的操作、资源和条件键 AWS 目录服务
AWS Directory Service（服务前缀:ds）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。
参考：
-
了解如何配置该服务。
-
了解如何使用 IAM 权限策略保护该服务及其资源。
-
查看此服务的编程服务授权参考
。
API 操作定义为 AWS 目录服务
下表将 API 操作映射到它们授权的 IAM 操作。仅列出具有给定 API 和操作的静态值的条件键；有关每个操作支持的完整条件键集，请参阅操作表。
| 操作 | IAM 操作 | 条件键 | 可能的值 | 访问级别 |
|---|---|---|---|---|
|
AcceptSharedDirectory |
写入 |
|||
|
AddIpRoutes |
写入 |
|||
|
AddRegion |
写入 |
|||
|
AddTagsToResource |
标记、写作 |
|||
|
CancelSchemaExtension |
写入 |
|||
|
ConnectDirectory |
标记、写作 |
|||
写入 |
||||
|
CreateAlias |
写入 |
|||
|
CreateComputer |
写入 |
|||
|
CreateConditionalForwarder |
写入 |
|||
|
CreateDirectory |
标记、写作 |
|||
写入 |
||||
|
CreateHybrid广告 |
标记、写作 |
|||
写入 |
||||
|
CreateLogSubscription |
写入 |
|||
|
CreateMicrosoft广告 |
标记、写作 |
|||
写入 |
||||
|
CreateSnapshot |
写入 |
|||
|
CreateTrust |
写入 |
|||
|
删除广告评估 |
写入 |
|||
|
DeleteConditionalForwarder |
写入 |
|||
|
DeleteDirectory |
写入 |
|||
|
DeleteLogSubscription |
写入 |
|||
|
DeleteSnapshot |
写入 |
|||
|
DeleteTrust |
写入 |
|||
|
DeregisterCertificate |
写入 |
|||
|
DeregisterEventTopic |
写入 |
|||
|
描述广告评估 |
读取 |
|||
|
DescribeCAEnrollmentPolicy |
读取 |
|||
|
DescribeCertificate |
读取 |
|||
|
DescribeClientAuthenticationSettings |
读取 |
|||
|
DescribeConditionalForwarders |
读取 |
|||
|
DescribeDirectories |
列表 |
|||
|
DescribeDirectoryDataAccess |
读取 |
|||
|
DescribeDomainControllers |
读取 |
|||
|
DescribeEventTopics |
读取 |
|||
|
DescribeHybridADUpdate |
读取 |
|||
|
查看 DapsSettings |
读取 |
|||
|
DescribeRegions |
读取 |
|||
|
DescribeSettings |
读取 |
|||
|
DescribeSharedDirectories |
读取 |
|||
|
DescribeSnapshots |
读取 |
|||
|
DescribeTrusts |
读取 |
|||
|
DescribeUpdateDirectory |
读取 |
|||
|
DisableCAEnrollmentPolicy |
写入 |
|||
|
DisableClientAuthentication |
写入 |
|||
|
DisableDirectoryDataAccess |
写入 |
|||
|
禁用 Daps |
写入 |
|||
|
DisableRadius |
写入 |
|||
|
DisableSso |
写入 |
|||
|
EnableCAEnrollmentPolicy |
写入 |
|||
|
EnableClientAuthentication |
写入 |
|||
|
EnableDirectoryDataAccess |
写入 |
|||
|
启用 dAps |
写入 |
|||
|
EnableRadius |
写入 |
|||
|
EnableSso |
写入 |
|||
|
GetDirectoryLimits |
读取 |
|||
|
GetSnapshotLimits |
读取 |
|||
|
列出广告评估 |
列表 |
|||
|
ListCertificates |
列表 |
|||
|
ListIpRoutes |
读取 |
|||
|
ListLogSubscriptions |
读取 |
|||
|
ListSchemaExtensions |
列表 |
|||
|
ListTagsForResource |
读取 |
|||
|
RegisterCertificate |
写入 |
|||
|
RegisterEventTopic |
写入 |
|||
|
RejectSharedDirectory |
写入 |
|||
|
RemoveIpRoutes |
写入 |
|||
|
RemoveRegion |
写入 |
|||
|
RemoveTagsFromResource |
标记、写作 |
|||
|
ResetUserPassword |
写入 |
|||
|
RestoreFromSnapshot |
写入 |
|||
|
ShareDirectory |
写入 |
|||
|
StartAd 评估 |
写入 |
|||
|
StartSchemaExtension |
写入 |
|||
|
UnshareDirectory |
写入 |
|||
|
UpdateConditionalForwarder |
写入 |
|||
|
UpdateDirectorySetup |
写入 |
|||
|
UpdateHybrid广告 |
写入 |
|||
|
UpdateNumberOfDomainControllers |
写入 |
|||
|
UpdateRadius |
写入 |
|||
|
UpdateSettings |
写入 |
|||
|
UpdateTrust |
写入 |
|||
|
VerifyTrust |
读取 |
操作定义为 AWS 目录服务
您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
| 操作 | 说明 | 资源类型（* 为必需） | 条件键 | 访问级别 |
|---|---|---|---|---|
授予接受从目录所有者账户中发送的目录共享请求的权限 |
写入 |
|||
授予添加 CIDR地址块以便在 Amazon Web Services 上的 Microsoft AD 之间正确路由流量的权限 |
写入 |
|||
授予在指定目录的指定区域中添加两个域控制器的权限 |
写入 |
|||
授予为指定的 Amazon Directory Services 目录添加或覆盖一个或多个标签的权限 |
标记、写作 |
|||
授予取消至 Microsoft AD 目录的正在进行的架构扩展的权限 |
写入 |
|||
授予创建 AD Connector 以连接到本地目录的权限 |
写入 |
|||
授予为目录创建别名并将别名分配至目录的权限 |
写入 |
|||
授予在指定目录中创建计算机帐户并将该计算机加入该目录的权限 |
写入 |
|||
授予创建与您的 AWS 目录关联的条件转发器的权限 |
写入 |
|||
授予创建 Simple AD 目录的权限 |
写入 |
|||
授予权限以创建混合托管式 AD 目录 |
写入 |
|||
授予创建订阅的权限，以便将实时 Directory Service 域控制器安全 CloudWatch 日志转发到您的指定日志组 AWS 账户 |
写入 |
|||
授予在 AWS 云端创建 Microsoft 广告的权限 |
写入 |
|||
授予在 AWS 云中创建 Simple AD 或 Microsoft AD 目录快照的权限 |
写入 |
|||
授予权限以启动在 AWS 云 AWS 端的 Microsoft AD 与外部域之间建立信任关系的侧面 |
写入 |
|||
授予权限以删除目录评测 |
写入 |
|||
授予删除已为您的 AWS 目录设置的条件转发器的权限 |
写入 |
|||
授予删除 D AWS irectory Service 目录的权限 |
写入 |
|||
授予删除指定日志订阅的权限 |
写入 |
|||
授予删除目录快照的权限 |
写入 |
|||
授予删除 AWS 云中你的 Microsoft AD 与外部域之间现有信任关系的权限 |
写入 |
|||
授予从系统中删除在安全的 DAP 连接中注册的证书的权限 |
写入 |
|||
授予以发布商身份删除至指定 SNS 主题的指定目录的权限 |
写入 |
|||
授予权限以描述目录评测 |
读取 |
|||
授予权限以描述指定目录的 CA 注册状态 |
读取 |
|||
授予显示在安全的 LDAP 连接中注册的证书相关信息的权限 |
读取 |
|||
授予检索指定目录（如已指定）中的客户端身份验证类型相关信息的权限。如未指定类型，则会检索与指定目录支持的所有客户端身份验证类型相关的信息。当前， SmartCard 仅支持 |
读取 |
|||
授予获取此账户的条件转发服务器相关信息的权限 |
读取 |
|||
授予获取属于此账户的目录相关信息的权限 |
列表 |
|||
授予权限以描述指定目录的 Directory Service Data API 状态 |
读取 |
|||
授予提供有关目录中的任何域控制器信息的权限 |
读取 |
|||
授予获取哪些 SNS 主题从指定目录接收状态消息相关信息的权限 |
读取 |
|||
授予权限以描述指定混合目录的更新 |
读取 |
|||
授予描述指定目录的 LDAP 安全性状态的权限 |
读取 |
|||
授予提供为多区域复制配置的区域相关信息的权限 |
读取 |
|||
授予检索有关指定目录可配置设置的信息的权限 |
读取 |
|||
授予返回账户中的共享目录的权限 |
读取 |
|||
授予获取属于此账户的目录快照相关信息的权限 |
读取 |
|||
授予获取此账户的信任关系的相关信息的权限 |
读取 |
|||
授予权限以描述特定更新类型的目录更新 |
读取 |
|||
授予权限以禁用指定目录的 CA 注册 |
写入 |
|||
授予禁用指定目录的替代客户端身份验证方法的权限 |
写入 |
|||
授予权限以禁用指定目录的 Directory Service Data API |
写入 |
|||
授予停用指定目录的 LDAP 安全调用的权限 |
写入 |
|||
授予针对 AD Connector 目录禁用远程身份验证拨入用户服务 (RADIUS) 服务器的多重验证 (MFA) 的权限 |
写入 |
|||
授予禁用目录的 Single Sign-On 的权限 |
写入 |
|||
授予权限以启用指定目录的 CA 注册 |
写入 |
|||
授予启用指定目录的替代客户端身份验证方法的权限 |
写入 |
|||
授予权限以启用指定目录的 Directory Service Data API |
写入 |
|||
授予激活特定目录的开关以始终使用 LDAP 安全调用的权限 |
写入 |
|||
授予针对 AD Connector 目录启用远程身份验证拨入用户服务 (RADIUS) 服务器的多重验证 (MFA) 的权限 |
写入 |
|||
授予启用目录的 Single Sign-On 的权限 |
写入 |
|||
授予获取当前区域的目录限制信息的权限 |
读取 |
|||
授予获取目录的手动快照限制的权限 |
读取 |
|||
授予权限以列出目录评测 |
列表 |
|||
授予列出在指定目录的安全 LDAP 连接中注册的所有证书的权限 |
列表 |
|||
授予列出您为目录添加的地址块的权限 |
读取 |
|||
授予列出活动日志订阅的权限 AWS 账户 |
读取 |
|||
授予列出应用于 Microsoft AD 目录的所有架构扩展的权限 |
列表 |
|||
授予列出 Amazon Directory Services 目录上的所有标签的权限 |
读取 |
|||
授予在安全的 LDAP 连接中注册证书的权限 |
写入 |
|||
授予将目录与 SNS 主题关联的权限 |
写入 |
|||
授予拒绝从目录所有者账户中发送的目录共享请求的权限 |
写入 |
|||
授予从目录中删除 IP 地址块的权限 |
写入 |
|||
授予停止所有复制并从指定区域中删除域控制器的权限。使用此操作无法删除主区域 |
写入 |
|||
授予从 Amazon Directory Services 目录中删除标签的权限 |
标记、写作 |
|||
授予重置你的 AWS 托管 Microsoft AD 或 Simple AD 目录中任何用户的密码的权限 |
写入 |
|||
授予使用现有目录快照恢复目录的权限 |
写入 |
|||
授予与另一个 AWS 账户 （目录使用者）共享您 AWS 账户 （目录所有者）中指定目录的权限。通过此操作，您可以从任何一个 Amazon VPC 中使用您的目录，也可以从任何 AWS 账户 一个 Amazon VPC 中使用您的目录 AWS 区域 |
写入 |
|||
授予权限以开始目录评测 |
写入 |
|||
授予将架构扩展应用于 Microsoft AD 目录的权限 |
写入 |
|||
授予停止目录所有者与使用者账户之间的目录共享的权限 |
写入 |
|||
授予更新已为您的 AWS 目录设置的条件转发器的权限 |
写入 |
|||
授予权限以更新特定更新类型的目录 |
写入 |
|||
授予权限以更新指定混合目录的配置 |
写入 |
|||
授予在目录中添加或删除域控制器的权限 根据当前值和新值（通过该 API 调用提供）之间的差异，将添加或删除域控制器。在更新了请求数量的域控制器后，最多可能需要 45 分钟才能完全激活任何新的域控制器。在此期间，您无法发出其他更新请求 |
写入 |
|||
授予更新 AD Connector 目录的远程身份验证拨入用户服务 (RADIUS) 服务器信息的权限 |
写入 |
|||
授予更新指定目录的可配置设置的权限 |
写入 |
|||
授予更新已在你的 AWS 托管 Microsoft AD 目录和本地活动目录之间建立的信任的权限 |
写入 |
|||
授予权限以验证你在 AWS 云端的 Microsoft AD 与外部域之间的信任关系 |
读取 |
Permission-only 的动作 AWS 目录服务
以下操作由 AWS Directory Service 定义，但不能通过任何 API 操作直接调用。它们只能在 IAM 策略声明中用于授予或拒绝权限。
| 操作 | 说明 | 资源类型（* 为必需） | 条件键 | 访问级别 |
|---|---|---|---|---|
授予权限以使用 Directory Service Data API 访问目录数据 |
权限管理，写入 |
|||
授予授权您的 AWS 目录应用程序的权限 |
写入 |
|||
授予验证别名是否可供使用的权限 |
读取 |
|||
授予在 AWS 云中创建 IdentityPool 目录的权限 |
写入 |
|||
授予禁用 AWS 目录中身份 AWS 管理控制台 访问权限的权限 |
写入 |
|||
授予权限以允许 AWS 管理控制台 访问您的 “ AWS 目录” 中的身份 |
写入 |
|||
授予检索目录上的授权应用程序详细信息的权限 |
读取 |
|||
授予获取目录授权的 AWS 应用程序的权限 |
读取 |
|||
授予从您的 AWS 目录中取消对应用程序的授权的权限 |
写入 |
|||
授予更新您的 AWS 目录的授权应用程序的权限 |
写入 |
|||
授予权限以更新指定目录的配置（例如服务账户凭证或 DNS 服务器 IP 地址） |
写入 |
由定义的资源类型 AWS 目录服务
以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。
| 资源类型 | ARN | 条件键 |
|---|---|---|
arn: $ {Partition}: ds: $ {Region}: $ {Account}: directory/$ {} DirectoryId |
的条件键 AWS 目录服务
AWS Directory Service 定义了以下可以在 IAM 策略Condition元素中使用的条件键。
| 条件键 | 描述 | 类型 |
|---|---|---|
按对 AWS DS 的请求值筛选访问权限 |
字符串 |
|
按正在处理的 AWS DS 资源筛选访问权限 |
字符串 |
|
按请求中传递的标签键筛选访问权限 |
ArrayOfString |
