AWS Network Manager 的操作、资源和条件键 - 服务授权参考
操作资源类型条件键

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS Network Manager 的操作、资源和条件键

AWS Network Manager（服务前缀:networkmanager）提供以下特定于服务的资源、操作和条件上下文密钥，供在 IAM 权限策略中使用。

参考：

AWS Network Manager 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

“操作” 表的 “访问级别” 列描述了如何对操作进行分类（列出、读取、权限管理或标记）。此分类可以帮助您了解当您在策略中使用操作时，相应操作授予的访问级别。有关访问级别的更多信息，请参阅策略摘要中的访问级别。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

“操作” 表格的 “依赖操作” 列显示成功调用操作可能需要的其他权限。除了操作本身的权限外，可能还需要这些权限。当操作指定依赖操作时，这些依赖关系可能适用于为该操作定义的其他资源，而不仅仅是表格中列出的第一个资源。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
AcceptAttachment 授予权限以接受在核心网络中的源和目标之间创建附件 写入

attachment*

ec2:DescribeRegions

AssociateConnectPeer 授予权限以关联 Connect 对等节点 写入

device*

global-network*

AssociateCustomerGateway 授予权限以将客户网关关联到设备 Write

device*

global-network*

link

networkmanager:cgwArn

授予权限以将链接关联到设备 Write

device*

global-network*

link*

AssociateTransitGatewayConnectPeer 授予将中转网关连接对等节点关联到设备的权限 写入

device*

global-network*

link

networkmanager:tgwConnectPeerArn

CreateConnectAttachment 授予权限以创建 Connect 附件 写入

attachment*

ec2:DescribeRegions

networkmanager:TagResource

core-network*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateConnectPeer 授予创建 Connect 对等连接的权限 写入

attachment*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

CreateConnection 授予创建新连接的权限 写入

global-network*

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCoreNetwork 授予权限以创建新的核心网络 写入

global-network*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDevice 授予权限以创建新的设备 写入

global-network*

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDirectConnectGatewayAttachment 授予创建 Direct Connect 网关连接的权限 写入

core-network*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:directConnectGatewayArn

networkmanager:edgeLocations

CreateGlobalNetwork 授予权限以创建新的全局网络 Write

aws:RequestTag/${TagKey}

aws:TagKeys

iam:CreateServiceLinkedRole

networkmanager:TagResource

授予权限以创建新的链接 Write

global-network*

networkmanager:TagResource

site

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSite 授予权限以创建新的站点 写入

global-network*

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

CreateSiteToSiteVpnAttachment 授予创建 site-to-site VPN 附件的权限 写入

core-network*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:vpnConnectionArn

CreateTransitGatewayPeering 授予创建中转网关对等节点的权限 写入

core-network*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:tgwArn

CreateTransitGatewayRouteTableAttachment 授予创建 TGW RTB 附件的权限 写入

peering*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:tgwRtbArn

CreateVpcAttachment 授予权限以创建 VPC 附件 写入

core-network*

ec2:DescribeRegions

networkmanager:TagResource

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:vpcArn

networkmanager:subnetArns

DeleteAttachment 授予权限以删除附件 写入

attachment*

ec2:DescribeRegions

DeleteConnectPeer 授予权限以删除 Connect 对等节点 写入

connect-peer*

ec2:DescribeRegions

DeleteConnection 授予权限以删除连接 写入

connection*

global-network*

DeleteCoreNetwork 授予权限以删除核心网络 写入

core-network*

ec2:DescribeRegions

DeleteCoreNetworkPolicyVersion 授予权限以删除核心网络策略版本 写入

core-network*

DeleteDevice 授予权限以删除设备 Write

device*

global-network*

DeleteGlobalNetwork 授予权限以删除全局网络 Write

global-network*

授予权限以删除链接 写入

global-network*

link*

DeletePeering 授予删除对等节点的权限 写入

peering*

ec2:DescribeRegions

DeleteResourcePolicy 授予权限以删除资源 写入

core-network*

DeleteSite 授予权限以删除站点 Write

global-network*

site*

DeregisterTransitGateway 授予权限以从全局网络注销中转网关 Write

global-network*

networkmanager:tgwArn

DescribeGlobalNetworks 授予权限以描述全局网络 列表

global-network

DisassociateConnectPeer 授予权限以取消关联 Connect 对等节点 写入

global-network*

DisassociateCustomerGateway 授予权限以取消客户网关与设备的关联 Write

global-network*

networkmanager:cgwArn

授予权限以取消链接与设备的关联 Write

device*

global-network*

link*

DisassociateTransitGatewayConnectPeer 授予取消中转网关连接对等节点与设备的关联的权限 写入

global-network*

networkmanager:tgwConnectPeerArn

ExecuteCoreNetworkChangeSet 授予权限以将更改应用于核心网络 写入

core-network*

ec2:DescribeRegions

GetConnectAttachment 授予权限以检索 Connect 附件 读取

attachment*

GetConnectPeer 授予权限以检索 Connect 对等节点 读取

connect-peer*

GetConnectPeerAssociations 授予描述 Connect 对等节点关联的权限 读取

global-network*

GetConnections 授予描述连接的权限 列表

global-network*

connection

GetCoreNetwork 授予权限以检索核心网络 读取

core-network*

GetCoreNetworkChangeEvents 授予检索核心网络更改事件列表的权限 读取

core-network*

GetCoreNetworkChangeSet 授予权限以检索核心网络更改集列表 读取

core-network*

GetCoreNetworkPolicy 授予权限以检索核心网络策略 读取

core-network*

GetCustomerGatewayAssociations 授予权限以描述客户网关关联 List

global-network*

GetDevices 授予权限以描述设备 列表

global-network*

device

GetDirectConnectGatewayAttachment 授予检索 Direct Connect 网关附件的权限 读取

attachment*

GetLinkAssociations 授予权限以描述链接关联 List

global-network*

device

link

授予权限以描述链接 列表

global-network*

link

GetNetworkResourceCounts 授予权限以返回按类型分组的全局网络的资源数量 读取

global-network*

GetNetworkResourceRelationships 授予在全局网络中检索资源相关资源的权限 读取

global-network*

GetNetworkResources 授予权限以检索全局网络资源 读取

global-network*

GetNetworkRoutes 授予权限以在全局网络中检索路由表的路由 读取

global-network*

GetNetworkTelemetry 授予检索全局网络的网络遥测对象的权限 读取

global-network*

GetResourcePolicy 授予权限以检索资源策略 读取

core-network*

GetRouteAnalysis 授予权限以检索路径分析配置和结果 读取

global-network*

GetSiteToSiteVpnAttachment 授予检索 site-to-site VPN 附件的权限 读取

attachment*

GetSites 授予权限以描述全局网络 List

global-network*

site

GetTransitGatewayConnectPeerAssociations 授予描述中转网关连接对等节点关联的权限 列表

global-network*

GetTransitGatewayPeering 授予检索中转网关对等节点的权限 读取

peering*

GetTransitGatewayRegistrations 授予权限以描述中转网关注册 列表

global-network*

GetTransitGatewayRouteTableAttachment 授予检索 TGW RTB 附件的权限 读取

attachment*

GetVpcAttachment 授予权限以检索 VPC 附件 读取

attachment*

ListAttachments 授予权限以描述附件 列表

attachment*

ListConnectPeers 授予描述 Connect 对等节点的权限 列表

connect-peer*

ListCoreNetworkPolicyVersions 授予权限以列出核心网络策略版本 列表

core-network*

ListCoreNetworks 授予权限以列出核心网络 列表
ListOrganizationServiceAccessStatus 授予列出组织服务访问状态的权限 列表
ListPeerings 授予描述对等节点的权限 列表
ListTagsForResource 授予权限以列出网络管理器资源的标签 读取

attachment

connect-peer

connection

core-network

device

global-network

link

peering

site

aws:ResourceTag/${TagKey}

PutCoreNetworkPolicy 授予权限以创建核心网络策略 写入

core-network*

ec2:DescribeRegions

PutResourcePolicy 授予权限以创建或更新资源策略 写入

core-network*

RegisterTransitGateway 授予权限以将中转网关注册到全局网络 写入

global-network*

networkmanager:tgwArn

RejectAttachment 授予权限以拒绝附件请求 写入

attachment*

RestoreCoreNetworkPolicyVersion 授予权限以将核心网络策略恢复到先前的版本 写入

core-network*

ec2:DescribeRegions

StartOrganizationServiceAccessUpdate 授予启动组织服务访问更新的权限 写入
StartRouteAnalysis 授予权限以启动路由分析并存储分析配置 写入

global-network*

TagResource 授予权限以标记 Network Manager 资源 Tagging

attachment

connect-peer

connection

core-network

device

global-network

link

peering

site

aws:TagKeys

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

UntagResource 授予权限以取消标记 Network Manager 资源 Tagging

attachment

connect-peer

connection

core-network

device

global-network

link

peering

site

aws:TagKeys

UpdateConnection 授予权限以更新连接 写入

connection*

global-network*

UpdateCoreNetwork 授予权限以更新核心网络 写入

core-network*

UpdateDevice 授予权限以更新设备 写入

device*

global-network*

UpdateDirectConnectGatewayAttachment 授予更新 Direct Connect 网关连接的权限 写入

attachment*

ec2:DescribeRegions

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:edgeLocations

UpdateGlobalNetwork 授予权限以更新全局网络 Write

global-network*

授予权限以更新链接 写入

global-network*

link*

UpdateNetworkResourceMetadata 授予在网络资源上添加或更新元数据 key/value 对的权限 写入

global-network*

UpdateSite 授予权限以更新站点 写入

global-network*

site*

UpdateVpcAttachment 授予权限以更新 VPC 附件 写入

attachment*

ec2:DescribeRegions

aws:RequestTag/${TagKey}

aws:TagKeys

networkmanager:subnetArns

AWS Network Manager 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
global-network arn:${Partition}:networkmanager::${Account}:global-network/${ResourceId}

aws:ResourceTag/${TagKey}

site arn:${Partition}:networkmanager::${Account}:site/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

arn:${Partition}:networkmanager::${Account}:link/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

device arn:${Partition}:networkmanager::${Account}:device/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

connection arn:${Partition}:networkmanager::${Account}:connection/${GlobalNetworkId}/${ResourceId}

aws:ResourceTag/${TagKey}

core-network arn:${Partition}:networkmanager::${Account}:core-network/${ResourceId}

aws:ResourceTag/${TagKey}

attachment arn:${Partition}:networkmanager::${Account}:attachment/${ResourceId}

aws:ResourceTag/${TagKey}

connect-peer arn:${Partition}:networkmanager::${Account}:connect-peer/${ResourceId}

aws:ResourceTag/${TagKey}

peering arn:${Partition}:networkmanager::${Account}:peering/${ResourceId}

aws:ResourceTag/${TagKey}

AWS Network Manager 的条件键

AWS Network Manager 定义了以下条件密钥，这些条件密钥可用于 IAM 策略的Condition元素中。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看所有服务均可用的全局条件键，请参阅AWS 全局条件上下文密钥。

条件键 描述 类型
aws:RequestTag/${TagKey} 按请求中传递的标签筛选访问权限 字符串
aws:ResourceTag/${TagKey} 按与资源关联的标签筛选访问权限 字符串
aws:TagKeys 按请求中传递的标签键筛选访问权限 ArrayOfString
networkmanager:cgwArn 按可以关联或取消关联哪些客户网关来筛选访问权限 ARN
networkmanager:directConnectGatewayArn 筛选可通过哪个 Direct Connect 网关访问 create/update 附件 ARN
networkmanager:edgeLocations 筛选可以在 Direct Connect 网关连接中添加或删除边缘站点的访问权限 ArrayOfString
networkmanager:subnetArns 按可以添加或从 VPC 附件中删除哪些 VPC 子网来筛选访问权限 ArrayOfARN
networkmanager:tgwArn 按可以注册、取消注册或对等哪些中转网关来筛选访问权限 ARN
networkmanager:tgwConnectPeerArn 按可以关联或取消关联哪些中转网关连接对等节点来筛选访问权限 ARN
networkmanager:tgwRtbArn 按哪些中转网管路由表可以用于创建附筛选访问权限 ARN
networkmanager:vpcArn 筛选可通过哪个 VPC 访问 create/update 附件 ARN
networkmanager:vpnConnectionArn 筛选可通过哪 Site-to-Site个 VPN 访问 create/update 附件 ARN