Amazon Security Lake 的操作、资源和条件键

Amazon Security Lake（服务前缀:securitylake）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。
查看此服务的编程服务授权参考。

主题

Amazon 安全湖定义的 API 操作
Amazon Security Lake 定义的操作
Amazon Security Lake 定义的资源类型
Amazon Security Lake 的条件键

Amazon 安全湖定义的 API 操作

下表将 API 操作映射到它们授权的 IAM 操作。仅列出具有给定 API 和操作的静态值的条件键；有关每个操作支持的完整条件键集，请参阅操作表。

操作	IAM 操作	条件键	可能的值	访问级别
CreateAwsLogSource	安全湖：CreateAwsLogSource			写入
CreateCustomLogSource	安全湖：CreateCustomLogSource			写入
CreateCustomLogSource	我是：PassRole	我是：PassedToService	glue.amazonaws.com	写入
CreateDataLake	安全湖：CreateDataLake			写入
	安全湖：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	lambda.amazonaws.com，s3.amazonaws	写入
CreateDataLakeExceptionSubscription	安全湖：CreateDataLakeExceptionSubscription			写入
CreateDataLakeOrganizationConfiguration	安全湖：CreateDataLakeOrganizationConfiguration			写入
CreateSubscriber	安全湖：CreateSubscriber			写入
CreateSubscriber	安全湖：TagResource			标记、写作
CreateSubscriberNotification	安全湖：CreateSubscriberNotification			写入
CreateSubscriberNotification	我是：PassRole	我是：PassedToService	events.amaws.com	写入
DeleteAwsLogSource	安全湖：DeleteAwsLogSource			写入
DeleteCustomLogSource	安全湖：DeleteCustomLogSource			写入
DeleteDataLake	安全湖：DeleteDataLake			写入
DeleteDataLakeExceptionSubscription	安全湖：DeleteDataLakeExceptionSubscription			写入
DeleteDataLakeOrganizationConfiguration	安全湖：DeleteDataLakeOrganizationConfiguration			写入
DeleteSubscriber	安全湖：DeleteSubscriber			写入
DeleteSubscriberNotification	安全湖：DeleteSubscriberNotification			写入
DeregisterDataLakeDelegatedAdministrator	安全湖：DeregisterDataLakeDelegatedAdministrator			写入
GetDataLakeExceptionSubscription	安全湖：GetDataLakeExceptionSubscription			读取
GetDataLakeOrganizationConfiguration	安全湖：GetDataLakeOrganizationConfiguration			读取
GetDataLakeSources	安全湖：GetDataLakeSources			读取
GetSubscriber	安全湖：GetSubscriber			读取
ListDataLakeExceptions	安全湖：ListDataLakeExceptions			列表
ListDataLakes	安全湖：ListDataLakes			列表
ListLogSources	安全湖：ListLogSources			列表
ListSubscribers	安全湖：ListSubscribers			列表
ListTagsForResource	安全湖：ListTagsForResource			列表
RegisterDataLakeDelegatedAdministrator	安全湖：RegisterDataLakeDelegatedAdministrator			写入
TagResource	安全湖：TagResource			标记、写作
UntagResource	安全湖：UntagResource			标记、写作
UpdateDataLake	安全湖：UpdateDataLake			写入
UpdateDataLake	我是：PassRole	我是：PassedToService	s3.amazonaws.com	写入
UpdateDataLakeExceptionSubscription	安全湖：UpdateDataLakeExceptionSubscription			写入
UpdateSubscriber	安全湖：UpdateSubscriber			写入
UpdateSubscriberNotification	安全湖：UpdateSubscriberNotification			写入
UpdateSubscriberNotification	我是：PassRole	我是：PassedToService	events.amaws.com	写入

Amazon Security Lake 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作	说明	资源类型（* 为必需）	条件键	访问级别
CreateAwsLogSource	为属于受信任组织或独立账户的账户授予在任何区域启用任何源类型的权限	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
CreateCustomLogSource	授予添加自定义源的权限	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
CreateDataLake	授予创建新的安全数据湖的权限	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	写入
CreateDataLakeExceptionSubscription	授予获取有关异常的即时通知的权限。订阅 SNS 主题以获取异常通知			写入
CreateDataLakeOrganizationConfiguration	授予为组织中的新成员账户自动启用 Amazon Security Lake 的权限	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
CreateSubscriber	授予创建订阅用户的权限		aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	写入
CreateSubscriberNotification	授予创建 webhook 调用以便在数据湖中有新数据时通知客户端的权限	订阅者*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
DeleteAwsLogSource	为属于受信任组织或独立账户的账户授予在任何区域禁用任何源类型的权限	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
DeleteCustomLogSource	授予删除自定义源的权限	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
DeleteDataLake	授予删除安全数据湖的权限	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
DeleteDataLakeExceptionSubscription	授予权限以取消订阅 SNS 主题以获取异常通知。删除 SNS 主题的异常通知			写入
DeleteDataLakeOrganizationConfiguration	授予权限以删除为新组织账户自动启用 Amazon Security Lake 访问权限	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
DeleteSubscriber	授予删除指定订阅用户的权限	订阅者*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
DeleteSubscriberNotification	授予删除 webhook 调用以便在数据湖中有新数据时通知客户端的权限	订阅者*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
DeregisterDataLakeDelegatedAdministrator	授予权限以删除委派管理员账户并禁用 Amazon Security Lake 作为此组织的服务			写入
GetDataLakeExceptionSubscription	授予查询在订阅 SNS 主题以获取异常通知时提供的协议和端点的权限			读取
GetDataLakeOrganizationConfiguration	授予权限以获取组织的配置设置，从而为新组织账户自动启用 Amazon Security Lake 访问权限	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	读取
GetDataLakeSources	授予获取当前区域中安全数据湖的静态快照的权限。快照包括已启用的账户和日志源	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	读取
GetSubscriber	授予获取有关已创建订阅用户的信息的权限	订阅者*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	读取
ListDataLakeExceptions	授予获取所有不可重试失败列表的权限			列表
ListDataLakes	授予列出有关安全数据湖的信息的权限			列表
ListLogSources	授予查看已启用帐户的权限。您可以查看已启用区域中的已启用源			列表
ListSubscribers	授予列出所有订阅用户的权限			列表
ListTagsForResource	授予权限以列出资源的所有标签	数据湖	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	列表
ListTagsForResource	授予权限以列出资源的所有标签	subscriber	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	列表
RegisterDataLakeDelegatedAdministrator	授予将帐户指定为组织的 Amazon Security Lake 管理员帐户的权限			写入
TagResource	授予权限以将标签添加到资源中	数据湖	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	标记、写作
TagResource	授予权限以将标签添加到资源中	subscriber	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	标记、写作
UntagResource	授予权限以从资源中删除标签	数据湖	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	标记、写作
UntagResource	授予权限以从资源中删除标签	subscriber	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	标记、写作
UpdateDataLake	授予更新安全数据湖的权限	数据湖*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
UpdateDataLakeExceptionSubscription	授予权限以更新 SNS 主题订阅以获取异常通知			写入
UpdateSubscriber	授予更新订阅用户的权限	订阅者*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入
UpdateSubscriberNotification	授予更新 webhook 调用以便在数据湖中有新数据时通知客户端的权限	订阅者*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey	写入

Amazon Security Lake 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。

资源类型	ARN	条件键
数据湖	arn: $ {Partition}: securitylake: $ {Region}: $ {Account}: data-lake/default	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey
订阅者	arn: $ {Partition}: securitylake: $ {Region}: $ {Account}: subscriber/$ {} SubscriberId	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey

资源类型

ARN

条件键

数据湖

arn: $ {Partition}: securitylake: $ {Region}: $ {Account}: data-lake/default

aws: RequestTag /$ {} TagKey

aws: ResourceTag /$ {} TagKey

订阅者

arn: $ {Partition}: securitylake: $ {Region}: $ {Account}: subscriber/$ {} SubscriberId

aws: RequestTag /$ {} TagKey

aws: ResourceTag /$ {} TagKey

Amazon Security Lake 的条件键

Amazon Security Lake 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。

条件键	描述	类型
aws: RequestTag /$ {} TagKey	按请求中传递的标签筛选访问权限	字符串
aws: ResourceTag /$ {} TagKey	按某个资源的标签键值对筛选访问	字符串
aws：TagKeys	按请求中传递的标签键筛选访问权限	ArrayOfString

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

SageMaker 带有 mlFlow（sagemaker-mlflow）的亚马逊

亚马逊 SES (ses)