Amazon Elastic Container Service 的操作、资源和条件键

Amazon Elastic Container 服务（服务前缀:ecs）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。
查看此服务的编程服务授权参考。

主题

Amazon 弹性容器服务定义的 API 操作
Amazon Elastic Container Service 定义的操作
Permission-only Amazon 弹性容器服务的操作
Amazon Elastic Container Service 定义的资源类型
Amazon Elastic Container Service 的条件键

Amazon 弹性容器服务定义的 API 操作

下表将 API 操作映射到它们授权的 IAM 操作。仅列出具有给定 API 和操作的静态值的条件键；有关每个操作支持的完整条件键集，请参阅操作表。

操作	IAM 操作	条件键	可能的值	访问级别
ContinueServiceDeployment	ecs: ContinueServiceDeployment			写入
CreateCapacityProvider	ecs: CreateCapacityProvider			写入
	ecs: PutClusterCapacityProviders			写入
	ecs: TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ecs.amazonaws.co	写入
CreateCluster	ecs: CreateCluster			写入
CreateCluster	ecs: TagResource			标记、写作
CreateDaemon	ecs: CreateDaemon			写入
	ecs: TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ecs-tasks.amaws.com	写入
CreateExpressGatewayService	ecs: CreateCluster			写入
	ecs: CreateExpressGatewayService			写入
	ecs: RegisterTaskDefinition			写入
	ecs: TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ecs-tasks.amazonaws.com，ecs.amaws.com	写入
CreateService	ecs: CreateService			写入
	ecs: TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ecs-tasks.amazonaws.com，ecs.amaws.com	写入
CreateTaskSet	ecs: CreateTaskSet			写入
	ecs: TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ecs-tasks.amaws.com	写入
DeleteAccountSetting	ecs: DeleteAccountSetting			写入
DeleteAttributes	ecs: DeleteAttributes			写入
DeleteCapacityProvider	ecs: DeleteCapacityProvider			写入
DeleteCapacityProvider	ecs: PutClusterCapacityProviders			写入
DeleteCluster	ecs: DeleteCluster			写入
DeleteDaemon	ecs: DeleteDaemon			写入
DeleteDaemonTaskDefinition	ecs: DeleteDaemonTaskDefinition			写入
DeleteExpressGatewayService	ecs: DeleteExpressGatewayService			写入
DeleteService	ecs: DeleteService			写入
DeleteTaskDefinitions	ecs: DeleteTaskDefinitions			写入
DeleteTaskSet	ecs: DeleteTaskSet			写入
DeregisterContainerInstance	ecs: DeregisterContainerInstance			写入
DeregisterTaskDefinition	ecs: DeregisterTaskDefinition			写入
DescribeCapacityProviders	ecs: DescribeCapacityProviders			读取
DescribeClusters	ecs: DescribeClusters			读取
DescribeContainerInstances	ecs: DescribeContainerInstances			读取
DescribeDaemon	ecs: DescribeDaemon			读取
DescribeDaemonDeployments	ecs: DescribeDaemonDeployments			读取
DescribeDaemonRevisions	ecs: DescribeDaemonRevisions			读取
DescribeDaemonTaskDefinition	ecs: DescribeDaemonTaskDefinition			读取
DescribeExpressGatewayService	ecs: DescribeExpressGatewayService			读取
DescribeServiceDeployments	ecs: DescribeServiceDeployments			读取
DescribeServiceRevisions	ecs: DescribeServiceRevisions			读取
DescribeServices	ecs: DescribeServices			读取
DescribeTaskDefinition	ecs: DescribeTaskDefinition			读取
DescribeTaskSets	ecs: DescribeTaskSets			读取
DescribeTasks	ecs: DescribeTasks			读取
DiscoverPollEndpoint	ecs: DiscoverPollEndpoint			写入
ExecuteCommand	ecs: ExecuteCommand			写入
GetTaskProtection	ecs: GetTaskProtection			读取
ListAccountSettings	ecs: ListAccountSettings			读取
ListAttributes	ecs: ListAttributes			列表
ListClusters	ecs: ListClusters			列表
ListContainerInstances	ecs: ListContainerInstances			列表
ListDaemonDeployments	ecs: ListDaemonDeployments			列表
ListDaemonTaskDefinitions	ecs: ListDaemonTaskDefinitions			列表
ListDaemons	ecs: ListDaemons			列表
ListServiceDeployments	ecs: ListServiceDeployments			列表
ListServices	ecs: ListServices			列表
ListServicesByNamespace	ecs: ListServicesByNamespace			列表
ListTagsForResource	ecs: ListTagsForResource			读取
ListTaskDefinitionFamilies	ecs: ListTaskDefinitionFamilies			列表
ListTaskDefinitions	ecs: ListTaskDefinitions			列表
ListTasks	ecs: ListTasks			列表
PutAccountSetting	ecs: PutAccountSetting			写入
PutAccountSettingDefault	ecs: PutAccountSettingDefault			写入
PutAttributes	ecs: PutAttributes			写入
PutClusterCapacityProviders	ecs: PutClusterCapacityProviders			写入
RegisterContainerInstance	ecs: RegisterContainerInstance			写入
RegisterContainerInstance	ecs: TagResource			标记、写作
RegisterDaemonTaskDefinition	ecs: RegisterDaemonTaskDefinition			写入
	ecs: TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ecs-tasks.amaws.com	写入
RegisterTaskDefinition	ecs: RegisterTaskDefinition			写入
	ecs: TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ecs-tasks.amaws.com	写入
RunTask	ecs: RunTask			写入
	ecs: TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ecs-tasks.amazonaws.com，ecs.amaws.com	写入
StartTask	ecs: StartTask			写入
	ecs: TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ecs-tasks.amazonaws.com，ecs.amaws.com	写入
StopServiceDeployment	ecs: StopServiceDeployment			写入
StopTask	ecs: StopTask			写入
SubmitAttachmentStateChanges	ecs: SubmitAttachmentStateChanges			写入
SubmitContainerStateChange	ecs: SubmitContainerStateChange			写入
SubmitTaskStateChange	ecs: SubmitTaskStateChange			写入
TagResource	ecs: TagResource			标记、写作
UntagResource	ecs: UntagResource			标记、写作
UpdateCapacityProvider	ecs: PutClusterCapacityProviders			写入
	ecs: UpdateCapacityProvider			写入
	我是：PassRole	我是：PassedToService	ecs.amazonaws.co	写入
UpdateCluster	ecs: UpdateCluster			写入
UpdateClusterSettings	ecs: UpdateClusterSettings			写入
UpdateContainerAgent	ecs: UpdateContainerAgent			写入
UpdateContainerInstancesState	ecs: UpdateContainerInstancesState			写入
UpdateDaemon	ecs: UpdateDaemon			写入
UpdateDaemon	我是：PassRole	我是：PassedToService	ecs-tasks.amaws.com	写入
UpdateExpressGatewayService	ecs: RegisterTaskDefinition			写入
	ecs: UpdateExpressGatewayService			写入
	我是：PassRole	我是：PassedToService	ecs-tasks.amazonaws.com，ecs.amaws.com	写入
UpdateService	ecs: UpdateService			写入
UpdateService	我是：PassRole	我是：PassedToService	ecs-tasks.amazonaws.com，ecs.amaws.com	写入
UpdateServicePrimaryTaskSet	ecs: UpdateServicePrimaryTaskSet			写入
UpdateTaskProtection	ecs: UpdateTaskProtection			写入
UpdateTaskSet	ecs: UpdateTaskSet			写入

Amazon Elastic Container Service 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作	说明	资源类型（* 为必需）	条件键	访问级别
ContinueServiceDeployment	授予继续已暂停的服务部署的权限	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
ContinueServiceDeployment	授予继续已暂停的服务部署的权限	服务部署*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 服务	写入
CreateCapacityProvider	授予创建新容量提供程序的权限。容量提供程序与 Amazon ECS 集群关联，在容量提供程序策略中用于协助集群的自动扩展	容量提供者*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 实例元数据标签传播 ecs: 传播标签 ecs: ResourceTag /$ {} TagKey	写入
CreateCluster	授予创建新 Amazon ECS 集群的权限	集群*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 容量提供商 ecs: fargate-phemeral-storage-key ecs: ResourceTag /$ {} TagKey	写入
CreateDaemon	授予在指定集群中创建新守护程序的权限	守护进程*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 容量提供商 ecs: 集群 ecs: 守护程序任务定义 ecs: 启用 ecs 托管标签 ecs: 启用-执行命令 ecs: 传播标签 ecs: task-cpu ecs: 任务记忆	写入
CreateExpressGatewayService	授予使用集群和任务定义创建新 Amazon ECS Express Gateway 服务的权限	服务*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 集群 ecs: 启用 ecs 托管标签 ecs: 传播标签 ecs: ResourceTag /$ {} TagKey ecs: 子网 ecs: task-cpu ecs: 任务定义 ecs: 任务记忆	写入
CreateService	授予通过创建服务从指定任务定义运行和维护所需数量的任务的权限	服务*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 自动分配公共 IP ecs: 容量提供商 ecs: 集群 ecs: 启用 ebs-volumes ecs: 启用 ecs 托管标签 ecs: 启用-执行命令 ecs: 启用服务连接 ecs: enable-vpc-lattice ecs: 命名空间 ecs: 传播标签 ecs: ResourceTag /$ {} TagKey ecs: 子网 ecs: task-cpu ecs: 任务定义 ecs: 任务记忆	写入
CreateTaskSet	授予创建新 Amazon ECS 任务集的权限	任务集*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 容量提供商 ecs: 集群 ecs: ResourceTag /$ {} TagKey ecs: 服务 ecs: 任务定义	写入
DeleteAccountSetting	授权限以予修改账户的指定 IAM 用户、IAM 角色或根用户的资源的 ARN 和资源 ID 格式。您可以指定是否为创建的新资源禁用新的 ARN 和资源 ID 格式。		ecs: 账户设置	写入
DeleteAttributes	授予从 Amazon ECS 资源中删除一个或多个自定义属性的权限	容器实例*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
DeleteCapacityProvider	授予删除指定容量提供程序的权限	容量提供者*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	写入
DeleteCluster	授予权限以删除指定的集群	集群*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	写入
DeleteDaemon	授予删除集群内指定守护程序的权限	守护进程*	aws: ResourceTag /$ {} TagKey ecs: 集群	写入
DeleteDaemonTaskDefinition	授予删除指定守护程序任务定义的权限	守护程序任务定义*	aws: ResourceTag /$ {} TagKey	写入
DeleteExpressGatewayService	授予删除指定 Express Gateway 服务的权限	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
DeleteService	授予删除集群内的指定服务的权限	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
DeleteTaskDefinitions	授予按系列和修订删除指定任务定义的权限	任务定义*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	写入
DeleteTaskSet	授予权限以删除指定的任务集	任务集*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey ecs: 服务	写入
DeregisterContainerInstance	授予从指定的集群取消注册 Amazon ECS 容器实例的权限	集群*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	写入
DeregisterTaskDefinition	授予按系列和修订取消注册指定任务定义的权限			Write
DescribeCapacityProviders	授予描述一个或多个 Amazon ECS 容量提供商的权限	容量提供者*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	读取
DescribeClusters	授予权限以描述一个或多个集群	集群*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	读取
DescribeContainerInstances	授予描述 Amazon ECS 容器实例的权限	容器实例*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	读取
DescribeDaemon	授予描述集群中运行的指定守护程序的权限	守护进程*	aws: ResourceTag /$ {} TagKey ecs: 集群	读取
DescribeDaemonDeployments	授予描述您的一个或多个守护程序部署的权限	守护进程*	aws: ResourceTag /$ {} TagKey ecs: 集群	读取
DescribeDaemonDeployments	授予描述您的一个或多个守护程序部署的权限	守护程序部署*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 守护程序	读取
DescribeDaemonRevisions	授予描述您的一个或多个守护程序修订版的权限	守护进程*	aws: ResourceTag /$ {} TagKey ecs: 集群	读取
DescribeDaemonRevisions	授予描述您的一个或多个守护程序修订版的权限	守护程序修订版*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 守护程序	读取
DescribeDaemonTaskDefinition	授予描述守护程序任务定义的权限	守护程序任务定义*	aws: ResourceTag /$ {} TagKey	读取
DescribeExpressGatewayService	授予描述指定的 Express Gateway 服务的权限	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	读取
DescribeServiceDeployments	授予权限以描述一个或多个服务部署	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	读取
DescribeServiceDeployments	授予权限以描述一个或多个服务部署	服务部署*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 服务	读取
DescribeServiceRevisions	授予权限以描述一个或多个服务修订	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	读取
DescribeServiceRevisions	授予权限以描述一个或多个服务修订	服务修订版*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 服务	读取
DescribeServices	授予描述集群中运行的指定服务的权限	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	读取
DescribeTaskDefinition	授予描述任务定义的权限。您可以指定系列和修订以查找有关特定任务定义的信息，也可以只指定系列以查找该系列中最新的有效修订			Read
DescribeTaskSets	授予描述 Amazon ECS 任务集的权限	任务集*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey ecs: 服务	读取
DescribeTasks	授予权限以描述指定任务。	任务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	读取
DiscoverPollEndpoint	授予获得 Amazon ECS 代理的终端节点以轮询更新的权限			Write
ExecuteCommand	授予在 Amazon ECS 容器上远程运行命令的权限	集群*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 容器名称 ecs: ResourceTag /$ {} TagKey ecs: 任务	写入
ExecuteCommand	授予在 Amazon ECS 容器上远程运行命令的权限	任务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 容器名称 ecs: ResourceTag /$ {} TagKey ecs: 任务	写入
GetTaskProtection	授予检索 Amazon ECS 服务中任务的保护状态的权限	任务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	读取
ListAccountSettings	授予权限以列出指定委托人的 Amazon ECS 资源的账户设置			Read
ListAttributes	授予权限以列出指定目标类型和集群中的 Amazon ECS 资源的属性	集群*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	列表
ListClusters	授予获取现有集群列表的权限			List
ListContainerInstances	授予获取指定集群中容器实例列表的权限	集群*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	列表
ListDaemonDeployments	授予获取指定守护程序的守护程序部署列表的权限	守护进程*	aws: ResourceTag /$ {} TagKey ecs: 集群	列表
ListDaemonTaskDefinitions	授予获取已注册到您的账户的守护程序任务定义列表的权限			列表
ListDaemons	授予获取在指定集群中运行的守护程序列表的权限		ecs: 集群	列表
ListServiceDeployments	授予权限以获取指定服务的服务部署的列表	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	列表
ListServices	授予获取在指定集群中运行的服务列表的权限		ecs: 集群	列表
ListServicesByNamespace	授予获取在指定 AWS Cloud Map 命名空间中运行的服务列表的权限		ecs: 命名空间	列表
ListTagsForResource	授予获取指定资源的标签列表的权限	容量提供者	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	读取
		集群	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
		容器实例	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
		service	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
		task	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
		任务定义	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
		任务集	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
ListTaskDefinitionFamilies	授予权限以获取注册到您的账户的任务定义系列的列表（其中可能包括不再具有任何有效任务定义的任务定义系列）。			List
ListTaskDefinitions	授予获取注册到您的账户的任务定义列表的权限。			List
ListTasks	授予获取指定集群的任务列表的权限	容器实例*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	列表
PutAccountSetting	授权限以予修改账户的指定 IAM 用户、IAM 角色或根用户的资源的 ARN 和资源 ID 格式。您可以指定是否为创建的新资源启用新的 ARN 和资源 ID 格式。需要启用该设置才能使用新的 Amazon ECS 功能，如资源标记		ecs: 账户设置	写入
PutAccountSettingDefault	授予权限以修改账户中的所有 IAM 用户（未设置单独的账户设置）的资源类型的 ARN 和资源 ID 格式。需要启用该设置才能使用新的 Amazon ECS 功能，如资源标记		ecs: 账户设置	写入
PutAttributes	授予在 Amazon ECS 资源上创建或更新属性的权限	容器实例*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
PutClusterCapacityProviders	授予修改集群的可用容量提供程序和默认的容量提供程序策略的权限	集群*	aws: ResourceTag /$ {} TagKey ecs: 容量提供商 ecs: ResourceTag /$ {} TagKey	写入
RegisterContainerInstance	授予将 EC2 实例注册到指定集群的权限	集群*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: ResourceTag /$ {} TagKey	写入
RegisterDaemonTaskDefinition	授予从提供的系列和 ContainerDefinitions 中注册新的守护程序任务定义的权限	守护程序任务定义*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 特权 ecs: task-cpu ecs: 任务记忆	写入
RegisterTaskDefinition	授予从提供的系列和 containerDefinitions 注册新的任务定义的权限。	任务定义*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 计算兼容性 ecs: 特权 ecs: ResourceTag /$ {} TagKey ecs: task-cpu ecs: 任务记忆	写入
RunTask	授予使用随机放置和默认的 Amazon ECS 计划程序启动任务的权限	任务定义*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 容量提供商 ecs: 集群 ecs: 启用 ebs-volumes ecs: 启用-执行命令 ecs: ResourceTag /$ {} TagKey ecs: task-cpu ecs: 任务记忆	写入
StartTask	授予从指定的一个或多个容器实例上的指定任务定义启动新任务的权限	任务定义*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 集群 ecs: 容器实例 ecs: 启用 ebs-volumes ecs: 启用-执行命令 ecs: ResourceTag /$ {} TagKey ecs: task-cpu ecs: 任务记忆	写入
StopServiceDeployment	授予权限以停止正在进行的服务部署	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
StopServiceDeployment	授予权限以停止正在进行的服务部署	服务部署*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 服务	写入
StopTask	授予权限以停止正在运行的任务	任务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
SubmitAttachmentStateChanges	授予发送附件更改状态的确认的权限	集群*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	写入
SubmitContainerStateChange	授予发送容器更改状态的确认的权限	集群*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	写入
SubmitTaskStateChange	授予发送任务更改状态的确认的权限	集群*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	写入
TagResource	授予标记指定资源的权限	容量提供者	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: CreateAction ecs: ResourceTag /$ {} TagKey	标记、写作
		集群	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: CreateAction ecs: ResourceTag /$ {} TagKey
		容器实例	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: CreateAction ecs: ResourceTag /$ {} TagKey
		守护程序	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 集群 ecs: CreateAction
		守护进程任务定义	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: CreateAction
		service	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: CreateAction ecs: ResourceTag /$ {} TagKey
		task	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: CreateAction ecs: ResourceTag /$ {} TagKey
		任务定义	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: CreateAction ecs: ResourceTag /$ {} TagKey
		任务集	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: CreateAction ecs: ResourceTag /$ {} TagKey
UntagResource	授予取消标记指定资源的权限	容量提供者	aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: ResourceTag /$ {} TagKey	标记、写作
		集群	aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: ResourceTag /$ {} TagKey
		容器实例	aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: ResourceTag /$ {} TagKey
		守护程序	aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: 集群
		守护进程任务定义	aws: ResourceTag /$ {} TagKey aws：TagKeys
		service	aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: ResourceTag /$ {} TagKey
		task	aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: ResourceTag /$ {} TagKey
		任务定义	aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: ResourceTag /$ {} TagKey
		任务集	aws: ResourceTag /$ {} TagKey aws：TagKeys ecs: ResourceTag /$ {} TagKey
UpdateCapacityProvider	授予更新指定容量提供程序的权限	容量提供者*	aws: ResourceTag /$ {} TagKey ecs: 实例元数据标签传播 ecs: 传播标签 ecs: ResourceTag /$ {} TagKey	写入
UpdateCluster	授予修改要用于集群的配置或设置的权限	集群*	aws: ResourceTag /$ {} TagKey ecs: fargate-phemeral-storage-key ecs: ResourceTag /$ {} TagKey	写入
UpdateClusterSettings	授予修改设置以用于集群的权限	集群*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	写入
UpdateContainerAgent	授予更新指定容器实例上的 Amazon ECS 容器代理的权限	容器实例*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
UpdateContainerInstancesState	授予用户修改 Amazon ECS 容器实例的状态的权限	容器实例*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
UpdateDaemon	授予修改守护程序参数的权限	守护进程*	aws: ResourceTag /$ {} TagKey ecs: 容量提供商 ecs: 集群 ecs: 守护程序任务定义 ecs: 启用 ecs 托管标签 ecs: 启用-执行命令 ecs: 传播标签 ecs: task-cpu ecs: 任务记忆	写入
UpdateExpressGatewayService	授予修改 Express Gateway 服务参数的权限	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 启用 ecs 托管标签 ecs: 传播标签 ecs: ResourceTag /$ {} TagKey ecs: 子网 ecs: task-cpu ecs: 任务定义 ecs: 任务记忆	写入
UpdateService	授予权限以修改服务的参数	服务*	aws: ResourceTag /$ {} TagKey ecs: 自动分配公共 IP ecs: 容量提供商 ecs: 集群 ecs: 启用 ebs-volumes ecs: 启用 ecs 托管标签 ecs: 启用-执行命令 ecs: 启用服务连接 ecs: enable-vpc-lattice ecs: 命名空间 ecs: 传播标签 ecs: ResourceTag /$ {} TagKey ecs: 子网 ecs: task-cpu ecs: 任务定义 ecs: 任务记忆	写入
UpdateServicePrimaryTaskSet	授予修改服务中使用的主任务集的权限	服务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
UpdateTaskProtection	授予修改任务的保护状态的权限	任务*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
UpdateTaskSet	授予更新指定任务集的权限	任务集*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey ecs: 服务	写入

Permission-only Amazon 弹性容器服务的操作

以下操作由 Amazon 弹性容器服务定义，但不能通过任何 API 操作直接调用。它们只能在 IAM 策略声明中用于授予或拒绝权限。

操作	说明	资源类型（* 为必需）	条件键	访问级别
AllowVendedLogDeliveryForResource	授予权限以允许为指定资源提供预付费日志	集群	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	权限管理，写入
民意调查	向代理授予连接 Amazon ECS 服务以报告状态和获取命令的权限	容器实例*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
PutSystemLogEvents	授予权限以从容器实例收集系统日志	集群*	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey	写入
PutSystemLogEvents	授予权限以从容器实例收集系统日志	容器实例*	aws: ResourceTag /$ {} TagKey ecs: 容量提供商 ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入
StartTelemetrySession	授予权限以启动遥测会话	容器实例*	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: ResourceTag /$ {} TagKey	写入

Amazon Elastic Container Service 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。

资源类型	ARN	条件键
容量提供者	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: capity-provider/$ {} CapacityProviderName	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
集群	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: cluster/$ {} ClusterName	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
容器实例	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: container-instance/$ {} /$ {} ClusterName ContainerInstanceId	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
守护程序	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: daemon/$ {} /$ {} ClusterName DaemonName	aws: ResourceTag /$ {} TagKey ecs: 集群
守护程序部署	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: daemon-deploymen/$ {} /$ {} /$ {} /$ {} ClusterName DaemonName DaemonDeploymentId	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 守护程序
守护程序修订版	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: daemon-revision/$ {} /$ {} /$ {} /$ {} /$ {} ClusterName DaemonName DaemonRevisionId	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 守护程序
守护程序任务定义	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: daemon-task-definition/$ {}: $ {} DaemonTaskDefinitionFamilyName DaemonTaskDefinitionRevisionNumber	aws: ResourceTag /$ {} TagKey
服务	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: service/$ {} /$ {} ClusterName ServiceName	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
服务部署	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: service-deployment/$ {} /$ {} /$ {} /$ {ClusterName} ServiceName ServiceDeploymentId	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 服务
服务修订	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: service-revision/$ {} /$ {} /$ {} /$ {} /$ {} ClusterName ServiceName ServiceRevisionId	aws: ResourceTag /$ {} TagKey ecs: 集群 ecs: 服务
任务	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: task/$ {} /$ {} ClusterName TaskId	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
任务定义	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: task-definition/$ {}: $ {} TaskDefinitionFamilyName TaskDefinitionRevisionNumber	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey
任务集	arn: $ {Partition}: ecs: $ {Region}: $ {Account}: task-set/$ {} /$ {} /$ {} /$ {} ClusterName ServiceName TaskSetId	aws: ResourceTag /$ {} TagKey ecs: ResourceTag /$ {} TagKey

Amazon Elastic Container Service 的条件键

Amazon Elastic Container Service 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。

条件键	描述	类型
aws: RequestTag /$ {} TagKey	按请求中传递的标签筛选访问权限	字符串
aws: ResourceTag /$ {} TagKey	按附加到资源的标签键值对筛选访问权限	字符串
aws：TagKeys	按请求中传递的标签键筛选访问权限	ArrayOfString
ecs: CreateAction	按资源创建 API 操作的名称筛选访问	字符串
ecs: ResourceTag /$ {} TagKey	按附加到资源的标签键值对筛选访问权限	字符串
ecs: 账户设置	按 Amazon ECS 账户设置名称筛选访问权限	字符串
ecs: 自动分配公共 IP	按使用 awsvpc 网络模式的 Amazon ECS 任务或 Amazon ECS 服务的公有 IP 分配配置筛选访问权限	布尔型
ecs: 容量提供商	按 Amazon ECS 容量提供程序的 ARN 筛选访问权限	ArrayOfARN
ecs: 集群	按 Amazon ECS 集群的 ARN 筛选访问	进行筛选
ecs: 计算兼容性	按请求中提供的必填兼容性字段筛选访问权限	ArrayOfString
ecs: 容器实例	按 Amazon ECS 容器实例的 ARN 筛选访问权限	进行筛选
ecs: 容器名称	按 ECS 任务定义中定义的 Amazon ECS 容器名称筛选访问权限	字符串
ecs: 守护程序	通过 Amazon ECS 守护程序的 ARN 筛选访问权限	进行筛选
ecs: 守护程序任务定义	按照 Amazon ECS 守护程序任务定义的 ARN 筛选访问权限	进行筛选
ecs: 启用 ebs-volumes	按 ECS 任务或服务的 Amazon ECS 托管 Amazon EBS 卷功能筛选访问权限	字符串
ecs: 启用 ecs 托管标签	通过启用您的 Amazon ECS 任务或 Amazon ECS 服务的ECSManagedTags 配置来筛选访问权限	布尔型
ecs: 启用-执行命令	按 Amazon ECS 任务或 Amazon ECS 服务的执行命令功能筛选访问权限	字符串
ecs: 启用服务连接	按服务连接配置中的启用字段值筛选访问权限	字符串
ecs: enable-vpc-lattice	按 Amazon ECS 服务的 VPC Lattice 功能筛选访问权限	字符串
ecs: fargate-phemeral-storage-key	按请求中提供的 AWS KMS 密钥 ID 筛选访问权限	字符串
ecs: 网关	按亚马逊 ECS 网关的 ARN 筛选访问权限	进行筛选
ecs: 实例元数据标签传播	按您的 Amazon ECS 容量提供商的实例元数据标签传播设置筛选访问权限	布尔型
ecs: 命名空间	按照 Service Connect 配置中定义 AWS Cloud 的地图命名空间的 ARN 筛选访问权限	进行筛选
ecs: 特权	按请求中提供的特权字段筛选访问权限	字符串
ecs: 传播标签	按 Amazon ECS 任务或 Amazon ECS 服务的标签传播配置筛选访问权限	字符串
ecs: 服务	按 Amazon ECS 服务的 ARN 筛选访问权限	进行筛选
ecs: 子网	按使用 awsvpc 网络模式的 Amazon ECS 任务或 Amazon ECS 服务的子网配置筛选访问权限	ArrayOfString
ecs: 任务	按 Amazon ECS 任务的 ARN 筛选访问权限	进行筛选
ecs: task-cpu	按请求中提供的任务 cpu（以整数表示，1024 = 1 vCPU）筛选访问权限	数值
ecs: 任务定义	按 Amazon ECS 任务定义的 ARN 筛选访问权限	进行筛选
ecs: 任务记忆	按请求中提供的任务内存（以 MiB 为单位的整数表示）筛选访问权限	数值

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

Amazon 弹性容器注册表公共版 (ecr-public)

亚马逊 Elastic File System（弹性文件系统）