Amazon WorkSpaces 的動作、資源和條件索引鍵 - 服務授權參考
動作資源類型條件索引鍵

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon WorkSpaces 的動作、資源和條件索引鍵

Amazon WorkSpaces (服務字首：workspaces) 提供下列服務特有的資源、動作和條件內容索引鍵，可用於 IAM 許可政策。

參考資料：

Amazon WorkSpaces 定義的動作

您可在 IAM 政策陳述式的 Action 元素中指定以下動作。使用政策來授予在 AWS中執行操作的許可。在政策中使用動作時，通常會允許或拒絕存取相同名稱的 API 操作或 CLI 命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。

動作資料表的存取層級欄說明動作的分類方式 （列出、讀取、許可管理或標記）。此分類可協助您了解在政策中使用某動作時，該動作授予您的存取層級。如需存取層級的詳細資訊，請參閱政策摘要中的存取層級。

「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作的陳述式中指定該類型的 ARN。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您使用 IAM 政策中的 Resource 元素限制資源存取，則每種必要的資源類型必須要有 ARN 或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。

「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。

動作資料表的相依動作欄會顯示成功呼叫動作所需的其他許可。除了 動作本身的許可之外，還可能需要這些許可。當動作指定相依動作時，這些相依性可能適用於針對該動作定義的其他資源，而不只是資料表中列出的第一個資源。

注意

資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。

如需下表各欄的詳細資訊，請參閱動作資料表。

動作 描述 存取層級 資源類型 (*必填項目) 條件索引鍵 相依動作
AcceptAccountLinkInvitation 准許接受來自其他 AWS 帳戶的邀請，以共享 WorkSpaces BYOL 的相同組態 寫入
AssociateConnectionAlias 准許將連線別名與目錄關聯 寫入

connectionalias*

directoryid*

AssociateIpGroups 准許將 IP 存取控制群組與目錄關聯 寫入

directoryid*

workspaceipgroup*

AssociateWorkspaceApplication 准許將工作區應用程式與 WorkSpace 關聯 寫入

workspaceapplication*

workspaceid*

aws:ResourceTag/${TagKey}

AuthorizeIpRules 准許新增規則至 IP 存取控制群組 寫入

workspaceipgroup*

workspaces:UpdateRulesOfIpGroup

CopyWorkspaceImage 准許複製 WorkSpace 映像 寫入

workspaceimage*

workspaces:DescribeWorkspaceImages

aws:RequestTag/${TagKey}

aws:TagKeys

CreateAccountLinkInvitation 准許邀請其他 AWS 帳戶共用 WorkSpaces BYOL 的相同組態 寫入
CreateConnectClientAddIn 准許在目錄中建立 Amazon Connect 用戶端增益集 寫入

directoryid*

CreateConnectionAlias 准許建立連線別名以搭配跨區域重新導向使用 寫入

aws:RequestTag/${TagKey}

aws:TagKeys

CreateIpGroup 准許建立 IP 存取控制群組 寫入

aws:RequestTag/${TagKey}

aws:TagKeys

CreateRootClientCertificate [僅限許可] 准許建立根用戶端憑證 寫入

certificateid*

CreateStandbyWorkspaces 准許建立一個或多個 Standby WorkSpace 寫入

directoryid*

workspaceid*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateTags 准許建立 WorkSpaces 資源的標籤 標記

aws:RequestTag/${TagKey}

aws:TagKeys

CreateUpdatedWorkspaceImage 准許建立更新的 WorkSpace 映像 寫入

workspaceimage*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateWorkspaceBundle 准許建立 WorkSpace 服務包 寫入

workspacebundle*

workspaces:CreateTags

workspaceimage*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateWorkspaceImage 准許建立新的 WorkSpace 映像 寫入

workspaceid*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateWorkspaces 准許建立一個或多個 WorkSpace 寫入

directoryid*

workspacebundle*

workspaceid*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateWorkspacesPool 准許建立 WorkSpaces 集區 寫入

directoryid*

workspacebundle*

workspacespoolid*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAccountLinkInvitation 准許刪除其他 AWS 帳戶的邀請，以共用 WorkSpaces BYOL 的相同組態 寫入
DeleteClientBranding 准許刪除目錄中的 AWS WorkSpaces 用戶端品牌資料 寫入

directoryid*

DeleteConnectClientAddIn 准許在目錄中刪除已在目錄中設定的 Amazon Connect 用戶端增益集 寫入

directoryid*

DeleteConnectionAlias 准許刪除連線別名 寫入

connectionalias*

DeleteIpGroup 准許刪除 IP 存取控制群組 寫入

workspaceipgroup*

DeleteRootClientCertificate [僅限許可] 准許刪除根用戶端憑證 寫入

certificateid*

DeleteTags 准許從 WorkSpaces 資源刪除標籤 標記

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteWorkspaceBundle 准許刪除 WorkSpace 服務包 寫入

workspacebundle*

DeleteWorkspaceImage 准許刪除 WorkSpace 映像 寫入

workspaceimage*

DeployWorkspaceApplications 准許在 WorkSpace 上部署所有待處理工作區應用程式 寫入

workspaceid*

aws:ResourceTag/${TagKey}

DeregisterWorkspaceDirectory 准許取消註冊與 Amazon WorkSpaces 搭配使用的目錄 寫入

directoryid*

DescribeAccount 准許擷取 WorkSpaces 帳戶之使用自有授權 (BYOL) 組態 讀取
DescribeAccountModifications 准許擷取對 WorkSpaces 帳戶之使用自有授權 (BYOL) 組態的修改 閱讀
DescribeApplicationAssociations 准許擷取 WorkSpace 應用程式相關聯資源的資訊 清單

workspaceapplication*

aws:ResourceTag/${TagKey}

DescribeApplications 准許取得 WorkSpace 應用程式的相關資訊 清單
DescribeBundleAssociations 准許擷取 WorkSpace 套件相關聯資源的資訊 清單

workspacebundle*

aws:ResourceTag/${TagKey}

DescribeClientBranding 准許擷取目錄中的 AWS WorkSpaces 用戶端品牌資料 閱讀

directoryid*

DescribeClientProperties 准許擷取 WorkSpaces 用戶端的相關資訊 清單

directoryid*

DescribeConnectClientAddIns 准許擷取已建立的 Amazon Connect 用戶端增益集清單 清單

directoryid*

DescribeConnectionAliasPermissions 准許擷取連線別名擁有者已授予其他 AWS 帳戶用於連線別名的許可 閱讀

connectionalias*

DescribeConnectionAliases 准許擷取描述用於跨區域重新導向之連線別名的清單 閱讀
DescribeConsent [僅限許可] 准許擷取 BYOL 最低要求之同意協議的相關資訊 閱讀
DescribeCustomWorkspaceImageImport 准許擷取 WorkSpace BYOL 映像匯入任務的相關資訊 閱讀
DescribeImageAssociations 准許擷取 WorkSpace 映像相關聯資源的資訊 清單

workspaceimage*

aws:ResourceTag/${TagKey}

DescribeIpGroups 准許擷取 IP 存取控制群組的相關資訊 讀取

workspaceipgroup*

DescribeTags 准許描述 WorkSpaces 資源的標籤 閱讀
DescribeWorkspaceAssociations 准許擷取 WorkSpace 相關聯資源的資訊 清單

workspaceid*

aws:ResourceTag/${TagKey}

DescribeWorkspaceBundles 准許取得 WorkSpace 服務包的相關資訊 列出
DescribeWorkspaceDirectories 准許擷取向 WorkSpaces 註冊之目錄的相關資訊 讀取
DescribeWorkspaceImagePermissions 准許擷取 WorkSpace 映像許可的相關資訊 讀取

workspaceimage*

DescribeWorkspaceImages 准許擷取 WorkSpace 映像的相關資訊 列出
DescribeWorkspaceSnapshots 准許擷取 WorkSpace 快照的相關資訊 列出

workspaceid*

DescribeWorkspaces 准許取得 WorkSpaces 的相關資訊 列出
DescribeWorkspacesConnectionStatus 准許取得 WorkSpaces 的連線狀態 閱讀
DescribeWorkspacesPoolSessions 准許擷取 WorkSpaces 集區工作階段的相關資訊 清單

workspacespoolid*

DescribeWorkspacesPools 准許擷取 WorkSpaces 集區的相關資訊 清單
DirectoryAccessManagement [僅限許可] 准許在管理和佈建工作區時執行目錄管理動作 清單

directoryid*

DisassociateConnectionAlias 准許取消連線別名與目錄的關聯 寫入

connectionalias*

DisassociateIpGroups 准許取消 IP 存取控制群組與目錄的關聯 寫入

directoryid*

workspaceipgroup*

DisassociateWorkspaceApplication 准許將工作區應用程式與 WorkSpace 取消關聯 寫入

workspaceapplication*

workspaceid*

aws:ResourceTag/${TagKey}

准許擷取另一個 AWS 帳戶的連結，以共用 WorkSpaces BYOL 的組態 閱讀
ImportClientBranding 准許在目錄中匯入 AWS WorkSpaces 用戶端品牌資料 寫入

directoryid*

ImportCustomWorkspaceImage 准許將使用自有授權 (BYOL) 映像匯入 Amazon WorkSpaces 寫入
ImportWorkspaceImage 准許將使用自有授權 (BYOL) 映像匯入 Amazon WorkSpaces 寫入

ec2:DescribeImages

ec2:ModifyImageAttribute

准許使用共用 WorkSpaces BYOL 組態的 AWS 帳戶 （帳戶） 擷取連結 清單
ListAvailableManagementCidrRanges 准許列出可用 CIDR 範圍，以便為 WorkSpaces 帳戶啟用使用自有授權 (BYOL) 列出
MigrateWorkspace 准許遷移 WorkSpaces 寫入

workspacebundle*

workspaceid*

ModifyAccount 准許修改 WorkSpaces 帳戶之使用自有授權 (BYOL) 組態 寫入
ModifyCertificateBasedAuthProperties 准許修改目錄的憑證型授權屬性 寫入

directoryid*

ModifyClientProperties 准許修改 WorkSpaces 用戶端的屬性 寫入

directoryid*

ModifyEndpointEncryptionMode 准許在標準 TLS 和 FIPS 140-2 驗證模式之間設定指定的目錄 寫入

directoryid*

ModifySamlProperties 准許修改目錄的 SAML 屬性 寫入

directoryid*

ModifySelfservicePermissions 准許修改使用者的自助 WorkSpace 管理功能 許可管理

directoryid*

ModifyStreamingProperties 准許修改串流屬性 寫入

directoryid*

ModifyWorkspaceAccessProperties 准許指定使用者可以用來存取其 WorkSpaces 的裝置和作業系統 寫入

directoryid*

ModifyWorkspaceCreationProperties 准許修改用於建立 WorkSpaces 的預設屬性 寫入

directoryid*

ModifyWorkspaceProperties 准許修改 WorkSpace 屬性，包括執行中模式和 AutoStop 期間 寫入

workspaceid*

ModifyWorkspaceState 准許修改 WorkSpaces 的狀態 寫入

workspaceid*

RebootWorkspaces 准許重新啟動 WorkSpaces 寫入

workspaceid*

RebuildWorkspaces 准許重建 WorkSpaces 寫入

workspaceid*

RegisterWorkspaceDirectory 准許註冊目錄，以便搭配 Amazon WorkSpaces 使用 寫入

directoryid*

aws:RequestTag/${TagKey}

aws:TagKeys

RejectAccountLinkInvitation 准許拒絕來自其他 AWS 帳戶的邀請，以共用 WorkSpaces BYOL 的相同組態 寫入
RestoreWorkspace 准許還原 WorkSpaces 寫入

workspaceid*

RevokeIpRules 准許從 IP 存取控制群組移除規則 寫入

workspaceipgroup*

workspaces:UpdateRulesOfIpGroup

StartWorkspaces 准許啟動 AutoStop WorkSpaces 寫入

workspaceid*

StartWorkspacesPool 准許啟動 WorkSpaces 集區 寫入

workspacespoolid*

StopWorkspaces 准許停止 AutoStop WorkSpaces 寫入

workspaceid*

StopWorkspacesPool 准許停止 WorkSpaces 集區 寫入

workspacespoolid*

Stream 准許聯合身分使用者透過使用現有的憑證及串流工作空間來登入 寫入

directoryid*

workspaces:userId

TerminateWorkspaces 准許終止 WorkSpaces 寫入

workspaceid*

TerminateWorkspacesPool 准許終止 WorkSpaces 集區 寫入

workspacespoolid*

TerminateWorkspacesPoolSession 准許終止 WorkSpaces 集區工作階段 寫入
UpdateConnectClientAddIn 准許更新 Amazon Connect 用戶端增益集。使用此動作以更新 Amazon Connect 用戶端增益集的名稱和端點 URL 寫入

directoryid*

UpdateConnectionAliasPermission 准許與其他帳戶共享或取消共享連線別名 許可管理

connectionalias*

UpdateConsent [僅限許可] 准許將同意協議更新為 BYOL 最低要求 寫入
UpdateRootClientCertificate [僅限許可] 准許更新根用戶端憑證 寫入

certificateid*

UpdateRulesOfIpGroup 准許取代 IP 存取控制群組的規則 寫入

workspaceipgroup*

workspaces:AuthorizeIpRules

workspaces:RevokeIpRules

UpdateWorkspaceBundle 准許更新 WorkSpace 服務包中使用之 WorkSpace 映像 寫入

workspacebundle*

workspaceimage*

UpdateWorkspaceImagePermission 准許透過指定其他帳戶是否具有複製映像的許可，來與其他帳戶共享或取消共享 WorkSpace 映像 許可管理

workspaceimage*

UpdateWorkspacesPool 准許更新 WorkSpaces 集區 寫入

workspacespoolid*

Amazon WorkSpaces 定義的資源類型

此服務會定義下列資源類型，並可用在 IAM 許可政策陳述式的 Resource 元素中。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。

資源類型 ARN 條件索引鍵
certificateid arn:${Partition}:workspaces:${Region}:${Account}:workspacecertificate/${CertificateId}
directoryid arn:${Partition}:workspaces:${Region}:${Account}:directory/${DirectoryId}

aws:ResourceTag/${TagKey}

workspacebundle arn:${Partition}:workspaces:${Region}:${Account}:workspacebundle/${BundleId}

aws:ResourceTag/${TagKey}

workspaceid arn:${Partition}:workspaces:${Region}:${Account}:workspace/${WorkspaceId}

aws:ResourceTag/${TagKey}

workspaceimage arn:${Partition}:workspaces:${Region}:${Account}:workspaceimage/${ImageId}

aws:ResourceTag/${TagKey}

workspaceipgroup arn:${Partition}:workspaces:${Region}:${Account}:workspaceipgroup/${GroupId}

aws:ResourceTag/${TagKey}

workspacespoolid arn:${Partition}:workspaces:${Region}:${Account}:workspacespool/${PoolId}

aws:ResourceTag/${TagKey}

connectionalias arn:${Partition}:workspaces:${Region}:${Account}:connectionalias/${ConnectionAliasId}

aws:ResourceTag/${TagKey}

workspaceapplication arn:${Partition}:workspaces:${Region}:${Account}:workspaceapplication/${WorkSpaceApplicationId}

aws:ResourceTag/${TagKey}

Amazon WorkSpaces 的條件索引鍵

Amazon WorkSpaces 定義了下列條件索引鍵，可用於 IAM 政策的 Condition 元素。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵表。

若要檢視所有 服務可用的全域條件索引鍵，請參閱AWS 全域條件內容索引鍵。

條件索引鍵 描述 類型
aws:RequestTag/${TagKey} 根據請求中傳遞的標籤來篩選存取權 字串
aws:ResourceTag/${TagKey} 根據與資源關聯的標籤來篩選存取權 字串
aws:TagKeys 根據請求中傳遞的標籤索引鍵來篩選存取權 ArrayOfString
workspaces:userId 依 Workspaces 使用者的 ID 篩選存取權 String