Amazon Route 53 的操作、资源和条件键
Amazon Route 53（服务前缀:route53）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。
参考：
-
了解如何配置该服务。
-
了解如何使用 IAM 权限策略保护该服务及其资源。
-
查看此服务的编程服务授权参考
。
亚马逊 Route 53 定义的 API 操作
下表将 API 操作映射到它们授权的 IAM 操作。仅列出具有给定 API 和操作的静态值的条件键；有关每个操作支持的完整条件键集，请参阅操作表。
| 操作 | IAM 操作 | 条件键 | 可能的值 | 访问级别 |
|---|---|---|---|---|
|
ActivateKeySigningKey |
写入 |
|||
|
AssociateVPCWithHostedZone |
写入 |
|||
|
ChangeCidrCollection |
写入 |
|||
|
ChangeResourceRecordSets |
写入 |
|||
|
ChangeTagsForResource |
标记、写作 |
|||
|
CreateCidrCollection |
写入 |
|||
|
CreateHealthCheck |
写入 |
|||
|
CreateHostedZone |
写入 |
|||
|
CreateKeySigningKey |
写入 |
|||
|
CreateQueryLoggingConfig |
写入 |
|||
|
CreateReusableDelegationSet |
写入 |
|||
|
CreateTrafficPolicy |
写入 |
|||
|
CreateTrafficPolicyInstance |
写入 |
|||
|
CreateTrafficPolicyVersion |
写入 |
|||
|
CreateVPCAssociationAuthorization |
写入 |
|||
|
DeactivateKeySigningKey |
写入 |
|||
|
DeleteCidrCollection |
写入 |
|||
|
DeleteHealthCheck |
写入 |
|||
|
DeleteHostedZone |
写入 |
|||
|
DeleteKeySigningKey |
写入 |
|||
|
DeleteQueryLoggingConfig |
写入 |
|||
|
DeleteReusableDelegationSet |
写入 |
|||
|
DeleteTrafficPolicy |
写入 |
|||
|
DeleteTrafficPolicyInstance |
写入 |
|||
|
DeleteVPCAssociationAuthorization |
写入 |
|||
|
DisableHostedZoneDNSSEC |
写入 |
|||
|
DisassociateVPCFromHostedZone |
写入 |
|||
|
EnableHostedZoneDNSSEC |
写入 |
|||
|
GetAccountLimit |
读取 |
|||
|
GetChange |
列表 |
|||
|
GetCheckerIpRanges |
列表 |
|||
|
getDNSSec |
读取 |
|||
|
GetGeoLocation |
列表 |
|||
|
GetHealthCheck |
读取 |
|||
|
GetHealthCheckCount |
列表 |
|||
|
GetHealthCheckLastFailureReason |
列表 |
|||
|
GetHealthCheckStatus |
列表 |
|||
|
GetHostedZone |
列表 |
|||
|
GetHostedZoneCount |
列表 |
|||
|
GetHostedZoneLimit |
读取 |
|||
|
GetQueryLoggingConfig |
读取 |
|||
|
GetReusableDelegationSet |
列表 |
|||
|
GetReusableDelegationSetLimit |
读取 |
|||
|
GetTrafficPolicy |
读取 |
|||
|
GetTrafficPolicyInstance |
读取 |
|||
|
GetTrafficPolicyInstanceCount |
读取 |
|||
|
ListCidrBlocks |
列表 |
|||
|
ListCidrCollections |
列表 |
|||
|
ListCidrLocations |
列表 |
|||
|
ListGeoLocations |
读取 |
|||
|
ListHealthChecks |
读取 |
|||
|
ListHostedZones |
列表 |
|||
|
ListHostedZonesByName |
列表 |
|||
|
ListHostedZonesByVPC |
列表 |
|||
|
ListQueryLoggingConfigs |
列表 |
|||
|
ListResourceRecordSets |
列表 |
|||
|
ListReusableDelegationSets |
读取 |
|||
|
ListTagsForResource |
读取 |
|||
|
ListTagsForResources |
读取 |
|||
|
ListTrafficPolicies |
列表 |
|||
|
ListTrafficPolicyInstances |
读取 |
|||
|
ListTrafficPolicyInstancesByHostedZone |
列表 |
|||
|
ListTrafficPolicyInstancesByPolicy |
列表 |
|||
|
ListTrafficPolicyVersions |
列表 |
|||
|
ListVPCAssociationAuthorizations |
列表 |
|||
|
testdnsanswer |
读取 |
|||
|
UpdateHealthCheck |
写入 |
|||
|
UpdateHostedZoneComment |
写入 |
|||
|
UpdateHostedZoneFeatures |
写入 |
|||
|
UpdateTrafficPolicyComment |
写入 |
|||
|
UpdateTrafficPolicyInstance |
写入 |
Amazon Route 53 定义的操作
您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
| 操作 | 说明 | 资源类型（* 为必需） | 条件键 | 访问级别 |
|---|---|---|---|---|
授予激活密钥签名密钥的权限，以使 DNSSEC 可以将其用于签名 |
写入 |
|||
授予将其他 Amazon VPC 与私有托管区域相关联的权限 |
写入 |
|||
授予在 CIDR 集合中创建或删除 CIDR 块的权限 |
写入 |
|||
授予创建、更新或删除记录的权限，其中包含指定域或子域名称的权威 DNS 信息 |
53 号公路：ChangeResourceRecordSetsActions |
写入 |
||
授予为运行状况检查或托管区域添加、编辑或删除标签的权限 |
标记、写作 |
|||
授予创建新的 CIDR 集合的权限 |
写入 |
|||
授予创建新的运行状况检查的权限，该运行状况检查监控 Web 应用程序、Web 服务器以及其他资源的运行状况和性能 |
Write |
|||
授予创建公有托管区域的权限，该托管区域用于指定域名系统 (DNS) 如何路由域（如 example.com）及其子域的 Internet 流量 |
写入 |
|||
授予创建与托管区域关联的新密钥签名密钥的权限 |
写入 |
|||
授予为 DNS 查询日志记录创建配置的权限 |
写入 |
|||
授予创建可供多个托管区域重用的委派集（一组四个名称服务器）的权限 |
Write |
|||
授予创建流量策略的权限，该流量策略用于为一个域名（如 example.com）或一个子域名（如 www.example.com）创建多个 DNS 记录 |
Write |
|||
授予基于指定流量策略版本中的设置在指定托管区域中创建记录的权限 |
写入 |
|||
授予创建现有流量策略的新版本的权限 |
写入 |
|||
授予权限以授权创建指定 VPC 的用户提交 AssociateVPCWithHostedZone 请求，该请求将 VPC 与由其他账户创建的指定托管区域相关联 AWS 账户 |
写入 |
|||
授予停用密钥签名密钥的权限，以使 DNSSEC 不会将其用于签名 |
写入 |
|||
授予删除 CIDR 集合的权限 |
写入 |
|||
授予删除运行状况检查的权限 |
写入 |
|||
授予删除托管区域的权限 |
写入 |
|||
授予删除密钥签名密钥的权限 |
写入 |
|||
授予为 DNS 查询日志记录删除配置的权限 |
写入 |
|||
授予删除可重用委派集的权限 |
写入 |
|||
授予删除流量策略的权限 |
写入 |
|||
授予删除流量策略实例以及 Route 53 在您创建该实例时创建的所有记录的权限 |
写入 |
|||
授予删除使 Amazon Virtual Private Cloud 与 Route 53 私有托管区域相关联的授权的权限 |
写入 |
|||
授予在特定托管区域中禁用 DNSSEC 签名的权限 |
写入 |
|||
授予取消 Amazon Virtual Private Cloud 与 Route 53 私有托管区域的关联的权限 |
写入 |
|||
授予在特定托管区域中启用 DNSSEC 签名的权限 |
写入 |
|||
授予获取当前账户的指定限制（例如，您使用账户可创建的运行状况检查的最大数量）的权限 |
Read |
|||
授予获取创建、更新或删除一个或多个记录的请求的当前状态的权限 |
列表 |
|||
授予获取 Route 53 运行状况检查程序用于检查资源运行状况的 IP 范围列表的权限 |
列表 |
|||
授予获取特定托管区域 DNSSEC 信息的权限，包括托管区域中的密钥签名密钥 |
读取 |
|||
授予获取有关 Route 53 地理位置记录是否支持指定地理位置的信息的权限 |
List |
|||
授予获取有关指定运行状况检查的信息的权限 |
读取 |
|||
授予获取与当前关联的运行状况检查数量的权限 AWS 账户 |
列表 |
|||
授予获取指定运行状况检查最近失败的原因的权限 |
列表 |
|||
授予获取指定运行状况检查的状态的权限 |
列表 |
|||
授予获取有关指定托管区域（包括 Route 53 分配给托管区域的四个名称服务器）的信息的权限 |
列表 |
|||
授予获取与当前区域关联的托管区域数量的权限 AWS 账户 |
列表 |
|||
授予获取指定托管区域的指定限制的权限 |
读取 |
|||
授予获取有关 DNS 查询日志记录的指定配置的信息的权限 |
读取 |
|||
授予获取有关指定可重用委派集（包括分配给委派集的四个名称服务器）的信息的权限 |
列表 |
|||
授予获取可与指定可重用委派集关联的托管区域的最大数量的权限 |
读取 |
|||
授予获取有关指定流量策略版本的信息的权限 |
读取 |
|||
授予获取有关指定流量策略实例的信息的权限 |
读取 |
|||
授予获取与当前流量策略关联的流量策略实例数量的权限 AWS 账户 |
读取 |
|||
授予获取指定 CIDR 集合中 CIDR 块列表的权限 |
列表 |
|||
授予获取与当前 CIDR 集合关联的 CIDR 集合列表的权限 AWS 账户 |
列表 |
|||
授予获取属于指定 CIDR 集合的 CIDR 位置列表的权限 |
列表 |
|||
授予获取对于地理位置 Route 53 支持的地理位置列表的权限 |
读取 |
|||
授予获取与当前状态关联的运行状况检查列表的权限 AWS 账户 |
读取 |
|||
授予获取与当前托管区域关联的公共和私有托管区域列表的权限 AWS 账户 |
列表 |
|||
授予获取按词典顺序排列的您的托管区域列表的权限。托管区域按名称进行排序并颠倒了标签，例如 com.example.www。 |
列表 |
|||
授予权限以获取与指定的 VPC 关联的所有私有托管区域的列表 |
列表 |
|||
授予列出与当前 AWS 账户 或与指定托管区域关联的配置关联的 DNS 查询日志记录配置的权限 |
列表 |
|||
授予列出指定托管区域中的记录的权限 |
列表 |
|||
授予权限以列出与当前 AWS 账户关联的可重用委派集。 |
读取 |
|||
授予列出一个运行状况检查或托管区域的标签的权限 |
读取 |
|||
授予列出最多 10 个运行状况检查或托管区域的标签的权限 |
读取 |
|||
授予权限以获取有关与当前 AWS 账户关联的每个流量策略的最新版本的信息。策略按创建顺序列出 |
列表 |
|||
授予权限以获取有关您使用当前流量策略创建的流量策略实例的信息 AWS 账户 |
读取 |
|||
授予获取有关您在指定托管区域中创建的流量策略实例的信息的权限 |
列表 |
|||
授予获取有关您使用指定流量策略版本创建的流量策略实例的信息的权限 |
列表 |
|||
授予获取有关指定流量策略的所有版本的信息的权限 |
列表 |
|||
授予获取由其他账户创建并可与指定托管区域关联的 VPC 列表的权限 |
列表 |
|||
授予获取 Route 53 为响应指定记录名称和类型的 DNS 查询而返回的值的权限 |
Read |
|||
授予更新现有运行状况检查的权限 |
写入 |
|||
授予更新指定托管区域的注释的权限 |
写入 |
|||
授予更新指定托管区域功能的权限 |
写入 |
|||
授予更新指定流量策略版本的注释的权限 |
写入 |
|||
授予更新指定托管区域中基于指定流量策略版本中的设置创建的记录的权限 |
写入 |
Amazon Route 53 定义的资源类型
以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。
| 资源类型 | ARN | 条件键 |
|---|---|---|
arn: $ {Partition}: route53::: change/$ {Id} |
||
arn: $ {Partition}: route53::: cidrcollection/$ {Id} |
||
arn: $ {Partition}: route53::: delegationset/$ {Id} |
||
arn: $ {Partition}: route53::: healthcheck/$ {Id} |
||
arn: $ {Partition}: route53::: hostedzone/$ {Id} |
||
arn: $ {Partition}: route53::: queryloggingconfig/$ {Id} |
||
arn: $ {Partition}: route53:: trafficpolicy/$ {Id} |
||
arn: $ {Partition}: route53:: trafficpolicyinstance/$ {Id} |
||
arn: $ {Partition}: ec2: $ {Region}: $ {Account}: vpc/$ {} VpcId |
Amazon Route 53 的条件键
Amazon Route 53 定义以下可在 IAM policy 的 Condition 元素中使用的条件键。
| 条件键 | 描述 | 类型 |
|---|---|---|
按请求中的更改操作 “创建”、“UPSERT” 或 “删除” 筛选访问权限 ChangeResourceRecordSets |
ArrayOfString |
|
按 ChangeResourceRecordSets 请求中的标准化 DNS 记录名称筛选访问权限 |
ArrayOfString |
|
按 ChangeResourceRecordSets 请求中的 DNS 记录类型筛选访问权限 |
ArrayOfString |
|
按请求中的 VPC 筛选访问权限 |
字符串 |
