AWS Batch のアクション、リソース、および条件キー
AWS Batch (サービスプレフィックス: batch) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のオペレーション、リソース、アクション、および条件キーが用意されています。
リファレンス:
-
このサービスを設定する方法について説明します。
-
このサービスで使用可能な API オペレーションのリストを表示します。
-
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。
-
このサービスのプログラムによるサービス認可リファレンス
を表示します。
トピック
AWS Batch で定義される API オペレーション
次の表は、API オペレーションを認可する IAM アクションにマッピングします。指定された API とアクションの静的値を持つ条件キーのみが一覧表示されます。各アクションでサポートされている条件キーの完全なセットについては、「アクション」表を参照してください。
| 運用 | IAM アクション | 条件キー | 指定できる値 (複数可) | アクセスレベル |
|---|---|---|---|---|
|
CancelJob |
書き込み |
|||
|
CancelJobs |
書き込み |
|||
|
CreateComputeEnvironment |
書き込み |
|||
タグ付け、書き込み |
||||
タグ付け、書き込み |
||||
iam:PassedToService |
batch.amazonaws.com、ec2.amazonaws.com、ecs.amazonaws.com、spotfleet.amazonaws.com |
書き込み |
||
|
CreateConsumableResource |
書き込み |
|||
タグ付け、書き込み |
||||
|
CreateJobQueue |
書き込み |
|||
タグ付け、書き込み |
||||
|
CreateQuotaShare |
書き込み |
|||
タグ付け、書き込み |
||||
|
CreateSchedulingPolicy |
書き込み |
|||
タグ付け、書き込み |
||||
|
CreateServiceEnvironment |
書き込み |
|||
タグ付け、書き込み |
||||
|
DeleteComputeEnvironment |
書き込み |
|||
|
DeleteConsumableResource |
書き込み |
|||
|
DeleteJobQueue |
書き込み |
|||
|
DeleteQuotaShare |
書き込み |
|||
|
DeleteSchedulingPolicy |
書き込み |
|||
|
DeleteServiceEnvironment |
書き込み |
|||
|
DeregisterJobDefinition |
書き込み |
|||
|
DescribeComputeEnvironments |
読み取り |
|||
|
DescribeConsumableResource |
読み取り |
|||
|
DescribeJobDefinitions |
読み取り |
|||
|
DescribeJobQueues |
読み取り |
|||
|
DescribeJobs |
読み取り |
|||
|
DescribeQuotaShare |
読み取り |
|||
|
DescribeSchedulingPolicies |
読み取り |
|||
|
DescribeServiceEnvironments |
読み取り |
|||
|
DescribeServiceJob |
読み取り |
|||
|
GetJobQueueSnapshot |
読み取り |
|||
|
ListConsumableResources |
リスト |
|||
|
ListJobs |
リスト |
|||
|
ListJobsByConsumableResource |
リスト |
|||
|
ListQuotaShares |
リスト |
|||
|
ListSchedulingPolicies |
読み取り |
|||
|
ListServiceJobs |
リスト |
|||
|
ListTagsForResource |
読み取り |
|||
|
RegisterJobDefinition |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
ecs-tasks.amazonaws.com |
書き込み |
||
|
SubmitJob |
書き込み |
|||
タグ付け、書き込み |
||||
|
SubmitServiceJob |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
sagemaker.amazonaws.com |
書き込み |
||
|
TagResource |
タグ付け、書き込み |
|||
|
TerminateJob |
書き込み |
|||
|
TerminateJobs |
書き込み |
|||
|
TerminateServiceJob |
書き込み |
|||
|
TerminateServiceJobs |
書き込み |
|||
|
UntagResource |
タグ付け、書き込み |
|||
|
UpdateComputeEnvironment |
タグ付け、書き込み |
|||
書き込み |
||||
iam:PassedToService |
batch.amazonaws.com、ec2.amazonaws.com、ecs.amazonaws.com |
書き込み |
||
|
UpdateConsumableResource |
書き込み |
|||
|
UpdateJobQueue |
書き込み |
|||
|
UpdateQuotaShare |
書き込み |
|||
|
UpdateSchedulingPolicy |
書き込み |
|||
|
UpdateServiceEnvironment |
書き込み |
|||
|
UpdateServiceJob |
書き込み |
AWS Batch で定義されるアクション
IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
アカウントの AWS バッチジョブキューでジョブをキャンセルするアクセス許可を付与します |
書き込み |
|||
アカウントに AWS バッチコンピューティング環境を作成するアクセス許可を付与します |
書き込み |
|||
アカウントに AWS バッチ消費リソースを作成するアクセス許可を付与します |
書き込み |
|||
アカウントで AWS バッチジョブキューを作成するアクセス許可を付与します |
書き込み |
|||
アカウントで AWS バッチクォータ共有を作成するアクセス許可を付与します |
書き込み |
|||
アカウントに AWS バッチスケジューリングポリシーを作成するアクセス許可を付与します |
書き込み |
|||
アカウントに AWS バッチサービス環境を作成するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチコンピューティング環境を削除するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチ消費リソースを削除するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチジョブキューを削除するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチクォータ共有を削除するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチスケジューリングポリシーを削除するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチサービス環境を削除するアクセス許可を付与します |
書き込み |
|||
アカウントで AWS バッチジョブ定義の登録を解除するアクセス許可を付与します |
書き込み |
|||
アカウント内の 1 つ以上の AWS バッチコンピューティング環境を記述するアクセス許可を付与します |
読み取り |
|||
アカウント内の 1 つ以上の AWS バッチ消費リソースを記述するアクセス許可を付与します |
読み取り |
|||
アカウント内の 1 つ以上の AWS バッチジョブ定義を記述するアクセス許可を付与します |
読み取り |
|||
アカウント内の 1 つ以上の AWS バッチジョブキューを記述するアクセス許可を付与します |
読み取り |
|||
アカウントの AWS バッチジョブのリストを記述するアクセス許可を付与します |
読み取り |
|||
アカウントの AWS バッチクォータ共有を記述するアクセス許可を付与します |
読み取り |
|||
アカウント内の 1 つ以上の AWS バッチスケジューリングポリシーを記述するアクセス許可を付与します |
読み取り |
|||
アカウント内の 1 つ以上の AWS バッチサービス環境を記述するアクセス許可を付与します |
読み取り |
|||
アカウントの AWS バッチサービスジョブを記述するアクセス許可を付与します |
読み取り |
|||
アカウント内の AWS バッチジョブキューのスナップショットを取得するアクセス許可を付与します |
読み取り |
|||
アカウントの AWS バッチ消費リソースを一覧表示するアクセス許可を付与します |
リスト |
|||
アカウント内の指定された AWS バッチジョブキューのジョブを一覧表示するアクセス許可を付与します |
リスト |
|||
アカウント内の特定の消耗リソースを必要とする AWS バッチジョブを一覧表示するアクセス許可を付与します |
リスト |
|||
アカウントの AWS バッチクォータ共有を一覧表示する許可を付与 |
リスト |
|||
アカウントの AWS バッチスケジューリングポリシーを一覧表示するアクセス許可を付与します |
読み取り |
|||
アカウント内の指定された AWS バッチジョブキューのサービスジョブを一覧表示するアクセス許可を付与します |
リスト |
|||
アカウントの AWS バッチリソースのタグを一覧表示するアクセス許可を付与します |
読み取り |
|||
アカウントに AWS バッチジョブ定義を登録するアクセス許可を付与します |
書き込み |
|||
アカウントのジョブ定義から AWS バッチジョブを送信する許可を付与 |
書き込み |
|||
AWS バッチサービスジョブを送信するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチリソースにタグを付けるアクセス許可を付与します |
タグ付け、書き込み |
|||
アカウントの AWS バッチジョブキューでジョブを終了するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチジョブキューでサービスジョブを終了する許可を付与 |
書き込み |
|||
アカウントの AWS バッチリソースのタグを解除するアクセス許可を付与します |
タグ付け、書き込み |
|||
アカウントの AWS バッチコンピューティング環境を更新する許可を付与 |
書き込み |
|||
アカウントの AWS バッチ消費リソースを更新するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチジョブキューを更新する許可を付与 |
書き込み |
|||
アカウントの AWS バッチクォータ共有を更新する許可を付与 |
書き込み |
|||
アカウントの AWS バッチスケジューリングポリシーを更新するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチサービス環境を更新するアクセス許可を付与します |
書き込み |
|||
アカウントの AWS バッチジョブキューでサービスジョブを更新する許可を付与 |
書き込み |
AWS バッチのアクセス許可のみのアクション
以下のアクションは AWS Batch で定義されますが、API オペレーションから直接呼び出すことはできません。アクセス許可を付与または拒否するには、IAM ポリシーステートメントでのみ使用できます。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
アカウントの AWS バッチコンピューティング環境に容量タグを設定するアクセス許可を付与します |
タグ付け、書き込み |
AWS Batch で定義されるリソースタイプ
以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。
| リソースタイプ: | ARN | 条件キー |
|---|---|---|
arn:${Partition}:batch:${Region}:${Account}:compute-environment/${ComputeEnvironmentName} |
||
arn:${Partition}:batch:${Region}:${Account}:consumable-resource/${ConsumableResourceName} |
||
arn:${Partition}:batch:${Region}:${Account}:job/${JobId} |
||
arn:${Partition}:batch:${Region}:${Account}:job-definition/${JobDefinitionName} |
||
arn:${Partition}:batch:${Region}:${Account}:job-definition/${JobDefinitionName}:${Revision} |
||
arn:${Partition}:batch:${Region}:${Account}:job-queue/${JobQueueName} |
||
arn:${Partition}:batch:${Region}:${Account}:job-queue/${JobQueueName}/quota-share/${QuotaShareName} |
||
arn:${Partition}:batch:${Region}:${Account}:scheduling-policy/${SchedulingPolicyName} |
||
arn:${Partition}:batch:${Region}:${Account}:service-environment/${ServiceEnvironmentName} |
||
arn:${Partition}:batch:${Region}:${Account}:service-job/${JobId} |
AWS バッチの条件キー
AWS Batch では、IAM ポリシーの Condition要素で使用できる以下の条件キーを定義します。
| 条件キー | 説明 | タイプ |
|---|---|---|
リクエストで渡されたタグでアクセスをフィルタリングします |
String |
|
リソースに関連付けられたタグでアクセスをフィルタリングします |
String |
|
リクエストで渡されたタグキーでアクセスをフィルタリングします |
ArrayOfString |
|
指定したロギングドライバーに基づいてアクセスをフィルタリングし、awslogs グループがログに対して作成されるかどうかを決定 |
Bool |
|
ログが配置されている awslogs グループに基づいてアクセスをフィルタリング |
String |
|
ログが送信されるリージョンに基づいてアクセスをフィルタリング |
String |
|
awslogs ログストリームプレフィックスに基づいてアクセスをフィルタリング |
String |
|
Amazon EKS ジョブのコンテナ開始に使用するイメージでアクセスをフィルタリング |
String |
|
Amazon EKS ジョブのポッド実行に使用するクラスターの名前空間でアクセスをフィルタリング |
String |
|
Amazon EKS ジョブのホストコンテナインスタンス (ルートユーザーと同様) に対する昇格された特権がコンテナに付与されたかどうかを特定する、指定された特権パラメータ値でアクセスをフィルタリング |
Bool |
|
Amazon EKS ジョブのコンテナ開始に使用する、指定されたグループ数値 ID (gid) でアクセスをフィルタリング |
数値 |
|
Amazon EKS ジョブのコンテナ開始に使用する、指定されたユーザー数値 ID (uid) でアクセスをフィルタリング |
数値 |
|
Amazon EKS ジョブのポッド実行に使用するサービスアカウント名でアクセスをフィルタリング |
String |
|
コンテナ開始に使用するイメージでアクセスをフィルタリング |
String |
|
コンテナに使用されるログドライバーに基づいてアクセスをフィルタリング |
String |
|
コンテナに、ホストコンテナインスタンスに対する昇格された権限 (ルートユーザーと同様) が付与されたかどうかを決定する指定されたパラメータ値に基づいてアクセスをフィルタリング |
Bool |
|
ジョブキュー内のジョブのスケジューリング優先度でアクセスをフィルタリングします |
数値 |
|
送信ジョブ内で使用される ShareIdentifier によるアクセスをフィルタリングします。 |
String |
|
コンテナ内で使用されるユーザー名または数値 uid に基づいてアクセスをフィルタリング |
String |
