AWS CloudFormation のアクション、リソース、および条件キー
AWS CloudFormation (サービスプレフィックス: cloudformation) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のオペレーション、リソース、アクション、および条件キーが用意されています。
リファレンス:
-
このサービスを設定する方法について説明します。
-
このサービスで使用可能な API オペレーションのリストを表示します。
-
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。
-
このサービスのプログラムによるサービス認可リファレンス
を表示します。
トピック
AWS CloudFormation で定義される API オペレーション
次の表は、API オペレーションを認可する IAM アクションにマッピングします。指定された API とアクションの静的値を持つ条件キーのみが一覧表示されます。各アクションでサポートされている条件キーの完全なセットについては、「アクション」表を参照してください。
| 運用 | IAM アクション | 条件キー | 可能な値 (複数可) | アクセスレベル |
|---|---|---|---|---|
|
ActivateOrganizationsAccess |
書き込み |
|||
書き込み |
||||
読み取り |
||||
|
ActivateType |
書き込み |
|||
iam:PassedToService |
resources.cloudformation.amazonaws.com |
書き込み |
||
|
BatchDescribeTypeConfigurations |
読み取り |
|||
|
CancelUpdateStack |
書き込み |
|||
|
ContinueUpdateRollback |
書き込み |
|||
iam:PassedToService |
cloudformation.amazonaws.com |
書き込み |
||
|
CreateChangeSet |
書き込み |
|||
タグ付け、書き込み |
||||
タグ付け、書き込み |
||||
iam:PassedToService |
cloudformation.amazonaws.com |
書き込み |
||
|
CreateGeneratedTemplate |
書き込み |
|||
|
CreateStack |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
cloudformation.amazonaws.com |
書き込み |
||
|
CreateStackInstances |
書き込み |
|||
|
CreateStackRefactor |
書き込み |
|||
|
CreateStackSet |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
cloudformation.amazonaws.com |
書き込み |
||
|
DeactivateOrganizationsAccess |
書き込み |
|||
|
DeactivateType |
書き込み |
|||
|
DeleteChangeSet |
書き込み |
|||
|
DeleteGeneratedTemplate |
書き込み |
|||
|
DeleteStack |
書き込み |
|||
iam:PassedToService |
cloudformation.amazonaws.com |
書き込み |
||
|
DeleteStackInstances |
書き込み |
|||
|
DeleteStackSet |
書き込み |
|||
|
DeregisterType |
書き込み |
|||
|
DescribeAccountLimits |
読み取り |
|||
|
DescribeChangeSet |
読み取り |
|||
|
DescribeChangeSetHooks |
読み取り |
|||
|
DescribeEvents |
読み取り |
|||
|
DescribeGeneratedTemplate |
読み取り |
|||
|
DescribeOrganizationsAccess |
読み取り |
|||
|
DescribePublisher |
読み取り |
|||
|
DescribeResourceScan |
読み取り |
|||
|
DescribeStackDriftDetectionStatus |
読み取り |
|||
|
DescribeStackEvents |
読み取り |
|||
|
DescribeStackInstance |
読み取り |
|||
|
DescribeStackRefactor |
読み取り |
|||
|
DescribeStackResource |
読み取り |
|||
|
DescribeStackResourceDrifts |
読み取り |
|||
|
DescribeStackResources |
読み取り |
|||
|
DescribeStackSet |
読み取り |
|||
|
DescribeStackSetOperation |
読み取り |
|||
|
DescribeStacks |
リスト |
|||
リスト |
||||
|
DescribeType |
読み取り |
|||
|
DescribeTypeRegistration |
読み取り |
|||
|
DetectStackDrift |
読み取り |
|||
読み取り |
||||
|
DetectStackResourceDrift |
読み取り |
|||
|
DetectStackSetDrift |
読み取り |
|||
|
EstimateTemplateCost |
読み取り |
|||
|
ExecuteChangeSet |
書き込み |
|||
タグ付け、書き込み |
||||
タグ付け、書き込み |
||||
|
ExecuteStackRefactor |
書き込み |
|||
|
GetGeneratedTemplate |
読み取り |
|||
|
GetHookResult |
読み取り |
|||
|
GetStackPolicy |
読み取り |
|||
|
GetTemplate |
読み取り |
|||
|
GetTemplateSummary |
読み取り |
|||
|
ImportStacksToStackSet |
書き込み |
|||
|
ListChangeSets |
リスト |
|||
|
ListExports |
リスト |
|||
|
ListGeneratedTemplates |
リスト |
|||
|
ListHookResults |
リスト |
|||
リスト |
||||
|
ListImports |
リスト |
|||
|
ListResourceScanRelatedResources |
リスト |
|||
|
ListResourceScanResources |
リスト |
|||
|
ListResourceScans |
リスト |
|||
|
ListStackInstanceResourceDrifts |
リスト |
|||
|
ListStackInstances |
リスト |
|||
|
ListStackRefactorActions |
リスト |
|||
|
ListStackRefactors |
リスト |
|||
|
ListStackResources |
リスト |
|||
|
ListStackSetAutoDeploymentTargets |
リスト |
|||
|
ListStackSetOperationResults |
リスト |
|||
|
ListStackSetOperations |
リスト |
|||
|
ListStackSets |
リスト |
|||
|
ListStacks |
リスト |
|||
|
ListTypeRegistrations |
リスト |
|||
|
ListTypeVersions |
リスト |
|||
|
ListTypes |
リスト |
|||
|
PublishType |
書き込み |
|||
|
RecordHandlerProgress |
書き込み |
|||
|
RegisterPublisher |
書き込み |
|||
|
RegisterType |
書き込み |
|||
iam:PassedToService |
resources.cloudformation.amazonaws.com |
書き込み |
||
|
RollbackStack |
書き込み |
|||
iam:PassedToService |
cloudformation.amazonaws.com |
書き込み |
||
|
SetStackPolicy |
アクセス許可管理、書き込み |
|||
|
SetTypeConfiguration |
書き込み |
|||
|
SetTypeDefaultVersion |
書き込み |
|||
|
SignalResource |
書き込み |
|||
|
StartResourceScan |
書き込み |
|||
|
StopStackSetOperation |
書き込み |
|||
|
TestType |
書き込み |
|||
|
UpdateGeneratedTemplate |
書き込み |
|||
|
UpdateStack |
アクセス許可管理、書き込み |
|||
タグ付け、書き込み |
||||
タグ付け、書き込み |
||||
書き込み |
||||
iam:PassedToService |
cloudformation.amazonaws.com |
書き込み |
||
|
UpdateStackInstances |
書き込み |
|||
|
UpdateStackSet |
タグ付け、書き込み |
|||
タグ付け、書き込み |
||||
書き込み |
||||
iam:PassedToService |
cloudformation.amazonaws.com |
書き込み |
||
|
UpdateTerminationProtection |
書き込み |
|||
|
ValidateTemplate |
読み取り |
AWS CloudFormation で定義されるアクション
IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
StackSet と Organization 間の信頼できるアクセスを有効にする許可を付与します。StackSet と Organization 間の信頼されたアクセスが有効になっていると、管理アカウントには、組織の StackSets を作成および管理するためのアクセス許可が与えられます。 |
書き込み |
|||
公開されたサードパーティー拡張機能をアクティブ化するためのアクセス許可を付与し、スタックテンプレートで使用できるようにする |
書き込み |
|||
指定した CloudFormation 拡張機能の設定データを返すためのアクセス許可を付与 |
読み取り |
|||
指定されたスタックの更新をキャンセルするアクセス許可を付与 |
書き込み |
|||
UPDATE_ROLLBACK_FAILED 状態のスタックについて、UPDATE_ROLLBACK_COMPLETE 状態になるようロールバックを続けるアクセス許可を付与 |
書き込み |
|||
スタックの変更のリストを作成するアクセス許可を付与 |
書き込み |
|||
CloudFormation でまだ管理されていない既存のリソースからテンプレートを作成する許可を付与する |
書き込み |
|||
テンプレートで指定されたスタックを作成するアクセス許可を付与 |
書き込み |
|||
指定されたリージョン内で指定されたアカウントのスタックインスタンスを作成するアクセス許可を付与 |
書き込み |
|||
スタックリファクタリングを作成するアクセス許可を付与 |
書き込み |
|||
テンプレートで指定されたスタックセットを作成するアクセス許可を付与 |
書き込み |
|||
StackSet と Organization 間の信頼できるアクセスを無効にする許可を付与します。信頼できるアクセスが無効化されている場合、管理アカウントには組織のサービス管理のスタックセットを作成および管理する権限がありません。 |
書き込み |
|||
アカウントとリージョン内で先にアクティブ化されている、公開拡張機能を非アクティブ化するためのアクセス許可を付与 |
書き込み |
|||
指定された変更セットを削除するアクセス許可を付与 変更セットを削除することで、誤った変更セットの実行が防止されます。 |
書き込み |
|||
生成されたテンプレートを削除する許可を付与する |
書き込み |
|||
指定されたスタックを削除するアクセス許可を付与 |
書き込み |
|||
指定されたリージョン内で指定されたアカウントのスタックインスタンスを削除するアクセス許可を付与 |
書き込み |
|||
指定されたスタックセットを削除するアクセス許可を付与 |
書き込み |
|||
既存の CloudFormation タイプまたはタイプバージョンの登録を解除するアクセス許可を付与 |
書き込み |
|||
アカウントの AWS CloudFormation 制限を取得するアクセス許可を付与します |
読み取り |
|||
指定された変更セットの説明を返すアクセス許可を付与 |
読み取り |
|||
指定した変更セットのフック呼び出し情報を返す許可を付与 |
読み取り |
|||
指定されたオペレーションに関連するすべてのイベントを返すアクセス許可を付与します |
読み取り |
|||
生成されたテンプレートを記述する許可を付与します。出力には、生成されたテンプレートの作成の進行状況に関する詳細が含まれます |
読み取り |
|||
アカウントの OrganizationAccess ステータスに関する情報を返す許可を付与します |
読み取り |
|||
CloudFormation 拡張機能のパブリッシャーに関する情報を返すためのアクセス許可を付与 |
読み取り |
|||
リソーススキャンの詳細を記述する許可を付与する |
読み取り |
|||
スタックドリフト検出オペレーションに関する情報を返すアクセス許可を付与 |
読み取り |
|||
指定されたスタックについて、スタック関連のすべてのイベントを返すアクセス許可を付与 |
読み取り |
|||
指定されたスタックセット、 AWS アカウント、リージョンに関連付けられているスタックインスタンスを返すアクセス許可を付与します |
読み取り |
|||
指定された変更スタックリファクタリングの説明を返すアクセス許可を付与 |
読み取り |
|||
指定のスタック内にある指定のリソースの説明を返すアクセス許可を付与 |
読み取り |
|||
指定されたスタック内でドリフトが確認されたリソースのドリフト情報を返すアクセス許可を付与 |
読み取り |
|||
実行中および削除されたスタックの AWS リソースの説明を返すアクセス許可を付与します |
読み取り |
|||
指定されたスタックセットの説明を返すアクセス許可を付与 |
読み取り |
|||
指定されたスタックセットオペレーションの説明を返すアクセス許可を付与 |
読み取り |
|||
指定されたスタックの説明、および ListStacks アクションと組み合わせて使用した場合はすべてのスタックの説明を返す許可を付与 |
リスト |
|||
リクエストされた CloudFormation タイプに関する情報を返すアクセス許可を付与 |
読み取り |
|||
CloudFormation タイプの登録プロセスに関する情報を返すアクセス許可を付与 |
読み取り |
|||
スタックの実際の設定が、スタックテンプレートおよびテンプレートパラメータとして指定された値で定義されている、意図された設定と異なるかどうかを検出するアクセス許可を付与 |
読み取り |
|||
リソースの実際の設定が、スタックテンプレートおよびテンプレートパラメータとして指定された値で定義されている、意図された設定と異なるか、またはドリフトしているかについての情報を返すアクセス許可を付与 |
読み取り |
|||
ユーザーがスタックセットとそのスタックセットに属するスタックインスタンスのドリフトを検出できるようにアクセス許可を付与 |
読み取り |
|||
テンプレートの推定月額コストを返すアクセス許可を付与 |
読み取り |
|||
指定された変更セットの作成時に提供された入力情報を使い、スタックを更新するアクセス許可を付与 |
書き込み |
|||
指定された変更セットの作成時に提供された入力情報を使い、スタックリファクタリングを実行するアクセス許可を付与 |
書き込み |
|||
生成されたテンプレートを取得する許可を付与する |
読み取り |
|||
特定のフック呼び出し結果に関する詳細情報を返すアクセス許可を付与します |
読み取り |
|||
指定されたスタックのスタックポリシーを返すアクセス許可を付与 |
読み取り |
|||
指定されたスタックのテンプレート本文を返すアクセス許可を付与 |
読み取り |
|||
承認ルールテンプレートに関する情報を返すアクセス許可を付与 |
読み取り |
|||
ユーザーが既存のスタックを新規または既存のスタックセットにインポートできるようにする許可を付与 |
書き込み |
|||
指定されたフック、フックとステータスの組み合わせ、またはすべてのフックのフック呼び出し結果情報を返すアクセス許可を付与 |
リスト |
|||
スタックのアクティブな変更セットごとに、ID とステータスを返すアクセス許可を付与 例えば、 AWS CloudFormation は CREATE_IN_PROGRESS または CREATE_PENDING 状態にある変更セットを一覧表示します。 |
リスト |
|||
このアクションを呼び出すアカウントおよびリージョンにあるエクスポートされた出力値を一覧表示するアクセス許可を付与 |
リスト |
|||
このリージョンで生成されたテンプレートを一覧表示する許可を付与する |
リスト |
|||
指定したターゲットのフック呼び出し結果情報を返すアクセス許可を付与 |
リスト |
|||
エクスポートされた出力値をインポートしているスタックを一覧表示するアクセス許可を付与 |
リスト |
|||
リソーススキャンからのリソースのリストに関連するリソースを一覧表示する許可を付与します。レスポンスは、返された各リソースが CloudFormation によって既に管理されているかどうかを示します |
リスト |
|||
リソーススキャンからリソースを一覧表示する許可を付与します。結果は、リソース識別子、リソースタイプのプレフィックス、タグキー、タグ値でフィルタリングできます |
リスト |
|||
リソーススキャンを最新のものから古いものまで一覧表示する許可を付与します。デフォルトでは、最大 10 回リソーススキャンが返されます |
リスト |
|||
指定されたスタックインスタンス内でドリフトが確認されたリソースのドリフト情報を返すアクセス許可を付与します |
リスト |
|||
指定されたスタックセットに関連付けられているスタックインスタンスについて要約情報を返すアクセス許可を付与 |
リスト |
|||
指定されたスタックリファクタリングのアクションのリストを返すアクセス許可を付与 |
リスト |
|||
各アクティブスタックリファクタリングの ID とステータスを返すアクセス許可を付与 |
リスト |
|||
指定されたスタックのすべてのリソースの説明を返すアクセス許可を付与 |
リスト |
|||
StackSet 自動デプロイメントターゲットに関する概要情報を返す許可を付与する |
リスト |
|||
スタックセットオペレーションの結果に関する要約情報を返すアクセス許可を付与 |
リスト |
|||
スタックセットで実行されたオペレーションに関する概要情報を返すアクセス許可を付与 |
リスト |
|||
ユーザーに関連付けられたスタックセットに関する概要情報を返すアクセス許可を付与 |
リスト |
|||
指定された StackStatusFilter に一致するステータスを持つスタックに関する概要情報を返す許可を付与します。DescribeStacks アクションと組み合わせて、スタックの説明を一覧表示する許可を付与 |
リスト |
|||
CloudFormation タイプの登録試行を一覧表示するアクセス許可を付与 |
リスト |
|||
特定の CloudFormation タイプのバージョンを一覧表示するアクセス許可を付与 |
リスト |
|||
利用可能な CloudFormation タイプを一覧表示するアクセス許可を付与 |
リスト |
|||
指定された拡張機能をこのリージョンで公開するために、CloudFormation レジストリに対し公開するためのアクセス許可を付与 |
書き込み |
|||
ハンドラーの進行状況を記録する許可を付与 |
書き込み |
|||
アカウントを、CloudFormation レジストリ内で公開拡張機能のパブリッシャーとして登録するための、アクセス許可を付与 |
書き込み |
|||
新しい CloudFormation タイプを登録するアクセス許可を付与 |
書き込み |
|||
スタックを最後の安定状態にロールバックするアクセス許可を付与 |
書き込み |
|||
指定されたスタックのスタックポリシーを設定するアクセス許可を付与 |
アクセス許可管理、書き込み |
|||
指定されたアカウントおよびリージョンで、登録済みの CloudFormation 拡張機能に対し設定データを設定するためのアクセス許可を付与 |
書き込み |
|||
CloudFormation オペレーションに適用する CloudFormation タイプのバージョンを設定するアクセス許可を付与 |
書き込み |
|||
成功または失敗のステータスを持つ指定のリソースにシグナルを送信するアクセス許可を付与 |
書き込み |
|||
このリージョンのこのアカウントのリソースのスキャンを開始する許可を付与する |
書き込み |
|||
スタックセットおよびそれに関連付けられているスタックインスタンスで進行中のオペレーションを停止するアクセス許可を付与 |
書き込み |
|||
クラウドフォーメーションリソースにタグを付けるアクセス許可を付与 |
タグ付け、書き込み |
|||
登録済みの拡張機能をテストし、CloudFormation レジストリ内での公開に必要な、すべての要件を満たしていることを確認するためのアクセス許可を付与 |
書き込み |
|||
クラウドフォーメーションリソースのタグを解除するアクセス許可を付与 |
タグ付け、書き込み |
|||
生成されたテンプレートを更新する許可を付与します。これは、名前の変更、リソースの追加と削除、リソースの更新、および DeletionPolicy と UpdateReplacePolicy の設定の変更に使用できます |
書き込み |
|||
テンプレートで指定されたスタックを更新するアクセス許可を付与 |
書き込み |
|||
指定されたリージョン内で指定されたアカウントのスタックインスタンスのパラメータ値を更新するアクセス許可を付与 |
書き込み |
|||
テンプレートで指定されたスタックセットを更新するアクセス許可を付与 |
書き込み |
|||
指定されたスタックの終了保護を更新するアクセス許可を付与 |
書き込み |
|||
指定されたテンプレートを検証するアクセス許可を付与 |
読み取り |
AWS CloudFormation のアクセス許可のみのアクション
以下のアクションは AWS CloudFormation によって定義されますが、API オペレーションから直接呼び出すことはできません。アクセス許可を付与または拒否するには、IAM ポリシーステートメントでのみ使用できます。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
Amazon S3 バケットにテンプレートをアップロードするアクセス許可を付与 AWS CloudFormation コンソールでのみ使用され、API リファレンスには記載されていません |
書き込み |
AWS CloudFormation で定義されるリソースタイプ
以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。
| リソースタイプ: | ARN | 条件キー |
|---|---|---|
arn:${Partition}:cloudformation:${Region}:${Account}:changeSet/${ChangeSetName}/${Id} |
||
arn:${Partition}:cloudformation:${Region}:${Account}:generatedTemplate/${Id} |
||
arn:${Partition}:cloudformation:${Region}:${Account}:resourceScan/${Id} |
||
arn:${Partition}:cloudformation:${Region}:${Account}:stack/${StackName}/${Id} |
||
arn:${Partition}:cloudformation:${Region}:${Account}:stackset/${StackSetName}:${Id} |
||
arn:${Partition}:cloudformation:${Region}:${Account}:stackset-target/${StackSetTarget} |
||
arn:${Partition}:cloudformation:${Region}:${Account}:type/resource/${Type} |
||
arn:${Partition}:cloudformation:${Region}:${Account}:type/hook/${Type} |
AWS CloudFormation の条件キー
AWS CloudFormation では、IAM ポリシーの Condition要素で使用できる以下の条件キーを定義します。
| 条件キー | 説明 | タイプ |
|---|---|---|
リクエストで渡されたタグでアクセスをフィルタリングします |
String |
|
リソースに関連付けられたタグでアクセスをフィルタリングします |
String |
|
リクエストで渡されたタグキーでアクセスをフィルタリングします |
ArrayOfString |
|
AWS CloudFormation 変更セット名でアクセスをフィルタリングします。IAM ユーザーがどの変更セットを実行または削除できるかを制御するために使用します。 |
String |
|
リソースを変更する API アクションの名前によってアクセスをフィルタリングします。スタックまたはスタックセットのタグを追加または削除するために IAM ユーザーが使用できる API を制御するために使用されます |
String |
|
AWS::EC2::Instance などのテンプレートリソースタイプでアクセスをフィルタリングします。IAM ユーザーがスタックにリソースをインポートする際に操作できるリソースタイプを制御するために使用します。 |
String |
|
AWS::EC2::Instance などのテンプレートリソースタイプでアクセスをフィルタリングします。IAM ユーザーがスタックの作成または更新時に操作できるリソースタイプを制御するために使用します。 |
ArrayOfString |
|
IAM サービスロールの ARN によりアクセスをフィルタリングする IAM ユーザーがスタックまたは変更セットの操作にどのサービスロールを使用できるかを制御するために使用します。 |
ARN |
|
Amazon S3 のスタックポリシー URL によりアクセスをフィルタリングする IAM ユーザーがスタックアクションの作成または更新アクション時にスタックにどのスタックポリシーを関連付けられるかを制御するために使用します。 |
String |
|
スタックセットのターゲットリージョンによりアクセスをフィルタリングする スタックセットを作成または更新する IAM ユーザーが使用可能なリージョンを、制御するために使用します。 |
ArrayOfString |
|
Amazon S3 のテンプレート URL によりアクセスをフィルタリングする IAM ユーザーがスタックの作成または更新時にどのテンプレートを使用できるかを制御するために使用します。 |
String |
|
CloudFormation 拡張機能の ARN でアクセスをフィルタリングします |
ARN |
