View a markdown version of this page

AWS 的托管策略 AWS Service Catalog AppRegistry - AWS Service Catalog
AWSServiceCatalogAdminFullAccessAWSServiceCatalogAdminReadOnlyAccessAWSServiceCatalogEndUserFullAccessAWSServiceCatalogEndUserReadOnlyAccessAWSServiceCatalogSyncServiceRolePolicyAWSServiceCatalogOrgsDataSyncServiceRolePolicy已弃用的策略策略更新

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS 的托管策略 AWS Service Catalog AppRegistry

AWS 管理策略：AWSServiceCatalogAdminFullAccess

您可以AWSServiceCatalogAdminFullAccess连接到您的 IAM 实体。 AppRegistry 还将此策略附加 AppRegistry 到允许代表您执行操作的服务角色。

此政策授予允许完全访问管理员控制台视图的administrative权限，并授予创建和管理产品和产品组合的权限。

权限详细信息

该策略包含以下权限。

  • servicecatalog— 允许委托人拥有管理员控制台视图的完全权限，以及创建和管理投资组合和产品、管理限制、向最终用户授予访问权限以及在其中执行其他管理任务的能力。 AWS Service Catalog

  • cloudformation— 允许列出、读取、写入和标记 AWS CloudFormation 堆栈的 AWS Service Catalog 完全权限。

  • config— 允许通过 AWS Service Catalog 有限的权限访问产品组合、产品和预配置的产品。 AWS Config

  • iam— 允许主体拥有查看和创建创建和管理产品和产品组合所需的服务用户、用户组或角色的全部权限。

  • ssm— AWS Service Catalog 允许使用列 AWS Systems Manager 出和读取当前 AWS 账户和 AWS 区域中的系统管理器文档。

查看策略：AWSServiceCatalogAdminFullAccess。

AWS 管理策略：AWSServiceCatalogAdminReadOnlyAccess

您可以AWSServiceCatalogAdminReadOnlyAccess连接到您的 IAM 实体。 AppRegistry 还将此策略附加 AppRegistry 到允许代表您执行操作的服务角色。

此策略授予允许完全访问管理员控制台视图的read-only权限。此策略不授予创建或管理产品和产品组合的访问权限。

权限详细信息

该策略包含以下权限。

  • servicecatalog — 允许主体拥有管理员控制台视图的只读权限。

  • cloudformation— 允许列出和读取 AWS CloudFormation 堆栈的 AWS Service Catalog 有限权限。

  • config— 允许通过 AWS Service Catalog 有限的权限访问产品组合、产品和预配置的产品。 AWS Config

  • iam— 允许主体查看创建和管理产品和产品组合所需的服务用户、组或角色的有限权限。

  • ssm— AWS Service Catalog 允许使用列 AWS Systems Manager 出和读取当前 AWS 账户和 AWS 区域中的系统管理器文档。

查看策略：AWSServiceCatalogAdminReadOnlyAccess。

AWS 管理策略：AWSServiceCatalogEndUserFullAccess

您可以AWSServiceCatalogEndUserFullAccess连接到您的 IAM 实体。 AppRegistry 还将此策略附加 AppRegistry 到允许代表您执行操作的服务角色。

此策略授予允许完全访问最终用户控制台视图的contributor权限，并授予启动产品和管理预配置产品的权限。

权限详细信息

该策略包含以下权限。

  • servicecatalog – 允许主体对最终用户控制台视图的完全权限以及启动产品和管理预配置产品的权限。

  • cloudformation— 允许列出、读取、写入、标记和取消标记 AWS CloudFormation 堆栈的 AWS Service Catalog 完全权限。

  • config— 允许 AWS Service Catalog 有限的权限通过列出和阅读有关产品组合、产品和预配置产品的详细信息。 AWS Config

  • ssm— AWS Service Catalog 允许使用读 AWS Systems Manager 取当前 AWS 账户和 AWS 区域中的系统管理器文档。

查看策略：AWSServiceCatalogEndUserFullAccess。

AWS 管理策略：AWSServiceCatalogEndUserReadOnlyAccess

您可以AWSServiceCatalogEndUserReadOnlyAccess连接到您的 IAM 实体。 AppRegistry 还将此策略附加 AppRegistry 到允许代表您执行操作的服务角色。

此策略授予的read-only权限允许对最终用户控制台视图进行只读访问。此策略不授予启动产品或管理预配置产品的权限。

权限详细信息

该策略包含以下权限。

  • servicecatalog— 允许主体拥有访问最终用户控制台视图的只读权限。

  • cloudformation— 允许列出和读取 AWS CloudFormation 堆栈的 AWS Service Catalog 有限权限。

  • config— 允许 AWS Service Catalog 有限的权限通过列出和阅读有关产品组合、产品和预配置产品的详细信息。 AWS Config

  • ssm— AWS Service Catalog 允许使用读 AWS Systems Manager 取当前 AWS 账户和 AWS 区域中的系统管理器文档。

查看策略：AWSServiceCatalogEndUserReadOnlyAccess。

AWS 管理策略：AWSServiceCatalogSyncServiceRolePolicy

AWS Service Catalog 将此策略附加到AWSServiceRoleForServiceCatalogSync服务相关角色 (SLR)，允许 AWS Service Catalog 将外部存储库中的模板同步到 AWS Service Catalog 产品。

此政策授予的权限允许有限地访问 AWS Service Catalog 操作（例如，API 调用）以及 AWS Service Catalog 依赖的其他 AWS 服务操作。

权限详细信息

该策略包含以下权限。

  • servicecatalog— 允许 AWS Service Catalog 对象同步角色对 AWS Service Catalog 公共 API 的有限访问权限。

  • codeconnections— 允许 AWS Service Catalog 对象同步角色对CodeConnections 公共 API 的有限访问权限。

  • cloudformation— 允许 AWS Service Catalog 对象同步角色对 AWS CloudFormation 公共 API 的有限访问权限。

查看策略：AWSServiceCatalogSyncServiceRolePolicy。

Service-linked 角色详情

AWS Service Catalog 使用上述权限详细信息获取AWSServiceRoleForServiceCatalogSync服务相关角色，该角色是在用户创建或更新使用的 AWS Service Catalog CodeConnections产品时创建的。您可以使用 AWS CLI、 AWS API 或通过 AWS Service Catalog 控制台修改此策略。有关如何创建、编辑和删除服务相关角色的更多信息，请参阅为 AWS Service Catalog使用服务相关角色（SLR）。

AWSServiceRoleForServiceCatalogSync服务相关角色中包含的权限 AWS Service Catalog 允许代表客户执行以下操作。

  • servicecatalog:ListProvisioningArtifacts— 允许 AWS Service Catalog 对象同步角色列出同步到存储库中模板文件的给定 AWS Service Catalog 产品的配置对象。

  • servicecatalog:DescribeProductAsAdmin— 允许 AWS Service Catalog 对象同步角色使用 DescribeProductAsAdmin API 来获取同步到存储库中模板文件的 AWS Service Catalog 产品及其关联预配置对象的详细信息。构件同步角色使用此调用的输出来验证产品对预配置构件的服务限额限制。

  • servicecatalog:DeleteProvisioningArtifact— 允许 AWS Service Catalog 对象同步角色删除已配置的对象。

  • servicecatalog:ListServiceActionsForProvisioningArtifact— 允许 AWS Service Catalog 对象同步角色确定服务操作是否与配置对象相关联，并确保在关联服务操作时不会删除配置对象。

  • servicecatalog:DescribeProvisioningArtifact— 允许 AWS Service Catalog 对象同步角色从 DescribeProvisioningArtifact API 检索详细信息，包括SourceRevisionInfo输出中提供的提交 ID。

  • servicecatalog:CreateProvisioningArtifact— 如果检测到对外部存储库中的源模板文件进行了更改（例如，提交 git-push），则允许 AWS Service Catalog 对象同步角色创建新的预置对象。

  • servicecatalog:UpdateProvisioningArtifact— 允许 AWS Service Catalog 对象同步角色更新已连接或已同步产品的预配置对象。

  • codeconnections:UseConnection— 允许 AWS Service Catalog 对象同步角色使用现有连接更新和同步产品。

  • cloudformation:ValidateTemplate— 允许 AWS Service Catalog 对象同步角色有限访问权限 AWS CloudFormation 来验证外部存储库中使用的模板的模板格式，并验证是否 CloudFormation 可以支持该模板。

AWS 管理策略：AWSServiceCatalogOrgsDataSyncServiceRolePolicy

AWS Service Catalog 将此策略附加到AWSServiceRoleForServiceCatalogOrgsDataSync服务相关角色 (SLR)， AWS Service Catalog 允许与同步。 AWS Organizations

此政策授予的权限允许有限地访问 AWS Service Catalog 操作（例如，API 调用）以及 AWS Service Catalog 依赖的其他 AWS 服务操作。

权限详细信息

该策略包含以下权限。

  • organizations— 允许 AWS Service Catalog 数据同步角色对 AWS Organizations 公共 API 进行有限访问。

查看策略：AWSServiceCatalogOrgsDataSyncServiceRolePolicy。

Service-linked 角色详情

AWS Service Catalog 使用上述权限详细信息来创建AWSServiceRoleForServiceCatalogOrgsDataSync服务相关角色，该角色是在用户启用 AWS Organizations 共享投资组合访问权限或创建投资组合共享时创建的。您可以使用 AWS CLI、 AWS API 或通过 AWS Service Catalog 控制台修改此策略。有关如何创建、编辑和删除服务相关角色的更多信息，请参阅为 AWS Service Catalog使用服务相关角色（SLR）。

AWSServiceRoleForServiceCatalogOrgsDataSync服务相关角色中包含的权限 AWS Service Catalog 允许代表客户执行以下操作。

  • organizations:DescribeAccount— 允许 AWS Service Catalog 组织数据同步角色检索 AWS Organizations有关指定账户的相关信息。

  • organizations:DescribeOrganization— 允许 AWS Service Catalog 组织数据同步角色检索有关用户帐户所属组织的信息。

  • organizations:ListAccounts— 允许 AWS Service Catalog 组织数据同步角色列出用户组织中的帐户。

  • organizations:ListChildren— 允许 AWS Service Catalog 组织数据同步角色列出包含在指定父 OU 或根中的所有组织单位 (UO) 或帐户。

  • organizations:ListParents— 允许 AWS Service Catalog 组织数据同步角色列出作为指定子 OU 或帐户的直系父项的根或 OU。

  • organizations:ListAWSServiceAccessForOrganization— 允许 AWS Service Catalog 组织数据同步角色检索用户允许与其组织集成的 AWS 服务列表。

已弃用的策略

以下托管策略已弃用：

  • ServiceCatalogAdminFullAccess— AWSServiceCatalogAdminFullAccess 改用。

  • ServiceCatalogAdminReadOnlyAccess— AWSServiceCatalogAdminReadOnlyAccess 改用。

  • ServiceCatalogEndUserFullAccess— AWSServiceCatalogEndUserFullAccess 改用。

  • ServiceCatalogEndUserAccess— AWSServiceCatalogEndUserReadOnlyAccess 改用。

使用以下过程可确保管理员和最终用户获得使用当前策略的权限。

要从已弃用的策略迁移到当前策略，请参阅《AWS Identity and Access Management 用户指南》中的添加和删除 IAM 身份权限。

AppRegistry 更新到 AWS 托管策略

查看 AppRegistry 自该服务开始跟踪这些更改以来 AWS 托管策略更新的详细信息。要自动收到有关此页面更改的警报，请订阅 “ AppRegistry 文档历史记录” 页面上的 RSS 提要。

更改 描述 日期

AWSServiceCatalogEndUserFullAccess— 更新托管策略

通过此更新，您现在可以从 AWS Service Catalog 管理的 AWS CloudFormation 资源中移除标签。该AWSServiceCatalogEndUserFullAccess策略现在包括cloudformation:UntagResource权限，这 AWS CloudFormation 需要在 UntagResource API 上进行 IAM 授权。

 2026年8月4日

AWSServiceCatalogAdminFullAccess— 更新托管策略

AWS Service Catalog 向AWSServiceCatalogAdminFullAccess策略添加了cloudformation:UntagResource权限。有了这个权限， AWS Service Catalog 管理员可以从 AWS Service Catalog 管理的 AWS CloudFormation 资源中删除标签。 AWS CloudFormation 现在在 UntagResource API 上强制执行 IAM 授权。这种执法需要cloudformation:UntagResource许可。

 2026年8月4日

AWSServiceCatalogSyncServiceRolePolicy— 更新托管策略

AWS Service Catalog 已将AWSServiceCatalogSyncServiceRolePolicy政策更新为更改codestar-connections为codeconnections。

 2024 年 5 月 7 日

AWSServiceCatalogAdminFullAccess— 更新托管策略

AWS Service Catalog 更新了AWSServiceCatalogAdminFullAccess策略，增加了 AWS Service Catalog 管理员在其账户中创建AWSServiceRoleForServiceCatalogOrgsDataSync服务相关角色 (SLR) 所需的权限。

 2023 年 4 月 14 日

AWSServiceCatalogOrgsDataSyncServiceRolePolicy：新托管策略

AWS Service Catalog 添加了AWSServiceCatalogOrgsDataSyncServiceRolePolicy，它已附加到AWSServiceRoleForServiceCatalogOrgsDataSync服务相关角色 (SLR)， AWS Service Catalog 允许与同步。 AWS Organizations此政策允许对 AWS Service Catalog 操作（例如 API 调用）以及 AWS Service Catalog 依赖的其他 AWS 服务操作进行有限的访问。

 2023 年 4 月 14 日

AWSServiceCatalogAdminFullAccess— 更新托管策略

AWS Service Catalog 更新了AWSServiceCatalogAdminFullAccess策略，使其包括 AWS Service Catalog 管理员的所有权限并创建了与的兼容性 AppRegistry。

 2023 年 1 月 12 日

AWSServiceCatalogSyncServiceRolePolicy：新托管策略

AWS Service Catalog 添加了附加到AWSServiceRoleForServiceCatalogSync服务相关角色 (SLR) 的AWSServiceCatalogSyncServiceRolePolicy策略。此策略 AWS Service Catalog 允许将外部存储库中的模板同步到 AWS Service Catalog 产品。

 2022 年 11 月 18 日

AWSServiceRoleForServiceCatalogSync— 新的服务相关角色

AWS Service Catalog 添加了AWSServiceRoleForServiceCatalogSync服务相关角色 (SLR)。此角色是使用 CodeConnections 和创建、更新和描述产品的 AWS Service Catalog 配置对象所必需的。 AWS Service Catalog

2022 年 11 月 18 日

AWSServiceCatalogAdminFullAccess— 更新的管理策略

AWS Service Catalog 更新了AWSServiceCatalogAdminFullAccess策略以包括 AWS Service Catalog 管理员所需的所有权限。该策略确定了管理员可以对所有 AWS Service Catalog 资源采取的具体操作，例如创建、描述、删除等。此外，该政策已更改，以支持最近推出的一项功能，即基于属性的访问控制 (ABAC)。 AWS Service Catalog ABAC 允许您将 AWSServiceCatalogAdminFullAccess 策略用作模板，根据标签允许或拒绝对 AWS Service Catalog 资源执行操作。有关更多信息，请参阅 AWS Identity and Access Management 中的什么是适用于 AWS的 ABAC。

 2022 年 9 月 30 日

AppRegistry 已开始跟踪更改

AppRegistry 开始跟踪其 AWS 托管策略的更改。

 2022 年 9 月 15 日