Amazon Elastic Container Service のアクション、リソース、および条件キー
Amazon Elastic Container Service (サービスプレフィックス: ecs) では、IAM アクセス許可ポリシーで使用できるように、以下のサービス固有のオペレーション、リソース、アクション、および条件キーが用意されています。
リファレンス:
-
このサービスを設定する方法について説明します。
-
このサービスで使用可能な API オペレーションのリストを表示します。
-
IAM アクセス許可ポリシーを使用して、このサービスとそのリソースを保護する方法を学びます。
-
このサービスのプログラムによるサービス認可リファレンス
を表示します。
トピック
Amazon Elastic Container Service で定義される API オペレーション
次の表は、API オペレーションを認可する IAM アクションにマッピングします。指定された API とアクションの静的値を持つ条件キーのみが一覧表示されます。各アクションでサポートされている条件キーの完全なセットについては、「アクション」表を参照してください。
| 運用 | IAM アクション | 条件キー | 指定できる値 (複数可) | アクセスレベル |
|---|---|---|---|---|
|
ContinueServiceDeployment |
書き込み |
|||
|
CreateCapacityProvider |
書き込み |
|||
書き込み |
||||
タグ付け、書き込み |
||||
iam:PassedToService |
ecs.amazonaws.com |
書き込み |
||
|
CreateCluster |
書き込み |
|||
タグ付け、書き込み |
||||
|
CreateDaemon |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
ecs-tasks.amazonaws.com |
書き込み |
||
|
CreateExpressGatewayService |
書き込み |
|||
書き込み |
||||
書き込み |
||||
タグ付け、書き込み |
||||
iam:PassedToService |
ecs-tasks.amazonaws.com、ecs.amazonaws.com |
書き込み |
||
|
CreateService |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
ecs-tasks.amazonaws.com、ecs.amazonaws.com |
書き込み |
||
|
CreateTaskSet |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
ecs-tasks.amazonaws.com |
書き込み |
||
|
DeleteAccountSetting |
書き込み |
|||
|
DeleteAttributes |
書き込み |
|||
|
DeleteCapacityProvider |
書き込み |
|||
書き込み |
||||
|
DeleteCluster |
書き込み |
|||
|
DeleteDaemon |
書き込み |
|||
|
DeleteDaemonTaskDefinition |
書き込み |
|||
|
DeleteExpressGatewayService |
書き込み |
|||
|
DeleteService |
書き込み |
|||
|
DeleteTaskDefinitions |
書き込み |
|||
|
DeleteTaskSet |
書き込み |
|||
|
DeregisterContainerInstance |
書き込み |
|||
|
DeregisterTaskDefinition |
書き込み |
|||
|
DescribeCapacityProviders |
読み取り |
|||
|
DescribeClusters |
読み取り |
|||
|
DescribeContainerInstances |
読み取り |
|||
|
DescribeDaemon |
読み取り |
|||
|
DescribeDaemonDeployments |
読み取り |
|||
|
DescribeDaemonRevisions |
読み取り |
|||
|
DescribeDaemonTaskDefinition |
読み取り |
|||
|
DescribeExpressGatewayService |
読み取り |
|||
|
DescribeServiceDeployments |
読み取り |
|||
|
DescribeServiceRevisions |
読み取り |
|||
|
DescribeServices |
読み取り |
|||
|
DescribeTaskDefinition |
読み取り |
|||
|
DescribeTaskSets |
読み取り |
|||
|
DescribeTasks |
読み取り |
|||
|
DiscoverPollEndpoint |
書き込み |
|||
|
ExecuteCommand |
書き込み |
|||
|
GetTaskProtection |
読み取り |
|||
|
ListAccountSettings |
読み取り |
|||
|
ListAttributes |
リスト |
|||
|
ListClusters |
リスト |
|||
|
ListContainerInstances |
リスト |
|||
|
ListDaemonDeployments |
リスト |
|||
|
ListDaemonTaskDefinitions |
リスト |
|||
|
ListDaemons |
リスト |
|||
|
ListServiceDeployments |
リスト |
|||
|
ListServices |
リスト |
|||
|
ListServicesByNamespace |
リスト |
|||
|
ListTagsForResource |
読み取り |
|||
|
ListTaskDefinitionFamilies |
リスト |
|||
|
ListTaskDefinitions |
リスト |
|||
|
ListTasks |
リスト |
|||
|
PutAccountSetting |
書き込み |
|||
|
PutAccountSettingDefault |
書き込み |
|||
|
PutAttributes |
書き込み |
|||
|
PutClusterCapacityProviders |
書き込み |
|||
|
RegisterContainerInstance |
書き込み |
|||
タグ付け、書き込み |
||||
|
RegisterDaemonTaskDefinition |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
ecs-tasks.amazonaws.com |
書き込み |
||
|
RegisterTaskDefinition |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
ecs-tasks.amazonaws.com |
書き込み |
||
|
RunTask |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
ecs-tasks.amazonaws.com、ecs.amazonaws.com |
書き込み |
||
|
StartTask |
書き込み |
|||
タグ付け、書き込み |
||||
iam:PassedToService |
ecs-tasks.amazonaws.com、ecs.amazonaws.com |
書き込み |
||
|
StopServiceDeployment |
書き込み |
|||
|
StopTask |
書き込み |
|||
|
SubmitAttachmentStateChanges |
書き込み |
|||
|
SubmitContainerStateChange |
書き込み |
|||
|
SubmitTaskStateChange |
書き込み |
|||
|
TagResource |
タグ付け、書き込み |
|||
|
UntagResource |
タグ付け、書き込み |
|||
|
UpdateCapacityProvider |
書き込み |
|||
書き込み |
||||
iam:PassedToService |
ecs.amazonaws.com |
書き込み |
||
|
UpdateCluster |
書き込み |
|||
|
UpdateClusterSettings |
書き込み |
|||
|
UpdateContainerAgent |
書き込み |
|||
|
UpdateContainerInstancesState |
書き込み |
|||
|
UpdateDaemon |
書き込み |
|||
iam:PassedToService |
ecs-tasks.amazonaws.com |
書き込み |
||
|
UpdateExpressGatewayService |
書き込み |
|||
書き込み |
||||
iam:PassedToService |
ecs-tasks.amazonaws.com、ecs.amazonaws.com |
書き込み |
||
|
UpdateService |
書き込み |
|||
iam:PassedToService |
ecs-tasks.amazonaws.com、ecs.amazonaws.com |
書き込み |
||
|
UpdateServicePrimaryTaskSet |
書き込み |
|||
|
UpdateTaskProtection |
書き込み |
|||
|
UpdateTaskSet |
書き込み |
Amazon Elastic Container Service で定義されるアクション
IAM ポリシーステートメントの Action エレメントでは、以下のアクションを指定できます。ポリシーを使用して、 AWSでオペレーションを実行するアクセス許可を付与します。ポリシーでアクションを使用する場合は、通常、同じ名前の API オペレーションまたは CLI コマンドへのアクセスを許可または拒否します。ただし、場合によっては、1 つのアクションによって複数のオペレーションへのアクセスが制御されます。あるいは、いくつかのオペレーションはいくつかの異なるアクションを必要とします。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
一時停止したサービスのデプロイを続行するアクセス許可を付与します |
書き込み |
|||
新しいキャパシティプロバイダーを作成するためのアクセス許可を付与 キャパシティープロバイダーは Amazon ECS クラスターに関連付けられ、クラスターの自動スケーリングを容易にするキャパシティープロバイダー戦略で使用されます |
書き込み |
|||
新しい Amazon ECS クラスターを作成するためのアクセス許可を付与 |
書き込み |
|||
指定されたクラスターに新しいデーモンを作成するアクセス許可を付与します |
書き込み |
|||
クラスターとタスク定義を使用して新しい Amazon ECS Express Gateway サービスを作成するアクセス許可を付与します |
書き込み |
|||
サービスの作成を通じて、指定されたタスク定義から必要な数のタスクを実行および管理するためのアクセス許可を付与 |
書き込み |
|||
新しい Amazon ECS タスクセットを作成するためのアクセス許可を付与 |
書き込み |
|||
アカウントの指定された IAM ユーザー、IAM ロール、またはルートユーザーについて、リソースの ARN およびリソース ID 形式を変更するためのアクセス許可を付与 作成される新しいリソースに対して新しい ARN およびリソース ID 形式を無効にするかどうかを指定できます |
書き込み |
|||
Amazon ECS リソースから 1 つまたは複数のカスタム属性を削除するためのアクセス許可を付与 |
書き込み |
|||
指定されたキャパシティプロバイダーを削除するためのアクセス許可を付与 |
書き込み |
|||
指定されたクラスターを削除するためのアクセス許可を付与 |
書き込み |
|||
クラスター内の指定されたデーモンを削除するアクセス許可を付与します |
書き込み |
|||
指定されたデーモンタスク定義を削除するアクセス許可を付与します |
書き込み |
|||
指定された Express Gateway サービスを削除するアクセス許可を付与します |
書き込み |
|||
クラスター内の指定されたサービスを削除するためのアクセス許可を付与 |
書き込み |
|||
ファミリーおよびリビジョンによって指定されたタスク定義を削除するための許可を付与します |
書き込み |
|||
指定したタスクセットを削除するためのアクセス許可を付与 |
書き込み |
|||
指定されたクラスターから Amazon ECS コンテナインスタンスを登録解除するためのアクセス許可を付与 |
書き込み |
|||
ファミリーおよびリビジョンによって指定されたタスク定義を登録解除するためのアクセス許可を付与 |
書き込み |
|||
1 つ以上の Amazon ECS キャパシティープロバイダーを説明する許可を付与 |
読み取り |
|||
1 つ以上のクラスターを記述するためのアクセス許可を付与 |
読み取り |
|||
Amazon ECS コンテナインスタンスを記述するためのアクセス許可を付与 |
読み取り |
|||
クラスターで実行されている指定されたデーモンを記述するアクセス許可を付与します |
読み取り |
|||
1 つ以上のデーモンデプロイを記述するアクセス許可を付与します |
読み取り |
|||
1 つ以上のデーモンリビジョンを記述するアクセス許可を付与します |
読み取り |
|||
デーモンタスク定義を記述する許可を付与 |
読み取り |
|||
指定された Express Gateway サービスを記述するアクセス許可を付与します |
読み取り |
|||
1 つ以上のサービスデプロイを記述するアクセス許可を付与 |
読み取り |
|||
1 つ以上のサービスリビジョンを記述するアクセス許可を付与します。 |
読み取り |
|||
クラスターで実行されている指定されたサービスを記述するためのアクセス許可を付与 |
読み取り |
|||
タスク定義を記述するためのアクセス許可を付与 ファミリーとリビジョンを指定して、特定のタスク定義に関する情報を検索するか、ファミリーのみを指定して、そのファミリーの最新の ACTIVE リビジョンを検索できます |
読み取り |
|||
Amazon ECS タスクセットを記述するためのアクセス許可を付与 |
読み取り |
|||
指定した 1 つまたは複数のタスクを記述するためのアクセス許可を付与 |
読み取り |
|||
Amazon ECS エージェントが更新をポーリングするためのエンドポイントを取得するためのアクセス許可を付与 |
書き込み |
|||
Amazon ECS コンテナでリモートでコマンドを実行するためのアクセス許可を付与 |
書き込み |
|||
Amazon ECS サービスのタスクの保護ステータスを取得するための許可を付与します |
読み取り |
|||
指定されたプリンシパルの Amazon ECS リソースのアカウント設定を一覧表示するためのアクセス許可を付与 |
読み取り |
|||
指定されたターゲットタイプおよびクラスター内の Amazon ECS リソースの属性を一覧表示するためのアクセス許可を付与 |
リスト |
|||
既存のクラスターのリストを取得するためのアクセス許可を付与 |
リスト |
|||
指定されたクラスター内のコンテナインスタンスのリストを取得するためのアクセス許可を付与 |
リスト |
|||
指定されたデーモンのデーモンデプロイのリストを取得するアクセス許可を付与します |
リスト |
|||
アカウントに登録されているデーモンタスク定義のリストを取得するアクセス許可を付与します |
リスト |
|||
指定されたクラスターで実行されているデーモンのリストを取得する許可を付与 |
リスト |
|||
指定されたサービスのサービスデプロイのリストを取得するアクセス許可を付与 |
リスト |
|||
指定されたクラスターで実行されているサービスのリストを取得するためのアクセス許可を付与 |
リスト |
|||
指定された AWS クラウド マップ名前空間で実行されているサービスのリストを取得するアクセス許可を付与します |
リスト |
|||
指定されたリソースのタグのリストを取得するためのアクセス許可を付与 |
読み取り |
|||
アカウントに登録されているタスク定義ファミリーのリストを取得するためのアクセス許可を付与 (ACTIVE タスク定義を持たないタスク定義ファミリーが含まれる場合があります)。 |
リスト |
|||
アカウントに登録されているタスク定義のリストを取得するためのアクセス許可を付与 |
リスト |
|||
指定したクラスターのタスクの一覧を取得するためのアクセス許可を付与 |
リスト |
|||
アカウントの指定された IAM ユーザー、IAM ロール、またはルートユーザーについて、リソースの ARN およびリソース ID 形式を変更するためのアクセス許可を付与 作成される新しいリソースに対して新しい ARN およびリソース ID 形式を有効にするかどうかを指定できます。この設定の有効化は、リソースのタグ付けなどの新しい Amazon ECS 機能を使用するために必要です |
書き込み |
|||
個々のアカウント設定が行われていないアカウントのすべての IAM ユーザーについて、リソースタイプの ARN およびリソース ID 形式を変更するためのアクセス許可を付与 この設定の有効化は、リソースのタグ付けなどの新しい Amazon ECS 機能を使用するために必要です |
書き込み |
|||
Amazon ECS リソースで属性を作成または更新するためのアクセス許可を付与 |
書き込み |
|||
クラスターの使用可能なキャパシティープロバイダーおよびデフォルトのキャパシティープロバイダー戦略を変更するためのアクセス許可を付与 |
書き込み |
|||
指定されたクラスターに EC2 インスタンスを登録するためのアクセス許可を付与 |
書き込み |
|||
指定されたファミリーと containerDefinitions から新しいデーモンタスク定義を登録する許可を付与 |
書き込み |
|||
指定されたファミリーと containerDefinitions から新しいタスク定義を登録するためのアクセス許可を付与 |
書き込み |
|||
ランダム配置とデフォルトの Amazon ECS スケジューラを使用してタスクを開始するためのアクセス許可を付与 |
書き込み |
|||
指定された 1 つまたは複数のコンテナインスタンスで、指定されたタスク定義から新しいタスクを開始するためのアクセス許可を付与 |
書き込み |
|||
進行中のサービスデプロイを停止するアクセス許可を付与 |
書き込み |
|||
実行中のタスクを停止するためのアクセス許可を付与 |
書き込み |
|||
アタッチメントの状態が変更された旨の確認を送信するためのアクセス許可を付与 |
書き込み |
|||
コンテナの状態が変更された旨の確認を送信するためのアクセス許可を付与 |
書き込み |
|||
タスクの状態が変更された旨の確認を送信するためのアクセス許可を付与 |
書き込み |
|||
指定されたリソースにタグを付けるアクセス許可を付与 |
タグ付け、書き込み |
|||
指定されたリソースのタグを解除するアクセス許可を付与 |
タグ付け、書き込み |
|||
指定されたキャパシティープロバイダーを更新するためのアクセス許可を付与 |
書き込み |
|||
クラスターで使用する構成または設定を変更するためのアクセス許可を付与 |
書き込み |
|||
クラスターで使用する設定を変更するためのアクセス許可を付与 |
書き込み |
|||
指定されたコンテナインスタンスの Amazon ECS コンテナエージェントを更新するためのアクセス許可を付与 |
書き込み |
|||
Amazon ECS コンテナインスタンスのステータスを変更するためのアクセス許可をユーザーに付与 |
書き込み |
|||
デーモンのパラメータを変更するアクセス許可を付与します |
書き込み |
|||
Express Gateway サービスのパラメータを変更するアクセス許可を付与します |
書き込み |
|||
サービスのパラメータを変更するためのアクセス許可を付与 |
書き込み |
|||
サービスで使用されるプライマリタスクセットを変更するためのアクセス許可を付与 |
書き込み |
|||
タスクの保護ステータスを変更するための許可を付与します |
書き込み |
|||
指定されたタスクセットを更新するためのアクセス許可を付与 |
書き込み |
Amazon Elastic Container Service のアクセス許可のみのアクション
以下のアクションは Amazon Elastic Container Service によって定義されますが、API オペレーションから直接呼び出すことはできません。アクセス許可を付与または拒否するには、IAM ポリシーステートメントでのみ使用できます。
| アクション | 説明 | リソースタイプ (* 必須) | 条件キー | アクセスレベル |
|---|---|---|---|---|
指定されたリソースに対して販売されたログ配信を許可するアクセス許可を付与します |
アクセス許可管理、書き込み |
|||
Amazon ECS サービスに接続してステータスを報告し、コマンドを取得するためのアクセス許可をエージェントに付与 |
書き込み |
|||
コンテナインスタンスからシステムログを収集するアクセス許可を付与 |
書き込み |
|||
テレメトリセッションを開始するためのアクセス許可を付与 |
書き込み |
Amazon Elastic Container Service で定義されるリソースタイプ
以下のリソースタイプは、このサービスによって定義され、IAM アクセス許可ポリシーステートメントの Resource エレメントで使用できます。
| リソースタイプ: | ARN | 条件キー |
|---|---|---|
arn:${Partition}:ecs:${Region}:${Account}:capacity-provider/${CapacityProviderName} |
||
arn:${Partition}:ecs:${Region}:${Account}:cluster/${ClusterName} |
||
arn:${Partition}:ecs:${Region}:${Account}:container-instance/${ClusterName}/${ContainerInstanceId} |
||
arn:${Partition}:ecs:${Region}:${Account}:daemon/${ClusterName}/${DaemonName} |
||
arn:${Partition}:ecs:${Region}:${Account}:daemon-deployment/${ClusterName}/${DaemonName}/${DaemonDeploymentId} |
||
arn:${Partition}:ecs:${Region}:${Account}:daemon-revision/${ClusterName}/${DaemonName}/${DaemonRevisionId} |
||
arn:${Partition}:ecs:${Region}:${Account}:daemon-task-definition/${DaemonTaskDefinitionFamilyName}:${DaemonTaskDefinitionRevisionNumber} |
||
arn:${Partition}:ecs:${Region}:${Account}:service/${ClusterName}/${ServiceName} |
||
arn:${Partition}:ecs:${Region}:${Account}:service-deployment/${ClusterName}/${ServiceName}/${ServiceDeploymentId} |
||
arn:${Partition}:ecs:${Region}:${Account}:service-revision/${ClusterName}/${ServiceName}/${ServiceRevisionId} |
||
arn:${Partition}:ecs:${Region}:${Account}:task/${ClusterName}/${TaskId} |
||
arn:${Partition}:ecs:${Region}:${Account}:task-definition/${TaskDefinitionFamilyName}:${TaskDefinitionRevisionNumber} |
||
arn:${Partition}:ecs:${Region}:${Account}:task-set/${ClusterName}/${ServiceName}/${TaskSetId} |
Amazon Elastic Container Service の条件キー
Amazon Elastic Container Service は、IAM ポリシーの Condition 要素で使用できる以下の条件キーを定義します。
| 条件キー | 説明 | タイプ |
|---|---|---|
リクエストで渡されたタグでアクセスをフィルタリングします |
String |
|
リソースにアタッチされているタグのキーと値のペアでアクセスをフィルタリングします |
String |
|
リクエストで渡されたタグキーでアクセスをフィルタリングします |
ArrayOfString |
|
リソース作成 API アクションの名前によってアクセスをフィルタリングします |
String |
|
リソースにアタッチされているタグのキーと値のペアでアクセスをフィルタリングします |
String |
|
Amazon ECS アカウント設定名でアクセスをフィルタリング |
String |
|
awsvpc ネットワークモードを使用する Amazon ECS タスクまたは Amazon ECS サービスのパブリック IP 割り当て設定でアクセスをフィルタリングします |
Bool |
|
Amazon ECS キャパシティープロバイダーの ARN に基づいて、アクセスをフィルタリングします |
ArrayOfARN |
|
Amazon ECS クラスターの ARN でアクセスをフィルタリングします |
ARN |
|
リクエストで指定された必須の互換性フィールドでアクセスをフィルタリングします |
ArrayOfString |
|
Amazon ECS コンテナインスタンスの ARN に基づいて、アクセスをフィルタリングします |
ARN |
|
ECS タスク定義で定義されている Amazon ECS コンテナの名前に基づいて、アクセスをフィルタリングします |
String |
|
Amazon ECS デーモンの ARN でアクセスをフィルタリングします |
ARN |
|
Amazon ECS デーモンタスク定義の ARN でアクセスをフィルタリングします |
ARN |
|
ECS タスクまたはサービスの Amazon ECS マネージド Amazon EBS ボリューム機能でアクセスをフィルタリングする |
String |
|
Amazon ECS タスクまたは Amazon ECS サービスの enableECSManagedTags 設定でアクセスをフィルタリングします |
Bool |
|
Amazon ECS タスクまたは Amazon ECS サービスの実行コマンド機能に基づいて、アクセスをフィルタリングします |
String |
|
Service Connect 設定の有効フィールド値によりアクセスをフィルタリング |
String |
|
Amazon ECS サービスの VPC 格子機能でアクセスをフィルタリングします |
String |
|
リクエストで指定された AWS KMS キー ID でアクセスをフィルタリングします |
String |
|
Amazon ECS ゲートウェイの ARN でアクセスをフィルタリングします |
ARN |
|
Amazon ECS キャパシティープロバイダーのインスタンスメタデータタグ伝達設定でアクセスをフィルタリングします |
Bool |
|
Service Connect 設定で定義されている AWS クラウド マップ名前空間の ARN でアクセスをフィルタリングします |
ARN |
|
リクエストで指定された特権フィールドでアクセスをフィルタリングします |
String |
|
Amazon ECS タスクまたは Amazon ECS サービスのタグ伝達設定でアクセスをフィルタリングします |
String |
|
Amazon ECS サービスの ARN に基づいて、アクセスをフィルタリングします |
ARN |
|
awsvpc ネットワークモードを使用する Amazon ECS タスクまたは Amazon ECS サービスのサブネット設定でアクセスをフィルタリングします |
ArrayOfString |
|
Amazon ECS タスクの ARN に基づいて、アクセスをフィルタリングします |
ARN |
|
リクエストで指定された 1024 = 1 vCPU の整数として、タスク cpu でアクセスをフィルタリングします |
数値 |
|
Amazon ECS タスク定義の ARN に基づいて、アクセスをフィルタリングします |
ARN |
|
リクエストで指定された MiB を表す整数として、タスクメモリでアクセスをフィルタリングします |
数値 |
