AWS AppSync のアクション、リソース、および条件キー
AWS AppSync (サービスプレフィックス: appsync) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のオペレーション、リソース、アクション、および条件キーが用意されています。
リファレンス:
-
このサービスを設定する方法について説明します。
-
このサービスで使用可能な API オペレーションのリストを表示します。
-
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。
-
このサービスのプログラムによるサービス認可リファレンス
を表示します。
トピック
AWS AppSync で定義される API オペレーション
次の表は、API オペレーションを認可する IAM アクションにマッピングします。指定された API とアクションの静的値を持つ条件キーのみが一覧表示されます。各アクションでサポートされている条件キーの完全なセットについては、「アクション」表を参照してください。
| 運用 | IAM アクション | 条件キー | 可能な値 (複数可) | アクセスレベル |
|---|---|---|---|---|
|
AssociateApi |
書き込み |
|||
|
AssociateMergedGraphqlApi |
書き込み |
|||
書き込み |
||||
|
AssociateSourceGraphqlApi |
書き込み |
|||
書き込み |
||||
|
CreateApi |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
appsync.amazonaws.com |
書き込み |
||
|
CreateApiCache |
書き込み |
|||
|
CreateApiKey |
書き込み |
|||
|
CreateChannelNamespace |
書き込み |
|||
タグ付け、書き込み |
||||
|
CreateDataSource |
書き込み |
|||
iam:PassedToService |
appsync.amazonaws.com |
書き込み |
||
|
CreateDomainName |
書き込み |
|||
タグ付け、書き込み |
||||
|
CreateFunction |
書き込み |
|||
|
CreateGraphqlApi |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
appsync.amazonaws.com |
書き込み |
||
|
CreateResolver |
書き込み |
|||
|
CreateType |
書き込み |
|||
|
DeleteApi |
書き込み |
|||
|
DeleteApiCache |
書き込み |
|||
|
DeleteApiKey |
書き込み |
|||
|
DeleteChannelNamespace |
書き込み |
|||
|
DeleteDataSource |
書き込み |
|||
|
DeleteDomainName |
書き込み |
|||
|
DeleteFunction |
書き込み |
|||
|
DeleteGraphqlApi |
書き込み |
|||
|
DeleteResolver |
書き込み |
|||
|
DeleteType |
書き込み |
|||
|
DisassociateApi |
書き込み |
|||
|
DisassociateMergedGraphqlApi |
書き込み |
|||
|
DisassociateSourceGraphqlApi |
書き込み |
|||
|
EvaluateCode |
読み取り |
|||
|
EvaluateMappingTemplate |
読み取り |
|||
|
FlushApiCache |
書き込み |
|||
|
GetApi |
読み取り |
|||
|
GetApiAssociation |
読み取り |
|||
|
GetApiCache |
読み取り |
|||
|
GetChannelNamespace |
読み取り |
|||
|
GetDataSource |
読み取り |
|||
|
GetDataSourceIntrospection |
読み取り |
|||
|
GetDomainName |
読み取り |
|||
|
GetFunction |
読み取り |
|||
|
GetGraphqlApi |
読み取り |
|||
|
GetGraphqlApiEnvironmentVariables |
読み取り |
|||
|
GetIntrospectionSchema |
読み取り |
|||
|
GetResolver |
読み取り |
|||
|
GetSchemaCreationStatus |
読み取り |
|||
|
GetSourceApiAssociation |
読み取り |
|||
|
GetType |
読み取り |
|||
|
ListApiKeys |
リスト |
|||
|
ListApis |
リスト |
|||
|
ListChannelNamespaces |
リスト |
|||
|
ListDataSources |
リスト |
|||
|
ListDomainNames |
リスト |
|||
|
ListFunctions |
リスト |
|||
|
ListGraphqlApis |
リスト |
|||
|
ListResolvers |
リスト |
|||
|
ListResolversByFunction |
リスト |
|||
|
ListSourceApiAssociations |
リスト |
|||
|
ListTagsForResource |
読み取り |
|||
|
ListTypes |
リスト |
|||
|
ListTypesByAssociation |
リスト |
|||
|
PutGraphqlApiEnvironmentVariables |
書き込み |
|||
|
StartDataSourceIntrospection |
書き込み |
|||
|
StartSchemaCreation |
書き込み |
|||
|
StartSchemaMerge |
書き込み |
|||
|
TagResource |
タグ付け、書き込み |
|||
|
UntagResource |
タグ付け、書き込み |
|||
|
UpdateApi |
書き込み |
|||
iam:PassedToService |
appsync.amazonaws.com |
書き込み |
||
|
UpdateApiCache |
書き込み |
|||
|
UpdateApiKey |
書き込み |
|||
|
UpdateChannelNamespace |
書き込み |
|||
|
UpdateDataSource |
書き込み |
|||
iam:PassedToService |
appsync.amazonaws.com |
書き込み |
||
|
UpdateDomainName |
書き込み |
|||
|
UpdateFunction |
書き込み |
|||
|
UpdateGraphqlApi |
書き込み |
|||
iam:PassedToService |
appsync.amazonaws.com |
書き込み |
||
|
UpdateResolver |
書き込み |
|||
|
UpdateSourceApiAssociation |
書き込み |
|||
|
UpdateType |
書き込み |
AWS AppSync で定義されるアクション
IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
AppSync でカスタムドメイン名に GraphQL API をアタッチする許可を付与 |
書き込み |
|||
マージされた API をソース API に関連付ける許可を付与 |
書き込み |
|||
ソース API をマージされた API に関連付ける許可を付与 |
書き込み |
|||
API を作成する許可を付与します |
書き込み |
|||
AppSync で API キャッシュを作成する許可を付与 |
書き込み |
|||
API を実行しているクライアントに配布できる一意のキーを作成する許可を付与 |
書き込み |
|||
チャネル名前空間を作成する許可を付与 |
書き込み |
|||
データソースを作成するアクセス許可を付与 |
書き込み |
|||
AppSync でカスタムドメイン名を作成する許可を付与 |
書き込み |
|||
新しい関数を作成する許可を付与 |
書き込み |
|||
最上位の AppSync リソースである GraphQL API を作成する許可を付与 |
書き込み |
|||
リゾルバーを作成するアクセス許可を付与。リゾルバーは、受信リクエストをデータソースが理解できる形式に変換し、データソースのレスポンスを GraphQL に変換 |
書き込み |
|||
タイプを作成するためのアクセス許可を付与 |
書き込み |
|||
API を削除する許可を付与します。これにより、その API より下の AppSync リソースもすべてクリーンアップ |
書き込み |
|||
AppSync で API キャッシュを削除する許可を付与 |
書き込み |
|||
API キーを削除する許可を付与 |
書き込み |
|||
チャネル名前空間を削除するアクセス許可を付与 |
書き込み |
|||
データソースを削除するアクセス許可を付与 |
書き込み |
|||
AppSync でカスタムドメイン名を削除する許可を付与 |
書き込み |
|||
関数を削除する許可を付与 |
書き込み |
|||
GraphQL API を削除する許可を付与。これにより、その API より下の AppSync リソースもすべてクリーンアップ |
書き込み |
|||
Resolver を削除する許可を付与 |
書き込み |
|||
タイプを削除する許可を付与 |
書き込み |
|||
AppSync でカスタムドメイン名への GraphQL API のアタッチを解除するアクセス許可を付与 |
書き込み |
|||
ソース API によって識別されるマージされた API から、関連付けられたソース API を削除する許可を付与 |
書き込み |
|||
マージされた API によって識別されるマージされた API から、関連付けられたソース API を削除する許可を付与 |
書き込み |
|||
ランタイムとコンテキストを使用してコードを評価するアクセス許可を付与 |
読み取り |
|||
テンプレートマッピングを評価する許可を付与 |
読み取り |
|||
イベント API に接続するアクセス許可を付与 |
書き込み |
|||
チャネル名前空間にイベントを発行するアクセス許可を付与 |
書き込み |
|||
チャネル名前空間をサブスクライブするアクセス許可を付与 |
書き込み |
|||
AppSync で API キャッシュをフラッシュする許可を付与 |
書き込み |
|||
API を取得する許可を付与 |
読み取り |
|||
AppSync でカスタムドメイン名と GraphQL API の関連付けの詳細を読み取る許可を付与 |
読み取り |
|||
AppSync の API キャッシュに関する情報を読み取るためのアクセス権限を付与 |
読み取り |
|||
チャネル名前空間を取得するアクセス許可を付与 |
読み取り |
|||
データソースを取得する許可を付与 |
読み取り |
|||
データソースのイントロスペクションを取得するための許可を付与 |
読み取り |
|||
AppSync でカスタムドメイン名に関する情報を取得する許可を付与 |
読み取り |
|||
関数を取得する許可を付与 |
読み取り |
|||
Graphql API を取得する許可を付与 |
読み取り |
|||
GraphQL API の環境変数を取得する許可を付与する |
読み取り |
|||
GraphQL API のイントロスペクションスキーマを取得する許可を付与 |
読み取り |
|||
リゾルバーを取得する許可を付与 |
読み取り |
|||
スキーマ作成オペレーションの現在のステータスを取得する許可を付与 |
読み取り |
|||
マージされた API に関連付けられたソース API に関する情報を読み取る許可を付与 |
読み取り |
|||
タイプを取得する許可を付与 |
読み取り |
|||
特定の API の API キーを一覧表示する許可を付与 |
リスト |
|||
API を一覧表示する許可を付与 |
リスト |
|||
チャネル名前空間を一覧表示する許可を付与 |
リスト |
|||
特定の API のデータソースを一覧表示する許可を付与 |
リスト |
|||
AppSync でカスタムドメイン名を列挙する許可を付与 |
リスト |
|||
特定の API の関数を一覧表示する許可を付与 |
リスト |
|||
GraphQL API を一覧表示する許可を付与 |
リスト |
|||
特定の API およびタイプのリゾルバーを一覧表示するアクセス権限を付与 |
リスト |
|||
特定の関数に関連付けられたリゾルバーを一覧表示する許可を付与 |
リスト |
|||
特定のマージされた API に関連付けられたソース API を一覧表示する許可を付与 |
リスト |
|||
リソースのタグを一覧表示する許可を付与 |
読み取り |
|||
特定の API のタイプを一覧表示する許可を付与 |
リスト |
|||
特定のマージされた API とソース API の関連付けのタイプを一覧表示する許可を付与 |
リスト |
|||
GraphQL API の環境変数を更新する許可を付与する |
書き込み |
|||
ウェブ ACL を設定する許可を付与 |
アクセス許可管理、書き込み |
|||
データソースをイントロスペクトするための許可を付与 |
書き込み |
|||
GraphQL API に新しいスキーマを追加する許可を付与 このオペレーションは、非同期です。いつ完了したかを GetSchemaCreationStatus で表示可能 |
書き込み |
|||
特定のマージされた API および関連付けられたソース API のスキーママージを開始する許可を付与 |
書き込み |
|||
リソースにタグを付けるアクセス許可を付与 |
タグ付け、書き込み |
|||
リソースのタグを解除する許可を付与 |
タグ付け、書き込み |
|||
API を更新するためのアクセス許可を付与 |
書き込み |
|||
AppSync で API キャッシュを更新する許可を付与 |
書き込み |
|||
特定の API の API キーを更新する許可を付与 |
書き込み |
|||
チャネル名前空間を更新する許可を付与 |
書き込み |
|||
データソースを更新するアクセス許可を付与 |
書き込み |
|||
AppSync でカスタムドメイン名を更新する許可を付与 |
書き込み |
|||
既存の関数を更新する許可を付与 |
書き込み |
|||
GraphQL API を更新する許可を付与 |
書き込み |
|||
リゾルバーを更新する許可を付与 |
書き込み |
|||
マージされた API ソースの API 関連付けを更新する許可を付与 |
書き込み |
|||
タイプを更新する許可を付与 |
書き込み |
AWS AppSync のアクセス許可のみのアクション
以下のアクションは AWS AppSync によって定義されますが、API オペレーションから直接呼び出すことはできません。アクセス許可を付与または拒否するには、IAM ポリシーステートメントでのみ使用できます。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
ウェブ ACL とリソースを関連付ける許可を付与 |
書き込み |
|||
リソースポリシーを削除する許可を付与 |
書き込み |
|||
ウェブ ACL とリソースの関連付けを解除するアクセス許可を付与します |
書き込み |
|||
リソースポリシーを読み取る許可の付与 |
読み取り |
|||
リソースに関連付けられたウェブ ACLsします |
読み取り |
|||
GraphQL クエリを GraphQL API に送信する許可を付与 |
書き込み |
|||
ウェブ ACL の関連リソースを取得する許可を付与 |
リスト |
|||
ソースポリシーを設定する許可を付与 |
書き込み |
|||
マージされた API のソース API に GraphQL クエリを送信する許可を付与 |
書き込み |
|||
AWS AppSync で定義されるリソースタイプ
以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。
| リソースタイプ: | ARN | 条件キー |
|---|---|---|
arn:${Partition}:appsync:${Region}:${Account}:apis/${ApiId} |
||
arn:${Partition}:appsync:${Region}:${Account}:apis/${ApiId}/channelNamespace/${ChannelNamespaceName} |
||
arn:${Partition}:appsync:${Region}:${Account}:apis/${GraphQLAPIId}/datasources/${DatasourceName} |
||
arn:${Partition}:appsync:${Region}:${Account}:domainnames/${DomainName} |
||
arn:${Partition}:appsync:${Region}:${Account}:apis/${GraphQLAPIId}/types/${TypeName}/fields/${FieldName} |
||
arn:${Partition}:appsync:${Region}:${Account}:apis/${GraphQLAPIId}/functions/${FunctionId} |
||
arn:${Partition}:appsync:${Region}:${Account}:apis/${GraphQLAPIId} |
||
arn:${Partition}:appsync:${Region}:${Account}:apis/${SourceGraphQLAPIId}/mergedApiAssociations/${Associationid} |
||
arn:${Partition}:appsync:${Region}:${Account}:apis/${MergedGraphQLAPIId}/sourceApiAssociations/${Associationid} |
||
arn:${Partition}:appsync:${Region}:${Account}:apis/${GraphQLAPIId}/types/${TypeName} |
AWS AppSync の条件キー
AWS AppSync は、IAM ポリシーの Condition要素で使用できる以下の条件キーを定義します。
| 条件キー | 説明 | タイプ |
|---|---|---|
API の可視性によりアクセスをフィルタリングします |
String |
|
リクエスト内のタグキーと値のペアによるアクセスをフィルタリングします |
String |
|
リソースにアタッチされているタグのキーと値のペアでアクセスをフィルタリングします |
String |
|
リクエスト内のタグキーが存在するかどうかでアクセスをフィルタリングします |
ArrayOfString |
