Operationen Aktionen Ressourcentypen Bedingungsschlüssel

Aktionen, Ressourcen und Bedingungsschlüssel für AWS IAM Identity Center

AWS IAM Identity Center (Dienstpräfix: sso) stellt die folgenden dienstspezifischen Operationen, Ressourcen, Aktionen und Bedingungsschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Erfahren Sie, wie Sie diesen Service konfigurieren.
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.
Sehen Sie sich das an Referenz zur programmatischen Serviceautorisierung für diesen Dienst.

Themen

API-Operationen, definiert durch AWS IAM Identity Center
Aktionen definiert durch AWS IAM Identity Center
Ressourcentypen, definiert durch AWS IAM Identity Center
Bedingungsschlüssel für AWS IAM Identity Center

API-Operationen, definiert durch AWS IAM Identity Center

In der folgenden Tabelle werden API-Operationen den IAM-Aktionen zugeordnet, die sie autorisieren. Es werden nur Bedingungsschlüssel aufgeführt, die statische Werte für die angegebene API und Aktion haben. Den vollständigen Satz der Bedingungsschlüssel, die von jeder Aktion unterstützt werden, finden Sie in der Tabelle „Aktionen“.

Operation	SDK-Client	IAM-Aktion	Zugriffsebene
AddRegion	sso-admin	sso:AddRegion	Schreiben
AttachCustomerManagedPolicyReferenceToPermissionSet	sso-admin	sso:AttachCustomerManagedPolicyReferenceToPermissionSet	Verwaltung von Berechtigungen, Schreiben
AttachManagedPolicyToPermissionSet	sso-admin	sso:AttachManagedPolicyToPermissionSet	Verwaltung von Berechtigungen, Schreiben
AttachManagedPolicyToPermissionSet	sso-admin	sso:PutPermissionsPolicy	Verwaltung von Berechtigungen, Schreiben
CreateAccountAssignment	sso-admin	sso:AssociateProfile	Schreiben
		sso:CreateAccountAssignment	Schreiben
		sso:CreateApplicationInstance	Schreiben
		sso:CreateProfile	Schreiben
		sso:CreateTrust	Schreiben
		sso:GetApplicationInstance	Lesen
		sso:GetProfile	Lesen
		sso:GetTrust	Lesen
		sso:UpdateProfile	Write (Schreiben)
		sso:UpdateTrust	Schreiben
CreateApplication	sso-admin	sso:CreateApplication	Schreiben
		sso:CreateApplicationInstance	Schreiben
		sso:CreateManagedApplicationInstance	Schreiben
		sso:PutApplicationAssignmentConfiguration	Schreiben
		sso:TagResource	Taggen, Schreiben
CreateApplicationAssignment	sso-admin	sso:AssociateProfile	Schreiben
CreateApplicationAssignment	sso-admin	sso:CreateApplicationAssignment	Schreiben
CreateInstance	sso-admin	sso:CreateInstance	Schreiben
CreateInstance	sso-admin	sso:TagResource	Taggen, Schreiben
CreateInstanceAccessControlAttributeConfiguration	sso-admin	sso:CreateInstanceAccessControlAttributeConfiguration	Schreiben
CreatePermissionSet	sso-admin	sso:CreatePermissionSet	Schreiben
CreatePermissionSet	sso-admin	sso:TagResource	Taggen, Schreiben
CreateTrustedTokenIssuer	sso-admin	sso:CreateTrustedTokenIssuer	Schreiben
CreateTrustedTokenIssuer	sso-admin	sso:TagResource	Taggen, Schreiben
DeleteAccountAssignment	sso-admin	sso:DeleteAccountAssignment	Schreiben
DeleteAccountAssignment	sso-admin	sso:DeleteProfile	Schreiben
DeleteApplication	sso-admin	sso:DeleteApplication	Schreiben
		sso:DeleteApplicationInstance	Schreiben
		sso:DeleteManagedApplicationInstance	Schreiben
DeleteApplicationAccessScope	sso-admin	sso:DeleteApplicationAccessScope	Schreiben
DeleteApplicationAssignment	sso-admin	sso:DeleteApplicationAssignment	Schreiben
DeleteApplicationAssignment	sso-admin	sso:DisassociateProfile	Schreiben
DeleteApplicationAuthenticationMethod	sso-admin	sso:DeleteApplicationAuthenticationMethod	Schreiben
DeleteApplicationGrant	sso-admin	sso:DeleteApplicationGrant	Schreiben
DeleteInlinePolicyFromPermissionSet	sso-admin	sso:DeleteInlinePolicyFromPermissionSet	Schreiben
DeleteInstance	sso-admin	sso:DeleteInstance	Schreiben
DeleteInstance	sso-admin	sso:StartSSO	Schreiben
DeleteInstanceAccessControlAttributeConfiguration	sso-admin	sso:DeleteInstanceAccessControlAttributeConfiguration	Schreiben
DeletePermissionSet	sso-admin	sso:DeletePermissionSet	Schreiben
DeletePermissionsBoundaryFromPermissionSet	sso-admin	sso:DeletePermissionsBoundaryFromPermissionSet	Verwaltung von Berechtigungen, Schreiben
DeleteTrustedTokenIssuer	sso-admin	sso:DeleteTrustedTokenIssuer	Schreiben
DescribeAccountAssignmentCreationStatus	sso-admin	sso:DescribeAccountAssignmentCreationStatus	Lesen
DescribeAccountAssignmentDeletionStatus	sso-admin	sso:DescribeAccountAssignmentDeletionStatus	Lesen
DescribeApplication	sso-admin	sso:DescribeApplication	Lesen
		sso:GetApplicationInstance	Lesen
		sso:GetManagedApplicationInstance	Lesen
DescribeApplicationAssignment	sso-admin	sso:DescribeApplicationAssignment	Lesen
DescribeApplicationProvider	sso-admin	sso:DescribeApplicationProvider	Lesen
DescribeApplicationProvider	sso-admin	sso:GetApplicationTemplate	Lesen
DescribeInstance	sso-admin	sso:DescribeInstance	Lesen
		sso:GetSharedSsoConfiguration	Lesen
		sso:ListDirectoryAssociations	Lesen
DescribeInstanceAccessControlAttributeConfiguration	sso-admin	sso:DescribeInstanceAccessControlAttributeConfiguration	Lesen
DescribePermissionSet	sso-admin	sso:DescribePermissionSet	Lesen
DescribePermissionSet	sso-admin	sso:GetPermissionSet	Lesen
DescribePermissionSetProvisioningStatus	sso-admin	sso:DescribePermissionSetProvisioningStatus	Lesen
DescribeRegion	sso-admin	sso:DescribeRegion	Lesen
DescribeTrustedTokenIssuer	sso-admin	sso:DescribeTrustedTokenIssuer	Lesen
DetachCustomerManagedPolicyReferenceFromPermissionSet	sso-admin	sso:DetachCustomerManagedPolicyReferenceFromPermissionSet	Verwaltung von Berechtigungen, Schreiben
DetachManagedPolicyFromPermissionSet	sso-admin	sso:DetachManagedPolicyFromPermissionSet	Verwaltung von Berechtigungen, Schreiben
GetApplicationAccessScope	sso-admin	sso:GetApplicationAccessScope	Lesen
GetApplicationAssignmentConfiguration	sso-admin	sso:GetApplicationAssignmentConfiguration	Lesen
GetApplicationAuthenticationMethod	sso-admin	sso:GetApplicationAuthenticationMethod	Lesen
GetApplicationGrant	sso-admin	sso:GetApplicationGrant	Lesen
GetApplicationSessionConfiguration	sso-admin	sso:GetApplicationSessionConfiguration	Lesen
GetInlinePolicyForPermissionSet	sso-admin	sso:GetInlinePolicyForPermissionSet	Lesen
GetPermissionsBoundaryForPermissionSet	sso-admin	sso:GetPermissionsBoundaryForPermissionSet	Lesen
ListAccountAssignmentCreationStatus	sso-admin	sso:ListAccountAssignmentCreationStatus	Auflisten
ListAccountAssignmentDeletionStatus	sso-admin	sso:ListAccountAssignmentDeletionStatus	Auflisten
ListAccountAssignments	sso-admin	sso:ListAccountAssignments	Auflisten
ListAccountAssignments	sso-admin	sso:ListProfileAssociations	Lesen
ListAccountAssignmentsForPrincipal	sso-admin	sso:ListAccountAssignmentsForPrincipal	Auflisten
ListAccountsForProvisionedPermissionSet	sso-admin	sso:GetApplicationInstance	Lesen
		sso:ListAccountsForProvisionedPermissionSet	Auflisten
		sso:ListApplicationInstances	Auflisten
ListApplicationAccessScopes	sso-admin	sso:ListApplicationAccessScopes	Auflisten
ListApplicationAssignments	sso-admin	sso:ListApplicationAssignments	Auflisten
ListApplicationAssignments	sso-admin	sso:ListProfileAssociations	Lesen
ListApplicationAssignmentsForPrincipal	sso-admin	sso:ListApplicationAssignmentsForPrincipal	Auflisten
ListApplicationAuthenticationMethods	sso-admin	sso:ListApplicationAuthenticationMethods	Auflisten
ListApplicationGrants	sso-admin	sso:ListApplicationGrants	Auflisten
ListApplicationProviders	sso-admin	sso:GetApplicationTemplate	Lesen
		sso:ListApplicationProviders	Auflisten
		sso:ListApplicationTemplates	Auflisten
ListApplications	sso-admin	sso:GetApplicationInstance	Lesen
		sso:ListApplicationInstances	Auflisten
		sso:ListApplicationProviders	Auflisten
		sso:ListApplications	Auflisten
ListCustomerManagedPolicyReferencesInPermissionSet	sso-admin	sso:ListCustomerManagedPolicyReferencesInPermissionSet	Auflisten
ListInstances	sso-admin	sso:ListInstances	Auflisten
ListManagedPoliciesInPermissionSet	sso-admin	sso:ListManagedPoliciesInPermissionSet	Auflisten
ListPermissionSetProvisioningStatus	sso-admin	sso:ListPermissionSetProvisioningStatus	Auflisten
ListPermissionSets	sso-admin	sso:ListPermissionSets	Auflisten
ListPermissionSetsProvisionedToAccount	sso-admin	sso:GetProfile	Lesen
		sso:ListPermissionSetsProvisionedToAccount	Auflisten
		sso:ListProfiles	Auflisten
ListRegions	sso-admin	sso:ListRegions	Auflisten
ListTagsForResource	sso-admin	sso:ListTagsForResource	Lesen
ListTrustedTokenIssuers	sso-admin	sso:ListTrustedTokenIssuers	Auflisten
ProvisionPermissionSet	sso-admin	sso:ProvisionPermissionSet	Schreiben
PutApplicationAccessScope	sso-admin	sso:PutApplicationAccessScope	Schreiben
PutApplicationAssignmentConfiguration	sso-admin	sso:PutApplicationAssignmentConfiguration	Schreiben
PutApplicationAuthenticationMethod	sso-admin	sso:CreateManagedApplicationInstance	Schreiben
PutApplicationAuthenticationMethod	sso-admin	sso:PutApplicationAuthenticationMethod	Schreiben
PutApplicationGrant	sso-admin	sso:CreateManagedApplicationInstance	Schreiben
PutApplicationGrant	sso-admin	sso:PutApplicationGrant	Schreiben
PutApplicationSessionConfiguration	sso-admin	sso:PutApplicationSessionConfiguration	Schreiben
PutInlinePolicyToPermissionSet	sso-admin	sso:PutInlinePolicyToPermissionSet	Schreiben
PutInlinePolicyToPermissionSet	sso-admin	sso:PutPermissionsPolicy	Verwaltung von Berechtigungen, Schreiben
PutPermissionsBoundaryToPermissionSet	sso-admin	sso:PutPermissionsBoundaryToPermissionSet	Verwaltung von Berechtigungen, Schreiben
RemoveRegion	sso-admin	sso:RemoveRegion	Schreiben
TagResource	sso-admin	sso:TagResource	Taggen, Schreiben
UntagResource	sso-admin	sso:UntagResource	Taggen, Schreiben
UpdateApplication	sso-admin	sso:PutApplicationAssignmentConfiguration	Schreiben
		sso:UpdateApplication	Schreiben
		sso:UpdateApplicationInstanceDisplayData	Schreiben
		sso:UpdateApplicationInstanceStatus	Schreiben
		sso:UpdateManagedApplicationInstanceStatus	Schreiben
UpdateInstance	sso-admin	sso:UpdateInstance	Schreiben
UpdateInstanceAccessControlAttributeConfiguration	sso-admin	sso:UpdateInstanceAccessControlAttributeConfiguration	Schreiben
UpdatePermissionSet	sso-admin	sso:UpdatePermissionSet	Verwaltung von Berechtigungen, Schreiben
UpdateTrustedTokenIssuer	sso-admin	sso:UpdateTrustedTokenIssuer	Schreiben

Aktionen definiert durch AWS IAM Identity Center

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Für jede Aktion sind in der Tabelle die Ressourcentypen und Bedingungsschlüssel aufgeführt, die von dieser Aktion unterstützt werden. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
AddRegion	Erteilt die Berechtigung, einer IAM Identity Center-Instanz eine Region hinzuzufügen	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
AssociateDirectory	Erteilt die Erlaubnis, ein Verzeichnis zu verbinden, das von verwendet werden soll AWS IAM Identity Center			Schreiben
AssociateProfile	Gewährt die Berechtigung zum Erstellen einer Verknüpfung zwischen einem Verzeichnisbenutzer oder einer Gruppe und einem Profil			Schreiben
AttachCustomerManagedPolicyReferenceToPermissionSet	Erteilung der Berechtigung, einen Verweis auf eine vom Kunden verwaltete Richtlinie an einen Berechtigungssatz anzuhängen	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
AttachCustomerManagedPolicyReferenceToPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
AttachManagedPolicyToPermissionSet	Erteilt die Erlaubnis zum Anhängen einer AWS verwaltete Richtlinie an einen Berechtigungssatz	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Rechteverwaltung, Schreiben
AttachManagedPolicyToPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Rechteverwaltung, Schreiben
CreateAccountAssignment	Erteilt einem Principal die Erlaubnis, einem bestimmten Principal Zugriff zu gewähren AWS-Konto verwendet einen bestimmten Berechtigungssatz	Account*		Schreiben
		Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion
		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion
CreateApplication	Gewährt die Berechtigung zum Erstellen einer Anwendung	Application*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:ApplicationAccount sso:PrimaryRegion	Schreiben
		ApplicationProvider*	aws:RequestTag/${TagKey} aws:TagKeys
		Instance*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion
CreateApplicationAssignment	Gewährt die Berechtigung zum Erstellen einer Anwendungszuweisung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
CreateApplicationInstance	Erteilt die Berechtigung zum Hinzufügen einer Anwendungsinstanz zu AWS IAM Identity Center			Schreiben
CreateApplicationInstanceCertificate	Gewährt die Berechtigung zum Hinzufügen eines neuen Zertifikats für eine Anwendungsinstance			Schreiben
CreateInstance	Gewährt die Berechtigung zum Erstellen einer Identity Center-Instance	Instance*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion	Schreiben
CreateInstanceAccessControlAttributeConfiguration	Gewährt die Berechtigung, die Instance für ABAC zu aktivieren und die Attribute anzugeben	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
CreateManagedApplicationInstance	Erteilt die Erlaubnis, eine verwaltete Anwendungsinstanz hinzuzufügen AWS IAM Identity Center			Schreiben
CreatePermissionSet	Gewährt die Berechtigung zum Erstellen eines Berechtigungssatzes	Instance*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion	Write
CreatePermissionSet		PermissionSet*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion	Write
CreateProfile	Gewährt die Berechtigung zum Erstellen eines Profils für eine Anwendungsinstance			Write
CreateTrust	Gewährt die Berechtigung zum Erstellen einer Verbundvertrauensstellung in einem Zielkonto			Schreiben
CreateTrustedTokenIssuer	Gewährt die Berechtigung zum Erstellen eines vertrauenswürdigen Token-Ausstellers für eine Instance	Instance*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion	Schreiben
CreateTrustedTokenIssuer		TrustedTokenIssuer*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion	Schreiben
DeleteAccountAssignment	Erteilt die Erlaubnis, den Zugriff eines Principals von einem angegebenen Benutzer zu löschen AWS-Konto verwendet einen bestimmten Berechtigungssatz	Account*		Schreiben
		Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion
		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion
DeleteApplication	Gewährt die Berechtigung zum Löschen einer Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
DeleteApplicationAccessScope	Gewährt die Berechtigung zum Löschen des Zugriffsbereichs für eine Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
DeleteApplicationAssignment	Gewährt die Berechtigung zum Löschen einer Anwendungszuweisung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
DeleteApplicationAuthenticationMethod	Gewährt die Berechtigung zum Löschen einer Authentifizierungsmethode für eine Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
DeleteApplicationGrant	Gewährt die Berechtigung zum Löschen einer Erteilung aus einer Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
DeleteApplicationInstance	Gewährt die Berechtigung zum Löschen der Anwendungsinstance			Write
DeleteApplicationInstanceCertificate	Inaktives oder abgelaufenes Zertifikat aus der App-Instance löschen			Schreiben
DeleteInlinePolicyFromPermissionSet	Gewährt die Berechtigung zum Löschen der Inline-Richtlinie aus einem angegebenen Berechtigungssatz	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
DeleteInlinePolicyFromPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
DeleteInstance	Gewährt die Berechtigung zum Löschen einer Identity Center-Instance	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
DeleteInstanceAccessControlAttributeConfiguration	Gewährt die Berechtigung, ABAC zu deaktivieren und die Attributliste für die Instance zu entfernen	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Write
DeleteManagedApplicationInstance	Gewährt die Berechtigung zum Löschen der verwalteten Anwendungsinstance			Write
DeletePermissionSet	Gewährt die Berechtigung zum Löschen eines Berechtigungssatzes	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
DeletePermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
DeletePermissionsBoundaryFromPermissionSet	Erteilung der Berechtigung zum Entfernen von Berechtigungsgrenzen aus einer Berechtigungsgruppe	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
DeletePermissionsBoundaryFromPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
DeleteProfile	Gewährt die Berechtigung zum Löschen des Profils für eine Anwendungsinstance			Schreiben
DeleteTrustedTokenIssuer	Gewährt die Berechtigung zum Löschen eines vertrauenswürdigen Token-Ausstellers für eine Instance	TrustedTokenIssuer*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
DescribeAccountAssignmentCreationStatus	Gewährt die Berechtigung, den Status der Anforderung zur Zuordnungserstellung zu beschreiben	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
DescribeAccountAssignmentDeletionStatus	Gewährt die Berechtigung, den Status einer Anforderung zur Zuordnungslöschung zu beschreiben	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
DescribeApplication	Gewährt die Berechtigung zum Erhalten von Informationen zu einer Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Lesen
DescribeApplicationAssignment	Gewährt die Berechtigung zum Abrufen einer Anwendungszuweisung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Lesen
DescribeApplicationProvider	Gewährt die Berechtigung zum Beschreiben einer Anwendungsanbieters	ApplicationProvider*		Lesen
DescribeInstance	Gewährt die Berechtigung zum Abrufen von Informationen zu einer Identity Center-Instance	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
DescribeInstanceAccessControlAttributeConfiguration	Gewährt die Berechtigung, die Liste der Attribute abzurufen, die von der Instance für ABAC verwendet werden	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Read
DescribePermissionSet	Gewährt die Berechtigung zur Beschreibung eines Berechtigungssatzes	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
DescribePermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
DescribePermissionSetProvisioningStatus	Gewährt die Berechtigung zum Beschreiben des Status für die angegebene Bereitstellungsanforderung für Berechtigungssätze	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
DescribeRegion	Erteilt die Berechtigung zum Abrufen von Konfigurationsdetails für eine bestimmte IAM Identity Center-Instanzregion	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
DescribeRegisteredRegions	Erteilt die Erlaubnis, die Regionen abzurufen, für die Ihre Organisation dies aktiviert hat AWS IAM Identity Center			Lesen
DescribeTrustedTokenIssuer	Gewährt die Berechtigung zum Beschreiben eines vertrauenswürdigen Token-Ausstellers für eine Instance	TrustedTokenIssuer*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
DetachCustomerManagedPolicyReferenceFromPermissionSet	Erteilung der Berechtigung zum Trennen eines Verweises auf eine vom Kunden verwaltete Richtlinie von einem Berechtigungssatz	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
DetachCustomerManagedPolicyReferenceFromPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
DetachManagedPolicyFromPermissionSet	Erteilt die Erlaubnis, die angehängten Dateien zu entfernen AWS verwaltete Richtlinie aus dem angegebenen Berechtigungssatz	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
DetachManagedPolicyFromPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
DisassociateDirectory	Erteilt die Erlaubnis, die Zuordnung zu einem Verzeichnis aufzuheben, damit es von verwendet werden kann AWS IAM Identity Center			Schreiben
DisassociateProfile	Gewährt die Berechtigung, einen Verzeichnisbenutzer oder eine Gruppe von einem Profil zu trennen			Schreiben
GetApplicationAccessScope	Gewährt die Berechtigung zum Erhalten eines Zugriffsbereichs für eine Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Lesen
GetApplicationAssignmentConfiguration	Gewährt die Berechtigung Zuweisungskonfigurationen für eine Anwendung zu lesen	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Lesen
GetApplicationAuthenticationMethod	Gewährt die Berechtigung zum Erhalten einer Authentifizierungsmethode für eine Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Lesen
GetApplicationGrant	Gewährt die Berechtigung, Einzelheiten zu einem Zuschuss abzurufen, der zu einer Anwendung gehört	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Lesen
GetApplicationInstance	Gewährt die Berechtigung zum Abrufen von Details für eine Anwendungsinstance			Lesen
GetApplicationSessionConfiguration	Erteilt die Erlaubnis, die Sitzungskonfiguration für eine Anwendung abzurufen	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Lesen
GetApplicationTemplate	Gewährt die Berechtigung zum Abrufen von Details zur Anwendungsvorlage			Lesen
GetInlinePolicyForPermissionSet	Gewährt die Berechtigung zum Abrufen der Inline-Richtlinie, die dem Berechtigungssatz zugewiesen ist	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
GetInlinePolicyForPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
GetManagedApplicationInstance	Gewährt die Berechtigung zum Abrufen von Details für eine Anwendungsinstance			Read
GetMfaDeviceManagementForDirectory	Gewährt die Berechtigung zum Abrufen von Einstellungen für die Verwaltung von Mfa Device Management für das Verzeichnis			Read
GetPermissionSet	Gewährt die Berechtigung zum Abrufen von Details eines Berechtigungssatzes			Lesen
GetPermissionsBoundaryForPermissionSet	Erteilung der Berechtigung zum Abrufen der Berechtigungsgrenze für eine Berechtigungsgruppe	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
GetPermissionsBoundaryForPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Lesen
GetProfile	Gewährt die Berechtigung zum Abrufen eines Profils für eine Anwendungsinstance			Lesen
GetSSOStatus	Erteilt die Erlaubnis zu überprüfen, ob AWS IAM Identity Center ist aktiviert			Lesen
GetSharedSsoConfiguration	Gewährt die Berechtigung zum Abrufen der gemeinsam genutzten Konfiguration für die aktuelle SSO-Instance			Read
GetSsoConfiguration	Gewährt die Berechtigung zum Abrufen der Konfiguration für die aktuelle SSO-Instance			Read
GetTrust	Gewährt die Berechtigung, die Verbundvertrauensstellung in ein Zielkonto abzurufen			Read
ImportApplicationInstanceServiceProviderMetadata	Gewährt die Berechtigung, die Anwendungsinstance durch Hochladen einer vom Serviceanbieter bereitgestellten Anwendungs-SAML-Metadatendatei zu aktualisieren			Schreiben
ListAccountAssignmentCreationStatus	Erteilt die Erlaubnis, den Status von aufzulisten AWS-Konto Anfragen zur Erstellung von Aufträgen für eine bestimmte SSO-Instanz	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListAccountAssignmentDeletionStatus	Erteilt die Erlaubnis, den Status von aufzulisten AWS-Konto Anfragen zum Löschen von Zuweisungen für eine bestimmte SSO-Instanz	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListAccountAssignments	Erteilt die Erlaubnis, den Bevollmächtigten der angegebenen Person aufzulisten AWS-Konto mit dem angegebenen Berechtigungssatz	Account*		Auflisten
		Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion
		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion
ListAccountAssignmentsForPrincipal	Gewährt die Berechtigung, Konten aufzulisten, die einem Benutzer oder einer Gruppe zugewiesen sind	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListAccountsForProvisionedPermissionSet	Erteilt die Erlaubnis, alle aufzulisten AWS Konten, für die der angegebene Berechtigungssatz bereitgestellt wurde	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListAccountsForProvisionedPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListApplicationAccessScopes	Gewährt die Berechtigung zum Auflisten von Zugriffsbereichen für eine Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Auflisten
ListApplicationAssignments	Gewährt die Berechtigung zum Auflisten von Anwendungszuordnungen	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Auflisten
ListApplicationAssignmentsForPrincipal	Gewährt die Berechtigung zum Auflisten von Anwendungen, die einem Benutzer oder einer Gruppe zugewiesen sind	Instance*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Auflisten
ListApplicationAuthenticationMethods	Gewährt die Berechtigung zum Auflisten von Authentifizierungsmethoden für eine Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Auflisten
ListApplicationGrants	Gewährt die Berechtigung zum Auflisten von Berechtigungserteilungen einer Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Auflisten
ListApplicationInstanceCertificates	Gewährt die Erlaubnis, alle Zertifikate für eine bestimmte Anwendungsinstance abzurufen			Read
ListApplicationInstances	Gewährt die Berechtigung zum Abrufen aller Anwendungsinstanceen			Auflisten
ListApplicationProviders	Gewährt die Berechtigung zum Auflisten von Anwendungsanbietern	ApplicationProvider*		Auflisten
ListApplicationTemplates	Gewährt die Berechtigung zum Abrufen aller unterstützten Anwendungsvorlagen			Auflisten
ListApplications	Gewährt die Berechtigung zum Abrufen aller Anwendungen, die der Instance von IAM Identity Center zugeordnet sind			Auflisten
ListCustomerManagedPolicyReferencesInPermissionSet	Ermöglicht die Auflistung der vom Kunden verwalteten Richtlinien, die mit einem Berechtigungssatz verbunden sind	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListCustomerManagedPolicyReferencesInPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListDirectoryAssociations	Erteilt die Erlaubnis, Details über das Verzeichnis abzurufen, mit dem eine Verbindung hergestellt wurde AWS IAM Identity Center			Lesen
ListInstances	Gewährt die Berechtigung, die SSO-Instances aufzulisten, auf die der Anrufer Zugriff hat			Auflisten
ListManagedPoliciesInPermissionSet	Erteilt die Erlaubnis, die aufzulisten AWS verwaltete Richtlinien, die einem bestimmten Berechtigungssatz zugeordnet sind	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListManagedPoliciesInPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListPermissionSetProvisioningStatus	Gewährt die Berechtigung, den Status der Bereitstellungsanforderungen für Berechtigungssätze für eine bestimmte SSO-Instance aufzulisten	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListPermissionSets	Gewährt die Berechtigung zum Abrufen aller Berechtigungssätze	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListPermissionSetsProvisionedToAccount	Erteilt die Berechtigung, alle Berechtigungssätze aufzulisten, die für einen bestimmten Benutzer bereitgestellt wurden AWS-Konto	Account*		Auflisten
ListPermissionSetsProvisionedToAccount		Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListProfileAssociations	Gewährt die Berechtigung zum Abrufen des Verzeichnisbenutzers oder der Verzeichnisgruppe, die mit dem Profil verknüpft ist			Read
ListProfiles	Gewährt die Berechtigung zum Abrufen aller Profile für eine Anwendungsinstance			Auflisten
ListRegions	Erteilt die Berechtigung, alle Regionen aufzulisten, die für eine IAM Identity Center-Instanz konfiguriert sind	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ListTagsForResource	Gewährt die Berechtigung, die Tags aufzulisten, die einer bestimmten Ressource angefügt sind	Application	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Lesen
		Instance	aws:ResourceTag/${TagKey} sso:PrimaryRegion
		PermissionSet	aws:ResourceTag/${TagKey} sso:PrimaryRegion
		TrustedTokenIssuer	aws:ResourceTag/${TagKey} sso:PrimaryRegion
ListTrustedTokenIssuers	Gewährt die Berechtigung, vertrauenswürdige Token-Emittenten für eine Instance aufzulisten	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Auflisten
ProvisionPermissionSet	Gewährt die Berechtigung zum Bereitstellen eines angegebenen Berechtigungssatzes für das angegebene Ziel	Account*		Schreiben
		Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion
		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion
PutApplicationAccessScope	Erteilt die Erlaubnis für create/update einen Zugriffsumfang zu einer Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
PutApplicationAssignmentConfiguration	Gewährt die Berechtigung, einer Anwendung Zuweisungskonfigurationen hinzuzufügen	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
PutApplicationAuthenticationMethod	Erteilt die Erlaubnis create/update eine Authentifizierungsmethode für eine Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
PutApplicationGrant	Erteilt die Erlaubnis für create/update einen Zuschuss für eine Bewerbung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
PutApplicationSessionConfiguration	Erteilt die Erlaubnis, die Sitzungskonfiguration für eine Anwendung zu erstellen	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
PutInlinePolicyToPermissionSet	Gewährt die Berechtigung zum Anfügen einer IAM-Inline-Richtlinie an einen Berechtigungssatz	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
PutInlinePolicyToPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
PutMfaDeviceManagementForDirectory	Gewährt die Berechtigung, Mfa Device Management-Einstellungen für das Verzeichnis zu erstellen			Schreiben
PutPermissionsBoundaryToPermissionSet	Erteilung der Berechtigung zum Hinzufügen von Berechtigungsgrenzen zu einer Berechtigungsgruppe	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
PutPermissionsBoundaryToPermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
PutPermissionsPolicy	Gewährt die Berechtigung zum Hinzufügen einer Richtlinie zu einem Berechtigungssatz			Verwaltung von Berechtigungen, Schreiben
RemoveRegion	Erteilt die Erlaubnis, eine Region aus einer IAM Identity Center-Instanz zu entfernen	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
SearchGroups	Gewährt die Berechtigung zur Suche nach Gruppen innerhalb des zugeordneten Verzeichnisses			Read
SearchUsers	Gewährt die Berechtigung zur Suche nach Benutzern innerhalb des zugeordneten Verzeichnisses			Lesen
StartSSO	Erteilt die Erlaubnis zur Initialisierung AWS IAM Identity Center			Schreiben
TagResource	Gewährt die Berechtigung, eine Gruppe von Tags mit einer bestimmten Ressource zu verknüpfen	Application	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:ApplicationAccount sso:PrimaryRegion	Taggen, schreiben
		Instance	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion
		PermissionSet	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion
		TrustedTokenIssuer	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion
UntagResource	Gewährt die Berechtigung, die Verknüpfung einer Gruppe von Tags mit einer bestimmten Ressource aufzuheben	Application	aws:ResourceTag/${TagKey} aws:TagKeys sso:ApplicationAccount sso:PrimaryRegion	Taggen, Schreiben
		Instance	aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion
		PermissionSet	aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion
		TrustedTokenIssuer	aws:ResourceTag/${TagKey} aws:TagKeys sso:PrimaryRegion
UpdateApplication	Gewährt die Berechtigung zum Aktualisieren einer Anwendung	Application*	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion	Schreiben
UpdateApplicationInstanceActiveCertificate	Gewährt die Berechtigung zum Festlegen eines Zertifikats als aktives für diese Anwendungsinstance			Write
UpdateApplicationInstanceDisplayData	Gewährt die Berechtigung zum Aktualisieren von Anzeigedaten einer Anwendungsinstance			Write
UpdateApplicationInstanceResponseConfiguration	Gewährt die Berechtigung zum Aktualisieren der Verbundantwortkonfiguration für die Anwendungsinstance			Write
UpdateApplicationInstanceResponseSchemaConfiguration	Gewährt die Berechtigung zum Aktualisieren der Verbundantwortschemakonfiguration für die Anwendungsinstance			Write
UpdateApplicationInstanceSecurityConfiguration	Gewährt die Berechtigung zum Aktualisieren von Sicherheitsdetails für die Anwendungsinstance			Write
UpdateApplicationInstanceServiceProviderConfiguration	Gewährt die Berechtigung zum Aktualisieren der Serviceanbieterbezogene Konfiguration für die Anwendungsinstance			Write
UpdateApplicationInstanceStatus	Gewährt die Berechtigung, den Status einer Anwendungsinstance zu aktualisieren			Schreiben
UpdateInstance	Gewährt die Berechtigung zum Aktualisieren einer Identity Center-Instance	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben
UpdateInstanceAccessControlAttributeConfiguration	Gewährt die Berechtigung zum Aktualisieren der Attribute, die mit der Instance für ABAC verwendet werden sollen	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Write
UpdateManagedApplicationInstanceStatus	Gewährt die Berechtigung zum Aktualisieren des Status einer verwalteten Anwendungsinstance			Schreiben
UpdatePermissionSet	Gewährt die Berechtigung zum Aktualisieren des Berechtigungssatzes	Instance*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
UpdatePermissionSet		PermissionSet*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Verwaltung von Berechtigungen, Schreiben
UpdateProfile	Gewährt die Berechtigung zum Aktualisieren des Profils für eine Anwendungsinstance			Write
UpdateSSOConfiguration	Gewährt die Berechtigung zum Aktualisieren der Konfiguration für die aktuelle SSO-Instance			Write
UpdateTrust	Gewährt die Berechtigung, die Verbundvertrauensstellung in einem Zielkonto zu aktualisieren			Schreiben
UpdateTrustedTokenIssuer	Gewährt die Berechtigung zum Aktualisieren eines vertrauenswürdigen Token-Ausstellers für eine Instance	TrustedTokenIssuer*	aws:ResourceTag/${TagKey} sso:PrimaryRegion	Schreiben

Ressourcentypen, definiert durch AWS IAM Identity Center

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden.

Ressourcentypen	ARN	Bedingungsschlüssel
Account	arn:${Partition}:sso:::account/${AccountId}
Application	arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}	aws:ResourceTag/${TagKey} sso:ApplicationAccount sso:PrimaryRegion
ApplicationProvider	arn:${Partition}:sso::aws:applicationProvider/${ApplicationProviderId}
Instance	arn:${Partition}:sso:::instance/${InstanceId}	aws:ResourceTag/${TagKey} sso:PrimaryRegion
PermissionSet	arn:${Partition}:sso:::permissionSet/${InstanceId}/${PermissionSetId}	aws:ResourceTag/${TagKey} sso:PrimaryRegion
TrustedTokenIssuer	arn:${Partition}:sso::${AccountId}:trustedTokenIssuer/${InstanceId}/${TrustedTokenIssuerId}	aws:ResourceTag/${TagKey} sso:PrimaryRegion

Bedingungsschlüssel für AWS IAM Identity Center

AWS IAM Identity Center definiert die folgenden Bedingungsschlüssel, die im Condition Element einer IAM-Richtlinie.

Bedingungsschlüssel	Beschreibung	Typ
aws:RequestTag/${TagKey}	Filtert den Zugriff durch die Tags, die in der Anfrage übergeben werden	String
aws:ResourceTag/${TagKey}	Filtert den Zugriff basierend auf den Tags, die der Ressource zugeordnet sind.	String
aws:TagKeys	Filtert den Zugriff basierend auf den Tag-Schlüssel, die in der Anfrage übergeben werden	ArrayOfString
identitycenter:ApplicationArn	Filtert den Zugriff anhand des ARN der IAM Identity Center-Anwendung	ARN
identitycenter:InstanceArn	Filtert den Zugriff anhand des ARN der IAM Identity Center-Instanz	ARN
sso:ApplicationAccount	Filtert den Zugriff nach dem Konto, das die Anwendung erstellt. Dieser Bedingungsschlüssel wird für vom Kunden verwaltete SAML-Anwendungen nicht unterstützt	String
sso:PrimaryRegion	Filtert den Zugriff nach der primären Region der IAM Identity Center-Instanz	String

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

AWS IAM Access Analyzer (access-analyzer)

AWS IAM Identity Center-Verzeichnis (sso-directory)