AWS Direct Connect 的操作、资源和条件键

AWS Direct Connect（服务前缀:directconnect）提供以下特定于服务的资源、操作和条件上下文密钥，供在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

AWS Direct Connect 定义的操作
AWS Direct Connect 定义的资源类型
AWS Direct Connect 的条件键

AWS Direct Connect 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

“操作” 表的 “访问级别” 列描述了如何对操作进行分类（列出、读取、权限管理或标记）。此分类可以帮助您了解当您在策略中使用操作时，相应操作授予的访问级别。有关访问级别的更多信息，请参阅策略摘要中的访问级别。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

“操作” 表格的 “依赖操作” 列显示成功调用操作可能需要的其他权限。除了操作本身的权限外，可能还需要这些权限。当操作指定依赖操作时，这些依赖关系可能适用于为该操作定义的其他资源，而不仅仅是表格中列出的第一个资源。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键
AcceptDirectConnectGatewayAssociationProposal	授予权限以接受提议请求以将虚拟私有网关连接到 Direct Connect 网关	写入	dx-gateway*
AllocateConnectionOnInterconnect	授予权限以在互连上创建托管连接	写入	dxcon*
AllocateHostedConnection	授予在 Di AWS rect Connect 合作伙伴的网络和特定 AWS 的 Direct Connect 位置之间创建新的托管连接的权限	写入	dxcon
			dxlag
				aws:RequestTag/${TagKey} aws:TagKeys
AllocatePrivateVirtualInterface	授予权限以预置将由不同客户拥有的私有虚拟接口	写入	dxcon
			dxlag
				aws:RequestTag/${TagKey} aws:TagKeys
AllocatePublicVirtualInterface	授予权限以预置将由不同客户拥有的公有虚拟接口	写入	dxcon
			dxlag
				aws:RequestTag/${TagKey} aws:TagKeys
AllocateTransitVirtualInterface	授予权限以预置将由不同客户拥有的中转虚拟接口	写入	dxcon
			dxlag
				aws:RequestTag/${TagKey} aws:TagKeys
AssociateConnectionWithLag	授予将连接与 LAG 关联的权限	写入	dxcon*
AssociateConnectionWithLag	授予将连接与 LAG 关联的权限	写入	dxlag*
AssociateHostedConnection	授予权限以将托管的连接及其虚拟接口与链路聚合组 (LAG) 或互连相关联	写入	dxcon*
			dxcon
			dxlag
AssociateMacSecKey	授予将 MAC 安全 (MACsec) 连接密钥名称 (CKN) /连接关联密钥 (CAK) 对与 Di AWS rect Connect 专用连接关联的权限	写入	dxcon
AssociateMacSecKey		写入	dxlag
AssociateVirtualInterface	授予权限以将虚拟接口与指定的链路聚合组 (LAG) 或连接相关联	写入	dxvif*
			dxcon
			dxlag
ConfirmConnection	授予权限以确认在互连上创建托管连接	写入	dxcon*
ConfirmCustomerAgreement	授予权限以在创建连接或链路聚合组 (LAG) 时确认协议条款	写入
ConfirmPrivateVirtualInterface	授予权限以接受其他客户创建的私有虚拟接口的所有权	写入	dxvif*
ConfirmPublicVirtualInterface	授予权限以接受其他客户创建的公有虚拟接口的所有权	写入	dxvif*
ConfirmTransitVirtualInterface	授予权限以接受其他客户创建的中转虚拟接口的所有权	写入	dxvif*
CreateBGPPeer	授予权限以在指定的虚拟接口上创建 BGP 对等体	写入	dxvif*
CreateConnection	授予在客户网络和特定的 Di AWS rect Connect 位置之间创建新连接的权限	写入	dxlag
CreateConnection	授予在客户网络和特定的 Di AWS rect Connect 位置之间创建新连接的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateDirectConnectGateway	授予权限以创建一个 Direct Connect 网关，它是可用于连接一组虚拟接口和虚拟专用网关的中间对象	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateDirectConnectGatewayAssociation	授予权限以在 Direct Connect 网关和虚拟私有网关之间创建关联	写入	dx-gateway*
CreateDirectConnectGatewayAssociationProposal	授予创建提议以将指定的虚拟私有网关与指定的 Direct Connect 网关相关联的权限	写入	dx-gateway*
CreateInterconnect	授予在 Direct Connect 合作伙伴的网络和特定 AWS 的 Di AWS rect Connect 位置之间创建新互连的权限	写入	dxlag
CreateInterconnect		写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateLag	授予在客户网络和特定 Dire AWS ct Connect 位置之间使用指定数量的捆绑物理连接创建链路聚合组 (LAG) 的权限	写入	dxcon
CreateLag		写入		aws:RequestTag/${TagKey} aws:TagKeys
CreatePrivateVirtualInterface	授予权限以创建新的私有虚拟接口	写入	dxcon
			dxlag
				aws:RequestTag/${TagKey} aws:TagKeys
CreatePublicVirtualInterface	授予权限以创建新的公有虚拟接口	写入	dxcon
			dxlag
				aws:RequestTag/${TagKey} aws:TagKeys
CreateTransitVirtualInterface	授予权限以创建新的中转虚拟接口	写入	dxcon
			dxlag
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteBGPPeer	授予权限以删除具有指定客户地址和 ASN 的指定虚拟接口上的指定 BGP 对等体	写入	dxvif*
DeleteConnection	授予权限以删除连接	写入	dxcon*
DeleteDirectConnectGateway	授予删除指定 Direct Connect 网关的权限	写入	dx-gateway*
DeleteDirectConnectGatewayAssociation	授予权限以删除指定的 Direct Connect 网关和虚拟私有网关之间的关联	写入	dx-gateway*
DeleteDirectConnectGatewayAssociationProposal	授予权限以删除指定的 Direct Connect 网关和虚拟私有网关之间的关联提议请求	写入
DeleteInterconnect	授予删除指定互连的权限	写入	dxcon*
DeleteLag	授予删除指定的链接聚合组 (LAG) 的权限	写入	dxlag*
DeleteVirtualInterface	授予删除虚拟接口的权限	写入	dxvif*
DescribeConnectionLoa	授予权限以描述连接的 LOA-CFA	读取	dxcon*
DescribeConnections	授予权限以描述此区域中的所有连接	读取	dxcon
DescribeConnectionsOnInterconnect	授予权限以描述给定互连中已预置的连接的列表。	读取	dxcon*
DescribeCustomerMetadata	授予查看客户协议列表的权限，以及其签署状态以及客户是 NNIPartner V2 还是非合作伙伴 NNIPartner	读取
DescribeDirectConnectGatewayAssociationProposals	授予权限以描述虚拟私有网关和 Direct Connect 网关之间的连接的一个或多个关联提议。	读取	dx-gateway
DescribeDirectConnectGatewayAssociations	授予权限以描述 Direct Connect 网关和虚拟私有网关之间的关联	读取	dx-gateway
DescribeDirectConnectGatewayAttachments	授予权限以描述 Direct Connect 网关和虚拟接口之间的连接	读取	dx-gateway
DescribeDirectConnectGateways	授予权限以描述所有 Direct Connect 网关，或仅描述指定的 Direct Connect 网关	读取	dx-gateway
DescribeHostedConnections	授予权限以描述已在指定互连或链路聚合组上预置的托管连接	读取	dxcon
DescribeHostedConnections	授予权限以描述已在指定互连或链路聚合组上预置的托管连接	读取	dxlag
DescribeInterconnectLoa	授予权限以描述互连的 LOA-CFA	读取	dxcon*
DescribeInterconnects	授予描述所拥有的互连列表的权限 AWS 账户	读取	dxcon
DescribeLags	授予权限以描述所有的链接聚合组 (LAG) 或指定的 LAG	读取	dxlag
DescribeLoa	授予权限以描述连接、互连或链路聚合组 (LAG) 的 LOA-CFA	读取	dxcon
DescribeLoa	授予权限以描述连接、互连或链路聚合组 (LAG) 的 LOA-CFA	读取	dxlag
DescribeLocations	授予描述当前 AWS 区域中 Di AWS rect Connect 位置列表的权限	读取
DescribeRouterConfiguration	授予权限以描述虚拟接口路由器的详细信息	读取	dxvif*
DescribeTags	授予描述与指定 Di AWS rect Connect 资源关联的标签的权限	读取	dx-gateway
			dxcon
			dxlag
			dxvif
DescribeVirtualGateways	授予描述拥有的虚拟专用网关列表的权限 AWS 账户	读取
DescribeVirtualInterfaces	授予描述所有虚拟接口的权限 AWS 账户	读取	dxcon
			dxlag
			dxvif
DisassociateConnectionFromLag	授予权限以取消连接与链路聚合组 (LAG) 的关联	写入	dxcon*
DisassociateConnectionFromLag	授予权限以取消连接与链路聚合组 (LAG) 的关联	写入	dxlag*
DisassociateMacSecKey	授予移除 MAC 安全 (MACsec) 安全密钥和 Di AWS rect Connect 专用连接之间关联的权限	写入	dxcon
DisassociateMacSecKey	授予移除 MAC 安全 (MACsec) 安全密钥和 Di AWS rect Connect 专用连接之间关联的权限	写入	dxlag
ListVirtualInterfaceTestHistory	授予权限以列出虚拟接口故障转移测试历史记录	列表	dxvif*
StartBgpFailoverTest	授予权限以启动虚拟接口故障转移测试，此测试通过将 BGP 对等会话置于“关闭”状态，验证您的配置是否符合弹性要求。然后，您可以发送流量以便验证是否出现中断情况	写入	dxvif*
StopBgpFailoverTest	授予权限以停止虚拟接口故障转移测试	写入	dxvif*
TagResource	授予向指定的 Di AWS rect Connect 资源添加指定标签的权限。每个资源最多可以有 50 个标签	标记	dx-gateway
			dxcon
			dxlag
			dxvif
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	授予从指定的 Di AWS rect Connect 资源中移除一个或多个标签的权限	标记	dx-gateway
			dxcon
			dxlag
			dxvif
				aws:TagKeys
UpdateConnection	授予更新 Di AWS rect Connect 专用连接配置的权限。您可以更新连接的以下参数：连接名称或连接的 MAC Security (MACsec) 加密模式	写入	dxcon*
UpdateDirectConnectGateway	授予权限以更新 Direct Connect 网关的名称	写入	dx-gateway*
UpdateDirectConnectGatewayAssociation	授予权限以更新 Direct Connect 网关关联的指定属性	写入
UpdateLag	授予权限以更新指定链路聚合组 (LAG) 的属性	写入	dxlag*
UpdateVirtualInterfaceAttributes	授予权限以更新指定虚拟私有接口的指定属性	写入	dxvif*

AWS Direct Connect 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
dxcon	`arn:${Partition}:directconnect:${Region}:${Account}:dxcon/${ConnectionId}`	aws:ResourceTag/${TagKey}
dxlag	`arn:${Partition}:directconnect:${Region}:${Account}:dxlag/${LagId}`	aws:ResourceTag/${TagKey}
dxvif	`arn:${Partition}:directconnect:${Region}:${Account}:dxvif/${VirtualInterfaceId}`	aws:ResourceTag/${TagKey}
dx-gateway	`arn:${Partition}:directconnect::${Account}:dx-gateway/${DirectConnectGatewayId}`	aws:ResourceTag/${TagKey}

AWS Direct Connect 的条件键

AWS Direct Connect 定义了以下可以在 IAM 策略Condition元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件密钥，请参阅AWS 全局条件上下文密钥。

条件键	描述	类型
aws:RequestTag/${TagKey}	根据在请求中是否具有标签键值对来按照操作筛选访问权限	字符串
aws:ResourceTag/${TagKey}	根据附加到资源的标签键值对来按操作筛选访问权限	字符串
aws:TagKeys	根据在请求中是否具有标签键来按操作筛选访问权限	ArrayOfString

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

AWS 诊断工具

AWS Directory Ser