AWS Identity and Access Management (IAM) 的動作、資源與條件索引鍵

AWS Identity and Access Management (IAM) （服務字首：iam) 提供下列服務特定的資源、動作和條件內容索引鍵，可用於 IAM 許可政策。

參考資料：

了解如何設定此服務。
檢視可供此服務使用的 API 操作清單。
了解如何使用 IAM 許可政策來保護此服務及其資源。

主題

AWS Identity and Access Management (IAM) 定義的動作
AWS Identity and Access Management (IAM) 定義的資源類型
AWS Identity and Access Management (IAM) 的條件索引鍵

AWS Identity and Access Management (IAM) 定義的動作

您可在 IAM 政策陳述式的 Action 元素中指定以下動作。使用政策來授予在 AWS中執行操作的許可。在政策中使用動作時，通常會允許或拒絕存取相同名稱的 API 操作或 CLI 命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。

動作資料表的存取層級欄說明動作的分類方式（列出、讀取、許可管理或標記）。此分類可協助您了解在政策中使用某動作時，該動作授予您的存取層級。如需存取層級的詳細資訊，請參閱政策摘要中的存取層級。

「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料欄包含資源類型，則您可以在具有該動作的陳述式中指定該類型的 ARN。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您使用 IAM 政策中的 Resource 元素限制資源存取，則每種必要的資源類型必須要有 ARN 或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。

「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。

動作資料表的相依動作欄會顯示成功呼叫動作所需的其他許可。除了動作本身的許可之外，還可能需要這些許可。當動作指定相依動作時，這些相依性可能適用於針對該動作定義的其他資源，而不只是資料表中列出的第一個資源。

注意

資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。

如需下表各欄的詳細資訊，請參閱動作資料表。

動作	描述	存取層級	資源類型 (*必填項目)	條件索引鍵	相依動作
AddClientIDToOpenIDConnectProvider	授予許可來將新用戶端 ID (對象) 新增至指定 IAM OpenID Connect (OIDC) 提供者資源之登錄 ID 清單	寫入	oidc-provider*
AddRoleToInstanceProfile	授予許可來將 IAM 角色新增到指定執行個體描述檔	寫入	instance-profile*		iam:PassRole
AddUserToGroup	授予許可來將 IAM 使用者新增到指定 IAM 群組	寫入	group*
AttachGroupPolicy	授予許可來將受管政策連接到指定 IAM 群組	許可管理	group*
AttachGroupPolicy	授予許可來將受管政策連接到指定 IAM 群組	許可管理		iam:PolicyARN
AttachRolePolicy	授予許可來將受管政策連接到指定 IAM 角色	許可管理	role*
AttachRolePolicy	授予許可來將受管政策連接到指定 IAM 角色	許可管理		iam:PolicyARN iam:PermissionsBoundary
AttachUserPolicy	授予許可來將受管政策連接到指定 IAM 使用者	許可管理	user*
AttachUserPolicy	授予許可來將受管政策連接到指定 IAM 使用者	許可管理		iam:PolicyARN iam:PermissionsBoundary
ChangePassword	准許 IAM 使用者變更自己的密碼	寫入	user*
CreateAccessKey	授予許可來為指定的 IAM 使用者建立存取金鑰和私密存取金鑰	寫入	user*
CreateAccountAlias	准許為您的建立別名 AWS 帳戶	寫入
CreateGroup	授予新群組的建立許可	寫入	group*
CreateInstanceProfile	授予新執行個體描述檔的建立許可	寫入	instance-profile*
CreateInstanceProfile	授予新執行個體描述檔的建立許可	寫入		aws:TagKeys aws:RequestTag/${TagKey}
CreateLoginProfile	授予為指定 IAM 使用者建立密碼的許可	寫入	user*
CreateOpenIDConnectProvider	授予 IAM 資源的建立許可，此資源會描述可支援 OpenID Connect (OIDC) 的身分提供者 (IdP)	寫入	oidc-provider*
CreateOpenIDConnectProvider	授予 IAM 資源的建立許可，此資源會描述可支援 OpenID Connect (OIDC) 的身分提供者 (IdP)	寫入		aws:TagKeys aws:RequestTag/${TagKey}
CreatePolicy	授予新受管政策的建立許可	許可管理	policy*
CreatePolicy	授予新受管政策的建立許可	許可管理		aws:TagKeys aws:RequestTag/${TagKey}
CreatePolicyVersion	授予指定受管政策新版本的建立許可	許可管理	policy*
CreateRole	授予新角色的建立許可	寫入	role*
CreateRole	授予新角色的建立許可	寫入		iam:PermissionsBoundary aws:TagKeys aws:RequestTag/${TagKey}
CreateSAMLProvider	授予 IAM 資源的建立許可，此資源會描述可支援 SAML 2.0 的身分提供者 (IdP)	寫入	saml-provider*
CreateSAMLProvider	授予 IAM 資源的建立許可，此資源會描述可支援 SAML 2.0 的身分提供者 (IdP)	寫入		aws:TagKeys aws:RequestTag/${TagKey}
CreateServiceLinkedRole	准許建立允許 AWS 服務代表您執行動作的 IAM 角色	寫入	role*
CreateServiceLinkedRole	准許建立允許 AWS 服務代表您執行動作的 IAM 角色	寫入		iam:AWSServiceName
CreateServiceSpecificCredential	授予為 IAM 使用者建立新服務特定登入資料的許可	寫入	user*
CreateServiceSpecificCredential	授予為 IAM 使用者建立新服務特定登入資料的許可	寫入		iam:ServiceSpecificCredentialAgeDays iam:ServiceSpecificCredentialServiceName
CreateUser	授予新 IAM 使用者的建立許可	寫入	user*
CreateUser	授予新 IAM 使用者的建立許可	寫入		iam:PermissionsBoundary aws:TagKeys aws:RequestTag/${TagKey}
CreateVirtualMFADevice	授予新虛擬 MFA 裝置的建立許可	寫入	mfa*
CreateVirtualMFADevice	授予新虛擬 MFA 裝置的建立許可	寫入		aws:TagKeys aws:RequestTag/${TagKey}
DeactivateMFADevice	授予許可來停用指定的 MFA 裝置並移除該裝置與其原始啟用 IAM 使用者的關聯	寫入	user*
DeleteAccessKey	授予許可來刪除與指定的 IAM 使用者關聯的存取金鑰對	寫入	user*
DeleteAccountAlias	准許刪除指定的 AWS 帳戶別名	寫入
DeleteAccountPasswordPolicy	准許刪除的密碼政策 AWS 帳戶	許可管理
DeleteCloudFrontPublicKey	准許刪除現有的 CloudFront 公有金鑰	寫入
DeleteGroup	授予許可來刪除指定的 IAM 群組	寫入	group*
DeleteGroupPolicy	授予許可來將指定的內嵌政策從其群組中刪除	許可管理	group*
DeleteInstanceProfile	授予許可來刪除指定的執行個體描述檔	寫入	instance-profile*
DeleteLoginProfile	授予許可來為指定 IAM 使用者刪除密碼	寫入	user*
DeleteOpenIDConnectProvider	授予許可來在 IAM 中刪除 OpenID Connect 身分提供者 (IdP) 資源物件	寫入	oidc-provider*
DeletePolicy	授予許可來將指定的受管政策刪除並將其從連接的任何 IAM 實體 (使用者、群組或角色) 移除	許可管理	policy*
DeletePolicyVersion	授予許可來從指定受管政策刪除版本	許可管理	policy*
DeleteRole	授予許可來刪除指定的角色	寫入	role*
DeleteRolePermissionsBoundary	授予許可來從角色移除許可界限	許可管理	role*
DeleteRolePermissionsBoundary	授予許可來從角色移除許可界限	許可管理		iam:PermissionsBoundary
DeleteRolePolicy	授予許可來將指定的內嵌政策從指定的角色中刪除	許可管理	role*
DeleteRolePolicy	授予許可來將指定的內嵌政策從指定的角色中刪除	許可管理		iam:PermissionsBoundary
DeleteSAMLProvider	授予許可來在 IAM 中刪除 SAML 供應商資源	寫入	saml-provider*
DeleteSSHPublicKey	授予許可來刪除指定的 SSH 公有金鑰	寫入	user*
DeleteServerCertificate	授予許可來刪除指定的伺服器憑證	寫入	server-certificate*
DeleteServiceLinkedRole	如果服務不再使用，則准許刪除連結至特定 AWS 服務的 IAM 角色	寫入	role*
DeleteServiceSpecificCredential	授予許可來為 IAM 使用者刪除指定的服務特定登入資料	寫入	user*
DeleteServiceSpecificCredential	授予許可來為 IAM 使用者刪除指定的服務特定登入資料	寫入		iam:ServiceSpecificCredentialServiceName
DeleteSigningCertificate	授予許可來刪除與指定的 IAM 使用者關聯的簽署憑證	寫入	user*
DeleteUser	授予許可來刪除指定的 IAM 使用者	寫入	user*
DeleteUserPermissionsBoundary	授予許可來從指定的 IAM 使用者移除許可界限	許可管理	user*
DeleteUserPermissionsBoundary	授予許可來從指定的 IAM 使用者移除許可界限	許可管理		iam:PermissionsBoundary
DeleteUserPolicy	授予許可來將指定的內嵌政策從 IAM 使用者中刪除	許可管理	user*
DeleteUserPolicy	授予許可來將指定的內嵌政策從 IAM 使用者中刪除	許可管理		iam:PermissionsBoundary
DeleteVirtualMFADevice	授予許可來刪除虛擬 MFA 裝置	寫入	mfa
DeleteVirtualMFADevice	授予許可來刪除虛擬 MFA 裝置	寫入	sms-mfa
DetachGroupPolicy	授予許可來將受管政策從指定的 IAM 群組中分離	許可管理	group*
DetachGroupPolicy	授予許可來將受管政策從指定的 IAM 群組中分離	許可管理		iam:PolicyARN
DetachRolePolicy	授予許可來將受管政策從指定的角色中分離	許可管理	role*
DetachRolePolicy	授予許可來將受管政策從指定的角色中分離	許可管理		iam:PolicyARN iam:PermissionsBoundary
DetachUserPolicy	授予許可來將受管政策從指定的 IAM 使用者中分離	許可管理	user*
DetachUserPolicy	授予許可來將受管政策從指定的 IAM 使用者中分離	許可管理		iam:PolicyARN iam:PermissionsBoundary
DisableOrganizationsRootCredentialsManagement	准許停用目前帳戶管理之組織的成員帳戶根使用者登入資料管理	寫入
DisableOrganizationsRootSessions	准許為目前帳戶管理的組織停用成員帳戶中的特權根動作	寫入
EnableMFADevice	授予許可來啟用 MFA 裝置，並將該裝置與指定的 IAM 使用者建立關聯	寫入	user*
EnableMFADevice	授予許可來啟用 MFA 裝置，並將該裝置與指定的 IAM 使用者建立關聯	寫入		iam:RegisterSecurityKey iam:FIDO-FIPS-140-2-certification iam:FIDO-FIPS-140-3-certification iam:FIDO-certification
EnableOrganizationsRootCredentialsManagement	准許為目前帳戶管理的組織啟用成員帳戶根使用者登入資料管理	寫入
EnableOrganizationsRootSessions	准許為目前帳戶管理的組織在成員帳戶中啟用特權根動作	寫入
GenerateCredentialReport	准許產生的登入資料報告 AWS 帳戶	閱讀
GenerateOrganizationsAccessReport	准許產生 AWS Organizations 實體的存取報告	閱讀	access-report*		organizations:DescribePolicy organizations:ListChildren organizations:ListParents organizations:ListPoliciesForTarget organizations:ListRoots organizations:ListTargetsForPolicy
GenerateOrganizationsAccessReport	准許產生 AWS Organizations 實體的存取報告	閱讀		iam:OrganizationsPolicyId
GenerateServiceLastAccessedDetails	授予許可產生 IAM 資源的服務上次存取資料報告	讀取	group*
			policy*
			role*
			user*
GetAccessKeyLastUsed	授予許可來擷取最後一次何時使用指定之存取金鑰的資訊	閱讀	user*
GetAccountAuthorizationDetails	准許擷取中所有 IAM 使用者、群組、角色和政策的相關資訊 AWS 帳戶，包括彼此的關係	閱讀
GetAccountEmailAddress	准許擷取與帳戶關聯的電子郵件地址	閱讀
GetAccountName	准許擷取與帳戶關聯的帳戶名稱	閱讀
GetAccountPasswordPolicy	准許擷取的密碼政策 AWS 帳戶	閱讀
GetAccountSummary	准許擷取中的 IAM 實體用量和 IAM 配額的相關資訊 AWS 帳戶	清單
GetCloudFrontPublicKey	准許擷取指定 CloudFront 公有金鑰的相關資訊	閱讀
GetContextKeysForCustomPolicy	授予許可來擷取在指定政策中參考之所有內容索引鍵清單	讀取
GetContextKeysForPrincipalPolicy	授予許可來在所有 IAM 政策中參考的所有內容索引鍵清單，這些政策會連接到指定的 IAM 身分 (使用者、群組或角色)	閱讀	group
			role
			user
GetCredentialReport	准許擷取的登入資料報告 AWS 帳戶	閱讀
GetGroup	授予許可來在指定的 IAM 群組中擷取 IAM 使用者清單	讀取	group*
GetGroupPolicy	授予許可來擷取在指定 IAM 群組中內嵌的內嵌政策文件	讀取	group*
GetInstanceProfile	授予許可來擷取指定執行個體描述檔的相關資訊，包括執行個體描述檔的路徑、GUID、ARN 和角色	讀取	instance-profile*
GetLoginProfile	授予許可來為指定的 IAM 使用者擷取使用者名稱和密碼建立日期	清單	user*
GetMFADevice	准許擷取指定使用者的 MFA 裝置相關資訊	閱讀	user*
GetOpenIDConnectProvider	授予許可來在 IAM 中擷取與指定的 OpenID Connect (OIDC) 提供者資源的相關資訊	閱讀	oidc-provider*
GetOrganizationsAccessReport	准許擷取 AWS Organizations 存取報告	閱讀
GetPolicy	授予許可來擷取指定受管政策的相關資訊，包括該政策的預設版本，以及連接該政策的身分總數	讀取	policy*
GetPolicyVersion	授予許可來擷取指定受管政策版本的相關資訊，包括政策文件	讀取	policy*
GetRole	授予許可來擷取指定角色的相關資訊，包括角色的路徑、GUID、ARN 和角色的信任政策	讀取	role*
GetRolePolicy	授予許可來擷取使用指定 IAM 角色內嵌的內嵌政策文件	讀取	role*
GetSAMLProvider	授予許可來在 IAM SAML 供應商資源已建立或更新時擷取已上傳的 SAML 供應商中繼文件	讀取	saml-provider*
GetSSHPublicKey	授予許可來擷取指定的 SSH 公有金鑰，包括與金鑰相關的中繼資料	讀取	user*
GetServerCertificate	授予許可來擷取在 IAM 中存放之指定伺服器憑證的相關資訊	讀取	server-certificate*
GetServiceLastAccessedDetails	授予許可擷取服務上次存取資料報告的相關資訊	讀取
GetServiceLastAccessedDetailsWithEntities	授予許可從服務上次存取資料報告擷取實體的相關資訊	讀取
GetServiceLinkedRoleDeletionStatus	授予許可來擷取 IAM 服務連結角色刪除狀態	讀取	role*
GetUser	授予許可來擷取指定 IAM 使用者的相關資訊，包括使用者的建立日期、路徑、唯一 ID 和 ARN	讀取	user*
GetUserPolicy	授予許可來擷取在指定 IAM 使用者中內嵌的內嵌政策文件	讀取	user*
ListAccessKeys	授予許可來列出與指定 IAM 使用者關聯的存取金鑰 ID 的相關資訊	清單	user*
ListAccountAliases	准許列出與相關聯的帳戶別名 AWS 帳戶	清單
ListAttachedGroupPolicies	授予許可來列出連接到指定 IAM 群組的所有受管政策	列出	group*
ListAttachedRolePolicies	授予許可來列出連接到指定 IAM 角色的所有受管政策	列出	role*
ListAttachedUserPolicies	授予許可來列出連接到指定 IAM 使用者的所有受管政策	清單	user*
ListCloudFrontPublicKeys	准許列出帳戶所有目前的 CloudFront 公有金鑰	清單
ListEntitiesForPolicy	授予許可來列出指定受管政策連接的所有 IAM 身分	列出	policy*
ListGroupPolicies	授予許可來列出在指定 IAM 群組中內嵌的內嵌政策名稱	列出	group*
ListGroups	授予許可來列出具有指定路徑前綴的 IAM 群組	列出
ListGroupsForUser	授予許可來列出指定 IAM 使用者屬於的 IAM 群組	列出	user*
ListInstanceProfileTags	准許列出連接到指定執行個體描述檔的標籤	列出	instance-profile*
ListInstanceProfiles	授予許可來列出具有指定路徑前綴的執行個體描述檔	列出
ListInstanceProfilesForRole	授予許可來列出具有指定關聯 IAM 角色的執行個體描述檔	列出	role*
ListMFADeviceTags	准許列出連接到指定虛擬 MFA 裝置的標籤	列出	mfa*
ListMFADevices	授予許可來列出 IAM 使用者的 MFA 裝置	列出	user
ListOpenIDConnectProviderTags	准許列出附加到指定 OpenID Connect 供應商的標籤	清單	oidc-provider*
ListOpenIDConnectProviders	准許列出中定義的 IAM OpenID Connect (OIDC) 提供者資源物件的相關資訊 AWS 帳戶	清單
ListOrganizationsFeatures	准許列出為您的組織啟用的集中式根存取功能	清單
ListPolicies	授予許可來列出所有受管政策	列出
ListPoliciesGrantingServiceAccess	授予許可來列出將實體存取授予特定服務之政策的相關資訊	列出	group*
			role*
			user*
ListPolicyTags	准許列出連接到指定受管政策的標籤。	列出	policy*
ListPolicyVersions	授予許可來列出指定受管政策版本的相關資訊，包括目前設為政策預設版本的版本	列出	policy*
ListRolePolicies	授予許可來列出在指定 IAM 角色中內嵌的內嵌政策名稱	列出	role*
ListRoleTags	准許列出連接到指定 IAM 角色的標籤	列出	role*
ListRoles	授予許可來列出具有指定路徑前綴的 IAM 角色	列出
ListSAMLProviderTags	准許列出連接到指定 SAML 供應商的標籤	列出	saml-provider*
ListSAMLProviders	授予許可來在 IAM 中列出 SAML 供應商資源	列出
ListSSHPublicKeys	授予許可來列出與指定 IAM 使用者關聯的 SSH 公有金鑰相關資訊	清單	user*
ListSTSRegionalEndpointsStatus	准許列出所有作用中 STS 區域端點的狀態	清單
ListServerCertificateTags	准許列出連接到指定伺服器憑證的標籤	列出	server-certificate*
ListServerCertificates	授予許可來列出具有指定路徑前綴的伺服器憑證	列出
ListServiceSpecificCredentials	授予許可來列出與指定 IAM 使用者關聯的服務特定登入資料	列出	user*
ListSigningCertificates	授予許可來列出與指定 IAM 使用者關聯的簽署憑證相關資訊	列出	user*
ListUserPolicies	授予許可來列出在指定 IAM 使用者中內嵌的內嵌政策名稱	列出	user*
ListUserTags	准許列出連接到指定 IAM 使用者的標籤	列出	user*
ListUsers	授予許可來列出具有指定路徑前綴的 IAM 使用者	列出
ListVirtualMFADevices	授予許可來透過指派狀態列出虛擬 MFA 裝置	列出
PassRole [僅限許可]	授予許可來將角色傳遞到服務	寫入	role*
PassRole [僅限許可]	授予許可來將角色傳遞到服務	寫入		iam:AssociatedResourceArn iam:PassedToService
PutGroupPolicy	授予許可來建立或更新在指定 IAM 群組中內嵌的內嵌政策文件	許可管理	group*
PutRolePermissionsBoundary	授予許可來將受管政策設為角色的許可界限	許可管理	role*
PutRolePermissionsBoundary	授予許可來將受管政策設為角色的許可界限	許可管理		iam:PermissionsBoundary
PutRolePolicy	授予許可來建立或更新在指定 IAM 角色中內嵌的內嵌政策文件	許可管理	role*
PutRolePolicy	授予許可來建立或更新在指定 IAM 角色中內嵌的內嵌政策文件	許可管理		iam:PermissionsBoundary
PutUserPermissionsBoundary	授予許可來將受管政策設為 IAM 使用者的許可界限	許可管理	user*
PutUserPermissionsBoundary	授予許可來將受管政策設為 IAM 使用者的許可界限	許可管理		iam:PermissionsBoundary
PutUserPolicy	授予許可來建立或更新在指定 IAM 使用者中內嵌的內嵌政策文件	許可管理	user*
PutUserPolicy	授予許可來建立或更新在指定 IAM 使用者中內嵌的內嵌政策文件	許可管理		iam:PermissionsBoundary
RemoveClientIDFromOpenIDConnectProvider	授予許可來將用戶端 ID (對象) 從指定 IAM OpenID Connect (OIDC) 提供者資源的用戶端 ID 清單中移除	寫入	oidc-provider*
RemoveRoleFromInstanceProfile	授予許可來將 IAM 角色從指定的 EC2 執行個體描述檔中移除	寫入	instance-profile*
RemoveUserFromGroup	授予許可來將 IAM 角色從指定群組中移除	寫入	group*
ResetServiceSpecificCredential	授予許可來為 IAM 使用者重設現有服務特定登入資料的密碼	寫入	user*
ResetServiceSpecificCredential	授予許可來為 IAM 使用者重設現有服務特定登入資料的密碼	寫入		iam:ServiceSpecificCredentialServiceName
ResyncMFADevice	授予許可來使用指定 MFA 裝置的 IAM 實體 (使用者或角色) 來同步該裝置	寫入	user*
SetDefaultPolicyVersion	授予許可來將指定政策版本設為政策的預設版本	許可管理	policy*
SetSTSRegionalEndpointStatus	准許啟用或停用 STS 區域端點	寫入
SetSecurityTokenServicePreferences	授予許可來設定 STS 全域端點字符版本	寫入
SimulateCustomPolicy	授予許可來模擬以身分為基礎的政策或以資源為基礎的政策是否會為特定 API 操作和資源提供許可	讀取
SimulatePrincipalPolicy	授予許可來模擬連接到指定 IAM 實體 (使用者或角色) 的以身分為基礎的政策是否會為特定 API 操作和資源提供許可	讀取	group
			role
			user
TagInstanceProfile	准許將標籤新增至執行個體描述檔	標記	instance-profile*
TagInstanceProfile	准許將標籤新增至執行個體描述檔	標記		aws:TagKeys aws:RequestTag/${TagKey}
TagMFADevice	准許將標籤新增至虛擬 MFA 裝置	標記	mfa*
TagMFADevice	准許將標籤新增至虛擬 MFA 裝置	標記		aws:TagKeys aws:RequestTag/${TagKey}
TagOpenIDConnectProvider	准許將標籤新增至 OpenID Connect 供應商	標記	oidc-provider*
TagOpenIDConnectProvider	准許將標籤新增至 OpenID Connect 供應商	標記		aws:TagKeys aws:RequestTag/${TagKey}
TagPolicy	准許將標籤新增至受管理政策	標記	policy*
TagPolicy	准許將標籤新增至受管理政策	標記		aws:TagKeys aws:RequestTag/${TagKey}
TagRole	准許來將標籤新增至 IAM 角色	標記	role*
TagRole	准許來將標籤新增至 IAM 角色	標記		aws:TagKeys aws:RequestTag/${TagKey}
TagSAMLProvider	准許將標籤新增至 SAML 供應商	標記	saml-provider*
TagSAMLProvider	准許將標籤新增至 SAML 供應商	標記		aws:TagKeys aws:RequestTag/${TagKey}
TagServerCertificate	准許將標籤新增至伺服器憑證	標記	server-certificate*
TagServerCertificate	准許將標籤新增至伺服器憑證	標記		aws:TagKeys aws:RequestTag/${TagKey}
TagUser	准許將標籤新增至 IAM 使用者	標記	user*
TagUser	准許將標籤新增至 IAM 使用者	標記		aws:TagKeys aws:RequestTag/${TagKey}
UntagInstanceProfile	准許將指定標籤從執行個體描述檔中移除	標記	instance-profile*
UntagInstanceProfile	准許將指定標籤從執行個體描述檔中移除	標記		aws:TagKeys
UntagMFADevice	准許將指定標籤從虛擬 MFA 裝置中移除	標記	mfa*
UntagMFADevice	准許將指定標籤從虛擬 MFA 裝置中移除	標記		aws:TagKeys
UntagOpenIDConnectProvider	准許從 OpenID Connect 供應商中刪除指定的標籤	標記	oidc-provider*
UntagOpenIDConnectProvider	准許從 OpenID Connect 供應商中刪除指定的標籤	標記		aws:TagKeys
UntagPolicy	准許將指定標籤從受管政策中移除	標記	policy*
UntagPolicy	准許將指定標籤從受管政策中移除	標記		aws:TagKeys
UntagRole	准許將指定標籤從角色中移除	標記	role*
UntagRole	准許將指定標籤從角色中移除	標記		aws:TagKeys
UntagSAMLProvider	准許將指定標籤從 SAML 供應商中移除	標記	saml-provider*
UntagSAMLProvider	准許將指定標籤從 SAML 供應商中移除	標記		aws:TagKeys
UntagServerCertificate	准許將指定標籤從伺服器憑證中移除	標記	server-certificate*
UntagServerCertificate	准許將指定標籤從伺服器憑證中移除	標記		aws:TagKeys
UntagUser	准許將指定標籤從使用者中移除	標記	user*
UntagUser	准許將指定標籤從使用者中移除	標記		aws:TagKeys
UpdateAccessKey	授予許可來將指定存取金鑰的狀態更新為作用中或非作用中	寫入	user*
UpdateAccountEmailAddress	准許更新與帳戶關聯的電子郵件地址	寫入
UpdateAccountName	准許更新與帳戶關聯的帳戶名稱	寫入
UpdateAccountPasswordPolicy	准許更新的密碼政策設定 AWS 帳戶	寫入
UpdateAssumeRolePolicy	授予許可來更新會授予 IAM 實體擔任角色之許可的政策	許可管理	role*
UpdateCloudFrontPublicKey	准許更新現有的 CloudFront 公有金鑰	寫入
UpdateGroup	授予許可來更新指定 IAM 群組的名稱或路徑	寫入	group*
UpdateLoginProfile	授予許可來為指定 IAM 使用者變更密碼	寫入	user*
UpdateOpenIDConnectProviderThumbprint	授予許可來更新與 OpenID Connect (OIDC) 提供者資源關聯之伺服器憑證指紋的整個清單	寫入	oidc-provider*
UpdateRole	授予許可來更新角色的描述或工作階段持續時間設定上限	寫入	role*
UpdateRoleDescription	授予許可來僅更新角色的描述	寫入	role*
UpdateSAMLProvider	授予許可來更新現有 SAML 供應商資源的中繼資料文件	寫入	saml-provider*
UpdateSSHPublicKey	授予許可來將 IAM 使用者的 SSH 公有金鑰狀態更新為作用中或非作用中	寫入	user*
UpdateServerCertificate	授予許可來更新在 IAM 中存放之指定伺服器憑證的名稱或路徑	寫入	server-certificate*
UpdateServiceSpecificCredential	授予許可來將服務特定登入資料的狀態更新為對 IAM 使用者是作用中或非作用中	寫入	user*
UpdateServiceSpecificCredential	授予許可來將服務特定登入資料的狀態更新為對 IAM 使用者是作用中或非作用中	寫入		iam:ServiceSpecificCredentialServiceName
UpdateSigningCertificate	授予許可來將指定使用者簽署憑證狀態更新為作用中或已停用	寫入	user*
UpdateUser	授予許可來更新指定 IAM 使用者的名稱或路徑	寫入	user*
UploadCloudFrontPublicKey	准許上傳 CloudFront 公有金鑰	寫入
UploadSSHPublicKey	授予許可來上傳 SSH 公有金鑰，並將該金鑰與指定的 IAM 使用者建立關聯	寫入	user*
UploadServerCertificate	准許上傳的伺服器憑證實體 AWS 帳戶	寫入	server-certificate*
UploadServerCertificate	准許上傳的伺服器憑證實體 AWS 帳戶	寫入		aws:TagKeys aws:RequestTag/${TagKey}
UploadSigningCertificate	授予許可來上傳 X.509 簽署憑證，並將該憑證與指定的 IAM 使用者建立關聯	寫入	user*

AWS Identity and Access Management (IAM) 定義的資源類型

此服務會定義下列資源類型，並可用在 IAM 許可政策陳述式的 Resource 元素中。動作表格中的每個動作都代表可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。

資源類型	ARN	條件索引鍵
access-report	`arn:${Partition}:iam::${Account}:access-report/${EntityPath}`
assumed-role	`arn:${Partition}:iam::${Account}:assumed-role/${RoleName}/${RoleSessionName}`
federated-user	`arn:${Partition}:iam::${Account}:federated-user/${UserName}`
group	`arn:${Partition}:iam::${Account}:group/${GroupNameWithPath}`
instance-profile	`arn:${Partition}:iam::${Account}:instance-profile/${InstanceProfileNameWithPath}`	aws:ResourceTag/${TagKey}
mfa	`arn:${Partition}:iam::${Account}:mfa/${MfaTokenIdWithPath}`	aws:ResourceTag/${TagKey}
oidc-provider	`arn:${Partition}:iam::${Account}:oidc-provider/${OidcProviderName}`	aws:ResourceTag/${TagKey}
policy	`arn:${Partition}:iam::${Account}:policy/${PolicyNameWithPath}`	aws:ResourceTag/${TagKey}
role	`arn:${Partition}:iam::${Account}:role/${RoleNameWithPath}`	aws:ResourceTag/${TagKey} iam:ResourceTag/${TagKey}
saml-provider	`arn:${Partition}:iam::${Account}:saml-provider/${SamlProviderName}`	aws:ResourceTag/${TagKey}
server-certificate	`arn:${Partition}:iam::${Account}:server-certificate/${CertificateNameWithPath}`	aws:ResourceTag/${TagKey}
sms-mfa	`arn:${Partition}:iam::${Account}:sms-mfa/${MfaTokenIdWithPath}`
user	`arn:${Partition}:iam::${Account}:user/${UserNameWithPath}`	aws:ResourceTag/${TagKey} iam:ResourceTag/${TagKey}

AWS Identity and Access Management (IAM) 的條件索引鍵

AWS Identity and Access Management (IAM) 定義下列條件索引鍵，可用於 IAM 政策的 Condition元素。您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵表。

若要檢視所有服務可用的全域條件索引鍵，請參閱AWS 全域條件內容索引鍵。

條件索引鍵	描述	類型
aws:RequestTag/${TagKey}	根據請求中傳遞的標籤來篩選存取權	字串
aws:ResourceTag/${TagKey}	根據與資源關聯的標籤來篩選存取權	字串
aws:TagKeys	根據請求中傳遞的標籤索引鍵來篩選存取權	ArrayOfString
iam:AWSServiceName	依連接此角色 AWS 的服務篩選存取權	String
iam:AssociatedResourceArn	依將代表下列項目使用之角色的資源篩選存取權	ARN
iam:FIDO-FIPS-140-2-certification	在註冊 FIDO 安全金鑰時，依 MFA 裝置 FIPS-140-2 驗證認證等級篩選存取權	String
iam:FIDO-FIPS-140-3-certification	在註冊 FIDO 安全金鑰時，依 MFA 裝置 FIPS-140-3 驗證認證等級篩選存取權	String
iam:FIDO-certification	在註冊 FIDO 安全金鑰時，依 MFA 裝置 FIDO 認證等級篩選存取權	String
iam:OrganizationsPolicyId	依 AWS Organizations 政策的 ID 篩選存取權	String
iam:PassedToService	依傳遞此角色 AWS 的服務篩選存取權	String
iam:PermissionsBoundary	篩選如果指定政策設定為 IAM 實體 (使用者或角色) 上的許可界限時的存取	ARN
iam:PolicyARN	依 IAM 政策的 ARN 來篩選存取權	ARN
iam:RegisterSecurityKey	依 MFA 裝置啟用的目前狀態篩選存取權	String
iam:ResourceTag/${TagKey}	依連接到 IAM 實體 (使用者或角色) 的標籤來篩選存取權	String
iam:ServiceSpecificCredentialAgeDays	依憑證過期前的持續時間篩選存取權	數值
iam:ServiceSpecificCredentialServiceName	依與登入資料相關聯的服務篩選存取權	String

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

AWS IAM Identity Center OIDC 服務

AWS Identity and Access Management Roles Anywhere