的操作、资源和条件键 AWS AppSync
AWS AppSync （服务前缀:appsync）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。
参考：
-
了解如何配置该服务。
-
了解如何使用 IAM 权限策略保护该服务及其资源。
-
查看此服务的编程服务授权参考
。
主题
API 操作定义为 AWS AppSync
下表将 API 操作映射到它们授权的 IAM 操作。仅列出具有给定 API 和操作的静态值的条件键；有关每个操作支持的完整条件键集，请参阅操作表。
| 操作 | IAM 操作 | 条件键 | 可能的值 | 访问级别 |
|---|---|---|---|---|
|
AssociateApi |
写入 |
|||
|
AssociateMergedGraphqlApi |
写入 |
|||
写入 |
||||
|
AssociateSourceGraphqlApi |
写入 |
|||
写入 |
||||
|
CreateApi |
写入 |
|||
标记、写作 |
||||
我是：PassedToService |
appsync.amaws.com |
写入 |
||
|
CreateApiCache |
写入 |
|||
|
CreateApiKey |
写入 |
|||
|
CreateChannelNamespace |
写入 |
|||
标记、写作 |
||||
|
CreateDataSource |
写入 |
|||
我是：PassedToService |
appsync.amaws.com |
写入 |
||
|
CreateDomainName |
写入 |
|||
标记、写作 |
||||
|
CreateFunction |
写入 |
|||
|
CreateGraphqlApi |
写入 |
|||
标记、写作 |
||||
我是：PassedToService |
appsync.amaws.com |
写入 |
||
|
CreateResolver |
写入 |
|||
|
CreateType |
写入 |
|||
|
DeleteApi |
写入 |
|||
|
DeleteApiCache |
写入 |
|||
|
DeleteApiKey |
写入 |
|||
|
DeleteChannelNamespace |
写入 |
|||
|
DeleteDataSource |
写入 |
|||
|
DeleteDomainName |
写入 |
|||
|
DeleteFunction |
写入 |
|||
|
DeleteGraphqlApi |
写入 |
|||
|
DeleteResolver |
写入 |
|||
|
DeleteType |
写入 |
|||
|
DisassociateApi |
写入 |
|||
|
DisassociateMergedGraphqlApi |
写入 |
|||
|
DisassociateSourceGraphqlApi |
写入 |
|||
|
EvaluateCode |
读取 |
|||
|
EvaluateMappingTemplate |
读取 |
|||
|
FlushApiCache |
写入 |
|||
|
GetApi |
读取 |
|||
|
GetApiAssociation |
读取 |
|||
|
GetApiCache |
读取 |
|||
|
GetChannelNamespace |
读取 |
|||
|
GetDataSource |
读取 |
|||
|
GetDataSourceIntrospection |
读取 |
|||
|
GetDomainName |
读取 |
|||
|
GetFunction |
读取 |
|||
|
GetGraphqlApi |
读取 |
|||
|
GetGraphqlApiEnvironmentVariables |
读取 |
|||
|
GetIntrospectionSchema |
读取 |
|||
|
GetResolver |
读取 |
|||
|
GetSchemaCreationStatus |
读取 |
|||
|
GetSourceApiAssociation |
读取 |
|||
|
GetType |
读取 |
|||
|
ListApiKeys |
列表 |
|||
|
ListApis |
列表 |
|||
|
ListChannelNamespaces |
列表 |
|||
|
ListDataSources |
列表 |
|||
|
ListDomainNames |
列表 |
|||
|
ListFunctions |
列表 |
|||
|
ListGraphqlApis |
列表 |
|||
|
ListResolvers |
列表 |
|||
|
ListResolversByFunction |
列表 |
|||
|
ListSourceApiAssociations |
列表 |
|||
|
ListTagsForResource |
读取 |
|||
|
ListTypes |
列表 |
|||
|
ListTypesByAssociation |
列表 |
|||
|
PutGraphqlApiEnvironmentVariables |
写入 |
|||
|
StartDataSourceIntrospection |
写入 |
|||
|
StartSchemaCreation |
写入 |
|||
|
StartSchemaMerge |
写入 |
|||
|
TagResource |
标记、写作 |
|||
|
UntagResource |
标记、写作 |
|||
|
UpdateApi |
写入 |
|||
我是：PassedToService |
appsync.amaws.com |
写入 |
||
|
UpdateApiCache |
写入 |
|||
|
UpdateApiKey |
写入 |
|||
|
UpdateChannelNamespace |
写入 |
|||
|
UpdateDataSource |
写入 |
|||
我是：PassedToService |
appsync.amaws.com |
写入 |
||
|
UpdateDomainName |
写入 |
|||
|
UpdateFunction |
写入 |
|||
|
UpdateGraphqlApi |
写入 |
|||
我是：PassedToService |
appsync.amaws.com |
写入 |
||
|
UpdateResolver |
写入 |
|||
|
UpdateSourceApiAssociation |
写入 |
|||
|
UpdateType |
写入 |
操作定义为 AWS AppSync
您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
| 操作 | 说明 | 资源类型（* 为必需） | 条件键 | 访问级别 |
|---|---|---|---|---|
授予将 GraphQL API 附加到中的自定义域名的权限 AppSync |
写入 |
|||
授予将合并的 API 与源 API 关联的权限 |
写入 |
|||
授予将源 API 与合并的 API 关联的权限 |
写入 |
|||
授予权限以创建 API |
写入 |
|||
授予在中创建 API 缓存的权限 AppSync |
写入 |
|||
授予创建唯一密钥以分发到执行您的 API 的客户端的权限 |
写入 |
|||
授予权限以创建渠道命名空间 |
写入 |
|||
授予创建数据源的权限 |
写入 |
|||
授予在中创建自定义域名的权限 AppSync |
写入 |
|||
授予创建新函数的权限 |
写入 |
|||
授予创建 GraphQL API 的权限，这是顶级资源 AppSync |
写入 |
|||
授予权限以创建解析程序。解析程序可将传入请求转换为数据源可以理解的格式，并将数据源的响应转换为 GraphQL |
写入 |
|||
授予权限以创建类型。 |
写入 |
|||
授予权限以删除 API。这还将清理该 API 下的所有 AppSync 资源 |
写入 |
|||
授予删除 API 缓存的权限 AppSync |
写入 |
|||
授予删除 API 密钥的权限 |
写入 |
|||
授予权限以删除渠道命名空间 |
写入 |
|||
授予删除数据源的权限 |
写入 |
|||
授予删除自定义域名的权限 AppSync |
写入 |
|||
授予权限以删除函数 |
写入 |
|||
授予权限以删除 GraphQL API。这还将清理该 API 下的所有 AppSync 资源 |
写入 |
|||
授予权限以删除解析程序 |
写入 |
|||
授予删除类型的权限。 |
写入 |
|||
授予将 GraphQL API 分离到中的自定义域名的权限 AppSync |
写入 |
|||
授予从源 API 识别的合并 API 中删除关联的源 API 的权限 |
写入 |
|||
授予从合并的 API 识别的合并 API 中删除关联的源 API 的权限 |
写入 |
|||
授予使用运行时和上下文评估代码的权限 |
读取 |
|||
授予权限以评估模板映射 |
读取 |
|||
授予权限以连接事件 API |
写入 |
|||
授予权限以将事件发布到渠道命名空间 |
写入 |
|||
授予权限以订阅渠道命名空间 |
写入 |
|||
授予刷新 API 缓存的权限 AppSync |
写入 |
|||
授予权限以检索 API |
读取 |
|||
授予读取自定义域名的权限-GraphQL API 关联详情 AppSync |
读取 |
|||
授予读取有关 API 缓存信息的权限 AppSync |
读取 |
|||
授予权限以检索渠道命名空间 |
读取 |
|||
授予检索数据来源的权限 |
读取 |
|||
授予检索数据来源自检的权限 |
读取 |
|||
授予读取有关自定义域名的信息的权限 AppSync |
读取 |
|||
授予检索函数的权限 |
读取 |
|||
授予检索 GraphQL API 的权限 |
读取 |
|||
授予权限以检索 GraphQL API 的环境变量 |
读取 |
|||
授予检索 GraphQL API 的自检架构的权限 |
读取 |
|||
授予检索解析程序的权限 |
读取 |
|||
授予检索架构创建操作当前状态的权限 |
读取 |
|||
授予读取有关合并 API 关联的源 API 的信息的权限 |
读取 |
|||
授予权限以检索类型 |
读取 |
|||
授予列出给定 API 的 API 密钥的权限 |
列表 |
|||
授予权限以列出 API |
列表 |
|||
授予权限以列出渠道命名空间 |
列表 |
|||
授予列出给定 API 的数据源的权限 |
列表 |
|||
授予枚举自定义域名的权限 AppSync |
列表 |
|||
授予列出给定 API 的函数的权限 |
列表 |
|||
授予列出 GraphQL API 的权限 |
列表 |
|||
授予列出给定 API 和类型的解析程序的权限 |
列表 |
|||
授予列出与特定函数关联的解析程序的权限 |
列表 |
|||
授予列出与给定的合并 API 关联的源 API 的权限 |
列表 |
|||
授予列出资源标签的权限 |
读取 |
|||
授予列出给定 API 类型的权限 |
列表 |
|||
授予列出给定的合并 API 和源 API 关联的类型的权限 |
列表 |
|||
授予权限以更新 GraphQL API 的环境变量 |
写入 |
|||
授予设置 Web ACL 的权限 |
权限管理，写入 |
|||
授予进行数据来源自检的权限 |
写入 |
|||
授予向 GraphQL API 添加新架构的权限。此操作是异步的- GetSchemaCreationStatus 可以显示何时完成 |
写入 |
|||
授予为给定的合并 API 和关联的源 API 启动架构合并的权限 |
写入 |
|||
授予权限以标记资源 |
标记、写作 |
|||
授予权限以取消标记资源 |
标记、写作 |
|||
授予权限以更新 API |
写入 |
|||
授予更新 API 缓存的权限 AppSync |
写入 |
|||
授予更新给定 API 的 API 密钥的权限 |
写入 |
|||
授予权限以更新渠道命名空间 |
写入 |
|||
授予权限以更新数据源 |
写入 |
|||
授予在中更新自定义域名的权限 AppSync |
写入 |
|||
授予更新现有函数对象的权限 |
写入 |
|||
授予权限以更新 GraphQL API |
写入 |
|||
授予权限以更新预留程序 |
写入 |
|||
授予更新合并的 API 源 API 关联的权限 |
写入 |
|||
授予权限以更新类型 |
写入 |
Permission-only 的行动 AWS AppSync
以下操作由定义， AWS AppSync 但不能通过任何 API 操作直接调用。它们只能在 IAM 策略声明中用于授予或拒绝权限。
| 操作 | 说明 | 资源类型（* 为必需） | 条件键 | 访问级别 |
|---|---|---|---|---|
授予关联 Web ACL 和资源的权限 |
写入 |
|||
授予删除资源策略的权限 |
写入 |
|||
授予解除 Web ACL 与资源的关联的权限 |
写入 |
|||
授予读取资源策略的权限 |
读取 |
|||
授予获取资源关联 Web ACL 的权限 |
读取 |
|||
授予向 GraphQL API 发送 GraphQL 查询的权限 |
写入 |
|||
授予获取 Web ACL 关联资源的权限 |
列表 |
|||
授予设置资源策略的权限 |
写入 |
|||
授予将 GraphQL 查询发送到合并 API 的源 API 的权限 |
写入 |
|||
定义的资源类型 AWS AppSync
以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。
| 资源类型 | ARN | 条件键 |
|---|---|---|
arn: $ {Partition}: appsync: $ {Region}: $ {Account}: apis/$ {} ApiId |
||
arn: $ {Partition}: appsync: $ {Region}: $ {Account}: apis/$ {} /ChannelnameSpace/$ {} ApiId ChannelNamespaceName |
||
arn: $ {Partition}: appsync: $ {Region}: $ {Account}: apis/$ {graphqlapiID} /datasources/$ {} DatasourceName |
||
arn: $ {Partition}: appsync: $ {Region}: $ {Account}: domainnames/$ {} DomainName |
||
arn: $ {Partition}: appsync: $ {Region}: $ {账户}: apis/$ {graphqlapiID} /types/$ {} /fields/$ {} /fields/$ {} TypeName FieldName |
||
arn: $ {Partition}: appsync: $ {Region}: $ {Account}: apis/$ {graphqlapiID} /functions/$ {} FunctionId |
||
arn: $ {Partition}: appsync: $ {Region}: $ {账户}: apis/$ {graphqlapiID} |
||
arn: $ {Partition}: appsync: $ {Region}: $ {Account}: apis/$ {} /merged /$ {AssociationID} SourceGraphQLAPIId ApiAssociations |
||
arn: $ {Partition}: appsync: $ {Region}: $ {Account}: apis/$ {} /source /$ {AssociationID} MergedGraphQLAPIId ApiAssociations |
||
arn: $ {Partition}: appsync: $ {Region}: $ {Account}: apis/$ {graphqlapiID} /types/$ {} TypeName |
的条件键 AWS AppSync
AWS AppSync 定义了可在 IAM 策略Condition元素中使用的以下条件键。
| 条件键 | 描述 | 类型 |
|---|---|---|
按 API 的可见性筛选访问权限 |
字符串 |
|
按请求中的标签键值对筛选访问 |
字符串 |
|
按附加到资源的标签键值对筛选访问权限 |
字符串 |
|
根据在请求中是否具有标签键来筛选访问 |
ArrayOfString |
