的操作、资源和条件键 AWS CloudFormation

AWS CloudFormation （服务前缀:cloudformation）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。
查看此服务的编程服务授权参考。

主题

API 操作定义为 AWS CloudFormation
操作定义为 AWS CloudFormation
Permission-only 的行动 AWS CloudFormation
由定义的资源类型 AWS CloudFormation
的条件键 AWS CloudFormation

API 操作定义为 AWS CloudFormation

下表将 API 操作映射到它们授权的 IAM 操作。仅列出具有给定 API 和操作的静态值的条件键；有关每个操作支持的完整条件键集，请参阅操作表。

操作	IAM 操作	条件键	可能的值	访问级别
ActivateOrganizationsAccess	云层形成：ActivateOrganizationsAccess			写入
	我是：CreateServiceLinkedRole			写入
	我是：GetRole			读取
ActivateType	云层形成：ActivateType			写入
ActivateType	我是：PassRole	我是：PassedToService	资源 cloudformation.amazonaws.com	写入
BatchDescribeTypeConfigurations	云层形成：BatchDescribeTypeConfigurations			读取
CancelUpdateStack	云层形成：CancelUpdateStack			写入
ContinueUpdateRollback	云层形成：ContinueUpdateRollback			写入
ContinueUpdateRollback	我是：PassRole	我是：PassedToService	cloudformation.amazonaws.com	写入
CreateChangeSet	云层形成：CreateChangeSet			写入
	云层形成：TagResource			标记、写作
	云层形成：UntagResource			标记、写作
	我是：PassRole	我是：PassedToService	cloudformation.amazonaws.com	写入
CreateGeneratedTemplate	云层形成：CreateGeneratedTemplate			写入
CreateStack	云层形成：CreateStack			写入
	云层形成：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	cloudformation.amazonaws.com	写入
CreateStackInstances	云层形成：CreateStackInstances			写入
CreateStackRefactor	云层形成：CreateStackRefactor			写入
CreateStackSet	云层形成：CreateStackSet			写入
	云层形成：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	cloudformation.amazonaws.com	写入
DeactivateOrganizationsAccess	云层形成：DeactivateOrganizationsAccess			写入
DeactivateType	云层形成：DeactivateType			写入
DeleteChangeSet	云层形成：DeleteChangeSet			写入
DeleteGeneratedTemplate	云层形成：DeleteGeneratedTemplate			写入
DeleteStack	云层形成：DeleteStack			写入
DeleteStack	我是：PassRole	我是：PassedToService	cloudformation.amazonaws.com	写入
DeleteStackInstances	云层形成：DeleteStackInstances			写入
DeleteStackSet	云层形成：DeleteStackSet			写入
DeregisterType	云层形成：DeregisterType			写入
DescribeAccountLimits	云层形成：DescribeAccountLimits			读取
DescribeChangeSet	云层形成：DescribeChangeSet			读取
DescribeChangeSetHooks	云层形成：DescribeChangeSetHooks			读取
DescribeEvents	云层形成：DescribeEvents			读取
DescribeGeneratedTemplate	云层形成：DescribeGeneratedTemplate			读取
DescribeOrganizationsAccess	云层形成：DescribeOrganizationsAccess			读取
DescribePublisher	云层形成：DescribePublisher			读取
DescribeResourceScan	云层形成：DescribeResourceScan			读取
DescribeStackDriftDetectionStatus	云层形成：DescribeStackDriftDetectionStatus			读取
DescribeStackEvents	云层形成：DescribeStackEvents			读取
DescribeStackInstance	云层：DescribeStackInstance			读取
DescribeStackRefactor	云层：DescribeStackRefactor			读取
DescribeStackResource	云层：DescribeStackResource			读取
DescribeStackResourceDrifts	云层：DescribeStackResourceDrifts			读取
DescribeStackResources	云层：DescribeStackResources			读取
DescribeStackSet	云层：DescribeStackSet			读取
DescribeStackSetOperation	云层：DescribeStackSetOperation			读取
DescribeStacks	云层：DescribeStacks			列表
DescribeStacks	云层：ListStacks			列表
DescribeType	云层：DescribeType			读取
DescribeTypeRegistration	云层形成：DescribeTypeRegistration			读取
DetectStackDrift	云层形成：DetectStackDrift			读取
DetectStackDrift	云层形成：DetectStackResourceDrift			读取
DetectStackResourceDrift	云层形成：DetectStackResourceDrift			读取
DetectStackSetDrift	云层形成：DetectStackSetDrift			读取
EstimateTemplateCost	云层形成：EstimateTemplateCost			读取
ExecuteChangeSet	云层形成：ExecuteChangeSet			写入
	云层形成：TagResource			标记、写作
	云层形成：UntagResource			标记、写作
ExecuteStackRefactor	云层形成：ExecuteStackRefactor			写入
GetGeneratedTemplate	云层形成：GetGeneratedTemplate			读取
GetHookResult	云层形成：GetHookResult			读取
GetStackPolicy	云层形成：GetStackPolicy			读取
GetTemplate	云层形成：GetTemplate			读取
GetTemplateSummary	云层形成：GetTemplateSummary			读取
ImportStacksToStackSet	云层形成：ImportStacksToStackSet			写入
ListChangeSets	云层形成：ListChangeSets			列表
ListExports	云层形成：ListExports			列表
ListGeneratedTemplates	云层形成：ListGeneratedTemplates			列表
ListHookResults	云层形成：ListAllHookResults			列表
ListHookResults	云层形成：ListHookResults			列表
ListImports	云层形成：ListImports			列表
ListResourceScanRelatedResources	云层形成：ListResourceScanRelatedResources			列表
ListResourceScanResources	云层形成：ListResourceScanResources			列表
ListResourceScans	云层形成：ListResourceScans			列表
ListStackInstanceResourceDrifts	云层形成：ListStackInstanceResourceDrifts			列表
ListStackInstances	云层形成：ListStackInstances			列表
ListStackRefactorActions	云层形成：ListStackRefactorActions			列表
ListStackRefactors	云层形成：ListStackRefactors			列表
ListStackResources	云层形成：ListStackResources			列表
ListStackSetAutoDeploymentTargets	云层形成：ListStackSetAutoDeploymentTargets			列表
ListStackSetOperationResults	云层形成：ListStackSetOperationResults			列表
ListStackSetOperations	云层形成：ListStackSetOperations			列表
ListStackSets	云层形成：ListStackSets			列表
ListStacks	云层形成：ListStacks			列表
ListTypeRegistrations	云层形成：ListTypeRegistrations			列表
ListTypeVersions	云层形成：ListTypeVersions			列表
ListTypes	云层形成：ListTypes			列表
PublishType	云层形成：PublishType			写入
RecordHandlerProgress	云层形成：RecordHandlerProgress			写入
RegisterPublisher	云层形成：RegisterPublisher			写入
RegisterType	云层形成：RegisterType			写入
RegisterType	我是：PassRole	我是：PassedToService	资源 cloudformation.amazonaws.com	写入
RollbackStack	云层形成：RollbackStack			写入
RollbackStack	我是：PassRole	我是：PassedToService	cloudformation.amazonaws.com	写入
SetStackPolicy	云层形成：SetStackPolicy			权限管理，写入
SetTypeConfiguration	云层形成：SetTypeConfiguration			写入
SetTypeDefaultVersion	云层形成：SetTypeDefaultVersion			写入
SignalResource	云层形成：SignalResource			写入
StartResourceScan	云层形成：StartResourceScan			写入
StopStackSetOperation	云层形成：StopStackSetOperation			写入
TestType	云层形成：TestType			写入
UpdateGeneratedTemplate	云层形成：UpdateGeneratedTemplate			写入
UpdateStack	云层形成：SetStackPolicy			权限管理，写入
	云层形成：TagResource			标记、写作
	云层形成：UntagResource			标记、写作
	云层形成：UpdateStack			写入
	我是：PassRole	我是：PassedToService	cloudformation.amazonaws.com	写入
UpdateStackInstances	云层形成：UpdateStackInstances			写入
UpdateStackSet	云层形成：TagResource			标记、写作
	云层形成：UntagResource			标记、写作
	云层形成：UpdateStackSet			写入
	我是：PassRole	我是：PassedToService	cloudformation.amazonaws.com	写入
UpdateTerminationProtection	云层形成：UpdateTerminationProtection			写入
ValidateTemplate	云层形成：ValidateTemplate			读取

操作定义为 AWS CloudFormation

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作	说明	资源类型（* 为必需）	条件键	访问级别
ActivateOrganizationsAccess	授予在和 Organizations StackSets 之间激活可信访问的权限。激活 StackSets 和 Organizations 之间的可信访问权限后，管理账户有权 StackSets 为您的组织创建和管理			写入
ActivateType	授予权限以激活公有第三方扩展，使其可用于堆栈模板			写入
BatchDescribeTypeConfigurations	授予返回指定 CloudFormation 扩展程序配置数据的权限			读取
CancelUpdateStack	授予权限以取消指定堆栈更新	堆栈*	aws: ResourceTag /$ {} TagKey	写入
ContinueUpdateRollback	授予继续将处于 UPDATE_ROLLBACK_FAILED 状态的堆栈回滚到 UPDATE_ROLLBACK_COMPLETE 状态的权限	堆栈*	aws: ResourceTag /$ {} TagKey 云层形成：RoleArn	写入
CreateChangeSet	授予为堆栈创建更改列表的权限	堆栈*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys 云层形成：ChangeSetName 云层形成：ImportResourceTypes 云层：ResourceTypes 云层：RoleArn 云层：StackPolicyUrl 云层：TemplateUrl	写入
CreateGeneratedTemplate	授予使用尚未管理的现有资源创建模板的权限 CloudFormation			写入
CreateStack	授予依照模板中的指定创建堆栈的权限	堆栈*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys 云层：ResourceTypes 云层：RoleArn 云层：StackPolicyUrl 云层：TemplateUrl	写入
CreateStackInstances	授予在指定区域内为指定账户创建堆栈实例的权限	堆栈集*	aws: ResourceTag /$ {} TagKey aws：TagKeys 云层：TargetRegion	写入
		堆栈集目标	aws：TagKeys 云层：TargetRegion
		type	aws：TagKeys 云层：TargetRegion
CreateStackRefactor	授予权限以创建堆栈重构	堆栈*	aws: ResourceTag /$ {} TagKey	写入
CreateStackSet	授予依照模板中的指定创建堆栈集的权限		aws: RequestTag /$ {} TagKey aws：TagKeys 云层：RoleArn 云层：TemplateUrl	写入
DeactivateOrganizationsAccess	授予在和 Organizations 之间停用可信访问权限 StackSets 的权限。如果停用可信访问权限，则该管理账户无权为您的组织创建和管理服务托管服务 StackSets			写入
DeactivateType	授予权限以停用先前在此账户和区域中激活的公有扩展			写入
DeleteChangeSet	授予删除指定更改集的权限。删除更改集可确保没有人执行错误的更改集	堆栈*	aws: ResourceTag /$ {} TagKey 云层：ChangeSetName	写入
DeleteGeneratedTemplate	授予权限以删除生成的模板			写入
DeleteStack	授予删除指定堆栈的权限	堆栈*	aws: ResourceTag /$ {} TagKey 云层：RoleArn	写入
DeleteStackInstances	授予在指定区域内删除指定账户的堆栈实例的权限	堆栈集*	aws: ResourceTag /$ {} TagKey 云层：TargetRegion	写入
		堆栈集目标	云层：TargetRegion
		type	云层：TargetRegion
DeleteStackSet	授予删除指定堆栈集的权限	堆栈集*	aws: ResourceTag /$ {} TagKey	写入
DeregisterType	授予取消注册现有 CloudFormation 类型或类型版本的权限			写入
DescribeAccountLimits	授予权限以检索您的账户 AWS CloudFormation 限额			读取
DescribeChangeSet	授予返回指定更改集的描述的权限	堆栈*	aws: ResourceTag /$ {} TagKey 云层：ChangeSetName	读取
DescribeChangeSetHooks	授予返回指定更改集的 Hook 调用信息的权限	堆栈*	aws: ResourceTag /$ {} TagKey 云层：ChangeSetName	读取
DescribeEvents	授予返回指定操作的所有相关事件的权限	变更集	aws: ResourceTag /$ {} TagKey	读取
DescribeEvents	授予返回指定操作的所有相关事件的权限	堆栈	aws: ResourceTag /$ {} TagKey	读取
DescribeGeneratedTemplate	授予权限以描述生成的模板输出包括有关生成模板的创建进度的详细信息			读取
DescribeOrganizationsAccess	授予返回有关账户 OrganizationAccess 状态信息的权限			读取
DescribePublisher	授予返回 CloudFormation 扩展发布者相关信息的权限			读取
DescribeResourceScan	授予权限以描述资源扫描的详细信息			读取
DescribeStackDriftDetectionStatus	授予返回有关堆栈偏差检测操作的信息的权限			Read
DescribeStackEvents	授予为指定堆栈返回所有与堆栈相关事件的权限	堆栈*	aws: ResourceTag /$ {} TagKey	读取
DescribeStackInstance	授予返回与指定堆栈集 AWS 账户、和区域关联的堆栈实例的权限	堆栈集*	aws: ResourceTag /$ {} TagKey	读取
DescribeStackRefactor	授予权限以返回指定堆栈重构的描述	堆栈*	aws: ResourceTag /$ {} TagKey	读取
DescribeStackResource	授予返回指定堆栈中指定资源描述的权限	堆栈*	aws: ResourceTag /$ {} TagKey	读取
DescribeStackResourceDrifts	授予返回已针对指定堆栈中的偏差进行检查的资源偏差信息的权限	堆栈*	aws: ResourceTag /$ {} TagKey	读取
DescribeStackResources	授予返回正在运行的堆栈和已删除堆栈的 AWS 资源描述的权限	堆栈*	aws: ResourceTag /$ {} TagKey	读取
DescribeStackSet	授予返回指定堆栈集描述的权限	堆栈集*	aws: ResourceTag /$ {} TagKey	读取
DescribeStackSetOperation	授予返回指定堆栈集操作描述的权限	堆栈集*	aws: ResourceTag /$ {} TagKey	读取
DescribeStacks	授予返回指定堆栈描述的权限，以及与操作结合使用时返回所有堆栈的描述的 ListStacks 权限	堆栈	aws: ResourceTag /$ {} TagKey	列表
DescribeType	授予返回有关所请求 CloudFormation 类型信息的权限			读取
DescribeTypeRegistration	授予返回有关 CloudFormation 类型注册过程信息的权限			读取
DetectStackDrift	授予权限，以检测堆栈的实际配置是否与预期配置（在堆栈模板以及指定为模板参数的任何值中定义）不同或出现偏差	堆栈*	aws: ResourceTag /$ {} TagKey	读取
DetectStackResourceDrift	授予权限，以返回有关资源的实际配置是否与预期配置（在堆栈模板以及指定为模板参数的任何值中定义）不同或出现偏差的信息	堆栈*	aws: ResourceTag /$ {} TagKey	读取
DetectStackSetDrift	授予权限，使用户能够检测堆栈集以及属于该堆栈集的堆栈实例上的偏差	堆栈集*	aws: ResourceTag /$ {} TagKey	读取
EstimateTemplateCost	授予返回模板每月估计成本的权限		云层：TemplateUrl	读取
ExecuteChangeSet	授予创建指定更改集时使用提供的输入信息更新堆栈的权限	堆栈*	aws: ResourceTag /$ {} TagKey 云层：ChangeSetName	写入
ExecuteStackRefactor	授予权限以创建指定堆栈重构时使用提供的输入信息执行堆栈重构	堆栈*	aws: ResourceTag /$ {} TagKey	写入
GetGeneratedTemplate	授予权限以检索生成的模板			读取
GetHookResult	授予返回有关特定挂钩调用结果的详细信息的权限		云层：TypeArn	读取
GetStackPolicy	授予为指定堆栈返回堆栈策略的权限	堆栈*	aws: ResourceTag /$ {} TagKey	读取
GetTemplate	授予为指定堆栈返回模板正文的权限	堆栈*	aws: ResourceTag /$ {} TagKey	读取
GetTemplateSummary	授予返回有关新模板或现有模板信息的权限	堆栈	aws: ResourceTag /$ {} TagKey 云层：TemplateUrl	读取
GetTemplateSummary	授予返回有关新模板或现有模板信息的权限	堆栈集	aws: ResourceTag /$ {} TagKey 云层：TemplateUrl	读取
ImportStacksToStackSet	授予允许用户将现有堆栈导入到新堆栈或现有堆栈集的权限	堆栈集*	aws: ResourceTag /$ {} TagKey	写入
ListAllHookResults	授予权限以返回指定钩子、钩子和状态组合或所有钩子的钩子调用结果信息		云层：TypeArn	列表
ListChangeSets	授予权限以返回堆栈的每个活动更改集的 ID 和状态。例如， AWS CloudFormation 列出处于 CREATE_IN_PROGRESS 或 CREATE_PENDING 状态的更改集	堆栈*	aws: ResourceTag /$ {} TagKey	列表
ListExports	授予权限，以列出您在其中调用此操作的账户和区域中的所有已导出输出值			列表
ListGeneratedTemplates	授予权限以列出您在该区域生成的模板			列表
ListHookResults	授予权限以返回指定目标的钩子调用结果信息	堆栈	aws: ResourceTag /$ {} TagKey 云层：ChangeSetName	列表
ListImports	授予列出导出输出值的所有堆栈的权限			列表
ListResourceScanRelatedResources	授予权限以列出资源扫描中资源列表的相关资源。该响应表明每个返回的资源是否已由管理 CloudFormation			列表
ListResourceScanResources	授予权限以列出资源扫描中的资源。可以按资源标识符、资源类型前缀、标签键和标签值筛选结果			列表
ListResourceScans	授予权限以从最新到最旧列出资源扫描。默认情况下，它将返回最多 10 次资源扫描			列表
ListStackInstanceResourceDrifts	授予返回已针对指定堆栈实例中偏差进行检查的资源偏差信息的权限	堆栈集*	aws: ResourceTag /$ {} TagKey	列表
ListStackInstances	授予权限，以返回与指定堆栈集关联的相关堆栈实例的摘要信息	堆栈集*	aws: ResourceTag /$ {} TagKey	列表
ListStackRefactorActions	授予权限以返回指定堆栈重构的操作列表	堆栈*	aws: ResourceTag /$ {} TagKey	列表
ListStackRefactors	授予权限以返回每个活动堆栈重构的 ID 和状态	堆栈*	aws: ResourceTag /$ {} TagKey	列表
ListStackResources	授予返回指定堆栈中所有资源描述的权限	堆栈*	aws: ResourceTag /$ {} TagKey	列表
ListStackSetAutoDeploymentTargets	授予返回有关 StackSet 自动部署目标的摘要信息的权限	堆栈集*	aws: ResourceTag /$ {} TagKey	列表
ListStackSetOperationResults	授予返回有关堆栈集操作结果的摘要信息的权限	堆栈集*	aws: ResourceTag /$ {} TagKey	列表
ListStackSetOperations	授予返回有关堆栈集上执行操作的摘要信息的权限	堆栈集*	aws: ResourceTag /$ {} TagKey	列表
ListStackSets	授予返回与用户关联的堆栈集的摘要信息的权限			列表
ListStacks	授予返回状态与指定值 StackStatusFilter匹配的堆栈摘要信息的权限。与 DescribeStacks 操作相结合，授予列出堆栈描述的权限			列表
ListTypeRegistrations	授予列出 CloudFormation 类型注册尝试次数的权限			列表
ListTypeVersions	授予列出特定 CloudFormation 类型版本的权限			列表
ListTypes	授予列出可用 CloudFormation 类型的权限			列表
PublishType	授予将指定扩展作为该区域的公共扩展发布到 CloudFormation 注册表的权限			写入
RecordHandlerProgress	授予权限以记录处理程序进度	堆栈*	aws: ResourceTag /$ {} TagKey	写入
RegisterPublisher	授予在注册 CloudFormation 表中将账户注册为公共扩展发布者的权限			写入
RegisterType	授予注册新 CloudFormation 类型的权限			写入
RollbackStack	授予将堆栈回滚到最后一个稳定状态的权限	堆栈*	aws: ResourceTag /$ {} TagKey 云层：RoleArn	写入
SetStackPolicy	授予为指定堆栈设置堆栈策略的权限	堆栈*	aws: ResourceTag /$ {} TagKey 云层：StackPolicyUrl	权限管理，写入
SetTypeConfiguration	授予在给定账户和区域中为已注册的 CloudFormation 扩展程序设置配置数据的权限			写入
SetTypeDefaultVersion	授予权限以设置某一 CloudFormation 类型的哪个版本适用于 CloudFormation 操作			写入
SignalResource	授予向指定资源发送包含成功或失败状态信号的权限	堆栈*	aws: ResourceTag /$ {} TagKey	写入
StartResourceScan	授予权限以开始扫描该账户在该区域的资源			写入
StopStackSetOperation	授予停止对堆栈集及其关联堆栈实例的进行中操作的权限	堆栈集*	aws: ResourceTag /$ {} TagKey	写入
TagResource	授予标记 CloudFormation 资源的权限	变更集	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys 云层：CreateAction	标记、写作
		堆栈	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys 云层：CreateAction
		堆栈集	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys 云层：CreateAction
TestType	授予测试已注册扩展程序的权限，以确保其满足在 CloudFormation 注册表中发布的所有必要要求			写入
UntagResource	授予权限以取消标记 CloudFormation 资源	变更集	aws: ResourceTag /$ {} TagKey aws：TagKeys 云层：CreateAction	标记、写作
		堆栈	aws: ResourceTag /$ {} TagKey aws：TagKeys 云层：CreateAction
		堆栈集	aws: ResourceTag /$ {} TagKey aws：TagKeys 云层：CreateAction
UpdateGeneratedTemplate	授予权限以更新生成的模板这可用于更改名称、添加和删除资源、刷新资源以及更改 DeletionPolicy 和 UpdateReplacePolicy 设置			写入
UpdateStack	授予依照模板中的指定更新堆栈的权限	堆栈*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys 云层：ResourceTypes 云层：RoleArn 云层：StackPolicyUrl 云层：TemplateUrl	写入
UpdateStackInstances	授予在指定区域内为指定账户的堆栈实例更新参数值的权限。	堆栈集*	aws: ResourceTag /$ {} TagKey 云层：TargetRegion	写入
		堆栈集目标	云层：TargetRegion
		type	云层：TargetRegion
UpdateStackSet	授予依照模板中的指定更新堆栈集的权限	堆栈集*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys 云层：RoleArn 云层：TargetRegion 云层：TemplateUrl	写入
		堆栈集目标	aws: RequestTag /$ {} TagKey aws：TagKeys 云层：RoleArn 云层：TargetRegion 云层：TemplateUrl
		type	aws: RequestTag /$ {} TagKey aws：TagKeys 云层：RoleArn 云层：TargetRegion 云层：TemplateUrl
UpdateTerminationProtection	授予为指定堆栈更新终止保护的权限	堆栈*	aws: ResourceTag /$ {} TagKey	写入
ValidateTemplate	授予验证指定模板的权限		云层：TemplateUrl	读取

Permission-only 的行动 AWS CloudFormation

以下操作由定义， AWS CloudFormation 但不能通过任何 API 操作直接调用。它们只能在 IAM 策略声明中用于授予或拒绝权限。

操作	说明	资源类型（* 为必需）	条件键	访问级别
CreateUploadBucket	授予将模板上传到 Amazon S3 存储桶的权限。仅供 AWS CloudFormation 控制台使用，未记录在 API 参考中			写入

由定义的资源类型 AWS CloudFormation

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。

资源类型	ARN	条件键
变更集	arn: $ {Partition}: cloudformation: $ {Region}: $ {Account}: ChangeSet/$ {} /$ {Id} ChangeSetName	aws: ResourceTag /$ {} TagKey
生成的模板	arn: $ {Partition}: cloudformation: $ {Region}: $ {Account}: generatedTemplate/$ {Id}
资源可以	arn: $ {Partition}: cloudformation: $ {Region}: $ {Account}: resourcesCan/$ {Id}
stack	arn: $ {Partition}: cloudformation: $ {Region}: $ {Account}: stack/$ {} /$ {Id} StackName	aws: ResourceTag /$ {} TagKey
stackset	arn: $ {Partition}: cloudformation: $ {Region}: $ {Account}: stackset/$ {}: $ {Id} StackSetName	aws: ResourceTag /$ {} TagKey
堆栈集目标	arn: $ {Partition}: cloudformation: $ {Region}: $ {Account}: stackset-target/$ {} StackSetTarget
type	arn: $ {Partition}: cloudformation: $ {Region}: $ {账户}: type/resource /$ {Type}
类型挂钩	arn: $ {Partition}: cloudformation: $ {Region}: $ {账户}: type/hook /$ {Type}

的条件键 AWS CloudFormation

AWS CloudFormation 定义了可在 IAM 策略Condition元素中使用的以下条件键。

条件键	描述	类型
aws: RequestTag /$ {} TagKey	按请求中传递的标签筛选访问权限	字符串
aws: ResourceTag /$ {} TagKey	按与资源关联的标签筛选访问权限	字符串
aws：TagKeys	按请求中传递的标签键筛选访问权限	ArrayOfString
云层：ChangeSetName	按 AWS CloudFormation 更改集名称筛选访问权限。用于控制 IAM 用户可执行或删除的更改集	字符串
云层：CreateAction	按资源改变 API 操作的名称筛选访问权限。用于控制 IAM 用户可以使用哪些 API 在堆栈或堆栈集上添加或删除标签	字符串
云层：ImportResourceTypes	按模板资源类型筛选访问权限，例如 AWS:: EC2:: Instance。用于控制 IAM 用户希望将资源导入堆栈时可以使用的资源类型	字符串
云层：ResourceTypes	按模板资源类型筛选访问权限，例如 AWS:: EC2:: Instance。用于控制 IAM 用户在创建或更新堆栈时可以使用的资源类型	ArrayOfString
云层：RoleArn	按 IAM 服务角色的 ARN 筛选访问权限。用于控制 IAM 用户在处理堆栈或更改集时可使用的服务角色	进行筛选
云层：StackPolicyUrl	按 Amazon S3 堆栈策略 URL 筛选访问权限。用于控制在创建或更新堆栈操作期间 IAM 用户可将哪些堆栈策略关联到堆栈	字符串
云层：TargetRegion	按堆栈集目标区域筛选访问权限。用于控制 IAM 用户在创建或更新堆栈集时可以使用的区域	ArrayOfString
云层：TemplateUrl	按 Amazon S3 模板 URL 筛选访问权限。用于控制 IAM 用户在创建或更新堆栈时可以使用的模板	字符串
云层：TypeArn	按分机的 ARN 筛选访问权限 CloudFormation	进行筛选

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

AWS Cloud9 (cloud9)

AWS cloudHSM (cloudhsm)