的操作、资源和条件键 AWS 盾牌
AWS Shield（服务前缀:shield）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。
参考：
-
了解如何配置该服务。
-
了解如何使用 IAM 权限策略保护该服务及其资源。
-
查看此服务的编程服务授权参考
。
API 操作定义为 AWS 盾牌
下表将 API 操作映射到它们授权的 IAM 操作。仅列出具有给定 API 和操作的静态值的条件键；有关每个操作支持的完整条件键集，请参阅操作表。
| 操作 | IAM 操作 | 条件键 | 可能的值 | 访问级别 |
|---|---|---|---|---|
|
AssociateDRTLogBucket |
写入 |
|||
|
AssociatedrRole |
写入 |
|||
我是：PassedToService |
drt.shield.amazona |
写入 |
||
|
AssociateHealthCheck |
写入 |
|||
|
AssociateProactiveEngagementDetails |
写入 |
|||
|
CreateProtection |
写入 |
|||
标记、写作 |
||||
|
CreateProtectionGroup |
写入 |
|||
标记、写作 |
||||
|
CreateSubscription |
写入 |
|||
|
DeleteProtection |
写入 |
|||
|
DeleteProtectionGroup |
写入 |
|||
|
DeleteSubscription |
写入 |
|||
|
DescribeAttack |
读取 |
|||
读取 |
||||
|
DescribeAttackStatistics |
读取 |
|||
|
描述 drtAccess |
读取 |
|||
|
DescribeEmergencyContactSettings |
读取 |
|||
|
DescribeProtection |
读取 |
|||
|
DescribeProtectionGroup |
读取 |
|||
|
DescribeSubscription |
读取 |
|||
|
DisableApplicationLayerAutomaticResponse |
写入 |
|||
|
DisableProactiveEngagement |
写入 |
|||
|
DisassociateDRTLogBucket |
写入 |
|||
|
取消关联的rTrole |
写入 |
|||
|
DisassociateHealthCheck |
写入 |
|||
|
EnableApplicationLayerAutomaticResponse |
写入 |
|||
|
EnableProactiveEngagement |
写入 |
|||
|
GetSubscriptionState |
读取 |
|||
|
ListAttacks |
列表 |
|||
|
ListProtectionGroups |
列表 |
|||
|
ListProtections |
列表 |
|||
|
ListResourcesInProtectionGroup |
列表 |
|||
|
ListTagsForResource |
读取 |
|||
|
TagResource |
标记、写作 |
|||
|
UntagResource |
标记、写作 |
|||
|
UpdateApplicationLayerAutomaticResponse |
写入 |
|||
|
UpdateEmergencyContactSettings |
写入 |
|||
|
UpdateProtectionGroup |
写入 |
|||
|
UpdateSubscription |
写入 |
操作定义为 AWS 盾牌
您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。
| 操作 | 说明 | 资源类型（* 为必需） | 条件键 | 访问级别 |
|---|---|---|---|---|
授予权限以授权 DDoS 响应团队访问包含流日志的指定 Amazon S3 存储桶 |
写入 |
|||
授予使用指定角色授权 DDoS 响应团队访问您的 AWS 账户 权限，以便在潜在攻击期间协助缓解 DDoS 攻击 |
写入 |
|||
授予权限以向资源的 Shield Advanced 保护添加基于运行状况的检测 |
写入 |
|||
授予权限以初始化主动参与并设置 DDoS 响应团队 (DRT) 使用的联系人列表 |
Write |
|||
授予权限以为给定资源 ARN 激活 DDoS 保护服务 |
写入 |
|||
授予权限以创建受保护资源组，以便集中处理 |
写入 |
|||
授予权限以激活订阅 |
Write |
|||
授予权限以删除现有保护 |
写入 |
|||
授予权限以删除指定保护组 |
写入 |
|||
授予权限以停用订阅 |
写入 |
|||
授予获取攻击详情的权限。为了获取受 AWS WAF Anti-DDoS 托管规则组保护的攻击详细信息，此操作还会调用 wafv2: DescribeTopContributorsByEvent 来检索应用程序层攻击贡献者，这需要在 IAM 策略中拥有 wafv2: 权限 DescribeTopContributorsByEvent |
读取 |
|||
授予描述有关 AWS Shield 去年检测到的攻击数量和类型信息的权限 |
读取 |
|||
授予描述当前角色和 DDoS 响应团队用来访问您的 Amazon S3 日志存储桶列表的权限， AWS 账户 同时协助缓解攻击 |
读取 |
|||
授予权限以列出在受到可疑攻击期间 DRT 可用于与您联系的电子邮件地址 |
Read |
|||
授予权限以获取保护详细信息 |
读取 |
|||
授予权限以描述指定保护组的规范 |
读取 |
|||
授予权限以获取订阅详细信息，如开始时间 |
读取 |
|||
授予权限以禁用资源的 Shield Advanced 保护的应用程序层自动响应 |
写入 |
|||
授予权限以从 DDoS 响应团队 (DRT) 中删除向联系人发出升级通知的授权 |
Write |
|||
授予权限以删除 DDoS 响应团队对包含流日志的指定 Amazon S3 存储桶的访问权限 |
写入 |
|||
授予移除 DDoS 响应团队对您的访问权限的权限 AWS 账户 |
写入 |
|||
授予权限以从资源的 Shield Advanced 保护中删除基于运行状况的检测 |
写入 |
|||
授予权限以启用资源的 Shield Advanced 保护的应用程序层自动响应 |
写入 |
|||
授予权限以授权 DDoS 响应团队 (DRT) 使用电子邮件和电话向联系人发出升级通知 |
Write |
|||
授予权限以获取订阅状态 |
Read |
|||
授予权限以列出所有现有攻击 |
List |
|||
授予权限以检索账户保护组 |
List |
|||
授予权限以列出所有现有保护 |
List |
|||
授予权限以检索保护组中包含的资源 |
列表 |
|||
授予获取有关 Shield 中指定亚马逊资源名称 (ARN) AWS 标签信息的权限 AWS |
读取 |
|||
授予在 AWS Shield 中为资源添加或更新标签的权限 |
标记、写作 |
|||
授予从 AWS Shield 中的资源中移除标签的权限 |
标记、写作 |
|||
授予权限以更新资源的 Shield Advanced 保护的应用程序层自动响应 |
写入 |
|||
授予权限以更新在受到可疑攻击期间 DRT 可用于与您联系的电子邮件地址列表的详细信息 |
Write |
|||
授予权限以更新现有保护组 |
写入 |
|||
授予权限以更新现有订阅的详细信息 |
写入 |
Permission-only 的动作 AWS 盾牌
以下操作由 AWS Shield 定义，但不能通过任何 API 操作直接调用。它们只能在 IAM 策略声明中用于授予或拒绝权限。
| 操作 | 说明 | 资源类型（* 为必需） | 条件键 | 访问级别 |
|---|---|---|---|---|
授予权限以获取有关特定 DDoS 攻击贡献者的详细信息 |
读取 |
|||
允许从 AWS Shield 的威胁监控系统中检索全球威胁情报数据和趋势 |
读取 |
|||
授予权限以检索在 DDoS 攻击期间已应用的缓解操作列表 |
列表 |
由定义的资源类型 AWS 盾牌
以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。
| 资源类型 | ARN | 条件键 |
|---|---|---|
arn: $ {Partition}: shield:: $ {Account}: attack/$ {Id} |
||
arn: $ {Partition}: shield:: $ {账户}: protection/$ {Id} |
||
arn: $ {Partition}: shield:: $ {账户}: protection-group/$ {Id} |
的条件键 AWS 盾牌
AWS Shield 定义了以下条件键，这些条件键可用于 IAM 策略的Condition元素。
| 条件键 | 描述 | 类型 |
|---|---|---|
根据在请求中是否具有标签键值对以筛选操作 |
字符串 |
|
根据附加到资源的标签键值对筛选操作 |
字符串 |
|
根据在请求中是否具有标签键以筛选操作 |
ArrayOfString |
