Amazon WorkSpaces 的動作、資源和條件索引鍵
Amazon WorkSpaces （服務字首：workspaces) 提供下列服務特定的操作、資源、動作和條件索引鍵，可用於 IAM 許可政策。
參考資料：
-
了解如何設定此服務。
-
檢視可供此服務使用的 API 操作清單。
-
了解如何使用 IAM 許可政策來保護此服務及其資源。
-
檢視此服務的程式設計服務授權參考
。
主題
Amazon WorkSpaces 定義的 API 操作
下表將 API 操作映射至其授權的 IAM 動作。只會列出具有指定 API 和動作靜態值的條件金鑰；如需每個動作支援的完整條件金鑰集，請參閱動作表格。
| 作業 | IAM 動作 | 條件鍵 | 可能的值 (s) | 存取層級 |
|---|---|---|---|---|
|
AcceptAccountLinkInvitation |
寫入 |
|||
|
AssociateConnectionAlias |
寫入 |
|||
|
AssociateIpGroups |
寫入 |
|||
|
AssociateWorkspaceApplication |
寫入 |
|||
|
AuthorizeIpRules |
寫入 |
|||
寫入 |
||||
|
CopyWorkspaceImage |
寫入 |
|||
標記、寫入 |
||||
清單 |
||||
|
CreateAccountLinkInvitation |
寫入 |
|||
|
CreateConnectClientAddIn |
寫入 |
|||
|
CreateConnectionAlias |
寫入 |
|||
標記、寫入 |
||||
|
CreateIpGroup |
寫入 |
|||
標記、寫入 |
||||
|
CreateStandbyWorkspaces |
寫入 |
|||
標記、寫入 |
||||
清單 |
||||
|
CreateTags |
標記、寫入 |
|||
|
CreateUpdatedWorkspaceImage |
標記、寫入 |
|||
寫入 |
||||
|
CreateWorkspaceBundle |
標記、寫入 |
|||
寫入 |
||||
|
CreateWorkspaceImage |
標記、寫入 |
|||
寫入 |
||||
|
CreateWorkspaces |
標記、寫入 |
|||
寫入 |
||||
|
CreateWorkspacesPool |
標記、寫入 |
|||
寫入 |
||||
|
DeleteAccountLinkInvitation |
寫入 |
|||
|
DeleteClientBranding |
寫入 |
|||
|
DeleteConnectClientAddIn |
寫入 |
|||
|
DeleteConnectionAlias |
寫入 |
|||
|
DeleteIpGroup |
寫入 |
|||
|
DeleteTags |
標記、寫入 |
|||
|
DeleteWorkspaceBundle |
寫入 |
|||
|
DeleteWorkspaceImage |
寫入 |
|||
|
DeployWorkspaceApplications |
寫入 |
|||
|
DeregisterWorkspaceDirectory |
寫入 |
|||
|
DescribeAccount |
讀取 |
|||
|
DescribeAccountModifications |
讀取 |
|||
|
DescribeApplicationAssociations |
清單 |
|||
|
DescribeApplications |
清單 |
|||
|
DescribeBundleAssociations |
清單 |
|||
|
DescribeClientBranding |
讀取 |
|||
|
DescribeClientProperties |
清單 |
|||
|
DescribeConnectClientAddIns |
清單 |
|||
|
DescribeConnectionAliasPermissions |
讀取 |
|||
|
DescribeConnectionAliases |
讀取 |
|||
|
DescribeCustomWorkspaceImageImport |
讀取 |
|||
|
DescribeImageAssociations |
清單 |
|||
|
DescribeIpGroups |
讀取 |
|||
|
DescribeTags |
讀取 |
|||
|
DescribeWorkspaceAssociations |
清單 |
|||
|
DescribeWorkspaceBundles |
清單 |
|||
|
DescribeWorkspaceDirectories |
讀取 |
|||
|
DescribeWorkspaceImagePermissions |
讀取 |
|||
|
DescribeWorkspaceImages |
清單 |
|||
|
DescribeWorkspaceSnapshots |
清單 |
|||
|
DescribeWorkspaces |
清單 |
|||
|
DescribeWorkspacesConnectionStatus |
讀取 |
|||
|
DescribeWorkspacesPoolSessions |
清單 |
|||
|
DescribeWorkspacesPools |
清單 |
|||
|
DisassociateConnectionAlias |
寫入 |
|||
|
DisassociateIpGroups |
寫入 |
|||
|
DisassociateWorkspaceApplication |
寫入 |
|||
|
GetAccountLink |
讀取 |
|||
|
ImportClientBranding |
寫入 |
|||
|
ImportCustomWorkspaceImage |
標記、寫入 |
|||
寫入 |
||||
|
ImportWorkspaceImage |
標記、寫入 |
|||
寫入 |
||||
|
ListAccountLinks |
清單 |
|||
|
ListAvailableManagementCidrRanges |
清單 |
|||
|
MigrateWorkspace |
寫入 |
|||
|
ModifyAccount |
寫入 |
|||
|
ModifyCertificateBasedAuthProperties |
寫入 |
|||
|
ModifyClientProperties |
寫入 |
|||
|
ModifyEndpointEncryptionMode |
寫入 |
|||
|
ModifySamlProperties |
寫入 |
|||
|
ModifySelfservicePermissions |
許可管理、寫入 |
|||
|
ModifyStreamingProperties |
寫入 |
|||
|
ModifyWorkspaceAccessProperties |
寫入 |
|||
|
ModifyWorkspaceCreationProperties |
寫入 |
|||
iam:PassedToService |
workspaces.amazonaws.com |
寫入 |
||
|
ModifyWorkspaceProperties |
寫入 |
|||
|
ModifyWorkspaceState |
寫入 |
|||
|
RebootWorkspaces |
寫入 |
|||
|
RebuildWorkspaces |
寫入 |
|||
|
RegisterWorkspaceDirectory |
標記、寫入 |
|||
寫入 |
||||
|
RejectAccountLinkInvitation |
寫入 |
|||
|
RestoreWorkspace |
寫入 |
|||
|
RevokeIpRules |
寫入 |
|||
寫入 |
||||
|
StartWorkspaces |
寫入 |
|||
|
StartWorkspacesPool |
寫入 |
|||
|
StopWorkspaces |
寫入 |
|||
|
StopWorkspacesPool |
寫入 |
|||
|
TerminateWorkspaces |
寫入 |
|||
|
TerminateWorkspacesPool |
寫入 |
|||
|
TerminateWorkspacesPoolSession |
寫入 |
|||
|
UpdateConnectClientAddIn |
寫入 |
|||
|
UpdateConnectionAliasPermission |
許可管理、寫入 |
|||
|
UpdateRulesOfIpGroup |
寫入 |
|||
寫入 |
||||
寫入 |
||||
|
UpdateWorkspaceBundle |
寫入 |
|||
|
UpdateWorkspaceImagePermission |
許可管理、寫入 |
|||
|
UpdateWorkspacesPool |
寫入 |
Amazon WorkSpaces 定義的動作
您可在 IAM 政策陳述式的 Action 元素中指定以下動作。使用政策來授予在 AWS中執行操作的許可。在政策中使用動作時，通常會允許或拒絕存取相同名稱的 API 操作或 CLI 命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。
| 動作 | 說明 | 資源類型 (*必填項目) | 條件索引鍵 | 存取層級 |
|---|---|---|---|---|
准許接受來自其他 AWS 帳戶的邀請，以共用 WorkSpaces BYOL 的相同組態 |
寫入 |
|||
准許將連線別名與目錄關聯 |
寫入 |
|||
准許將 IP 存取控制群組與目錄關聯 |
寫入 |
|||
准許將工作區應用程式與 WorkSpace 關聯 |
寫入 |
|||
准許新增規則至 IP 存取控制群組 |
寫入 |
|||
准許複製 WorkSpace 映像 |
寫入 |
|||
准許邀請其他 AWS 帳戶共用 WorkSpaces BYOL 的相同組態 |
寫入 |
|||
准許在目錄中建立 Amazon Connect 用戶端增益集 |
寫入 |
|||
准許建立連線別名以搭配跨區域重新導向使用 |
寫入 |
|||
准許建立 IP 存取控制群組 |
寫入 |
|||
准許建立一個或多個 Standby WorkSpace |
寫入 |
|||
准許建立 WorkSpaces 資源的標籤 |
標記、寫入 |
|||
准許建立更新的 WorkSpace 映像 |
寫入 |
|||
准許建立 WorkSpace 服務包 |
寫入 |
|||
准許建立新的 WorkSpace 映像 |
寫入 |
|||
准許建立一個或多個 WorkSpace |
寫入 |
|||
准許建立 WorkSpaces 集區 |
寫入 |
|||
准許刪除其他 AWS 帳戶的邀請，以共用 WorkSpaces BYOL 的相同組態 |
寫入 |
|||
准許刪除目錄中的 AWS WorkSpaces 用戶端品牌資料 |
寫入 |
|||
准許在目錄中刪除已在目錄中設定的 Amazon Connect 用戶端增益集 |
寫入 |
|||
准許刪除連線別名 |
寫入 |
|||
准許刪除 IP 存取控制群組 |
寫入 |
|||
准許從 WorkSpaces 資源刪除標籤 |
標記、寫入 |
|||
准許刪除 WorkSpace 服務包 |
寫入 |
|||
准許刪除 WorkSpace 映像 |
寫入 |
|||
准許在 WorkSpace 上部署所有待處理工作區應用程式 |
寫入 |
|||
准許取消註冊與 Amazon WorkSpaces 搭配使用的目錄 |
寫入 |
|||
准許擷取 WorkSpaces 帳戶之使用自有授權 (BYOL) 組態 |
讀取 |
|||
准許擷取對 WorkSpaces 帳戶之使用自有授權 (BYOL) 組態的修改 |
讀取 |
|||
准許擷取 WorkSpace 應用程式相關聯資源的資訊 |
清單 |
|||
准許取得 WorkSpace 應用程式的相關資訊 |
清單 |
|||
准許擷取 WorkSpace 套件相關聯資源的資訊 |
清單 |
|||
准許擷取目錄中的 AWS WorkSpaces 用戶端品牌資料 |
讀取 |
|||
准許擷取 WorkSpaces 用戶端的相關資訊 |
清單 |
|||
准許擷取已建立的 Amazon Connect 用戶端增益集清單 |
清單 |
|||
准許擷取連線別名擁有者已授予其他 AWS 帳戶用於連線別名的許可 |
讀取 |
|||
准許擷取描述用於跨區域重新導向之連線別名的清單 |
讀取 |
|||
准許擷取 WorkSpace BYOL 映像匯入任務的相關資訊 |
讀取 |
|||
准許擷取 WorkSpace 映像相關聯資源的資訊 |
清單 |
|||
准許擷取 IP 存取控制群組的相關資訊 |
讀取 |
|||
准許描述 WorkSpaces 資源的標籤 |
讀取 |
|||
准許擷取 WorkSpace 相關聯資源的資訊 |
清單 |
|||
准許取得 WorkSpace 服務包的相關資訊 |
清單 |
|||
准許擷取向 WorkSpaces 註冊之目錄的相關資訊 |
讀取 |
|||
准許擷取 WorkSpace 映像許可的相關資訊 |
讀取 |
|||
准許擷取 WorkSpace 映像的相關資訊 |
清單 |
|||
准許擷取 WorkSpace 快照的相關資訊 |
清單 |
|||
准許取得 WorkSpaces 的相關資訊 |
清單 |
|||
准許取得 WorkSpaces 的連線狀態 |
讀取 |
|||
准許擷取 WorkSpaces 集區工作階段的相關資訊 |
清單 |
|||
准許擷取 WorkSpaces 集區的相關資訊 |
清單 |
|||
准許取消連線別名與目錄的關聯 |
寫入 |
|||
准許取消 IP 存取控制群組與目錄的關聯 |
寫入 |
|||
准許將工作區應用程式與 WorkSpace 取消關聯 |
寫入 |
|||
准許擷取另一個 AWS 帳戶的連結，以共用 WorkSpaces BYOL 的組態 |
讀取 |
|||
准許在目錄中匯入 AWS WorkSpaces 用戶端品牌資料 |
寫入 |
|||
准許將使用自有授權 (BYOL) 映像匯入 Amazon WorkSpaces |
寫入 |
|||
准許將使用自有授權 (BYOL) 映像匯入 Amazon WorkSpaces |
寫入 |
|||
准許使用共用 WorkSpaces BYOL 組態的 AWS 帳戶 （帳戶） 擷取連結 |
清單 |
|||
准許列出可用 CIDR 範圍，以便為 WorkSpaces 帳戶啟用使用自有授權 (BYOL) |
清單 |
|||
准許遷移 WorkSpaces |
寫入 |
|||
准許修改 WorkSpaces 帳戶之使用自有授權 (BYOL) 組態 |
寫入 |
|||
准許修改目錄的憑證型授權屬性 |
寫入 |
|||
准許修改 WorkSpaces 用戶端的屬性 |
寫入 |
|||
准許在標準 TLS 和 FIPS 140-2 驗證模式之間設定指定的目錄 |
寫入 |
|||
准許修改目錄的 SAML 屬性 |
寫入 |
|||
准許修改使用者的自助 WorkSpace 管理功能 |
許可管理、寫入 |
|||
准許修改串流屬性 |
寫入 |
|||
准許指定使用者可以用來存取其 WorkSpaces 的裝置和作業系統 |
寫入 |
|||
准許修改用於建立 WorkSpaces 的預設屬性 |
寫入 |
|||
准許修改 WorkSpace 屬性，包括執行中模式和 AutoStop 期間 |
寫入 |
|||
准許修改 WorkSpaces 的狀態 |
寫入 |
|||
准許重新啟動 WorkSpaces |
寫入 |
|||
准許重建 WorkSpaces |
寫入 |
|||
准許註冊目錄，以便搭配 Amazon WorkSpaces 使用 |
寫入 |
|||
准許拒絕來自其他 AWS 帳戶的邀請，以共用 WorkSpaces BYOL 的相同組態 |
寫入 |
|||
准許還原 WorkSpaces |
寫入 |
|||
准許從 IP 存取控制群組移除規則 |
寫入 |
|||
准許啟動 AutoStop WorkSpaces |
寫入 |
|||
准許啟動 WorkSpaces 集區 |
寫入 |
|||
准許停止 AutoStop WorkSpaces |
寫入 |
|||
准許停止 WorkSpaces 集區 |
寫入 |
|||
准許聯合身分使用者透過使用現有的憑證及串流工作空間來登入 |
寫入 |
|||
准許終止 WorkSpaces |
寫入 |
|||
准許終止 WorkSpaces 集區 |
寫入 |
|||
准許終止 WorkSpaces 集區工作階段 |
寫入 |
|||
准許更新 Amazon Connect 用戶端增益集。使用此動作以更新 Amazon Connect 用戶端增益集的名稱和端點 URL |
寫入 |
|||
准許與其他帳戶共享或取消共享連線別名 |
許可管理、寫入 |
|||
准許取代 IP 存取控制群組的規則 |
寫入 |
|||
准許更新 WorkSpace 服務包中使用之 WorkSpace 映像 |
寫入 |
|||
准許透過指定其他帳戶是否具有複製映像的許可，來與其他帳戶共享或取消共享 WorkSpace 映像 |
許可管理、寫入 |
|||
准許更新 WorkSpaces 集區 |
寫入 |
Amazon WorkSpaces 的僅限許可動作
下列動作是由 Amazon WorkSpaces 定義，但無法透過任何 API 操作直接叫用。它們只能在 IAM 政策陳述式中使用，以授予或拒絕許可。
| 動作 | 說明 | 資源類型 (*必填項目) | 條件索引鍵 | 存取層級 |
|---|---|---|---|---|
准許建立根用戶端憑證 |
寫入 |
|||
准許刪除根用戶端憑證 |
寫入 |
|||
准許擷取 BYOL 最低要求之同意協議的相關資訊 |
讀取 |
|||
准許在管理和佈建工作區時執行目錄管理動作 |
清單 |
|||
准許取得疑難排解建議 |
讀取 |
|||
准許使用 WorkSpaces Advisor 進行 WorkSpace 加入 |
寫入 |
|||
准許叫用故障診斷調查 |
讀取 |
|||
准許列出疑難排解建議 |
讀取 |
|||
准許管理啟用 WorkSpaces 主控台體驗個人化功能 |
寫入 |
|||
准許將同意協議更新為 BYOL 最低要求 |
寫入 |
|||
准許更新根用戶端憑證 |
寫入 |
Amazon WorkSpaces 定義的資源類型
此服務會定義下列資源類型，並可用在 IAM 許可政策陳述式的 Resource 元素中。
| 資源類型 | ARN | 條件索引鍵 |
|---|---|---|
arn：${Partition}：workspaces：${Region}：${Account}：workspacecertificate/${CertificateId} |
||
arn：${Partition}：workspaces：${Region}：${Account}：connectionalias/${ConnectionAliasId} |
||
arn：${Partition}：workspaces：${Region}：${Account}：directory/${DirectoryId} |
||
arn：${Partition}：workspaces：${Region}：${Account}：workspaceapplication/${WorkSpaceApplicationId} |
||
arn：${Partition}：workspaces：${Region}：${Account}：workspacebundle/${BundleId} |
||
arn：${Partition}：workspaces：${Region}：${Account}：workspace/${WorkspaceId} |
||
arn：${Partition}：workspaces：${Region}：${Account}：workspaceimage/${ImageId} |
||
arn：${Partition}：workspaces：${Region}：${Account}：workspaceipgroup/${GroupId} |
||
arn：${Partition}：workspaces：${Region}：${Account}：workspacespool/${PoolId} |
Amazon WorkSpaces 的條件索引鍵
Amazon WorkSpaces 定義了下列條件索引鍵，可用於 IAM 政策的 Condition 元素。
| 條件索引鍵 | 描述 | Type |
|---|---|---|
根據請求中傳遞的標籤來篩選存取權 |
String |
|
根據與資源關聯的標籤來篩選存取權 |
String |
|
根據請求中傳遞的標籤索引鍵來篩選存取權 |
ArrayOfString |
|
依 Workspaces 使用者的 ID 篩選存取權 |
String |
