Operationen Aktionen Permission-only Aktionen Ressourcentypen Bedingungsschlüssel

Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Cognito-Benutzerpools

Amazon Cognito-Benutzerpools (Servicepräfix: cognito-idp) stellt die folgenden dienstspezifischen Operationen, Ressourcen, Aktionen und Bedingungsschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Erfahren Sie, wie Sie diesen Service konfigurieren.
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.
Sehen Sie sich das an Referenz zur programmatischen Serviceautorisierung für diesen Dienst.

Themen

API-Operationen, die von Amazon Cognito User Pools definiert werden
Von Amazon Cognito-Benutzerpools definierte Aktionen
Permission-only Aktionen für Amazon Cognito-Benutzerpools
Von Amazon Cognito User Pools definierte Ressourcentypen
Bedingungsschlüssel für Amazon Cognito-Benutzerpools

API-Operationen, die von Amazon Cognito User Pools definiert werden

In der folgenden Tabelle werden API-Operationen den IAM-Aktionen zugeordnet, die sie autorisieren. Es werden nur Bedingungsschlüssel aufgeführt, die statische Werte für die angegebene API und Aktion haben. Den vollständigen Satz der Bedingungsschlüssel, die von jeder Aktion unterstützt werden, finden Sie in der Tabelle „Aktionen“.

Operation	IAM-Aktion	Zugriffsebene
AddCustomAttributes	cognito-idp:AddCustomAttributes	Schreiben
AddUserPoolClientSecret	cognito-idp:AddUserPoolClientSecret	Schreiben
AdminAddUserToGroup	cognito-idp:AdminAddUserToGroup	Schreiben
AdminConfirmSignUp	cognito-idp:AdminConfirmSignUp	Schreiben
AdminCreateUser	cognito-idp:AdminCreateUser	Schreiben
AdminDeleteSoftwareToken	cognito-idp:AdminDeleteSoftwareToken	Schreiben
AdminDeleteUser	cognito-idp:AdminDeleteUser	Schreiben
AdminDeleteUserAttributes	cognito-idp:AdminDeleteUserAttributes	Schreiben
AdminDisableProviderForUser	cognito-idp:AdminDisableProviderForUser	Schreiben
AdminDisableUser	cognito-idp:AdminDisableUser	Schreiben
AdminEnableUser	cognito-idp:AdminEnableUser	Schreiben
AdminForgetDevice	cognito-idp:AdminForgetDevice	Schreiben
AdminGetDevice	cognito-idp:AdminGetDevice	Lesen
AdminGetUser	cognito-idp:AdminGetUser	Lesen
AdminGetUserAuthFactors	cognito-idp:AdminGetUserAuthFactors	Lesen
AdminInitiateAuth	cognito-idp:AdminInitiateAuth	Write (Schreiben)
AdminLinkProviderForUser	cognito-idp:AdminLinkProviderForUser	Schreiben
AdminListDevices	cognito-idp:AdminListDevices	Auflisten
AdminListGroupsForUser	cognito-idp:AdminListGroupsForUser	Auflisten
AdminListUserAuthEvents	cognito-idp:AdminListUserAuthEvents	Lesen
AdminRemoveUserFromGroup	cognito-idp:AdminRemoveUserFromGroup	Write (Schreiben)
AdminResetUserPassword	cognito-idp:AdminResetUserPassword	Schreiben
AdminRespondToAuthChallenge	cognito-idp:AdminRespondToAuthChallenge	Schreiben
AdminSetUserMFAPreference	cognito-idp:AdminSetUserMFAPreference	Schreiben
AdminSetUserPassword	cognito-idp:AdminSetUserPassword	Schreiben
AdminSetUserSettings	cognito-idp:AdminSetUserSettings	Schreiben
AdminUpdateAuthEventFeedback	cognito-idp:AdminUpdateAuthEventFeedback	Schreiben
AdminUpdateDeviceStatus	cognito-idp:AdminUpdateDeviceStatus	Schreiben
AdminUpdateUserAttributes	cognito-idp:AdminUpdateUserAttributes	Schreiben
AdminUserGlobalSignOut	cognito-idp:AdminUserGlobalSignOut	Schreiben
AssociateSoftwareToken	cognito-idp:AssociateSoftwareToken	Schreiben
ChangePassword	cognito-idp:ChangePassword	Schreiben
ConfirmDevice	cognito-idp:ConfirmDevice	Schreiben
ConfirmForgotPassword	cognito-idp:ConfirmForgotPassword	Schreiben
ConfirmSignUp	cognito-idp:ConfirmSignUp	Schreiben
CreateGroup	cognito-idp:CreateGroup	Schreiben
CreateGroup	iam:PassRole	Schreiben
CreateIdentityProvider	cognito-idp:CreateIdentityProvider	Schreiben
CreateManagedLoginBranding	cognito-idp:CreateManagedLoginBranding	Schreiben
CreateResourceServer	cognito-idp:CreateResourceServer	Schreiben
CreateTerms	cognito-idp:CreateTerms	Schreiben
CreateUserImportJob	cognito-idp:CreateUserImportJob	Schreiben
CreateUserImportJob	iam:PassRole	Schreiben
CreateUserPool	cognito-idp:CreateUserPool	Schreiben
	cognito-idp:TagResource	Taggen, Schreiben
	iam:PassRole	Schreiben
CreateUserPoolClient	cognito-idp:CreateUserPoolClient	Schreiben
CreateUserPoolClient	iam:PassRole	Schreiben
CreateUserPoolDomain	cognito-idp:CreateUserPoolDomain	Schreiben
CreateUserPoolReplica	cognito-idp:CreateUserPoolReplica	Schreiben
DeleteGroup	cognito-idp:DeleteGroup	Schreiben
DeleteIdentityProvider	cognito-idp:DeleteIdentityProvider	Schreiben
DeleteManagedLoginBranding	cognito-idp:DeleteManagedLoginBranding	Schreiben
DeleteResourceServer	cognito-idp:DeleteResourceServer	Schreiben
DeleteTerms	cognito-idp:DeleteTerms	Schreiben
DeleteUser	cognito-idp:DeleteUser	Schreiben
DeleteUserAttributes	cognito-idp:DeleteUserAttributes	Schreiben
DeleteUserPool	cognito-idp:DeleteUserPool	Schreiben
DeleteUserPoolClient	cognito-idp:DeleteUserPoolClient	Schreiben
DeleteUserPoolClientSecret	cognito-idp:DeleteUserPoolClientSecret	Schreiben
DeleteUserPoolDomain	cognito-idp:DeleteUserPoolDomain	Schreiben
DeleteUserPoolReplica	cognito-idp:DeleteUserPoolReplica	Schreiben
DescribeIdentityProvider	cognito-idp:DescribeIdentityProvider	Lesen
DescribeManagedLoginBranding	cognito-idp:DescribeManagedLoginBranding	Lesen
DescribeManagedLoginBrandingByClient	cognito-idp:DescribeManagedLoginBrandingByClient	Lesen
DescribeResourceServer	cognito-idp:DescribeResourceServer	Lesen
DescribeRiskConfiguration	cognito-idp:DescribeRiskConfiguration	Lesen
DescribeTerms	cognito-idp:DescribeTerms	Lesen
DescribeTermsByClient	cognito-idp:DescribeTerms	Lesen
DescribeTermsByClient	cognito-idp:DescribeTermsByClient	Lesen
DescribeUserImportJob	cognito-idp:DescribeUserImportJob	Lesen
DescribeUserPool	cognito-idp:DescribeUserPool	Lesen
DescribeUserPoolClient	cognito-idp:DescribeUserPoolClient	Lesen
DescribeUserPoolDomain	cognito-idp:DescribeUserPoolDomain	Lesen
ForgetDevice	cognito-idp:ForgetDevice	Write (Schreiben)
ForgotPassword	cognito-idp:ForgotPassword	Schreiben
GetCSVHeader	cognito-idp:GetCSVHeader	Lesen
GetClientToken	cognito-idp:GetClientToken	Write (Schreiben)
GetDevice	cognito-idp:GetDevice	Lesen
GetGroup	cognito-idp:GetGroup	Lesen
GetIdentityProviderByIdentifier	cognito-idp:GetIdentityProviderByIdentifier	Lesen
GetLogDeliveryConfiguration	cognito-idp:GetLogDeliveryConfiguration	Lesen
GetProvisionedLimit	cognito-idp:GetProvisionedLimit	Lesen
GetSigningCertificate	cognito-idp:GetSigningCertificate	Lesen
GetTokensFromRefreshToken	cognito-idp:GetTokensFromRefreshToken	Write (Schreiben)
GetUICustomization	cognito-idp:GetUICustomization	Lesen
GetUser	cognito-idp:GetUser	Lesen
GetUserAttributeVerificationCode	cognito-idp:GetUserAttributeVerificationCode	Lesen
GetUserPoolMfaConfig	cognito-idp:GetUserPoolMfaConfig	Lesen
GlobalSignOut	cognito-idp:GlobalSignOut	Write (Schreiben)
InitiateAuth	cognito-idp:InitiateAuth	Schreiben
ListDevices	cognito-idp:ListDevices	Auflisten
ListGroups	cognito-idp:ListGroups	Auflisten
ListIdentityProviders	cognito-idp:ListIdentityProviders	Auflisten
ListResourceServers	cognito-idp:ListResourceServers	Auflisten
ListTagsForResource	cognito-idp:ListTagsForResource	Auflisten
ListTerms	cognito-idp:ListTerms	Auflisten
ListUserImportJobs	cognito-idp:ListUserImportJobs	Auflisten
ListUserPoolClientSecrets	cognito-idp:ListUserPoolClientSecrets	Auflisten
ListUserPoolClients	cognito-idp:ListUserPoolClients	Auflisten
ListUserPoolReplicas	cognito-idp:ListUserPoolReplicas	Auflisten
ListUserPools	cognito-idp:ListUserPools	Auflisten
ListUsers	cognito-idp:ListUsers	Auflisten
ListUsersInGroup	cognito-idp:ListUsersInGroup	Auflisten
ResendConfirmationCode	cognito-idp:ResendConfirmationCode	Schreiben
RespondToAuthChallenge	cognito-idp:RespondToAuthChallenge	Schreiben
RevokeToken	cognito-idp:RevokeToken	Schreiben
SetLogDeliveryConfiguration	cognito-idp:SetLogDeliveryConfiguration	Schreiben
SetRiskConfiguration	cognito-idp:SetRiskConfiguration	Schreiben
SetUICustomization	cognito-idp:SetUICustomization	Schreiben
SetUserMFAPreference	cognito-idp:SetUserMFAPreference	Schreiben
SetUserPoolMfaConfig	cognito-idp:SetUserPoolMfaConfig	Schreiben
SetUserPoolMfaConfig	iam:PassRole	Schreiben
SetUserSettings	cognito-idp:SetUserSettings	Schreiben
SignUp	cognito-idp:SignUp	Schreiben
StartUserImportJob	cognito-idp:StartUserImportJob	Schreiben
StopUserImportJob	cognito-idp:StopUserImportJob	Schreiben
TagResource	cognito-idp:TagResource	Taggen, Schreiben
UntagResource	cognito-idp:UntagResource	Taggen, Schreiben
UpdateAuthEventFeedback	cognito-idp:UpdateAuthEventFeedback	Schreiben
UpdateDeviceStatus	cognito-idp:UpdateDeviceStatus	Schreiben
UpdateGroup	cognito-idp:UpdateGroup	Schreiben
UpdateGroup	iam:PassRole	Schreiben
UpdateIdentityProvider	cognito-idp:UpdateIdentityProvider	Schreiben
UpdateManagedLoginBranding	cognito-idp:UpdateManagedLoginBranding	Schreiben
UpdateProvisionedLimit	cognito-idp:UpdateProvisionedLimit	Schreiben
UpdateResourceServer	cognito-idp:UpdateResourceServer	Schreiben
UpdateTerms	cognito-idp:UpdateTerms	Schreiben
UpdateUserAttributes	cognito-idp:UpdateUserAttributes	Schreiben
UpdateUserPool	cognito-idp:TagResource	Taggen, Schreiben
	cognito-idp:UntagResource	Taggen, Schreiben
	cognito-idp:UpdateUserPool	Schreiben
	iam:PassRole	Schreiben
UpdateUserPoolClient	cognito-idp:UpdateUserPoolClient	Schreiben
UpdateUserPoolClient	iam:PassRole	Schreiben
UpdateUserPoolDomain	cognito-idp:UpdateUserPoolDomain	Schreiben
UpdateUserPoolReplica	cognito-idp:UpdateUserPoolReplica	Schreiben
VerifySoftwareToken	cognito-idp:VerifySoftwareToken	Schreiben
VerifyUserAttribute	cognito-idp:VerifyUserAttribute	Schreiben

Von Amazon Cognito-Benutzerpools definierte Aktionen

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Für jede Aktion sind in der Tabelle die Ressourcentypen und Bedingungsschlüssel aufgeführt, die von dieser Aktion unterstützt werden. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
AddCustomAttributes	Gewährt die Berechtigung zum Hinzufügen von Benutzerattributen zum Benutzerpool-Schema	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AddUserPoolClientSecret	Erteilt die Erlaubnis, einem vertraulichen Client ein neues Geheimnis hinzuzufügen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminAddUserToGroup	Gewährt die Berechtigung zum Hinzufügen jedes Benutzers zu jeder Gruppe	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminConfirmSignUp	Gewährt die Berechtigung, die Registrierung eines Benutzers ohne Bestätigungscode zu bestätigen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminCreateUser	Gewährt die Berechtigung, neue Benutzer zu erstellen und Willkommensnachrichten per E-Mail oder SMS zu senden	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminDeleteSoftwareToken	Erteilt die Erlaubnis, das Software-Token eines Benutzers zu löschen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminDeleteUser	Gewährt die Berechtigung zum Löschen eines beliebigen Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminDeleteUserAttributes	Gewährt die Berechtigung zum Löschen von Attributen eines beliebigen Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminDisableProviderForUser	Gewährt die Berechtigung zur Aufhebung der Verknüpfung eines beliebigen Benutzerpool-Benutzers mit einem Benutzer eines dritten Identitätsanbieters (IdP)	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminDisableUser	Gewährt die Berechtigung zum Deaktivieren eines Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminEnableUser	Gewährt die Berechtigung zum Aktivieren eines Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminForgetDevice	Gewährt die Berechtigung zum Aufheben der Registrierung der Geräte eines Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminGetDevice	Gewährt die Berechtigung zum Abrufen von Informationen über die Geräte eines Benutzers	userpool*	aws:ResourceTag/${TagKey}	Lesen
AdminGetUser	Gewährt die Berechtigung, jeden Benutzer anhand des Benutzernamens nachzuschlagen	userpool*	aws:ResourceTag/${TagKey}	Lesen
AdminGetUserAuthFactors	Erteilt die Erlaubnis, die konfigurierten Authentifizierungsfaktoren eines Benutzers nachzuschlagen	userpool*	aws:ResourceTag/${TagKey}	Lesen
AdminInitiateAuth	Gewährt die Berechtigung zum Authentifizieren eines Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminLinkProviderForUser	Gewährt die Berechtigung zum Verknüpfen eines beliebigen Benutzerpool-Benutzers mit einem Drittanbieter-IdP-Benutzer	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminListDevices	Gewährt die Berechtigung zum Auflisten der gespeicherten Geräte eines beliebigen Benutzers	userpool*	aws:ResourceTag/${TagKey}	Auflisten
AdminListGroupsForUser	Gewährt die Berechtigung zum Auflisten der Gruppen, denen ein Benutzer angehört	userpool*	aws:ResourceTag/${TagKey}	Auflisten
AdminListUserAuthEvents	Gewährt die Berechtigung zum Auflisten von Anmeldeereignissen für beliebige Benutzer	userpool*	aws:ResourceTag/${TagKey}	Lesen
AdminRemoveUserFromGroup	Gewährt die Berechtigung zum Entfernen eines Benutzers aus einer Gruppe	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminResetUserPassword	Gewährt die Berechtigung zum Zurücksetzen des Passworts eines beliebigen Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminRespondToAuthChallenge	Gewährt die Berechtigung, auf eine Authentifizierungsherausforderung während der Authentifizierung eines Benutzers zu reagieren	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminSetUserMFAPreference	Gewährt die Berechtigung zum Festlegen der bevorzugten MFA-Methode eines beliebigen Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminSetUserPassword	Gewährt die Berechtigung zum Festlegen des Kennworts eines beliebigen Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminSetUserSettings	Gewährt die Berechtigung zum Festlegen von Benutzereinstellungen für beliebige Benutzer	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminUpdateAuthEventFeedback	Gewährt die Berechtigung zum Aktualisieren des erweiterten Sicherheitsfeedbacks für das Authentifizierungsereignis eines beliebigen Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminUpdateDeviceStatus	Gewährt die Berechtigung zum Aktualisieren des Status der gespeicherten Geräte eines beliebigen Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminUpdateUserAttributes	Gewährt die Berechtigung zum Aktualisieren der Standard- oder benutzerdefinierten Attribute eines beliebigen Benutzers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AdminUserGlobalSignOut	Gewährt die Berechtigung zum Abmelden eines Benutzers von allen Sitzungen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AssociateSoftwareToken	Gewährt die Berechtigung, einen eindeutig generierten, gemeinsam genutzten geheimen Schlüsselcode für den Benutzer zurückzugeben			Schreiben
ChangePassword	Gewährt die Berechtigung zum Ändern des Kennworts für einen angegebenen Benutzer in einem Benutzerpool			Schreiben
ConfirmDevice	Gewährt die Berechtigung zur Bestätigung der Verfolgung des Geräts. Dieser API-Aufruf ist der Aufruf, der die Geräteverfolgung startet.			Schreiben
ConfirmForgotPassword	Gewährt die Berechtigung, einem Benutzer die Eingabe eines Bestätigungscodes zum Zurücksetzen eines vergessenen Passworts zu ermöglichen			Schreiben
ConfirmSignUp	Gewährt die Berechtigung zur Bestätigung der Registrierung eines Benutzers und verwaltet den vorhandenen Alias eines vorherigen Benutzers			Schreiben
CreateGroup	Gewährt die Berechtigung zum Erstellen neuer Benutzerpool-Gruppen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
CreateIdentityProvider	Gewährt die Berechtigung zum Hinzufügen von Identitätsanbietern zu Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Schreiben
CreateManagedLoginBranding	Erteilt die Erlaubnis, Branding-Einstellungen für die verwaltete Anmeldung zu erstellen und sie einem App-Client zuzuordnen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
CreateResourceServer	Gewährt die Berechtigung zum Erstellen und Konfigurieren von Bereichen für OAuth 2.0-Ressourcenserver	userpool*	aws:ResourceTag/${TagKey}	Schreiben
CreateTerms	Erteilt die Erlaubnis, Begriffe zu erstellen und sie einem App-Client zuzuordnen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
CreateUserImportJob	Gewährt die Berechtigung zum Erstellen von Benutzer-CSV-Importaufgaben	userpool*	aws:ResourceTag/${TagKey}	Schreiben
CreateUserPool	Gewährt die Berechtigung zum Erstellen und Festlegen von Passwortrichtlinien für Benutzerpools		aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
CreateUserPoolClient	Gewährt die Berechtigung zum Erstellen von Benutzerpool-App-Clients	userpool*	aws:ResourceTag/${TagKey}	Schreiben
CreateUserPoolDomain	Gewährt die Berechtigung zum Hinzufügen von Benutzerpool-Domains	userpool*	aws:ResourceTag/${TagKey}	Schreiben
CreateUserPoolReplica	Erteilt die Erlaubnis, ein Replikat eines Benutzerpools zu erstellen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DeleteGroup	Gewährt die Berechtigung zum Löschen einer leeren Benutzerpoolgruppe	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DeleteIdentityProvider	Gewährt die Berechtigung zum Löschen beliebiger Identitätsanbieter aus Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DeleteManagedLoginBranding	Erteilt die Erlaubnis, den Branding-Stil für verwaltete Anmeldeinformationen für jeden App-Client zu löschen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DeleteResourceServer	Gewährt die Berechtigung zum Löschen beliebiger OAuth 2.0-Ressourcenserver aus Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DeleteTerms	Erteilt die Erlaubnis, Begriffe für einen App-Client zu löschen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DeleteUser	Gewährt einem Benutzer die Berechtigung, sich selbst zu löschen			Schreiben
DeleteUserAttributes	Gewährt die Berechtigung zum Löschen der Attribute für einen Benutzer			Schreiben
DeleteUserPool	Gewährt die Berechtigung zum Löschen von Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DeleteUserPoolClient	Gewährt die Berechtigung zum Löschen eines beliebigen Benutzerpool-App-Clients	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DeleteUserPoolClientSecret	Erteilt die Erlaubnis, ein Geheimnis aus einer Liste von Geheimnissen zu löschen, die einem Client zugeordnet sind	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DeleteUserPoolDomain	Gewährt die Berechtigung zum Löschen einer beliebigen Benutzerpool-Domain	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DeleteUserPoolReplica	Erteilt die Erlaubnis, ein Replikat eines Benutzerpools zu löschen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
DescribeIdentityProvider	Gewährt die Berechtigung zum Beschreiben eines beliebigen Benutzerpool-Identitätsanbieters	userpool*	aws:ResourceTag/${TagKey}	Lesen
DescribeManagedLoginBranding	Erteilt die Erlaubnis, detaillierte Informationen zum Branding-Stil der verwalteten Anmeldung abzurufen	userpool*	aws:ResourceTag/${TagKey}	Lesen
DescribeManagedLoginBrandingByClient	Erteilt die Erlaubnis, detaillierte Informationen über den Branding-Stil der verwalteten Anmeldung zu erhalten, die einem Appclient zugeordnet ist	userpool*	aws:ResourceTag/${TagKey}	Lesen
DescribeResourceServer	Gewährt die Berechtigung, zum Beschreiben jedes OAuth 2.0-Ressourcenservers	userpool*	aws:ResourceTag/${TagKey}	Lesen
DescribeRiskConfiguration	Gewährt die Berechtigung zum Beschreiben der Risikokonfigurationseinstellungen von Benutzerpools und App-Clients	userpool*	aws:ResourceTag/${TagKey}	Lesen
DescribeTerms	Erteilt die Erlaubnis, detaillierte Informationen zu den Nutzungsbedingungen für einen App-Client abzurufen	userpool*	aws:ResourceTag/${TagKey}	Lesen
DescribeTermsByClient	Erteilt die Erlaubnis, die Begriffsdokumente zu beschreiben, die mit einem App-Client verknüpft sind	userpool*	aws:ResourceTag/${TagKey}	Lesen
DescribeUserImportJob	Gewährt die Berechtigung zum Beschreiben eines beliebigen Benutzerimportauftrags	userpool*	aws:ResourceTag/${TagKey}	Lesen
DescribeUserPool	Gewährt die Berechtigung zum Beschreiben eines Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Lesen
DescribeUserPoolClient	Gewährt die Berechtigung zum Beschreiben eines beliebigen Benutzerpool-App-Clients	userpool*	aws:ResourceTag/${TagKey}	Lesen
DescribeUserPoolDomain	Gewährt die Berechtigung zum Beschreiben einer Benutzerpool-Domain			Lesen
ForgetDevice	Gewährt die Berechtigung zum Verlassen des angegebenen Geräts			Schreiben
ForgotPassword	Gewährt die Berechtigung zum Senden einer Nachricht an den Endbenutzer mit einem Bestätigungscode, der zum Ändern des Passworts des Benutzers erforderlich ist			Schreiben
GetCSVHeader	Gewährt die Berechtigung zum Generieren von Headern für eine Benutzerimport-CSV-Datei	userpool*	aws:ResourceTag/${TagKey}	Lesen
GetClientToken	Erteilt die Erlaubnis, ein Zugriffstoken für die Autorisierung von Maschine zu Maschine mit einer App-Client-ID und einem geheimen Client-Schlüssel auszustellen			Schreiben
GetDevice	Gewährt die Berechtigung zum Abrufen des Geräts			Lesen
GetGroup	Gewährt die Berechtigung zum Beschreiben einer Benutzerpoolgruppe	userpool*	aws:ResourceTag/${TagKey}	Lesen
GetIdentityProviderByIdentifier	Gewährt die Berechtigung, eine Benutzerpool-IdP-ID mit dem IdP-Namen zu korrelieren	userpool*	aws:ResourceTag/${TagKey}	Lesen
GetLogDeliveryConfiguration	Gewährt die Berechtigung zum Abrufen der detaillierten Konfiguration der Aktivitätsprotokollierung für einen Benutzerpool	userpool*	aws:ResourceTag/${TagKey}	Lesen
GetProvisionedLimit	Erteilt die Erlaubnis, ein bereitgestelltes Limit für den AWS-Konto			Lesen
GetSigningCertificate	Gewährt die Berechtigung zum Nachschlagen von Signaturzertifikaten für Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Lesen
GetTokensFromRefreshToken	Erteilt die Erlaubnis, Benutzertoken mit Aktualisierungstoken zu aktualisieren			Schreiben
GetUICustomization	Gewährt die Berechtigung zum Abrufen von Anpassungsinformationen für die gehostete Benutzeroberfläche eines beliebigen App-Clients	userpool*	aws:ResourceTag/${TagKey}	Lesen
GetUser	Gewährt die Berechtigung zum Abrufen der Benutzerattribute und Metadaten für einen Benutzer			Lesen
GetUserAttributeVerificationCode	Gewährt die Berechtigung zum Abrufen des Verifizierungscodes des Benutzerattributs für den angegebenen Attributnamen			Lesen
GetUserPoolMfaConfig	Gewährt die Berechtigung zum Nachschlagen der MFA-Konfiguration eines Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Lesen
GlobalSignOut	Gewährt die Berechtigung zum Abmelden von Benutzern von allen Geräten			Schreiben
InitiateAuth	Gewährt die Berechtigung zum Initiieren des Authentifizierungsablaufs			Schreiben
ListDevices	Gewährt die Berechtigung zum Auflisten der Geräte			Auflisten
ListGroups	Gewährt die Berechtigung zum Auflisten aller Gruppen in Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Auflisten
ListIdentityProviders	Gewährt die Berechtigung zum Auflisten aller Identitätsanbieter in Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Auflisten
ListResourceServers	Gewährt die Berechtigung zum Auflisten aller Ressourcenserver in Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Auflisten
ListTagsForResource	Gewährt die Berechtigung zum Auflisten der Tags, die einem Amazon Cognito-Benutzerpool zugeordnet sind	userpool	aws:ResourceTag/${TagKey}	Auflisten
ListTerms	Erteilt die Erlaubnis, alle Begriffe für einen Benutzerpool aufzulisten	userpool*	aws:ResourceTag/${TagKey}	Auflisten
ListUserImportJobs	Gewährt die Berechtigung zum Auflisten aller Benutzerimportaufträge	userpool*	aws:ResourceTag/${TagKey}	Auflisten
ListUserPoolClientSecrets	Erteilt die Erlaubnis, alle mit einem Client verknüpften Geheimnisse aufzulisten	userpool*	aws:ResourceTag/${TagKey}	Auflisten
ListUserPoolClients	Gewährt die Berechtigung zum Auflisten aller App-Clients in Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Auflisten
ListUserPoolReplicas	Erteilt die Erlaubnis, Replikate eines Benutzerpools aufzulisten	userpool*	aws:ResourceTag/${TagKey}	Auflisten
ListUserPools	Gewährt die Berechtigung zum Auflisten aller Benutzerpools			Auflisten
ListUsers	Gewährt die Berechtigung zum Auflisten aller Benutzerpool-Benutzer	userpool*	aws:ResourceTag/${TagKey}	Auflisten
ListUsersInGroup	Gewährt die Berechtigung zum Auflisten von Benutzern in einer beliebigen Gruppe	userpool*	aws:ResourceTag/${TagKey}	Auflisten
ResendConfirmationCode	Gewährt die Berechtigung zum erneuten Senden der Bestätigung (zur Bestätigung der Registrierung) an einen bestimmten Benutzer im Benutzerpool			Schreiben
RespondToAuthChallenge	Gewährt die Berechtigung, auf die Authentifizierungsaufforderung zu antworten			Schreiben
RevokeToken	Gewährt die Berechtigung zum Aufheben aller durch das angegebene Aktualisierungstoken generierten Zugriffstoken			Schreiben
SetLogDeliveryConfiguration	Gewährt die Berechtigung zum Einrichten oder Ändern der Konfiguration der Aktivitätsprotokollierung eines Benutzerpools	userpool*	aws:ResourceTag/${TagKey}	Schreiben
SetRiskConfiguration	Gewährt die Berechtigung, die Risikokonfiguration für Benutzerpools und App-Clients festzulegen	userpool*	aws:ResourceTag/${TagKey}	Schreiben
SetUICustomization	Gewährt die Berechtigung zum Anpassen der gehosteten Benutzeroberfläche für einen App-Client	userpool*	aws:ResourceTag/${TagKey}	Schreiben
SetUserMFAPreference	Gewährt die Berechtigung zum Festlegen der MFA-Präferenz für den Benutzer im Benutzerpool			Schreiben
SetUserPoolMfaConfig	Gewährt die Berechtigung zum Festlegen einer Benutzerpool-MFA-Konfiguration	userpool*	aws:ResourceTag/${TagKey}	Schreiben
SetUserSettings	Gewährt die Berechtigung zum Festlegen von Benutzereinstellungen wie der Multi-Faktor-Authentifizierung (MFA)			Schreiben
SignUp	Gewährt die Berechtigung zur Registrierung des Benutzers im angegebenen Benutzerpool und erstellt einen Benutzernamen, ein Kennwort und Benutzerattribute			Schreiben
StartUserImportJob	Gewährt die Berechtigung zum Starten eines Benutzerimportauftrags	userpool*	aws:ResourceTag/${TagKey}	Schreiben
StopUserImportJob	Gewährt die Berechtigung zum Stoppen eines Benutzerimportauftrags	userpool*	aws:ResourceTag/${TagKey}	Schreiben
TagResource	Gewährt die Berechtigung zum Markieren eines Benutzerpools	userpool	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
UntagResource	Gewährt die Berechtigung zum Entmarkieren eines Benutzerpools	userpool	aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
UpdateAuthEventFeedback	Gewährt die Berechtigung zum Aktualisieren des Feedbacks für das Benutzer-Authentifizierungsereignis	userpool*	aws:ResourceTag/${TagKey}	Schreiben
UpdateDeviceStatus	Gewährt die Berechtigung zum Aktualisieren des Gerätestatus			Schreiben
UpdateGroup	Gewährt die Berechtigung zum Aktualisieren der Konfiguration einer Gruppe	userpool*	aws:ResourceTag/${TagKey}	Schreiben
UpdateIdentityProvider	Gewährt die Berechtigung zum Aktualisieren der Konfiguration eines beliebigen Benutzerpool-IdP	userpool*	aws:ResourceTag/${TagKey}	Schreiben
UpdateManagedLoginBranding	Erteilt die Erlaubnis, die Branding-Einstellungen eines verwalteten Logins zu aktualisieren	userpool*	aws:ResourceTag/${TagKey}	Schreiben
UpdateProvisionedLimit	Erteilt die Erlaubnis, ein bereitgestelltes Limit für das zu aktualisieren AWS-Konto			Schreiben
UpdateResourceServer	Gewährt die Berechtigung zum Aktualisieren der Konfiguration eines beliebigen OAuth 2.0-Ressourcenservers	userpool*	aws:ResourceTag/${TagKey}	Schreiben
UpdateTerms	Erteilt die Erlaubnis, die Bedingungen für einen App-Client zu aktualisieren	userpool*	aws:ResourceTag/${TagKey}	Schreiben
UpdateUserAttributes	Gewährt einem Benutzer die Berechtigung, ein bestimmtes Attribut (jeweils eines) zu aktualisieren			Schreiben
UpdateUserPool	Gewährt die Berechtigung zum Aktualisieren der Konfiguration eines Benutzerpools	userpool*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
UpdateUserPoolClient	Gewährt die Berechtigung zum Aktualisieren eines Benutzerpool-Clients	userpool*	aws:ResourceTag/${TagKey}	Schreiben
UpdateUserPoolDomain	Gewährt die Berechtigung zum Ersetzen des Zertifikats für eine benutzerdefinierte Domain	userpool*	aws:ResourceTag/${TagKey}	Schreiben
UpdateUserPoolReplica	Erteilt die Erlaubnis, ein Replikat eines Benutzerpools zu aktualisieren	userpool*	aws:ResourceTag/${TagKey}	Schreiben
VerifySoftwareToken	Gewährt die Berechtigung, den eingegebenen TOTP-Code eines Benutzers zu registrieren und den MFA-Status des Software-Tokens des Benutzers bei Erfolg als verifiziert zu markieren			Schreiben
VerifyUserAttribute	Gewährt die Berechtigung zur Überprüfung eines Benutzerattributs mithilfe eines einmaligen Bestätigungscodes			Schreiben

Permission-only Aktionen für Amazon Cognito-Benutzerpools

Die folgenden Aktionen werden von Amazon Cognito-Benutzerpools definiert, können jedoch nicht direkt über einen API-Vorgang aufgerufen werden. Sie können nur in IAM-Richtlinienerklärungen verwendet werden, um Berechtigungen zu gewähren oder zu verweigern.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
AssociateWebACL	Erteilt die Berechtigung, den Benutzerpool einem zuzuordnen AWS WAF-Web-ACL	userpool*	aws:ResourceTag/${TagKey}	Schreiben
AssociateWebACL		webacl*		Schreiben
DisassociateWebACL	Erteilt die Erlaubnis, den Benutzerpool von einem zu trennen AWS WAF-Web-ACL	userpool*	aws:ResourceTag/${TagKey}	Schreiben
GetWebACLForResource	Erteilt die Erlaubnis, das zu erhalten AWS WAF-Web-ACL, die einem Amazon Cognito-Benutzerpool zugeordnet ist	userpool*	aws:ResourceTag/${TagKey}	Lesen
ListResourcesForWebACL	Erteilt die Berechtigung, die Benutzerpools aufzulisten, die einem zugeordnet sind AWS WAF-Web-ACL	webacl*		Auflisten

Von Amazon Cognito User Pools definierte Ressourcentypen

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden.

Ressourcentypen	ARN	Bedingungsschlüssel
userpool	arn:${Partition}:cognito-idp:${Region}:${Account}:userpool/${UserPoolId}	aws:ResourceTag/${TagKey}
webacl	arn:${Partition}:wafv2:${Region}:${Account}:${Scope}/webacl/${Name}/${Id}

Bedingungsschlüssel für Amazon Cognito-Benutzerpools

Amazon Cognito-Benutzerpools definieren die folgenden Bedingungsschlüssel, die im Condition-Element einer IAM-Richtlinie verwendet werden können.

Bedingungsschlüssel	Beschreibung	Typ
aws:RequestTag/${TagKey}	Filtert den Zugriff nach dem Vorhandensein von Tag-Schlüssel-Wert-Paaren in der Anforderung	String
aws:ResourceTag/${TagKey}	Filtert Aktionen nach Tag-Schlüssel-Werte-Paaren, die der Ressource angefügt sind	String
aws:TagKeys	Filtert den Zugriff durch einen Schlüssel in der Anforderung	ArrayOfString

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Amazon Cognito Sync (cognito-sync)

Amazon Comprehend (comprehend)