Operationen Aktionen Permission-only Aktionen Ressourcentypen Bedingungsschlüssel

Aktionen, Ressourcen und Bedingungsschlüssel für AWS Control Tower

AWS Control Tower (Dienstpräfix: controltower) stellt die folgenden dienstspezifischen Operationen, Ressourcen, Aktionen und Bedingungsschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Erfahren Sie, wie Sie diesen Service konfigurieren.
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.
Sehen Sie sich das an Referenz zur programmatischen Serviceautorisierung für diesen Dienst.

Themen

API-Operationen, definiert durch AWS Control Tower
Aktionen definiert durch AWS Control Tower
Permission-only Aktionen für AWS Control Tower
Ressourcentypen, definiert durch AWS Control Tower
Bedingungsschlüssel für AWS Control Tower

API-Operationen, definiert durch AWS Control Tower

In der folgenden Tabelle werden API-Operationen den IAM-Aktionen zugeordnet, die sie autorisieren. Es werden nur Bedingungsschlüssel aufgeführt, die statische Werte für die angegebene API und Aktion haben. Den vollständigen Satz der Bedingungsschlüssel, die von jeder Aktion unterstützt werden, finden Sie in der Tabelle „Aktionen“.

Operation	IAM-Aktion	Zugriffsebene
CreateLandingZone	controltower:CreateLandingZone	Schreiben
	controltower:PerformPreLaunchChecks	Lesen
	controltower:SetupLandingZone	Write (Schreiben)
	controltower:TagResource	Taggen, Schreiben
DeleteLandingZone	controltower:DeleteLandingZone	Schreiben
DisableBaseline	controltower:DeregisterOrganizationalUnit	Schreiben
DisableBaseline	controltower:DisableBaseline	Schreiben
DisableControl	controltower:DisableControl	Schreiben
DisableControl	controltower:DisableGuardrail	Schreiben
EnableBaseline	controltower:EnableBaseline	Schreiben
	controltower:ManageOrganizationalUnit	Schreiben
	controltower:TagResource	Taggen, Schreiben
EnableControl	controltower:EnableControl	Schreiben
	controltower:EnableGuardrail	Schreiben
	controltower:TagResource	Taggen, Schreiben
GetBaseline	controltower:GetBaseline	Lesen
GetBaselineOperation	controltower:DescribeRegisterOrganizationalUnitOperation	Lesen
GetBaselineOperation	controltower:GetBaselineOperation	Lesen
GetControlOperation	controltower:GetControlOperation	Lesen
GetEnabledBaseline	controltower:DescribeManagedAccount	Lesen
	controltower:DescribeManagedOrganizationalUnit	Lesen
	controltower:GetEnabledBaseline	Lesen
GetEnabledControl	controltower:DescribeGuardrailForTarget	Lesen
GetEnabledControl	controltower:GetEnabledControl	Lesen
GetLandingZone	controltower:DescribeLandingZoneConfiguration	Lesen
	controltower:GetAvailableUpdates	Lesen
	controltower:GetLandingZone	Lesen
	controltower:GetLandingZoneDriftStatus	Lesen
	controltower:GetLandingZoneStatus	Lesen
GetLandingZoneOperation	controltower:GetLandingZoneOperation	Lesen
GetLandingZoneOperation	controltower:GetLandingZoneStatus	Lesen
ListBaselines	controltower:ListBaselines	Auflisten
ListControlOperations	controltower:ListControlOperations	Auflisten
ListEnabledBaselines	controltower:ListEnabledBaselines	Auflisten
	controltower:ListManagedAccounts	Auflisten
	controltower:ListManagedOrganizationalUnits	Auflisten
ListEnabledControls	controltower:ListEnabledControls	Auflisten
ListEnabledControls	controltower:ListGuardrailsForTarget	Auflisten
ListLandingZoneOperations	controltower:GetLandingZoneStatus	Lesen
ListLandingZoneOperations	controltower:ListLandingZoneOperations	Auflisten
ListLandingZones	controltower:GetHomeRegion	Lesen
ListLandingZones	controltower:ListLandingZones	Auflisten
ListTagsForResource	controltower:ListTagsForResource	Lesen
ResetEnabledBaseline	controltower:ManageOrganizationalUnit	Write (Schreiben)
ResetEnabledBaseline	controltower:ResetEnabledBaseline	Schreiben
ResetEnabledControl	controltower:ResetEnabledControl	Schreiben
ResetLandingZone	controltower:ResetLandingZone	Schreiben
ResetLandingZone	controltower:SetupLandingZone	Schreiben
TagResource	controltower:TagResource	Taggen, Schreiben
UntagResource	controltower:UntagResource	Taggen, Schreiben
UpdateEnabledBaseline	controltower:ManageOrganizationalUnit	Schreiben
UpdateEnabledBaseline	controltower:UpdateEnabledBaseline	Schreiben
UpdateEnabledControl	controltower:UpdateEnabledControl	Schreiben
UpdateLandingZone	controltower:SetupLandingZone	Schreiben
UpdateLandingZone	controltower:UpdateLandingZone	Schreiben

Aktionen definiert durch AWS Control Tower

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Für jede Aktion sind in der Tabelle die Ressourcentypen und Bedingungsschlüssel aufgeführt, die von dieser Aktion unterstützt werden. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
CreateLandingZone	Gewährt die Berechtigung zum Erstellen einer Landing Zone		aws:RequestTag/${TagKey} aws:TagKeys	Schreiben
DeleteLandingZone	Erteilt die Erlaubnis zum Löschen AWS Landezone des Kontrollturms	LandingZone*	aws:ResourceTag/${TagKey}	Schreiben
DisableBaseline	Erteilt die Erlaubnis, eine Baseline für ein Ziel zu deaktivieren	EnabledBaseline*	aws:ResourceTag/${TagKey}	Schreiben
DisableControl	Gewährt die Berechtigung zum Entfernen einer Kontrolle aus einer Organisationseinheit	EnabledControl*	aws:ResourceTag/${TagKey}	Schreiben
EnableBaseline	Erteilt die Erlaubnis, eine Baseline für ein Ziel zu aktivieren		aws:RequestTag/${TagKey} aws:TagKeys	Schreiben
EnableControl	Erteilt die Berechtigung zum Aktivieren eines Steuerelements für eine Organisationseinheit	EnabledControl	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
GetBaseline	Erteilt die Erlaubnis, Baseline-Details abzurufen	Baseline*		Lesen
GetBaselineOperation	Erteilt die Erlaubnis, den aktuellen Status eines bestimmten Baseline-Vorgangs abzurufen			Lesen
GetControlOperation	Erteilt die Erlaubnis, den aktuellen Status eines bestimmten Objekts abzurufen EnabledControl oder DisableControl Betrieb			Lesen
GetEnabledBaseline	Erteilt die Erlaubnis, eine aktivierte Baseline abzurufen	EnabledBaseline*	aws:ResourceTag/${TagKey}	Lesen
GetEnabledControl	Gewährt die Berechtigung zum Abrufen einer aktivierten Kontrolle aus einer Organisationseinheit	EnabledControl*	aws:ResourceTag/${TagKey}	Lesen
GetLandingZone	Gewährt die Berechtigung zum Abrufen des aktuellen Status der Einrichtung der Landing Zone	LandingZone*	aws:ResourceTag/${TagKey}	Lesen
GetLandingZoneDriftStatus	Gewährt die Berechtigung zum Abrufen des aktuellen Abweichungsstatus der Landing Zone			Lesen
GetLandingZoneOperation	Gewährt die Berechtigung zum Abrufen des aktuellen Status eines bestimmten Landing-Zone-Vorgangs			Lesen
ListBaselines	Erteilt die Erlaubnis, Baselines aufzulisten			Auflisten
ListControlOperations	Erteilt die Erlaubnis, alle Kontrolloperationen aufzulisten			Auflisten
ListDriftDetails	Erteilt die Erlaubnis, Vorkommen von Drift in aufzulisten AWS Kontrollturm			Lesen
ListEnabledBaselines	Erteilt die Erlaubnis, aktivierte Baselines aufzulisten			Auflisten
ListEnabledControls	Gewährt die Berechtigung zum Auflisten aller aktivierten Kontrollen in einer angegebenen Organisationseinheit			Auflisten
ListExternalConfigRuleCompliance	Erteilt die Erlaubnis, die Konformität externer Daten aufzulisten AWS Regeln konfigurieren			Lesen
ListLandingZoneOperations	Erteilt die Erlaubnis, alle Operationen auf der Landezone aufzulisten			Auflisten
ListLandingZones	Gewährt die Berechtigung zum Auflisten aller Landing Zone			Auflisten
ListTagsForResource	Gewährt die Berechtigung zum Auflisten der Tags für eine Ressource	EnabledBaseline	aws:ResourceTag/${TagKey}	Lesen
		EnabledControl	aws:ResourceTag/${TagKey}
		LandingZone	aws:ResourceTag/${TagKey}
ResetEnabledBaseline	Erteilt die Erlaubnis, eine aktivierte Baseline zurückzusetzen	EnabledBaseline*	aws:ResourceTag/${TagKey}	Schreiben
ResetEnabledControl	Erteilt die Berechtigung, ein aktiviertes Steuerelement für eine Organisationseinheit zurückzusetzen	EnabledControl*	aws:ResourceTag/${TagKey}	Schreiben
ResetLandingZone	Gewährt die Berechtigung zum Zurücksetzen einer Landing Zone	LandingZone*	aws:ResourceTag/${TagKey}	Schreiben
TagResource	Gewährt die Berechtigung zum Hinzufügen von Tags zu einer Ressource	EnabledBaseline	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
		EnabledControl	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		LandingZone	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
UntagResource	Gewährt die Berechtigung zum Entfernen von Tags aus einer Ressource	EnabledBaseline	aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
		EnabledControl	aws:ResourceTag/${TagKey} aws:TagKeys
		LandingZone	aws:ResourceTag/${TagKey} aws:TagKeys
UpdateEnabledBaseline	Erteilt die Erlaubnis, eine aktivierte Baseline zu aktualisieren	EnabledBaseline*	aws:ResourceTag/${TagKey}	Schreiben
UpdateEnabledControl	Gewährt die Berechtigung zum Aktualisieren einer aktivierten Kontrolle aus einer Organisationseinheit	EnabledControl*	aws:ResourceTag/${TagKey}	Schreiben
UpdateLandingZone	Gewährt die Berechtigung zum Aktualisieren einer Landing Zone	LandingZone*	aws:ResourceTag/${TagKey}	Schreiben

Permission-only Aktionen für AWS Control Tower

Die folgenden Aktionen sind definiert durch AWS Control Tower, sind jedoch nicht direkt über einen API-Vorgang aufrufbar. Sie können nur in IAM-Policy-Statements verwendet werden, um Berechtigungen zu gewähren oder zu verweigern.

Aktionen	Description	Zugriffsebene
CreateManagedAccount	Erteilt die Erlaubnis, ein Konto zu erstellen, das von verwaltet wird AWS Kontrollturm	Schreiben
DeregisterManagedAccount	Erteilt die Erlaubnis, ein Konto, das über die Account Factory erstellt wurde, von abzumelden AWS Kontrollturm	Schreiben
DeregisterOrganizationalUnit	Erteilt die Genehmigung zur Abmeldung einer Organisationseinheit von AWS Verwaltung des Kontrollturms	Schreiben
DescribeAccountFactoryConfig	Gewährt die Berechtigung zum Beschreiben der Konfiguration der aktuellen Account Factory	Lesen
DescribeCoreService	Erteilt die Erlaubnis zur Beschreibung von Ressourcen, die von Kernkonten verwaltet werden, in AWS Kontrollturm	Lesen
DescribeGuardrail	Gewährt die Berechtigung zum Beschreiben einesr Leitlinie	Lesen
DescribeGuardrailForTarget	Gewährt die Berechtigung zum Beschreiben einer Leitlinie für eine Organisationseinheit	Lesen
DescribeLandingZoneConfiguration	Gewährt die Berechtigung zum Beschreiben der aktuellen Konfiguration der Landing Zone	Lesen
DescribeManagedAccount	Gewährt die Berechtigung zum Beschreiben eines Kontos, das über die Account Factory erstellt wurde	Lesen
DescribeManagedOrganizationalUnit	Erteilt die Erlaubnis zur Beschreibung eines AWS Organisationseinheit der Organisationen, die verwaltet wird von AWS Kontrollturm	Lesen
DescribeRegisterOrganizationalUnitOperation	Gewährt die Berechtigung zum Beschreiben eines Vorgangs einer registrierten Organisationseinheit	Lesen
DescribeSingleSignOn	Erteilt die Erlaubnis, den Strom zu beschreiben AWS Konfiguration des Control Tower IAM Identity Center	Lesen
DisableGuardrail	Gewährt die Berechtigung zum Deaktivieren eine Leitlinie von einer Organisationseinheit	Schreiben
EnableGuardrail	Gewährt die Berechtigung zum Aktivieren einer Leitlinie für eine Organisationseinheit	Schreiben
GetAccountInfo	Gewährt die Berechtigung zum Beschreiben einer Konto-E-Mail-Adresse und Bestätigen ihres Vorhandenseins	Lesen
GetAvailableUpdates	Erteilt die Erlaubnis, verfügbare Updates für die aktuelle Version aufzulisten AWS Einsatz des Control Towers	Lesen
GetGuardrailComplianceStatus	Gewährt die Berechtigung zum Abrufen des aktuellen Compliancestatus einer Leitlinie	Lesen
GetHomeRegion	Erteilt die Erlaubnis, die Heimatregion des AWS Einrichtung des Kontrollturms	Lesen
GetLandingZoneStatus	Gewährt die Berechtigung zum Abrufen des aktuellen Status der Einrichtung der Landing Zone	Lesen
ListDirectoryGroups	Erteilt die Berechtigung, die aktuellen Verzeichnisgruppen aufzulisten, die über IAM Identity Center verfügbar sind	Auflisten
ListEnabledGuardrails	Gewährt die Berechtigung zum Auflisten aktuell aktivierter Leitlinien	Auflisten
ListExtendGovernancePrecheckDetails	Gewährt die Berechtigung zum Auflisten der Details von Vorabprüfungen für eine Organisationseinheit	Auflisten
ListGuardrailViolations	Gewährt die Berechtigung zum Auflisten bestehender Leitlinienverstöße	Auflisten
ListGuardrails	Gewährt die Berechtigung zum Auflisten aller verfügbaren Leitlinien	Auflisten
ListGuardrailsForTarget	Gewährt die Berechtigung zum Auflisten der Leitlinien und ihres aktuellen Status für eine Organisationseinheit	Auflisten
ListManagedAccounts	Erteilt die Erlaubnis, Konten aufzulisten, die über verwaltet werden AWS Kontrollturm	Auflisten
ListManagedAccountsForGuardrail	Gewährt die Berechtigung zum Auflisten verwalteter Konten mit einer bestimmten angewendeten Leitlinie	Auflisten
ListManagedAccountsForParent	Gewährt die Berechtigung zum Auflisten verwalteter Konten unter einer Organisationseinheit	Auflisten
ListManagedOrganizationalUnits	Erteilt die Erlaubnis, Organisationseinheiten aufzulisten, die verwaltet werden von AWS Kontrollturm	Auflisten
ListManagedOrganizationalUnitsForGuardrail	Gewährt die Berechtigung zum Auflisten verwalteter Organisationseinheiten, auf die eine bestimmte Leitlinie angewendet wurde	Auflisten
ManageOrganizationalUnit	Erteilt die Genehmigung zur Einrichtung einer Organisationseinheit, die verwaltet werden soll von AWS Kontrollturm	Schreiben
PerformPreLaunchChecks	Gewährt die Berechtigung zum Ausführen von Bestätigungen in einem Konto	Lesen
SetupLandingZone	Erteilt die Erlaubnis zur Einrichtung oder Aktualisierung AWS Landezone des Kontrollturms	Schreiben
UpdateAccountFactoryConfig	Gewährt die Berechtigung, die Konfiguration der Account-Factory-Konfiguration zu aktualisieren	Schreiben

Ressourcentypen, definiert durch AWS Control Tower

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden.

Ressourcentypen	ARN	Bedingungsschlüssel
Baseline	arn:${Partition}:controltower:${Region}::baseline/${BaselineId}
EnabledBaseline	arn:${Partition}:controltower:${Region}:${Account}:enabledbaseline/${EnabledBaselineId}	aws:ResourceTag/${TagKey}
EnabledControl	arn:${Partition}:controltower:${Region}:${Account}:enabledcontrol/${EnabledControlId}	aws:ResourceTag/${TagKey}
LandingZone	arn:${Partition}:controltower:${Region}:${Account}:landingzone/${LandingZoneId}	aws:ResourceTag/${TagKey}

Bedingungsschlüssel für AWS Control Tower

AWS Control Tower definiert die folgenden Bedingungsschlüssel, die im Condition Element einer IAM-Richtlinie.

Bedingungsschlüssel	Beschreibung	Typ
aws:RequestTag/${TagKey}	Filtert den Zugriff durch die Tags, die in der Anfrage übergeben werden	String
aws:ResourceTag/${TagKey}	Filtert den Zugriff basierend auf den Tags, die der Ressource zugeordnet sind.	String
aws:TagKeys	Filtert den Zugriff basierend auf den Tag-Schlüssel, die in der Anfrage übergeben werden	ArrayOfString

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

AWS Kontrollkatalog (controlcatalog)

AWS Kosten- und Nutzungsbericht (cur)