManagement [許可のみ] ワークスペースの管理とプロビジョニング中のディレクトリ管理アクションに対するアクセス許可を付与します リスト

directoryid*

DisassociateConnectionAlias ディレクトリから接続エイリアスの関連付けを解除するためのアクセス許可を付与します 書き込み

connectionalias*

DisassociateIpGroups ディレクトリから IP アクセスコントロールグループの関連付けを解除するためのアクセス許可を付与します 書き込み

directoryid*

workspaceipgroup*

DisassociateWorkspaceApplication WorkSpace からワークスペースアプリケーションの関連付けを解除するアクセス許可を付与します 書き込み

workspaceapplication*

workspaceid*

aws:ResourceTag/${TagKey}

WorkSpaces BYOL の設定を共有するために、別の AWS アカウントとのリンクを取得するアクセス許可を付与します 読み取り
ImportClientBranding ディレクトリ内で AWS WorkSpaces クライアントのブランドデータをインポートする許可を付与 書き込み

directoryid*

ImportCustomWorkspaceImage Amazon WorkSpaces に Bring-Your-Own-License (BYOL) イメージをインポートするためのアクセス許可を付与します 書き込み
ImportWorkspaceImage Amazon WorkSpaces に Bring-Your-Own-License (BYOL) イメージをインポートするためのアクセス許可を付与します 書き込み

ec2:DescribeImages

ec2:ModifyImageAttribute

WorkSpaces BYOL の設定を共有する AWS アカウント (複数可) とのリンクを取得するアクセス許可を付与します リスト
ListAvailableManagementCidrRanges WorkSpaces アカウントで Bring-Your-Own-License (BYOL) を有効にするために使用できる CIDR 範囲を一覧表示するためのアクセス許可を付与します リスト
MigrateWorkspace WorkSpaces を移行するためのアクセス許可を付与します 書き込み

workspacebundle*

workspaceid*

ModifyAccount WorkSpaces アカウントの Bring-Your-Own-License (BYOL) の設定を変更するためのアクセス許可を付与します 書き込み
ModifyCertificateBasedAuthProperties ディレクトリの証明書に基づいた認可プロパティを変更する許可を付与 書き込み

directoryid*

ModifyClientProperties WorkSpaces クライアントのプロパティを変更するためのアクセス許可を付与します 書き込み

directoryid*

ModifyEndpointEncryptionMode Standard TLS と FIPS 140-2 検証モードの間で指定されたディレクトリを設定するアクセス許可を付与します 書き込み

directoryid*

ModifySamlProperties ディレクトリの SAML プロパティを変更するアクセス許可を付与 書き込み

directoryid*

ModifySelfservicePermissions ユーザーのセルフサービス WorkSpace 管理機能を変更するためのアクセス許可を付与します 権限の管理

directoryid*

ModifyStreamingProperties ストリーミングプロパティを変更する許可を付与する 書き込み

directoryid*

ModifyWorkspaceAccessProperties ユーザーが WorkSpaces にアクセスするために使用できるデバイスおよびオペレーティングシステムを指定するためのアクセス許可を付与します 書き込み

directoryid*

ModifyWorkspaceCreationProperties WorkSpaces の作成に使用するデフォルトのプロパティを変更するためのアクセス許可を付与します 書き込み

directoryid*

ModifyWorkspaceProperties 実行モードや AutoStop 期間を含む WorkSpace プロパティを変更するためのアクセス許可を付与します 書き込み

workspaceid*

ModifyWorkspaceState WorkSpaces の状態を変更するためのアクセス許可を付与します 書き込み

workspaceid*

RebootWorkspaces WorkSpaces を再起動するためのアクセス許可を付与します 書き込み

workspaceid*

RebuildWorkspaces WorkSpaces を再構築するためのアクセス許可を付与します 書き込み

workspaceid*

RegisterWorkspaceDirectory Amazon WorkSpaces で使用するディレクトリを登録するためのアクセス許可を付与します 書き込み

directoryid*

aws:RequestTag/${TagKey}

aws:TagKeys

RejectAccountLinkInvitation WorkSpaces BYOL の同じ設定を共有する他の AWS アカウントからの招待を拒否するアクセス許可を付与します 書き込み
RestoreWorkspace WorkSpaces を復元するためのアクセス許可を付与します 書き込み

workspaceid*

RevokeIpRules IP アクセスコントロールグループからルールを削除するためのアクセス許可を付与します 書き込み

workspaceipgroup*

workspaces:UpdateRulesOfIpGroup

StartWorkspaces AutoStop WorkSpaces を開始するためのアクセス許可を付与します 書き込み

workspaceid*

StartWorkspacesPool WorkSpaces Pool を開始する許可を付与する 書き込み

workspacespoolid*

StopWorkspaces AutoStop WorkSpaces を停止するためのアクセス許可を付与します 書き込み

workspaceid*

StopWorkspacesPool WorkSpaces Pool を停止する許可を付与する 書き込み

workspacespoolid*

Stream 既存の認証情報を使用してサインインし、ワークスペースをストリーミングするアクセス許可をフェデレーションユーザーに付与 書き込み

directoryid*

workspaces:userId

TerminateWorkspaces WorkSpaces を終了するためのアクセス許可を付与します 書き込み

workspaceid*

TerminateWorkspacesPool WorkSpaces Pool を終了する許可を付与する 書き込み

workspacespoolid*

TerminateWorkspacesPoolSession WorkSpaces Pool セッションを終了する許可を付与する 書き込み
UpdateConnectClientAddIn Amazon Connect クライアントアドインを更新する許可を付与 このアクションは、Amazon Connect クライアントアドインの名前とエンドポイント URL を更新するために使用します 書き込み

directoryid*

UpdateConnectionAliasPermission 接続エイリアスを他のアカウントと共有または共有解除するためのアクセス許可を付与します 権限の管理

connectionalias*

UpdateConsent [許可のみ] 同意契約を BYOL の最小要件に更新する許可を付与 書き込み
UpdateRootClientCertificate [アクセス許可のみ] ルートクライアント証明書を更新する許可を付与 書き込み

certificateid*

UpdateRulesOfIpGroup IP アクセスコントロールグループのルールを置き換えるためのアクセス許可を付与します 書き込み

workspaceipgroup*

workspaces:AuthorizeIpRules

workspaces:RevokeIpRules

UpdateWorkspaceBundle WorkSpace バンドルで使用される WorkSpace イメージを更新するためのアクセス許可を付与します。 書き込み

workspacebundle*

workspaceimage*

UpdateWorkspaceImagePermission 他のアカウントにイメージをコピーするアクセス許可があるかどうかを指定することにより、WorkSpace イメージを他のアカウントと共有または共有解除するためのアクセス許可を付与します 権限の管理

workspaceimage*

UpdateWorkspacesPool WorkSpaces Pool を更新する許可を付与する 書き込み

workspacespoolid*

Amazon WorkSpaces で定義されるリソースタイプ

以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。アクションテーブルの各アクションは、そのアクションで指定できるリソースタイプを示しています。リソースタイプは、ポリシーに含めることができる条件キーを定義することもできます。これらのキーは、[リソースタイプ] テーブルの最後の列に表示されます。以下の表の列の詳細については、「リソースタイプテーブル」を参照してください。

リソースタイプ ARN 条件キー
certificateid arn:${Partition}:workspaces:${Region}:${Account}:workspacecertificate/${CertificateId}
directoryid arn:${Partition}:workspaces:${Region}:${Account}:directory/${DirectoryId}

aws:ResourceTag/${TagKey}

workspacebundle arn:${Partition}:workspaces:${Region}:${Account}:workspacebundle/${BundleId}

aws:ResourceTag/${TagKey}

workspaceid arn:${Partition}:workspaces:${Region}:${Account}:workspace/${WorkspaceId}

aws:ResourceTag/${TagKey}

workspaceimage arn:${Partition}:workspaces:${Region}:${Account}:workspaceimage/${ImageId}

aws:ResourceTag/${TagKey}

workspaceipgroup arn:${Partition}:workspaces:${Region}:${Account}:workspaceipgroup/${GroupId}

aws:ResourceTag/${TagKey}

workspacespoolid arn:${Partition}:workspaces:${Region}:${Account}:workspacespool/${PoolId}

aws:ResourceTag/${TagKey}

connectionalias arn:${Partition}:workspaces:${Region}:${Account}:connectionalias/${ConnectionAliasId}

aws:ResourceTag/${TagKey}

workspaceapplication arn:${Partition}:workspaces:${Region}:${Account}:workspaceapplication/${WorkSpaceApplicationId}

aws:ResourceTag/${TagKey}

Amazon WorkSpaces の条件キー

Amazon WorkSpaces では、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。これらのキーを使用して、ポリシーステートメントが適用される条件をさらに絞り込むことができます。以下の表の列の詳細については、「条件キーテーブル」を参照してください。

すべてのサービスで使用できるグローバル条件キーを表示するには、AWS 「グローバル条件コンテキストキー」を参照してください。

条件キー 説明 タイプ
aws:RequestTag/${TagKey} リクエストで渡されたタグに基づいてアクションをフィルタリングします 文字列
aws:ResourceTag/${TagKey} リソースに関連付けられているタグに基づいてアクションをフィルタリングします 文字列
aws:TagKeys リクエストで渡されたタグキーに基づいてアクションをフィルタリングします ArrayOfString
workspaces:userId Workspaces ユーザーの ID によってアクセスをフィルタリング 文字列