Operationen Aktionen Ressourcentypen Bedingungsschlüssel

Aktionen, Ressourcen und Bedingungsschlüssel für AWS Verzeichnisdienst-Daten

AWS Verzeichnisdienstdaten (Dienstpräfix: ds-data) stellt die folgenden dienstspezifischen Operationen, Ressourcen, Aktionen und Bedingungsschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Erfahren Sie, wie Sie diesen Service konfigurieren.
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.
Sehen Sie sich das an Referenz zur programmatischen Serviceautorisierung für diesen Dienst.

Themen

API-Operationen, definiert durch AWS Daten des Verzeichnisdienstes
Aktionen definiert durch AWS Verzeichnisdienst-Daten
Ressourcentypen, definiert durch AWS Verzeichnisdienst-Daten
Bedingungsschlüssel für AWS Verzeichnisdienst-Daten

API-Operationen, definiert durch AWS Daten des Verzeichnisdienstes

In der folgenden Tabelle werden API-Operationen den IAM-Aktionen zugeordnet, die sie autorisieren. Es werden nur Bedingungsschlüssel aufgeführt, die statische Werte für die angegebene API und Aktion haben. Den vollständigen Satz der Bedingungsschlüssel, die von jeder Aktion unterstützt werden, finden Sie in der Tabelle „Aktionen“.

Operation	IAM-Aktion	Zugriffsebene
AddGroupMember	ds-data:AddGroupMember	Schreiben
AddGroupMember	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
CreateGroup	ds-data:CreateGroup	Schreiben
CreateGroup	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
CreateUser	ds-data:CreateUser	Schreiben
CreateUser	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
DeleteGroup	ds-data:DeleteGroup	Schreiben
DeleteGroup	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
DeleteUser	ds-data:DeleteUser	Schreiben
DeleteUser	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
DescribeGroup	ds-data:DescribeGroup	Lesen
DescribeGroup	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
DescribeUser	ds-data:DescribeUser	Lesen
DescribeUser	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
DisableUser	ds-data:DisableUser	Schreiben
DisableUser	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
ListGroupMembers	ds-data:ListGroupMembers	Auflisten
ListGroupMembers	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
ListGroups	ds-data:ListGroups	Auflisten
ListGroups	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
ListGroupsForMember	ds-data:ListGroupsForMember	Auflisten
ListGroupsForMember	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
ListUsers	ds-data:ListUsers	Auflisten
ListUsers	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
RemoveGroupMember	ds-data:RemoveGroupMember	Schreiben
RemoveGroupMember	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
SearchGroups	ds-data:DescribeGroup	Lesen
	ds-data:SearchGroups	Lesen
	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
SearchUsers	ds-data:DescribeUser	Lesen
	ds-data:SearchUsers	Lesen
	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
UpdateGroup	ds-data:UpdateGroup	Schreiben
UpdateGroup	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben
UpdateUser	ds-data:UpdateUser	Schreiben
UpdateUser	ds:AccessDSData	Verwaltung von Berechtigungen, Schreiben

Aktionen definiert durch AWS Verzeichnisdienst-Daten

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Für jede Aktion sind in der Tabelle die Ressourcentypen und Bedingungsschlüssel aufgeführt, die von dieser Aktion unterstützt werden. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
AddGroupMember	Erteilt die Erlaubnis, ein Mitglied zu einer Gruppe in einem Verzeichnis hinzuzufügen	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:MemberName ds-data:MemberRealm ds-data:Realm ds-data:SAMAccountName	Schreiben
CreateGroup	Erteilt die Erlaubnis, eine Gruppe in einem Verzeichnis zu erstellen	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:Realm ds-data:SAMAccountName	Schreiben
CreateUser	Erteilt die Erlaubnis, einen Benutzer in einem Verzeichnis zu erstellen	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:Realm ds-data:SAMAccountName	Schreiben
DeleteGroup	Erteilt die Erlaubnis, eine Gruppe in einem Verzeichnis zu löschen	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:Realm ds-data:SAMAccountName	Schreiben
DeleteUser	Erteilt die Erlaubnis, einen Benutzer in einem Verzeichnis zu löschen	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:Realm ds-data:SAMAccountName	Schreiben
DescribeGroup	Erteilt die Erlaubnis, eine Gruppe in einem Verzeichnis zu beschreiben	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:Realm ds-data:SAMAccountName	Lesen
DescribeUser	Erteilt die Erlaubnis, einen Benutzer in einem Verzeichnis zu beschreiben	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:Realm ds-data:SAMAccountName	Lesen
DisableUser	Erteilt die Erlaubnis, einen Benutzer in einem Verzeichnis zu deaktivieren	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:Realm ds-data:SAMAccountName	Schreiben
ListGroupMembers	Erteilt die Erlaubnis, Mitglieder einer Gruppe in einem Verzeichnis aufzulisten	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:MemberRealm ds-data:Realm ds-data:SAMAccountName	Auflisten
ListGroups	Erteilt die Erlaubnis, Gruppen in einem Verzeichnis aufzulisten	directory*	aws:ResourceTag/${TagKey} ds-data:Realm	Auflisten
ListGroupsForMember	Erteilt die Erlaubnis, die Gruppen, denen ein Mitglied angehört, in einem Verzeichnis aufzulisten	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:MemberRealm ds-data:Realm ds-data:SAMAccountName	Auflisten
ListUsers	Erteilt die Erlaubnis, Benutzer in einem Verzeichnis aufzulisten	directory*	aws:ResourceTag/${TagKey} ds-data:Realm	Auflisten
RemoveGroupMember	Erteilt die Erlaubnis, ein Mitglied aus einer Gruppe in einem Verzeichnis zu entfernen	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:MemberName ds-data:MemberRealm ds-data:Realm ds-data:SAMAccountName	Schreiben
SearchGroups	Erteilt die Erlaubnis, in einem Verzeichnis nach Gruppen zu suchen	directory*	aws:ResourceTag/${TagKey} ds-data:Realm	Lesen
SearchUsers	Erteilt die Erlaubnis, in einem Verzeichnis nach Benutzern zu suchen	directory*	aws:ResourceTag/${TagKey} ds-data:Realm	Lesen
UpdateGroup	Erteilt die Erlaubnis, eine Gruppe in einem Verzeichnis zu aktualisieren	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:Realm ds-data:SAMAccountName	Schreiben
UpdateUser	Erteilt die Erlaubnis, einen Benutzer in einem Verzeichnis zu aktualisieren	directory*	aws:ResourceTag/${TagKey} ds-data:Identifier ds-data:Realm ds-data:SAMAccountName	Schreiben

Ressourcentypen, definiert durch AWS Verzeichnisdienst-Daten

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden.

Ressourcentypen	ARN	Bedingungsschlüssel
directory	arn:${Partition}:ds:${Region}:${Account}:directory/${DirectoryId}	aws:ResourceTag/${TagKey}

Bedingungsschlüssel für AWS Verzeichnisdienst-Daten

AWS Directory Service Data definiert die folgenden Bedingungsschlüssel, die in der Condition Element einer IAM-Richtlinie.

Bedingungsschlüssel	Beschreibung	Typ
aws:ResourceTag/${TagKey}	Filtert den Zugriff nach AWS DS-Ressource, auf die reagiert wird	String
ds-data:Identifier	Filtert den Zugriff nach dem in der Anfrage angegebenen Identifikationstyp (z. B. SAM-Kontoname)	String
ds-data:MemberName	Filtert den Zugriff anhand des Verzeichnisses SAM-Kontoname, das im Verzeichnis enthalten ist MemberName Eingabe der Anfrage	String
ds-data:MemberRealm	Filtert den Zugriff anhand des Verzeichnisbereichsnamens, der im Verzeichnis enthalten ist MemberRealm Eingabe der Anfrage	String
ds-data:Realm	Filtert den Zugriff anhand des Verzeichnisbereichsnamens für die Anfrage	String
ds-data:SAMAccountName	Filtert den Zugriff anhand des Verzeichnisses SAM-Kontoname, das im Verzeichnis enthalten ist SAMAccountName Eingabe der Anfrage	String

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

AWS Verzeichnisdienst (ds)

AWS Elastische Bohnenstange (elasticbeanstalk)