AWS CloudTrail에 사용되는 작업, 리소스 및 조건 키
AWS CloudTrail(서비스 접두사: cloudtrail)은 IAM 권한 정책에 사용할 수 있는 다음과 같은 서비스별 작업, 리소스, 작업 및 조건 키를 제공합니다.
참조:
-
이 서비스를 구성하는 방법을 알아봅니다.
-
이 서비스에 사용 가능한 API 작업의 목록을 봅니다.
-
IAM 권한 정책을 사용하여 이 서비스와 리소스를 보호하는 방법을 알아봅니다.
-
이 서비스에 대한 프로그래밍 방식 서비스 권한 부여 참조
를 확인합니다.
주제
AWS CloudTrail에서 정의한 API 작업
다음 표에서는 API 작업을 권한이 부여된 IAM 작업에 매핑합니다. 지정된 API 및 작업에 대해 정적 값이 있는 조건 키만 나열됩니다. 각 작업에서 지원하는 전체 조건 키 세트는 작업 표를 참조하세요.
| 연산 | IAM 작업 | 조건 키 | 가능한 값(들) | 액세스 레벨 |
|---|---|---|---|---|
|
AddTags |
태그 지정, 쓰기 |
|||
|
CancelQuery |
쓰기 |
|||
|
CreateChannel |
태그 지정, 쓰기 |
|||
쓰기 |
||||
|
CreateDashboard |
태그 지정, 쓰기 |
|||
쓰기 |
||||
쓰기 |
||||
쓰기 |
||||
|
CreateEventDataStore |
태그 지정, 쓰기 |
|||
쓰기 |
||||
|
CreateTrail |
태그 지정, 쓰기 |
|||
쓰기 |
||||
iam:PassedToService |
cloudtrail.amazonaws.com, cloudtrail.preprod.amazonaws.com |
쓰기 |
||
|
DeleteChannel |
쓰기 |
|||
|
DeleteDashboard |
쓰기 |
|||
|
DeleteEventDataStore |
쓰기 |
|||
|
DeleteResourcePolicy |
쓰기 |
|||
|
DeleteTrail |
쓰기 |
|||
|
DeregisterOrganizationDelegatedAdmin |
쓰기 |
|||
|
DescribeQuery |
읽기 |
|||
|
DescribeTrails |
읽기 |
|||
|
DisableFederation |
쓰기 |
|||
|
EnableFederation |
쓰기 |
|||
iam:PassedToService |
cloudtrail.amazonaws.com, cloudtrail.preprod.amazonaws.com |
쓰기 |
||
|
GenerateQuery |
쓰기 |
|||
|
GetChannel |
읽기 |
|||
|
GetDashboard |
읽기 |
|||
|
GetEventConfiguration |
읽기 |
|||
|
GetEventDataStore |
읽기 |
|||
|
GetEventSelectors |
읽기 |
|||
|
GetImport |
읽기 |
|||
|
GetInsightSelectors |
읽기 |
|||
|
GetQueryResults |
읽기 |
|||
|
GetResourcePolicy |
읽기 |
|||
|
GetTrail |
읽기 |
|||
|
GetTrailStatus |
읽기 |
|||
|
ListChannels |
List |
|||
|
ListDashboards |
List |
|||
|
ListEventDataStores |
List |
|||
|
ListImportFailures |
읽기 |
|||
|
ListImports |
List |
|||
|
ListInsightsData |
List |
|||
|
ListInsightsMetricData |
List |
|||
읽기 |
||||
|
ListPublicKeys |
읽기 |
|||
|
ListQueries |
List |
|||
|
ListTags |
읽기 |
|||
|
ListTrails |
List |
|||
|
LookupEvents |
읽기 |
|||
|
PutEventConfiguration |
쓰기 |
|||
|
PutEventSelectors |
쓰기 |
|||
|
PutInsightSelectors |
쓰기 |
|||
|
PutResourcePolicy |
쓰기 |
|||
|
RegisterOrganizationDelegatedAdmin |
쓰기 |
|||
|
RemoveTags |
태그 지정, 쓰기 |
|||
|
RestoreEventDataStore |
쓰기 |
|||
|
SearchSampleQueries |
읽기 |
|||
|
StartDashboardRefresh |
쓰기 |
|||
쓰기 |
||||
|
StartEventDataStoreIngestion |
쓰기 |
|||
|
StartImport |
쓰기 |
|||
iam:PassedToService |
cloudtrail.amazonaws.com, cloudtrail.preprod.amazonaws.com |
쓰기 |
||
|
StartLogging |
쓰기 |
|||
|
StartQuery |
쓰기 |
|||
|
StopEventDataStoreIngestion |
쓰기 |
|||
|
StopImport |
쓰기 |
|||
|
StopLogging |
쓰기 |
|||
|
UpdateChannel |
쓰기 |
|||
|
UpdateDashboard |
쓰기 |
|||
쓰기 |
||||
쓰기 |
||||
|
UpdateEventDataStore |
쓰기 |
|||
|
UpdateTrail |
쓰기 |
|||
iam:PassedToService |
cloudtrail.amazonaws.com, cloudtrail.preprod.amazonaws.com |
쓰기 |
AWS CloudTrail에서 정의한 작업
IAM 정책 설명의 Action 요소에서는 다음 작업을 지정할 수 있습니다. 정책을 사용하여 AWS에서 작업할 수 있는 권한을 부여합니다. 정책에서 작업을 사용하면 일반적으로 이름이 같은 API 작업 또는 CLI 명령에 대한 액세스를 허용하거나 거부합니다. 그러나 경우에 따라 하나의 작업으로 둘 이상의 작업에 대한 액세스가 제어됩니다. 또는 일부 작업을 수행하려면 다양한 작업이 필요합니다.
| 작업 | 설명 | 리소스 유형(*필수) | 조건 키 | 액세스 레벨 |
|---|---|---|---|---|
추적, 이벤트 데이터 스토어, 채널 또는 대시보드에 하나 이상의 태그를 최대 50개까지 추가할 수 있는 권한을 부여합니다. |
태그 지정, 쓰기 |
|||
실행 중인 쿼리를 취소할 수 있는 권한을 부여합니다. |
쓰기 |
|||
채널을 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
대시보드를 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
이벤트 데이터 스토어를 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
Amazon S3 버킷에 로그 데이터를 전달하기 위한 설정을 지정하는 추적을 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
채널을 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
대시보드를 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
이벤트 데이터 스토어를 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
제공된 리소스에서 리소스 정책을 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
추적을 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
AWS Organizations 멤버 계정을 위임된 관리자로 등록 취소할 수 있는 권한을 부여합니다. |
쓰기 |
|||
쿼리의 세부 정보를 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
계정의 현재 리전과 연결된 추적에 대한 설정을 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
AWS Glue 데이터 카탈로그를 사용하여 이벤트 데이터 스토어 데이터의 페더레이션을 비활성화할 수 있는 권한을 부여합니다. |
쓰기 |
|||
AWS Glue 데이터 카탈로그를 사용하여 이벤트 데이터 스토어 데이터의 페더레이션을 활성화할 수 있는 권한을 부여합니다. |
쓰기 |
|||
CloudTrail Lake 쿼리 생성기를 사용하여 지정된 이벤트 데이터 저장소에 대한 쿼리를 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
특정 채널에 대한 정보를 반환할 수 있는 권한을 부여합니다. |
읽기 |
|||
대시보드의 설정을 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
추적 또는 이벤트 데이터 스토어에 대해 구성된 이벤트 구성을 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
이벤트 데이터 스토어 설정을 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
AWS Glue 데이터 카탈로그를 사용하여 이벤트 데이터 스토어에서 데이터를 가져올 수 있는 권한을 부여합니다. |
읽기 |
|||
추적에 구성된 이벤트 선택기에 대한 설정을 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
특정 가져오기에 대한 정보를 반환할 수 있는 권한을 부여합니다. |
읽기 |
|||
추적 또는 이벤트 데이터 스토어에 대해 구성된 CloudTrail Insights 선택기를 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
전체 쿼리 결과를 가져올 수 있는 권한을 부여합니다. |
읽기 |
|||
제공된 리소스에 연결된 리소스 정책을 가져올 수 있는 권한을 부여합니다. |
읽기 |
|||
추적 설정을 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 추적에 대한 정보의 JSON 형식 목록을 검색할 수 있는 권한을 부여합니다. |
읽기 |
|||
현재 계정의 채널 및 소스 이름을 나열할 수 있는 권한을 부여합니다. |
List |
|||
계정의 현재 리전과 연결된 대시보드를 나열할 수 있는 권한을 부여합니다. |
List |
|||
계정의 현재 리전과 연결된 이벤트 데이터 스토어를 나열할 수 있는 권한을 부여합니다. |
List |
|||
지정된 가져오기에 대한 실패 목록을 반환할 수 있는 권한을 부여합니다. |
읽기 |
|||
모든 가져오기 또는 ImportStatus 또는 Destination에 의해 선택된 가져오기 세트에 대한 정보를 반환할 수 있는 권한을 부여합니다. |
List |
|||
CloudTrail Insights에서 캡처한 데이터를 검색할 수 있는 권한을 부여합니다. |
List |
|||
지정된 시간 범위에서 추적 다이제스트 파일을 서명하는 데 프라이빗 키가 사용된 퍼블릭 키를 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
이벤트 데이터 스토어와 연결된 쿼리를 나열할 수 있는 권한을 부여합니다. |
List |
|||
현재 리전의 추적, 이벤트 데이터 스토어, 채널 또는 대시보드의 태그를 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
계정의 현재 리전과 연결된 추적을 나열할 수 있는 권한을 부여합니다. |
List |
|||
CloudTrail에서 캡처한 API 활동 이벤트에 대한 지표 데이터를 조회하고 검색할 수 있는 권한을 부여합니다. |
읽기 |
|||
추적 또는 이벤트 데이터 스토어에 대한 이벤트 구성을 생성하고 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
추적에 대한 이벤트 선택기를 생성 및 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
추적 또는 이벤트 데이터에 대한 CloudTrail Insights 선택기를 생성 및 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
제공된 리소스에 리소스 정책을 연결할 수 있는 권한을 부여합니다. |
쓰기 |
|||
AWS Organizations 멤버 계정을 위임된 관리자로 등록할 수 있는 권한을 부여합니다. |
쓰기 |
|||
추적, 이벤트 데이터 스토어, 채널 또는 대시보드에서 태그를 제거할 수 있는 권한을 부여합니다. |
태그 지정, 쓰기 |
|||
이벤트 데이터 스토어를 복원할 수 있는 권한을 부여합니다. |
쓰기 |
|||
CloudTrail Lake 샘플 쿼리를 위한 시맨틱 검색을 수행할 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 대시보드에서 새로 고침을 시작할 수 있는 권한을 부여합니다. |
쓰기 |
|||
이벤트 데이터 스토어에서 모으기를 시작할 수 있는 권한을 부여합니다. |
쓰기 |
|||
소스 S3 버킷에서 대상 이벤트 데이터 스토어로 로깅된 추적 이벤트 가져오기를 시작할 수 있는 권한을 부여합니다. |
쓰기 |
|||
추적에 대한 AWS API 호출 녹음 및 로그 파일 전송을 시작할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 이벤트 데이터 스토어에서 새 쿼리를 시작할 수 있는 권한을 부여합니다. |
쓰기 |
|||
이벤트 데이터 스토어에서 모으기를 중지할 수 있는 권한을 부여합니다. |
쓰기 |
|||
지정된 가져오기를 중지할 수 있는 권한을 부여합니다. |
쓰기 |
|||
추적에 대한 AWS API 호출 녹음 및 로그 파일 전송을 중지할 수 있는 권한을 부여합니다. |
쓰기 |
|||
채널을 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
대시보드를 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
이벤트 데이터 스토어를 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
|||
로그 파일 전달을 지정하는 설정을 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
AWS CloudTrail에 대한 권한 전용 작업
다음 작업은 AWS CloudTrail에서 정의하지만 API 작업을 통해 직접 호출할 수 없습니다. IAM 정책 설명에서만 권한을 부여하거나 거부할 수 있습니다.
| 작업 | 설명 | 리소스 유형(*필수) | 조건 키 | 액세스 레벨 |
|---|---|---|---|---|
서비스로 로그 데이터를 전송하기 위한 설정을 지정하는 AWS 서비스 연결 채널을 생성할 수 있는 권한을 부여합니다. |
쓰기 |
|||
서비스 연결 채널을 삭제할 수 있는 권한을 부여합니다. |
쓰기 |
|||
CloudTrail 자연어 생성기를 사용하여 지정된 쿼리의 결과 요약을 생성할 수 있는 권한을 부여합니다. |
읽기 |
|||
서비스 연결 채널에 대한 설정을 나열할 수 있는 권한을 부여합니다. |
읽기 |
|||
지정된 계정의 현재 리전과 연결된 서비스 연결 채널을 나열할 수 있는 권한을 부여합니다. |
List |
|||
서비스로 로그 데이터를 전송하기 위해 AWS 서비스 연결 채널 설정을 업데이트할 수 있는 권한을 부여합니다. |
쓰기 |
AWS CloudTrail에서 정의한 리소스 유형
이 서비스에서 정의하는 리소스 유형은 다음과 같으며, IAM 권한 정책 설명의 Resource 요소에서 사용할 수 있습니다.
| 조건 키 | ARN | 조건 키 |
|---|---|---|
arn:${Partition}:cloudtrail:${Region}:${Account}:channel/${ChannelId} |
||
arn:${Partition}:cloudtrail:${Region}:${Account}:dashboard/${DashboardName} |
||
arn:${Partition}:cloudtrail:${Region}:${Account}:eventdatastore/${EventDataStoreId} |
||
arn:${Partition}:cloudtrail:${Region}:${Account}:trail/${TrailName} |
AWS CloudTrail에 사용되는 조건 키
AWS CloudTrail은 IAM 정책의 Condition 요소에 사용할 수 있는 다음과 같은 조건 키를 정의합니다.
| 조건 키 | 설명 | 형식 |
|---|---|---|
요청의 태그 키-값 페어를 기준으로 액세스를 필터링합니다. |
문자열 |
|
리소스에 연결된 태그를 기준으로 액세스를 필터링합니다. |
문자열 |
|
요청의 태그 키를 기준으로 액세스를 필터링합니다. |
ArrayOfString |
