Operationen Aktionen Permission-only Aktionen Ressourcentypen Bedingungsschlüssel

Aktionen, Ressourcen und Bedingungsschlüssel für AWS Shield

AWS Shield (Dienstpräfix): shield) stellt die folgenden dienstspezifischen Operationen, Ressourcen, Aktionen und Bedingungsschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Erfahren Sie, wie Sie diesen Service konfigurieren.
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.
Sehen Sie sich das an Referenz zur programmatischen Serviceautorisierung für diesen Dienst.

Themen

API-Operationen, definiert durch AWS Shield
Aktionen definiert durch AWS Shield
Permission-only Aktionen für AWS Shield
Ressourcentypen, definiert durch AWS Shield
Bedingungsschlüssel für AWS Shield

API-Operationen, definiert durch AWS Shield

In der folgenden Tabelle werden API-Operationen den IAM-Aktionen zugeordnet, die sie autorisieren. Es werden nur Bedingungsschlüssel aufgeführt, die statische Werte für die angegebene API und Aktion haben. Den vollständigen Satz der Bedingungsschlüssel, die von jeder Aktion unterstützt werden, finden Sie in der Tabelle „Aktionen“.

Operation	IAM-Aktion	Bedingungsschlüssel	Mögliche (n) Wert (e)	Zugriffsebene
AssociateDRTLogBucket	shield:AssociateDRTLogBucket			Schreiben
AssociateDRTRole	shield:AssociateDRTRole			Schreiben
AssociateDRTRole	iam:PassRole	iam:PassedToService	drt.shield.amazonaws.com	Schreiben
AssociateHealthCheck	shield:AssociateHealthCheck			Schreiben
AssociateProactiveEngagementDetails	shield:AssociateProactiveEngagementDetails			Schreiben
CreateProtection	shield:CreateProtection			Schreiben
CreateProtection	shield:TagResource			Taggen, Schreiben
CreateProtectionGroup	shield:CreateProtectionGroup			Schreiben
CreateProtectionGroup	shield:TagResource			Taggen, Schreiben
CreateSubscription	shield:CreateSubscription			Schreiben
DeleteProtection	shield:DeleteProtection			Schreiben
DeleteProtectionGroup	shield:DeleteProtectionGroup			Schreiben
DeleteSubscription	shield:DeleteSubscription			Schreiben
DescribeAttack	shield:DescribeAttack			Lesen
DescribeAttack	shield:DescribeProtectionGroup			Lesen
DescribeAttackStatistics	shield:DescribeAttackStatistics			Lesen
DescribeDRTAccess	shield:DescribeDRTAccess			Lesen
DescribeEmergencyContactSettings	shield:DescribeEmergencyContactSettings			Lesen
DescribeProtection	shield:DescribeProtection			Lesen
DescribeProtectionGroup	shield:DescribeProtectionGroup			Lesen
DescribeSubscription	shield:DescribeSubscription			Lesen
DisableApplicationLayerAutomaticResponse	shield:DisableApplicationLayerAutomaticResponse			Write (Schreiben)
DisableProactiveEngagement	shield:DisableProactiveEngagement			Schreiben
DisassociateDRTLogBucket	shield:DisassociateDRTLogBucket			Schreiben
DisassociateDRTRole	shield:DisassociateDRTRole			Schreiben
DisassociateHealthCheck	shield:DisassociateHealthCheck			Schreiben
EnableApplicationLayerAutomaticResponse	shield:EnableApplicationLayerAutomaticResponse			Schreiben
EnableProactiveEngagement	shield:EnableProactiveEngagement			Schreiben
GetSubscriptionState	shield:GetSubscriptionState			Lesen
ListAttacks	shield:ListAttacks			Auflisten
ListProtectionGroups	shield:ListProtectionGroups			Auflisten
ListProtections	shield:ListProtections			Auflisten
ListResourcesInProtectionGroup	shield:ListResourcesInProtectionGroup			Auflisten
ListTagsForResource	shield:ListTagsForResource			Lesen
TagResource	shield:TagResource			Taggen, Schreiben
UntagResource	shield:UntagResource			Taggen, Schreiben
UpdateApplicationLayerAutomaticResponse	shield:UpdateApplicationLayerAutomaticResponse			Schreiben
UpdateEmergencyContactSettings	shield:UpdateEmergencyContactSettings			Schreiben
UpdateProtectionGroup	shield:UpdateProtectionGroup			Schreiben
UpdateSubscription	shield:UpdateSubscription			Schreiben

Aktionen definiert durch AWS Shield

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Für jede Aktion sind in der Tabelle die Ressourcentypen und Bedingungsschlüssel aufgeführt, die von dieser Aktion unterstützt werden. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
AssociateDRTLogBucket	Gewährt die Berechtigung zum Autorisieren des DDoS Response Teams für den Zugriff auf den angegebenen Amazon-S3-Bucket mit Ihren Ablauf-Protokollen			Schreiben
AssociateDRTRole	Erteilt die Erlaubnis, das DDoS Response-Team unter Verwendung der angegebenen Rolle für den Zugriff auf Ihre AWS-Konto zur Unterstützung bei der Abwehr von DDoS-Angriffen bei potenziellen Angriffen			Schreiben
AssociateHealthCheck	Gewährt die Berechtigung zum Hinzufügen einer gesundheitsbasierten Erkennung zum Shield Advanced-Schutz für eine Ressource	protection*	aws:ResourceTag/${TagKey}	Write
AssociateProactiveEngagementDetails	Gewährt die Berechtigung zum Initialisieren eines proaktiven Engagements und zum Festlegen der Liste der Kontakte, die das DDoS Response Team (DRT) verwenden soll			Write
CreateProtection	Gewährt die Berechtigung zum Aktivieren des DDoS-Schutzservices für einen bestimmten Ressourcen-ARN		aws:RequestTag/${TagKey} aws:TagKeys	Write
CreateProtectionGroup	Gewährt die Berechtigung zum Erstellen einer Gruppierung geschützter Ressourcen, damit sie als Kollektiv behandelt werden können		aws:RequestTag/${TagKey} aws:TagKeys	Write
CreateSubscription	Gewährt die Berechtigung zum Aktivieren des Abonnements			Write
DeleteProtection	Gewährt die Berechtigung zum Löschen eines bestehenden Schutzes	protection*	aws:ResourceTag/${TagKey}	Write
DeleteProtectionGroup	Gewährt die Berechtigung zum Entfernen der angegebenen Schutzgruppe	protection-group*	aws:ResourceTag/${TagKey}	Write
DeleteSubscription	Gewährt die Berechtigung zum Deaktivieren des Abonnements			Schreiben
DescribeAttack	Erteilt die Erlaubnis, Angriffsdetails abzurufen. Zum Schutz von Angriffsdetails durch AWS Von WAF Anti-DDoS verwaltete Regelgruppe, für diese Aktion wird zusätzlich wafv2 aufgerufen:DescribeTopContributorsByEvent um die Mitwirkenden von Angriffen auf Anwendungsebene abzurufen, wofür wafv2 erforderlich ist:DescribeTopContributorsByEvent Erlaubnis in der IAM-Richtlinie	attack*		Lesen
DescribeAttackStatistics	Erteilt die Erlaubnis, Informationen über die Anzahl und Art der Angriffe zu beschreiben AWS Shield hat im letzten Jahr entdeckt			Lesen
DescribeDRTAccess	Erteilt die Erlaubnis, die aktuelle Rolle und die Liste der Amazon S3-Log-Buckets zu beschreiben, die vom DDoS-Response-Team für den Zugriff auf Ihre AWS-Konto und hilft gleichzeitig bei der Abwehr von Angriffen			Lesen
DescribeEmergencyContactSettings	Gewährt die Berechtigung zum Auflisten der E-Mail-Adressen, über die das DRT sich bei einem mutmaßlichen Angriff mit Ihnen in Verbindung setzen kann.			Read
DescribeProtection	Gewährt die Berechtigung zum Abrufen von Schutzinformationen	protection*	aws:ResourceTag/${TagKey}	Read
DescribeProtectionGroup	Gewährt die Berechtigung zum Beschreiben der Spezifikation für die angegebene Schutzgruppe	protection-group*	aws:ResourceTag/${TagKey}	Read
DescribeSubscription	Gewährt die Berechtigung zum Abrufen von Abonnementdetails wie Startzeit			Lesen
DisableApplicationLayerAutomaticResponse	Gewährt die Berechtigung zum Deaktivieren der automatischen Reaktion der Anwendungsschicht für Shield-Advanced-Schutz für eine Ressource			Schreiben
DisableProactiveEngagement	Gewährt die Berechtigung zum Entfernen der Autorisierung des DDoS Response Teams (DRT), um Kontakte über Eskalationen zu benachrichtigen			Write
DisassociateDRTLogBucket	Gewährt die Berechtigung zum Aufheben des Zugriffs des DDoS Response Teams auf den angegebenen Amazon-S3-Bucket, der Ihre Ablauf-Protokolle enthält.			Schreiben
DisassociateDRTRole	Erteilt die Erlaubnis, dem DDoS Response-Team den Zugriff auf Ihre AWS-Konto			Schreiben
DisassociateHealthCheck	Gewährt die Berechtigung zum Entfernen der gesundheitsbasierten Erkennung aus dem Shield Advanced-Schutz für eine Ressource	protection*	aws:ResourceTag/${TagKey}	Schreiben
EnableApplicationLayerAutomaticResponse	Gewährt die Berechtigung zum Aktivieren der automatischen Reaktion der Anwendungsschicht für Shield-Advanced-Schutz für eine Ressource			Schreiben
EnableProactiveEngagement	Gewährt die Berechtigung zum Autorisieren des DDoS Response Teams (DRT), E-Mail und Telefon zu verwenden, um Kontakte über Eskalationen zu benachrichtigen			Write
GetSubscriptionState	Gewährt die Berechtigung zum Abrufen des Status eines Abonnements			Read
ListAttacks	Gewährt die Berechtigung zum Auflisten aller bestehenden Angriffe			List
ListProtectionGroups	Gewährt die Berechtigung zum Abrufen der Schutzgruppen für das Konto			List
ListProtections	Gewährt die Berechtigung zum Auflisten aller bestehenden Schutzmaßnahmen			List
ListResourcesInProtectionGroup	Gewährt die Berechtigung zum Abrufen der Ressourcen, die in der Schutzgruppe enthalten sind	protection-group*	aws:ResourceTag/${TagKey}	Auflisten
ListTagsForResource	Erteilt die Erlaubnis, Informationen zu erhalten über AWS Tags für einen angegebenen Amazon-Ressourcennamen (ARN) in AWS Schild	protection	aws:ResourceTag/${TagKey}	Lesen
ListTagsForResource		protection-group	aws:ResourceTag/${TagKey}	Lesen
TagResource	Erteilt die Erlaubnis, Tags für eine Ressource hinzuzufügen oder zu aktualisieren AWS Schild	protection	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
TagResource		protection-group	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
UntagResource	Erteilt die Erlaubnis, Tags aus einer Ressource zu entfernen AWS Schild	protection	aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
UntagResource		protection-group	aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
UpdateApplicationLayerAutomaticResponse	Gewährt die Berechtigung zum Aktualisieren der automatischen Reaktion der Anwendungsschicht für Shield-Advanced-Schutz für eine Ressource			Schreiben
UpdateEmergencyContactSettings	Gewährt die Berechtigung zum Aktualisieren der Details der Liste mit E-Mail-Adressen, über die das DRT sich bei einem mutmaßlichen Angriff mit Ihnen in Verbindung setzen kann.			Write
UpdateProtectionGroup	Gewährt die Berechtigung zum Aktualisieren einer bestehenden Schutzgruppe	protection-group*	aws:ResourceTag/${TagKey}	Write
UpdateSubscription	Gewährt die Berechtigung zum Aktualisieren der Details eines bestehenden Abonnements			Schreiben

Permission-only Aktionen für AWS Shield

Die folgenden Aktionen sind definiert durch AWS Shield, sind aber nicht direkt über eine API-Operation aufrufbar. Sie können nur in IAM-Policy-Statements verwendet werden, um Berechtigungen zu gewähren oder zu verweigern.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
DescribeAttackContributors	Erteilt die Erlaubnis, detaillierte Informationen über die Mitwirkenden an einem bestimmten DDoS-Angriff zu erhalten	attack*		Lesen
DescribeAttackContributors		protection-group	aws:ResourceTag/${TagKey}	Lesen
GetGlobalThreatData	Erteilt die Erlaubnis, globale Bedrohungsdaten und Trends abzurufen von AWS Systeme zur Bedrohungsüberwachung von Shield			Lesen
ListMitigations	Erteilt die Erlaubnis, eine Liste der Abwehrmaßnahmen abzurufen, die bei DDoS-Angriffen angewendet wurden	attack*		Auflisten

Ressourcentypen, definiert durch AWS Shield

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden.

Ressourcentypen	ARN	Bedingungsschlüssel
attack	arn:${Partition}:shield::${Account}:attack/${Id}
protection	arn:${Partition}:shield::${Account}:protection/${Id}	aws:ResourceTag/${TagKey}
protection-group	arn:${Partition}:shield::${Account}:protection-group/${Id}	aws:ResourceTag/${TagKey}

Bedingungsschlüssel für AWS Shield

AWS Shield definiert die folgenden Bedingungsschlüssel, die in der Condition Element einer IAM-Richtlinie.

Bedingungsschlüssel	Beschreibung	Typ
aws:RequestTag/${TagKey}	Filtert Aktionen basierend auf dem Vorhandensein von Tag-Schlüssel-Wert-Paaren in der Anforderung.	String
aws:ResourceTag/${TagKey}	Filtert Aktionen basierend auf den Tag-Schlüssel-Wert-Paaren, die an die Ressource angefügt wurden.	String
aws:TagKeys	Filtert Aktionen basierend auf dem Vorhandensein von Tag-Schlüsseln in der Anforderung.	ArrayOfString

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

AWS Dienst, der verwaltete private Netzwerke bereitstellt (private-networks)

AWS Shield-Direktor für Netzwerksicherheit (network-security-director)