Amazon Cognito ユーザープールのアクション、リソース、および条件キー
Amazon Cognito ユーザープール (サービスプレフィックス: cognito-idp) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のオペレーション、リソース、アクション、および条件キーが用意されています。
リファレンス:
-
このサービスを設定する方法について説明します。
-
このサービスで使用可能な API オペレーションのリストを表示します。
-
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。
-
このサービスのプログラムによるサービス認可リファレンス
を表示します。
トピック
Amazon Cognito ユーザープールで定義される API オペレーション
次の表は、API オペレーションを認可する IAM アクションにマッピングします。指定された API とアクションの静的値を持つ条件キーのみが一覧表示されます。各アクションでサポートされている条件キーの完全なセットについては、「アクション」表を参照してください。
| 運用 | IAM アクション | 条件キー | 可能な値 (複数可) | アクセスレベル |
|---|---|---|---|---|
|
AddCustomAttributes |
書き込み |
|||
|
AddUserPoolClientSecret |
書き込み |
|||
|
AdminAddUserToGroup |
書き込み |
|||
|
AdminConfirmSignUp |
書き込み |
|||
|
AdminCreateUser |
書き込み |
|||
|
AdminDeleteSoftwareToken |
書き込み |
|||
|
AdminDeleteUser |
書き込み |
|||
|
AdminDeleteUserAttributes |
書き込み |
|||
|
AdminDisableProviderForUser |
書き込み |
|||
|
AdminDisableUser |
書き込み |
|||
|
AdminEnableUser |
書き込み |
|||
|
AdminForgetDevice |
書き込み |
|||
|
AdminGetDevice |
読み取り |
|||
|
AdminGetUser |
読み取り |
|||
|
AdminGetUserAuthFactors |
読み取り |
|||
|
AdminInitiateAuth |
書き込み |
|||
|
AdminLinkProviderForUser |
書き込み |
|||
|
AdminListDevices |
リスト |
|||
|
AdminListGroupsForUser |
リスト |
|||
|
AdminListUserAuthEvents |
読み取り |
|||
|
AdminRemoveUserFromGroup |
書き込み |
|||
|
AdminResetUserPassword |
書き込み |
|||
|
AdminRespondToAuthChallenge |
書き込み |
|||
|
AdminSetUserMFAPreference |
書き込み |
|||
|
AdminSetUserPassword |
書き込み |
|||
|
AdminSetUserSettings |
書き込み |
|||
|
AdminUpdateAuthEventFeedback |
書き込み |
|||
|
AdminUpdateDeviceStatus |
書き込み |
|||
|
AdminUpdateUserAttributes |
書き込み |
|||
|
AdminUserGlobalSignOut |
書き込み |
|||
|
AssociateSoftwareToken |
書き込み |
|||
|
ChangePassword |
書き込み |
|||
|
ConfirmDevice |
書き込み |
|||
|
ConfirmForgotPassword |
書き込み |
|||
|
ConfirmSignUp |
書き込み |
|||
|
CreateGroup |
書き込み |
|||
書き込み |
||||
|
CreateIdentityProvider |
書き込み |
|||
|
CreateManagedLoginBranding |
書き込み |
|||
|
CreateResourceServer |
書き込み |
|||
|
CreateTerms |
書き込み |
|||
|
CreateUserImportJob |
書き込み |
|||
書き込み |
||||
|
CreateUserPool |
書き込み |
|||
タグ付け、書き込み |
||||
書き込み |
||||
|
CreateUserPoolClient |
書き込み |
|||
書き込み |
||||
|
CreateUserPoolDomain |
書き込み |
|||
|
CreateUserPoolReplica |
書き込み |
|||
|
DeleteGroup |
書き込み |
|||
|
DeleteIdentityProvider |
書き込み |
|||
|
DeleteManagedLoginBranding |
書き込み |
|||
|
DeleteResourceServer |
書き込み |
|||
|
DeleteTerms |
書き込み |
|||
|
DeleteUser |
書き込み |
|||
|
DeleteUserAttributes |
書き込み |
|||
|
DeleteUserPool |
書き込み |
|||
|
DeleteUserPoolClient |
書き込み |
|||
|
DeleteUserPoolClientSecret |
書き込み |
|||
|
DeleteUserPoolDomain |
書き込み |
|||
|
DeleteUserPoolReplica |
書き込み |
|||
|
DescribeIdentityProvider |
読み取り |
|||
|
DescribeManagedLoginBranding |
読み取り |
|||
|
DescribeManagedLoginBrandingByClient |
読み取り |
|||
|
DescribeResourceServer |
読み取り |
|||
|
DescribeRiskConfiguration |
読み取り |
|||
|
DescribeTerms |
読み取り |
|||
|
DescribeTermsByClient |
読み取り |
|||
|
DescribeUserImportJob |
読み取り |
|||
|
DescribeUserPool |
読み取り |
|||
|
DescribeUserPoolClient |
読み取り |
|||
|
DescribeUserPoolDomain |
読み取り |
|||
|
ForgetDevice |
書き込み |
|||
|
ForgotPassword |
書き込み |
|||
|
GetCSVHeader |
読み取り |
|||
|
GetDevice |
読み取り |
|||
|
GetGroup |
読み取り |
|||
|
GetIdentityProviderByIdentifier |
読み取り |
|||
|
GetLogDeliveryConfiguration |
読み取り |
|||
|
GetProvisionedLimit |
読み取り |
|||
|
GetSigningCertificate |
読み取り |
|||
|
GetTokensFromRefreshToken |
書き込み |
|||
|
GetUICustomization |
読み取り |
|||
|
GetUser |
読み取り |
|||
|
GetUserAttributeVerificationCode |
読み取り |
|||
|
GetUserPoolMfaConfig |
読み取り |
|||
|
GlobalSignOut |
書き込み |
|||
|
InitiateAuth |
書き込み |
|||
|
ListDevices |
リスト |
|||
|
ListGroups |
リスト |
|||
|
ListIdentityProviders |
リスト |
|||
|
ListResourceServers |
リスト |
|||
|
ListTagsForResource |
リスト |
|||
|
ListTerms |
リスト |
|||
|
ListUserImportJobs |
リスト |
|||
|
ListUserPoolClientSecrets |
リスト |
|||
|
ListUserPoolClients |
リスト |
|||
|
ListUserPoolReplicas |
リスト |
|||
|
ListUserPools |
リスト |
|||
|
ListUsers |
リスト |
|||
|
ListUsersInGroup |
リスト |
|||
|
ResendConfirmationCode |
書き込み |
|||
|
RespondToAuthChallenge |
書き込み |
|||
|
RevokeToken |
書き込み |
|||
|
SetLogDeliveryConfiguration |
書き込み |
|||
|
SetRiskConfiguration |
書き込み |
|||
|
SetUICustomization |
書き込み |
|||
|
SetUserMFAPreference |
書き込み |
|||
|
SetUserPoolMfaConfig |
書き込み |
|||
書き込み |
||||
|
SetUserSettings |
書き込み |
|||
|
SignUp |
書き込み |
|||
|
StartUserImportJob |
書き込み |
|||
|
StopUserImportJob |
書き込み |
|||
|
TagResource |
タグ付け、書き込み |
|||
|
UntagResource |
タグ付け、書き込み |
|||
|
UpdateAuthEventFeedback |
書き込み |
|||
|
UpdateDeviceStatus |
書き込み |
|||
|
UpdateGroup |
書き込み |
|||
書き込み |
||||
|
UpdateIdentityProvider |
書き込み |
|||
|
UpdateManagedLoginBranding |
書き込み |
|||
|
UpdateProvisionedLimit |
書き込み |
|||
|
UpdateResourceServer |
書き込み |
|||
|
UpdateTerms |
書き込み |
|||
|
UpdateUserAttributes |
書き込み |
|||
|
UpdateUserPool |
タグ付け、書き込み |
|||
タグ付け、書き込み |
||||
書き込み |
||||
書き込み |
||||
|
UpdateUserPoolClient |
書き込み |
|||
書き込み |
||||
|
UpdateUserPoolDomain |
書き込み |
|||
|
UpdateUserPoolReplica |
書き込み |
|||
|
VerifySoftwareToken |
書き込み |
|||
|
VerifyUserAttribute |
書き込み |
Amazon Cognito ユーザープールで定義されるアクション
IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
ユーザー属性をユーザープールスキーマに追加するアクセス許可を付与 |
書き込み |
|||
機密クライアントに新しいシークレットを追加する許可を付与 |
書き込み |
|||
ユーザーをグループに追加するアクセス許可を付与 |
書き込み |
|||
確認コードなしでユーザーの登録を確認するアクセス許可を付与 |
書き込み |
|||
新しいユーザーを作成し、E メールまたは SMS でウェルカムメッセージを送信するアクセス許可を付与 |
書き込み |
|||
ユーザーのソフトウェアトークンを削除するアクセス許可を付与します |
書き込み |
|||
ユーザーを削除するアクセス許可を付与 |
書き込み |
|||
ユーザーから属性を削除するアクセス許可を付与 |
書き込み |
|||
サードパーティーの ID プロバイダー (IdP) ユーザーからユーザープールのユーザーをリンク解除するアクセス許可を付与 |
書き込み |
|||
ユーザーを非アクティブ化するアクセス許可を付与 |
書き込み |
|||
ユーザーをアクティブ化するアクセス許可を付与 |
書き込み |
|||
ユーザーのデバイスの登録を解除するアクセス許可を付与 |
書き込み |
|||
ユーザーのデバイスに関する情報を取得するアクセス許可を付与 |
読み取り |
|||
ユーザーをユーザー名で検索するアクセス許可を付与 |
読み取り |
|||
ユーザーが設定した認証要素を検索するアクセス許可を付与します |
読み取り |
|||
ユーザーを認証するアクセス許可を付与 |
書き込み |
|||
ユーザープールのユーザーをサードパーティーの IdP ユーザーにリンクするアクセス許可を付与 |
書き込み |
|||
ユーザーの記憶したデバイスを一覧表示するアクセス許可を付与 |
リスト |
|||
ユーザーが属するグループを一覧表示するアクセス許可を付与 |
リスト |
|||
ユーザーのサインインイベントを一覧表示するアクセス許可を付与 |
読み取り |
|||
グループからユーザーを削除するアクセス許可を付与 |
書き込み |
|||
ユーザーのパスワードをリセットするアクセス許可を付与 |
書き込み |
|||
ユーザーの認証中に認証チャレンジに応答するアクセス許可を付与 |
書き込み |
|||
ユーザーが優先する MFA メソッドを設定するアクセス許可を付与 |
書き込み |
|||
ユーザーのパスワードを設定するアクセス許可を付与 |
書き込み |
|||
ユーザーにユーザー設定を設定するアクセス許可を付与 |
書き込み |
|||
ユーザーの認証イベントの高度なセキュリティフィードバックを更新するアクセス許可を付与 |
書き込み |
|||
ユーザーの記憶したデバイスのステータスを更新するアクセス許可を付与 |
書き込み |
|||
ユーザーの標準属性またはカスタム属性を更新するアクセス許可を付与 |
書き込み |
|||
すべてのセッションからユーザーをサインアウトするアクセス許可を付与 |
書き込み |
|||
ユーザーの一意に生成された共有シークレットキーコードを返すアクセス許可を付与 |
書き込み |
|||
ユーザープールの指定されたユーザーのパスワードを変更するアクセス許可を付与 |
書き込み |
|||
デバイスの追跡を確認するアクセス許可を付与 この API コールによって、デバイス追跡が開始します。 |
書き込み |
|||
忘れたパスワードをリセットする確認コードをユーザーが入力できるようにするアクセス許可を付与 |
書き込み |
|||
ユーザーの登録を確認して、以前のユーザーの既存のエイリアスを処理するアクセス許可を付与 |
書き込み |
|||
新しいユーザープールグループを作成するアクセス許可を付与 |
書き込み |
|||
ID プロバイダーをユーザープールに追加するアクセス許可を付与 |
書き込み |
|||
マネージドログインのブランド設定を作成し、アプリクライアントに関連付けるアクセス許可を付与します |
書き込み |
|||
OAuth 2.0 リソースサーバーのスコープを作成および設定するアクセス許可を付与 |
書き込み |
|||
条件を作成し、アプリクライアントに関連付けるアクセス許可を付与します |
書き込み |
|||
ユーザー CSV インポートジョブを作成するアクセス許可を付与 |
書き込み |
|||
ユーザープールのパスワードポリシーを作成および設定するアクセス許可を付与 |
書き込み |
|||
ユーザープールアプリケーションクライアントを作成するアクセス許可を付与 |
書き込み |
|||
ユーザープールドメインを追加するアクセス許可を付与 |
書き込み |
|||
ユーザープールのレプリカを作成するアクセス許可を付与します |
書き込み |
|||
空のユーザープールグループを削除するアクセス許可を付与 |
書き込み |
|||
ユーザープールから ID プロバイダーを削除するアクセス許可を付与 |
書き込み |
|||
任意のアプリケーションクライアントのマネージドログインブランドスタイルを削除するアクセス許可を付与します |
書き込み |
|||
ユーザープールから OAuth 2.0 リソースサーバーを削除するアクセス許可を付与 |
書き込み |
|||
アプリケーションクライアントの用語を削除するアクセス許可を付与します |
書き込み |
|||
ユーザーが自身を削除できるようにするアクセス許可を付与 |
書き込み |
|||
ユーザーの属性を削除するアクセス許可を付与 |
書き込み |
|||
ユーザープールを削除するアクセス許可を付与 |
書き込み |
|||
ユーザープールアプリケーションクライアントを削除するアクセス許可を付与 |
書き込み |
|||
クライアントに関連付けられたシークレットのリストからシークレットを削除するアクセス許可を付与します |
書き込み |
|||
ユーザープールドメインを削除するアクセス許可を付与 |
書き込み |
|||
ユーザープールのレプリカを削除するアクセス許可を付与します |
書き込み |
|||
ユーザープール ID プロバイダーを記述するアクセス許可を付与 |
読み取り |
|||
マネージドログインのブランドスタイルに関する詳細情報を取得する許可を付与 |
読み取り |
|||
アプリケーションに関連付けられたマネージドログインのブランドスタイルに関する詳細情報を取得するアクセス許可を付与します |
読み取り |
|||
OAuth 2.0 リソースサーバーを記述するアクセス許可を付与 |
読み取り |
|||
ユーザープールとアプリケーションクライアントのリスク設定を記述するアクセス許可を付与 |
読み取り |
|||
アプリケーションクライアントの用語に関する詳細情報を取得するアクセス許可を付与します |
読み取り |
|||
ユーザーインポートジョブを記述するアクセス許可を付与 |
読み取り |
|||
ユーザープールを記述するアクセス許可を付与 |
読み取り |
|||
ユーザープールアプリケーションクライアントを記述するアクセス許可を付与 |
読み取り |
|||
ユーザープールドメインを記述するアクセス許可を付与 |
読み取り |
|||
指定されたデバイスを忘れるアクセス許可を付与 |
書き込み |
|||
ユーザーのパスワードを変更するために必要な確認コードと共にメッセージをエンドユーザーに送信するアクセス許可を付与 |
書き込み |
|||
ユーザーインポート .csv ファイルのヘッダーを生成するアクセス許可を付与 |
読み取り |
|||
デバイスを取得するアクセス許可を付与 |
読み取り |
|||
ユーザープールグループを記述するアクセス許可を付与 |
読み取り |
|||
ユーザープール IdP 識別子を IdP 名に関連付けるアクセス許可を付与 |
読み取り |
|||
ユーザープールの詳細なアクティビティログ設定を取得するアクセス許可を付与 |
読み取り |
|||
のプロビジョニングされた制限を取得するアクセス許可を付与します AWS アカウント |
読み取り |
|||
ユーザープールの署名証明書を検索するアクセス許可を付与 |
読み取り |
|||
更新トークンでユーザートークンを更新するアクセス許可を付与します |
書き込み |
|||
アプリケーションクライアントのホストされている UI の UI カスタマイズ情報を取得するアクセス許可を付与 |
読み取り |
|||
ユーザー属性およびユーザーのメタデータを取得するアクセス許可を付与 |
読み取り |
|||
指定した属性名のユーザー属性検証コードを取得するアクセス許可を付与 |
読み取り |
|||
ユーザープールの MFA 設定を検索するアクセス許可を付与 |
読み取り |
|||
すべてのデバイスからユーザーをサインアウトするアクセス許可を付与 |
書き込み |
|||
認証フローを開始するアクセス許可を付与 |
書き込み |
|||
デバイスを一覧表示するアクセス許可を付与 |
リスト |
|||
ユーザープール内のすべてのグループを一覧表示するアクセス許可を付与 |
リスト |
|||
ユーザープール内のすべての ID プロバイダーを一覧表示するアクセス許可を付与 |
リスト |
|||
ユーザープール内のすべてのリソースサーバーを一覧表示するアクセス許可を付与 |
リスト |
|||
Amazon Cognito ユーザープールに割り当てられているタグを一覧表示するアクセス許可を付与 |
リスト |
|||
ユーザープールのすべての用語を一覧表示するアクセス許可を付与します |
リスト |
|||
すべてのユーザーインポートジョブを一覧表示するアクセス許可を付与 |
リスト |
|||
クライアントに関連付けられているすべてのシークレットを一覧表示するアクセス許可を付与します |
リスト |
|||
ユーザープール内のすべてのアプリケーションクライアントを一覧表示するアクセス許可を付与 |
リスト |
|||
ユーザープールのレプリカを一覧表示するアクセス許可を付与します |
リスト |
|||
すべてのユーザープールを一覧表示するアクセス許可を付与 |
リスト |
|||
すべてのユーザープールのユーザーを一覧表示するアクセス許可を付与 |
リスト |
|||
グループ内のユーザーを一覧表示するアクセス許可を付与 |
リスト |
|||
ユーザープールの特定のユーザーに確認 (登録の確認用) を再送信するアクセス許可を付与 |
書き込み |
|||
認証チャレンジに応答するアクセス許可を付与 |
書き込み |
|||
指定した更新トークンによって生成されたすべてのアクセストークンを取り消すアクセス許可を付与 |
書き込み |
|||
ユーザープールの詳細なアクティビティログ記録設定をセットアップまたは変更するアクセス許可を付与 |
書き込み |
|||
ユーザープールとアプリケーションクライアントのリスク設定をするアクセス許可を付与 |
書き込み |
|||
アプリケーションクライアントのホストされた UI をカスタマイズするアクセス許可を付与 |
書き込み |
|||
ユーザープールのユーザーの MFA 設定を行うアクセス許可を付与 |
書き込み |
|||
ユーザープールの設定をするアクセス許可を付与 |
書き込み |
|||
多要素認証 (MFA) などのユーザー設定を行うアクセス許可を付与 |
書き込み |
|||
指定したユーザープールにユーザーを登録し、ユーザー名、パスワード、およびユーザー属性を作成するアクセス許可を付与 |
書き込み |
|||
ユーザーインポートジョブを開始するアクセス許可を付与 |
書き込み |
|||
ユーザーインポートジョブを停止するアクセス許可を付与 |
書き込み |
|||
ユーザープールにタグ付けするアクセス許可を付与 |
タグ付け、書き込み |
|||
ユーザープールからタグを削除するアクセス許可を付与 |
タグ付け、書き込み |
|||
ユーザー認証イベントのフィードバックを更新するアクセス許可を付与 |
書き込み |
|||
デバイスの状態を更新するアクセス許可を付与 |
書き込み |
|||
グループの設定を更新するアクセス許可を付与 |
書き込み |
|||
ユーザープール IdP の設定を更新するアクセス許可を付与 |
書き込み |
|||
マネージドログインのブランド設定を更新する許可を付与 |
書き込み |
|||
のプロビジョニングされた制限を更新するアクセス許可を付与します AWS アカウント |
書き込み |
|||
OAuth 2.0 リソースサーバーの設定を更新するアクセス許可を付与 |
書き込み |
|||
アプリケーションクライアントの条件を更新するアクセス許可を付与します |
書き込み |
|||
特定の属性の更新 (一度に 1 つ) をユーザーに許可するアクセス許可を付与 |
書き込み |
|||
ユーザープールの設定を更新するアクセス許可を付与 |
書き込み |
|||
ユーザープールクライアントを更新するアクセス許可を付与 |
書き込み |
|||
カスタムドメインの証明書を置き換えるアクセス許可を付与 |
書き込み |
|||
ユーザープールのレプリカを更新するアクセス許可を付与します |
書き込み |
|||
ユーザーの入力された TOTP コードを登録し、成功した場合は、ユーザーのソフトウェアトークン MFA ステータスを検証済みとしてマークするアクセス許可を付与 |
書き込み |
|||
1 回限りの検証コードを使用してユーザー属性を検証するアクセス許可を付与 |
書き込み |
Amazon Cognito ユーザープールのアクセス許可のみのアクション
以下のアクションは Amazon Cognito ユーザープールによって定義されますが、API オペレーションから直接呼び出すことはできません。アクセス許可を付与または拒否するには、IAM ポリシーステートメントでのみ使用できます。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
ユーザープールを AWS WAF ウェブ ACL に関連付けるアクセス許可を付与します |
書き込み |
|||
ユーザープールと AWS WAF ウェブ ACL の関連付けを解除するアクセス許可を付与します |
書き込み |
|||
Amazon Cognito ユーザープールに関連付けられている AWS WAF ウェブ ACL を取得する許可を付与 |
読み取り |
|||
AWS WAF ウェブ ACL に関連付けられているユーザープールを一覧表示するアクセス許可を付与します |
リスト |
Amazon Cognito ユーザープールで定義されるリソースタイプ
以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。
| リソースタイプ: | ARN | 条件キー |
|---|---|---|
arn:${Partition}:cognito-idp:${Region}:${Account}:userpool/${UserPoolId} |
||
arn:${Partition}:wafv2:${Region}:${Account}:${Scope}/webacl/${Name}/${Id} |
Amazon Cognito ユーザープールの条件キー
Amazon Cognito ユーザープールは、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。
| 条件キー | 説明 | タイプ |
|---|---|---|
リクエスト内のタグキーと値のペアが存在するかどうかでアクションをフィルタリングします |
String |
|
リソースにアタッチされているタグキーおよび値のペアでアクセスをフィルタリングします |
String |
|
リクエストに存在するキーによってアクセスをフィルタリングします |
ArrayOfString |
