Ações, recursos e chaves de condição do Amazon Elastic Container Service
O Amazon Elastic Container Service (prefixo do serviço:ecs) fornece as seguintes operações, recursos, ações e chaves de condição específicos do serviço para uso nas políticas de permissão do IAM.
Referências:
-
Saiba como configurar este serviço.
-
Visualize uma lista das operações de API disponíveis para este serviço.
-
Saiba como proteger esse serviço e seus recursos usando políticas de permissão do IAM.
-
Veja a referência de autorização de serviço programático
para esse serviço.
Tópicos
Operações de API definidas pelo Amazon Elastic Container Service
A tabela a seguir mapeia as operações da API às ações do IAM que elas autorizam. Somente as chaves de condição que têm valores estáticos para a API e a ação fornecidas são listadas; para ver o conjunto completo de chaves de condição suportadas por cada ação, consulte a tabela Ações.
| Operation | Ação do IAM | Chave de condição | Valor (es) possível (s) | Nível de acesso |
|---|---|---|---|---|
|
ContinueServiceDeployment |
Gravar |
|||
|
CreateCapacityProvider |
Gravar |
|||
Gravar |
||||
Marcação, gravação |
||||
objetivo: PassedToService |
ecs.amazonaws.com |
Gravar |
||
|
CreateCluster |
Gravar |
|||
Marcação, gravação |
||||
|
CreateDaemon |
Gravar |
|||
Marcação, gravação |
||||
objetivo: PassedToService |
ecs-tasks.amazonaws.com |
Gravar |
||
|
CreateExpressGatewayService |
Gravar |
|||
Gravar |
||||
Gravar |
||||
Marcação, gravação |
||||
objetivo: PassedToService |
ecs-tasks.amazonaws.com, ecs.amazonaws.com |
Gravar |
||
|
CreateService |
Gravar |
|||
Marcação, gravação |
||||
objetivo: PassedToService |
ecs-tasks.amazonaws.com, ecs.amazonaws.com |
Gravar |
||
|
CreateTaskSet |
Gravar |
|||
Marcação, gravação |
||||
objetivo: PassedToService |
ecs-tasks.amazonaws.com |
Gravar |
||
|
DeleteAccountSetting |
Gravar |
|||
|
DeleteAttributes |
Gravar |
|||
|
DeleteCapacityProvider |
Gravar |
|||
Gravar |
||||
|
DeleteCluster |
Gravar |
|||
|
DeleteDaemon |
Gravar |
|||
|
DeleteDaemonTaskDefinition |
Gravar |
|||
|
DeleteExpressGatewayService |
Gravar |
|||
|
DeleteService |
Gravar |
|||
|
DeleteTaskDefinitions |
Gravar |
|||
|
DeleteTaskSet |
Gravar |
|||
|
DeregisterContainerInstance |
Gravar |
|||
|
DeregisterTaskDefinition |
Gravar |
|||
|
DescribeCapacityProviders |
Ler |
|||
|
DescribeClusters |
Ler |
|||
|
DescribeContainerInstances |
Ler |
|||
|
DescribeDaemon |
Ler |
|||
|
DescribeDaemonDeployments |
Ler |
|||
|
DescribeDaemonRevisions |
Ler |
|||
|
DescribeDaemonTaskDefinition |
Ler |
|||
|
DescribeExpressGatewayService |
Ler |
|||
|
DescribeServiceDeployments |
Ler |
|||
|
DescribeServiceRevisions |
Ler |
|||
|
DescribeServices |
Ler |
|||
|
DescribeTaskDefinition |
Ler |
|||
|
DescribeTaskSets |
Ler |
|||
|
DescribeTasks |
Ler |
|||
|
DiscoverPollEndpoint |
Gravar |
|||
|
ExecuteCommand |
Gravar |
|||
|
GetTaskProtection |
Ler |
|||
|
ListAccountSettings |
Ler |
|||
|
ListAttributes |
Lista |
|||
|
ListClusters |
Lista |
|||
|
ListContainerInstances |
Lista |
|||
|
ListDaemonDeployments |
Lista |
|||
|
ListDaemonTaskDefinitions |
Lista |
|||
|
ListDaemons |
Lista |
|||
|
ListServiceDeployments |
Lista |
|||
|
ListServices |
Lista |
|||
|
ListServicesByNamespace |
Lista |
|||
|
ListTagsForResource |
Ler |
|||
|
ListTaskDefinitionFamilies |
Lista |
|||
|
ListTaskDefinitions |
Lista |
|||
|
ListTasks |
Lista |
|||
|
PutAccountSetting |
Gravar |
|||
|
PutAccountSettingDefault |
Gravar |
|||
|
PutAttributes |
Gravar |
|||
|
PutClusterCapacityProviders |
Gravar |
|||
|
RegisterContainerInstance |
Gravar |
|||
Marcação, gravação |
||||
|
RegisterDaemonTaskDefinition |
Gravar |
|||
Marcação, gravação |
||||
objetivo: PassedToService |
ecs-tasks.amazonaws.com |
Gravar |
||
|
RegisterTaskDefinition |
Gravar |
|||
Marcação, gravação |
||||
objetivo: PassedToService |
ecs-tasks.amazonaws.com |
Gravar |
||
|
RunTask |
Gravar |
|||
Marcação, gravação |
||||
objetivo: PassedToService |
ecs-tasks.amazonaws.com, ecs.amazonaws.com |
Gravar |
||
|
StartTask |
Gravar |
|||
Marcação, gravação |
||||
objetivo: PassedToService |
ecs-tasks.amazonaws.com, ecs.amazonaws.com |
Gravar |
||
|
StopServiceDeployment |
Gravar |
|||
|
StopTask |
Gravar |
|||
|
SubmitAttachmentStateChanges |
Gravar |
|||
|
SubmitContainerStateChange |
Gravar |
|||
|
SubmitTaskStateChange |
Gravar |
|||
|
TagResource |
Marcação, gravação |
|||
|
UntagResource |
Marcação, gravação |
|||
|
UpdateCapacityProvider |
Gravar |
|||
Gravar |
||||
objetivo: PassedToService |
ecs.amazonaws.com |
Gravar |
||
|
UpdateCluster |
Gravar |
|||
|
UpdateClusterSettings |
Gravar |
|||
|
UpdateContainerAgent |
Gravar |
|||
|
UpdateContainerInstancesState |
Gravar |
|||
|
UpdateDaemon |
Gravar |
|||
objetivo: PassedToService |
ecs-tasks.amazonaws.com |
Gravar |
||
|
UpdateExpressGatewayService |
Gravar |
|||
Gravar |
||||
objetivo: PassedToService |
ecs-tasks.amazonaws.com, ecs.amazonaws.com |
Gravar |
||
|
UpdateService |
Gravar |
|||
objetivo: PassedToService |
ecs-tasks.amazonaws.com, ecs.amazonaws.com |
Gravar |
||
|
UpdateServicePrimaryTaskSet |
Gravar |
|||
|
UpdateTaskProtection |
Gravar |
|||
|
UpdateTaskSet |
Gravar |
Ações definidas pelo Amazon Elastic Container Service
Você pode especificar as seguintes ações no elemento Action de uma declaração de política do IAM. Use políticas para conceder permissões para executar uma operação na AWS. Quando usa uma ação em uma política, você geralmente permite ou nega acesso à operação da API ou ao comando da CLI com o mesmo nome. No entanto, em alguns casos, uma única ação controla o acesso a mais de uma operação. Como alternativa, algumas operações exigem várias ações diferentes.
| Ações | Description | Tipos de recursos (*necessários) | Chaves de condição | Nível de acesso |
|---|---|---|---|---|
Concede permissão para continuar uma implantação pausada do serviço |
Gravar |
|||
Concede permissão para criar um provedor de capacidade. Os provedores de capacidade estão associados a um cluster do Amazon ECS e são usados em estratégias de provedor de capacidade para facilitar a autoescalabilidade do cluster. |
Gravar |
|||
Concede permissão para criar um cluster do Amazon ECS. |
Gravar |
|||
Concede permissão para criar um novo daemon em um cluster especificado |
Gravar |
|||
Concede permissão para criar um novo serviço Amazon ECS Express Gateway com definição de cluster e tarefa |
Gravar |
|||
Concede permissão para executar e manter o número desejado de tarefas a partir de uma definição de tarefa especificada pela criação do serviço. |
Gravar |
|||
Concede permissão para criar um conjunto de tarefas do Amazon ECS. |
Gravar |
|||
Concede permissão para modificar o formato do ARN e do ID do recurso de um usuário ou uma função especificada do IAM ou do usuário raiz de uma conta. É possível especificar se o novo formato do ARN e do ID do recurso será desabilitado para recursos criados. |
Gravar |
|||
Concede permissão para excluir um ou mais atributos personalizados de um recurso do Amazon ECS. |
Gravar |
|||
Concede permissão para excluir o provedor de capacidade especificado. |
Gravar |
|||
Concede permissão para excluir o cluster especificado. |
Gravar |
|||
Concede permissão para excluir um daemon especificado em um cluster |
Gravar |
|||
Concede permissão para excluir a definição de tarefa do daemon especificada |
Gravar |
|||
Concede permissão para excluir um serviço específico do Express Gateway |
Gravar |
|||
Concede permissão para excluir um serviço especificado de um cluster. |
Gravar |
|||
Concede permissão para excluir as definições de tarefa especificadas pela família e pela revisão |
Gravar |
|||
Concede permissão para excluir o conjunto de tarefas especificado. |
Gravar |
|||
Concede permissão para cancelar o registro de uma instância de contêiner do Amazon ECS do cluster especificado. |
Gravar |
|||
Concede permissão para cancelar o registro da definição de tarefa especificada pela família e pela revisão. |
Write |
|||
Concede permissão para descrever um ou mais provedores de capacidade do Amazon ECS. |
Ler |
|||
Concede permissão para descrever um ou mais clusters. |
Ler |
|||
Concede permissão para descrever instâncias de contêiner do Amazon ECS. |
Ler |
|||
Concede permissão para descrever o daemon especificado em execução no seu cluster |
Ler |
|||
Concede permissão para descrever uma ou mais de suas implantações de daemon |
Ler |
|||
Concede permissão para descrever uma ou mais revisões do seu daemon |
Ler |
|||
Concede permissão para descrever uma definição de tarefa do daemon |
Ler |
|||
Concede permissão para descrever o serviço do Express Gateway especificado |
Ler |
|||
Concede permissão para descrever uma ou mais de suas implantações de serviços |
Ler |
|||
Concede permissão para descrever uma ou mais de suas revisões de serviços |
Ler |
|||
Concede permissão para descrever os serviços especificados em execução no cluster. |
Ler |
|||
Concede permissão para descrever uma definição de tarefa. Você pode especificar uma família e uma revisão para localizar informações sobre uma definição de tarefa específica ou simplesmente especificar a família para localizar a revisão ACTIVE (ATIVA) mais recente da família. |
Read |
|||
Concede permissão para descrever conjuntos de tarefas do Amazon ECS. |
Ler |
|||
Concede permissão para descrever uma ou mais tarefas especificadas. |
Ler |
|||
Concede permissão para obter um endpoint do agente do Amazon ECS para pesquisar atualizações. |
Write |
|||
Concede permissão para executar um comando remotamente em um contêiner do Amazon ECS. |
Gravar |
|||
Concede permissão para recuperar o status de proteção de tarefas em um serviço do Amazon ECS |
Ler |
|||
Concede permissão para listar as configurações da conta de um recurso do Amazon ECS para uma entidade principal especificada. |
Read |
|||
Concede permissão para listar os atributos dos recursos do Amazon ECS dentro de um tipo de destino e cluster especificados. |
Lista |
|||
Concede permissão para obter uma lista dos clusters existentes. |
List |
|||
Concede permissão para obter uma lista das instâncias de contêiner de um cluster especificado. |
Lista |
|||
Concede permissão para obter uma lista de implantações de daemon para um daemon especificado |
Lista |
|||
Concede permissão para obter uma lista das definições de tarefas do daemon que estão registradas em sua conta |
Lista |
|||
Concede permissão para obter uma lista de daemons em execução em um cluster especificado |
Lista |
|||
Concede permissão para obter uma lista das implantações de um serviço especificado |
Lista |
|||
Concede permissão para obter uma lista dos serviços que estão sendo executados em um cluster especificado. |
Lista |
|||
Concede permissão para obter uma lista de serviços que estão sendo executados em um namespace de Nuvem AWS mapa especificado |
Lista |
|||
Concede permissão para obter uma lista das etiquetas do recurso especificado. |
Ler |
|||
Concede permissão para obter uma lista das famílias de definições de tarefa registradas na conta, o que pode incluir famílias que não têm mais definições ACTIVE (ATIVAS). |
List |
|||
Concede permissão para obter uma lista das definições de tarefa registradas na conta. |
List |
|||
Concede permissão para obter uma lista das tarefas de um cluster especificado. |
Lista |
|||
Concede permissão para modificar o formato do ARN e do ID do recurso de um usuário ou uma função especificada do IAM ou do usuário raiz de uma conta. É possível especificar se os novos formatos de ARN e ID de recurso estão habilitados para novos recursos criados. É necessário habilitar essa configuração para usar os novos recursos do Amazon ECS, como a marcação de recursos. |
Gravar |
|||
Concede permissão para modificar o formato do ARN e do ID de um tipo de recurso para todos os usuários do IAM em uma conta para a qual nenhuma configuração de conta individual foi definida. É necessário habilitar essa configuração para usar os novos recursos do Amazon ECS, como a marcação de recursos. |
Gravar |
|||
Concede permissão para criar ou atualizar um atributo em um recurso do Amazon ECS. |
Gravar |
|||
Concede permissão para modificar os provedores de capacidade disponíveis e a estratégia-padrão de provedor de capacidade de um cluster. |
Gravar |
|||
Concede permissão para registrar uma instância do EC2 no cluster especificado. |
Gravar |
|||
Concede permissão para registrar uma nova definição de tarefa daemon da família e ContainerDefinitions fornecidas |
Gravar |
|||
Concede permissão para registrar uma nova definição de tarefa da família fornecida e do containerDefinitions. |
Gravar |
|||
Concede permissão para iniciar uma tarefa usando posicionamento aleatório e o programador-padrão do Amazon ECS. |
Gravar |
|||
Concede permissão para iniciar uma nova tarefa a partir da definição de tarefa especificada na instância ou instâncias de contêiner especificadas. |
Gravar |
|||
Concede permissão para interromper uma implantação de um serviço contínuo |
Gravar |
|||
Concede permissão para interromper uma tarefa em execução. |
Gravar |
|||
Concede permissão para enviar uma confirmação de que os anexos mudaram de estado. |
Gravar |
|||
Concede permissão para enviar uma confirmação de que um contêiner mudou de estado. |
Gravar |
|||
Concede permissão para enviar uma confirmação de que uma tarefa mudou de estado. |
Gravar |
|||
Concede permissão para marcar o recurso especificado |
Marcação, gravação |
|||
Concede permissão para desmarcar o recurso especificado |
Marcação, gravação |
|||
Concede permissão para atualizar o provedor de capacidade especificado. |
Gravar |
|||
Concede permissão para modificar a configuração ou as configurações a serem usadas em um cluster. |
Gravar |
|||
Concede permissão para modificar as configurações a serem usadas em um cluster. |
Gravar |
|||
Concede permissão para atualizar o agente de contêiner do Amazon ECS em uma instância de contêiner especificada. |
Gravar |
|||
Concede ao usuário permissão para modificar o status de uma instância de contêiner do Amazon ECS. |
Gravar |
|||
Concede permissão para modificar os parâmetros de um daemon |
Gravar |
|||
Concede permissão para modificar os parâmetros de um serviço do Express Gateway |
Gravar |
|||
Concede permissão para modificar os parâmetros de um serviço. |
ecs:habilitar-executar-comando |
Gravar |
||
Concede permissão para modificar o conjunto de tarefas primário usado em um serviço. |
Gravar |
|||
Concede permissão para modificar o status de proteção de uma tarefa |
Gravar |
|||
Concede permissão para atualizar o conjunto de tarefas especificado. |
Gravar |
Permission-only ações para o Amazon Elastic Container Service
As ações a seguir são definidas pelo Amazon Elastic Container Service, mas não podem ser invocadas diretamente por meio de nenhuma operação de API. Eles só podem ser usados em declarações de política do IAM para conceder ou negar permissões.
| Ações | Description | Tipos de recursos (*necessários) | Chaves de condição | Nível de acesso |
|---|---|---|---|---|
Concede permissão para permitir a entrega automática de registros para um recurso específico |
Gerenciamento de permissões, gravação |
|||
Concede permissão a um agente para ele se conectar ao Amazon ECS para relatar status e obter comandos. |
Gravar |
|||
Concede permissão para coletar logs do sistema das instâncias do contêiner |
Gravar |
|||
Concede permissão para iniciar uma sessão de telemetria. |
Gravar |
Tipos de recursos definidos pelo Amazon Elastic Container Service
Os seguintes tipos de recursos são definidos por este serviço e podem ser usados no elemento Resource de declarações de políticas de permissão do IAM.
| Resource types | ARN | Chaves de condição |
|---|---|---|
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :capacity-provider/$ {} CapacityProviderName |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :cluster/$ {} ClusterName |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :container-instance/$ {} /$ {} ClusterName ContainerInstanceId |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :daemon/$ {} /$ {} ClusterName DaemonName |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :daemon-deployment/$ {} /$ {} /$ {} ClusterName DaemonName DaemonDeploymentId |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :daemon-revision/$ {} /$ {} /$ {} ClusterName DaemonName DaemonRevisionId |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :daemon-task-definition/$ {} :$ {} DaemonTaskDefinitionFamilyName DaemonTaskDefinitionRevisionNumber |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :service/$ {} /$ {} ClusterName ServiceName |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :service-deployment/$ {} /$ {} /$ {} ClusterName ServiceName ServiceDeploymentId |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :service-revision/$ {} /$ {} /$ {} ClusterName ServiceName ServiceRevisionId |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :task/$ {} /$ {} ClusterName TaskId |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :definição da tarefa/$ {} :$ {} TaskDefinitionFamilyName TaskDefinitionRevisionNumber |
||
arn: $ {Partition} :ecs: $ {Region} :$ {Account} :task-set/$ {} /$ {} /$ {} ClusterName ServiceName TaskSetId |
Chaves de condição do Amazon Elastic Container Service
O Amazon Elastic Container Service define as seguintes chaves de condição que podem ser usadas no elemento Condition de uma política do IAM.
| Chaves de condição | Descrição | Tipo |
|---|---|---|
Filtra o acesso pelas etiquetas que são transmitidas na solicitação |
String |
|
Filtra o acesso por pares chave-valor da etiqueta anexados ao recurso |
String |
|
Filtra o acesso pelas chaves da etiqueta que são transmitidas na solicitação |
ArrayOfString |
|
Filtra o acesso pelo nome de uma ação de API de criação de recurso |
String |
|
Filtra o acesso por pares chave-valor da etiqueta anexados ao recurso |
String |
|
Filtra o acesso com base no nome de configuração da conta do Amazon ECS |
String |
|
Filtra o acesso pela configuração de atribuição de IP público da tarefa do Amazon ECS ou do serviço do Amazon ECS que usa o modo de rede awsvpc |
Bool |
|
Filtra o acesso pelo ARN de um provedor de capacidade do Amazon ECS |
ArrayOfARN |
|
Filtra o acesso pelo ARN de um cluster do Amazon ECS |
ARN |
|
Filtra o acesso pelo campo de compatibilidades obrigatório fornecido na solicitação |
ArrayOfString |
|
Filtra o acesso pelo ARN de uma instância de contêiner do Amazon ECS |
ARN |
|
Filtra o acesso pelo nome de um contêiner do Amazon ECS especificado na definição de tarefa do ECS. |
String |
|
Filtra o acesso pelo ARN de um daemon do Amazon ECS |
ARN |
|
Filtra o acesso pelo ARN de uma definição de tarefa do daemon do Amazon ECS |
ARN |
|
Filtra o acesso pelo recurso de volume do Amazon EBS gerenciado pelo Amazon ECS da sua tarefa ou serviço do ECS |
String |
|
Filtra o acesso pela ECSManagedTags configuração habilitada de sua tarefa do Amazon ECS ou serviço do Amazon ECS |
Bool |
|
Filtra o acesso pelo recurso execute-command da tarefa ou do serviço do Amazon ECS |
String |
|
Filtra o acesso pelo valor de campo de ativação na configuração do Service Connect |
String |
|
Filtra o acesso pelo recurso do VPC Lattice do seu serviço do Amazon ECS |
String |
|
Filtra o acesso pelo ID da chave AWS KMS fornecido na solicitação |
String |
|
Filtra o acesso pelo ARN de um gateway Amazon ECS |
ARN |
|
Filtra o acesso pela configuração de propagação das tags de metadados da instância do seu provedor de capacidade do Amazon ECS |
Bool |
|
Filtra o acesso pelo ARN do namespace Nuvem AWS Map, que é definido na Configuração do Service Connect |
ARN |
|
Filtra o acesso pelo campo privilegiado fornecido na solicitação |
String |
|
Filtra o acesso pela configuração de propagação da etiqueta da tarefa do Amazon ECS ou do serviço do Amazon ECS |
String |
|
Filtra o acesso pelo ARN de um serviço do Amazon ECS |
ARN |
|
Filtra o acesso pela configuração de sub-rede da tarefa do Amazon ECS ou do serviço do Amazon ECS que usa o modo de rede awsvpc |
ArrayOfString |
|
Filtra o acesso pelo ARN de uma tarefa do Amazon ECS |
ARN |
|
Filtra o acesso pela CPU da tarefa, como um número inteiro com 1024 = 1 vCPU, fornecido na solicitação |
Numérico |
|
Filtra o acesso pelo ARN de uma definição de tarefa do Amazon ECS |
ARN |
|
Filtra o acesso pela memória da tarefa, como um número inteiro representando MiB, fornecido na solicitação |
Numérico |
