Operationen Aktionen Ressourcentypen Bedingungsschlüssel

Aktionen, Ressourcen und Bedingungsschlüssel für AWS WAF

AWS WAF (Dienstpräfix: waf) stellt die folgenden dienstspezifischen Operationen, Ressourcen, Aktionen und Bedingungsschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Erfahren Sie, wie Sie diesen Service konfigurieren.
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.
Sehen Sie sich das an Referenz zur programmatischen Serviceautorisierung für diesen Dienst.

API-Operationen, definiert durch AWS WAF

In der folgenden Tabelle werden API-Operationen den IAM-Aktionen zugeordnet, die sie autorisieren. Es werden nur Bedingungsschlüssel aufgeführt, die statische Werte für die angegebene API und Aktion haben. Den vollständigen Satz der Bedingungsschlüssel, die von jeder Aktion unterstützt werden, finden Sie in der Tabelle „Aktionen“.

Operation	IAM-Aktion	Zugriffsebene
CreateByteMatchSet	waf:CreateByteMatchSet	Schreiben
CreateGeoMatchSet	waf:CreateGeoMatchSet	Schreiben
CreateIPSet	waf:CreateIPSet	Schreiben
CreateRateBasedRule	waf:CreateRateBasedRule	Schreiben
CreateRateBasedRule	waf:TagResource	Taggen, Schreiben
CreateRegexMatchSet	waf:CreateRegexMatchSet	Schreiben
CreateRegexPatternSet	waf:CreateRegexPatternSet	Schreiben
CreateRule	waf:CreateRule	Schreiben
CreateRule	waf:TagResource	Taggen, Schreiben
CreateRuleGroup	waf:CreateRuleGroup	Schreiben
CreateRuleGroup	waf:TagResource	Taggen, Schreiben
CreateSizeConstraintSet	waf:CreateSizeConstraintSet	Schreiben
CreateSqlInjectionMatchSet	waf:CreateSqlInjectionMatchSet	Schreiben
CreateWebACL	waf:CreateWebACL	Verwaltung von Berechtigungen, Schreiben
CreateWebACL	waf:TagResource	Taggen, Schreiben
CreateWebACLMigrationStack	waf:CreateWebACLMigrationStack	Schreiben
CreateXssMatchSet	waf:CreateXssMatchSet	Schreiben
DeleteByteMatchSet	waf:DeleteByteMatchSet	Schreiben
DeleteGeoMatchSet	waf:DeleteGeoMatchSet	Schreiben
DeleteIPSet	waf:DeleteIPSet	Schreiben
DeleteLoggingConfiguration	waf:DeleteLoggingConfiguration	Schreiben
DeletePermissionPolicy	waf:DeletePermissionPolicy	Verwaltung von Berechtigungen, Schreiben
DeleteRateBasedRule	waf:DeleteRateBasedRule	Schreiben
DeleteRegexMatchSet	waf:DeleteRegexMatchSet	Schreiben
DeleteRegexPatternSet	waf:DeleteRegexPatternSet	Schreiben
DeleteRule	waf:DeleteRule	Schreiben
DeleteRuleGroup	waf:DeleteRuleGroup	Schreiben
DeleteSizeConstraintSet	waf:DeleteSizeConstraintSet	Schreiben
DeleteSqlInjectionMatchSet	waf:DeleteSqlInjectionMatchSet	Schreiben
DeleteWebACL	waf:DeleteWebACL	Verwaltung von Berechtigungen, Schreiben
DeleteXssMatchSet	waf:DeleteXssMatchSet	Schreiben
GetByteMatchSet	waf:GetByteMatchSet	Lesen
GetChangeToken	waf:GetChangeToken	Lesen
GetChangeTokenStatus	waf:GetChangeTokenStatus	Lesen
GetGeoMatchSet	waf:GetGeoMatchSet	Lesen
GetIPSet	waf:GetIPSet	Lesen
GetLoggingConfiguration	waf:GetLoggingConfiguration	Lesen
GetPermissionPolicy	waf:GetPermissionPolicy	Lesen
GetRateBasedRule	waf:GetRateBasedRule	Lesen
GetRateBasedRuleManagedKeys	waf:GetRateBasedRuleManagedKeys	Lesen
GetRegexMatchSet	waf:GetRegexMatchSet	Lesen
GetRegexPatternSet	waf:GetRegexPatternSet	Lesen
GetRule	waf:GetRule	Lesen
GetRuleGroup	waf:GetRuleGroup	Lesen
GetSampledRequests	waf:GetSampledRequests	Lesen
GetSizeConstraintSet	waf:GetSizeConstraintSet	Lesen
GetSqlInjectionMatchSet	waf:GetSqlInjectionMatchSet	Lesen
GetWebACL	waf:GetWebACL	Lesen
GetXssMatchSet	waf:GetXssMatchSet	Lesen
ListActivatedRulesInRuleGroup	waf:ListActivatedRulesInRuleGroup	Auflisten
ListByteMatchSets	waf:ListByteMatchSets	Auflisten
ListGeoMatchSets	waf:ListGeoMatchSets	Auflisten
ListIPSets	waf:ListIPSets	Auflisten
ListLoggingConfigurations	waf:ListLoggingConfigurations	Auflisten
ListRateBasedRules	waf:ListRateBasedRules	Auflisten
ListRegexMatchSets	waf:ListRegexMatchSets	Auflisten
ListRegexPatternSets	waf:ListRegexPatternSets	Auflisten
ListRuleGroups	waf:ListRuleGroups	Auflisten
ListRules	waf:ListRules	Auflisten
ListSizeConstraintSets	waf:ListSizeConstraintSets	Auflisten
ListSqlInjectionMatchSets	waf:ListSqlInjectionMatchSets	Auflisten
ListSubscribedRuleGroups	waf:ListSubscribedRuleGroups	Auflisten
ListTagsForResource	waf:ListTagsForResource	Lesen
ListWebACLs	waf:ListWebACLs	Auflisten
ListXssMatchSets	waf:ListXssMatchSets	Auflisten
PutLoggingConfiguration	waf:PutLoggingConfiguration	Schreiben
PutPermissionPolicy	waf:PutPermissionPolicy	Verwaltung von Berechtigungen, Schreiben
TagResource	waf:TagResource	Taggen, Schreiben
UntagResource	waf:UntagResource	Taggen, Schreiben
UpdateByteMatchSet	waf:UpdateByteMatchSet	Schreiben
UpdateGeoMatchSet	waf:UpdateGeoMatchSet	Schreiben
UpdateIPSet	waf:UpdateIPSet	Schreiben
UpdateRateBasedRule	waf:UpdateRateBasedRule	Schreiben
UpdateRegexMatchSet	waf:UpdateRegexMatchSet	Schreiben
UpdateRegexPatternSet	waf:UpdateRegexPatternSet	Schreiben
UpdateRule	waf:UpdateRule	Schreiben
UpdateRuleGroup	waf:UpdateRuleGroup	Schreiben
UpdateSizeConstraintSet	waf:UpdateSizeConstraintSet	Schreiben
UpdateSqlInjectionMatchSet	waf:UpdateSqlInjectionMatchSet	Schreiben
UpdateWebACL	waf:UpdateWebACL	Verwaltung von Berechtigungen, Schreiben
UpdateXssMatchSet	waf:UpdateXssMatchSet	Schreiben

Aktionen definiert durch AWS WAF

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Für jede Aktion sind in der Tabelle die Ressourcentypen und Bedingungsschlüssel aufgeführt, die von dieser Aktion unterstützt werden. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Aktionen	Description	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Zugriffsebene
CreateByteMatchSet	Erteilt die Erlaubnis zum Erstellen einer ByteMatchSet	bytematchset*		Schreiben
CreateGeoMatchSet	Erteilt die Erlaubnis zur Erstellung einer GeoMatchSet	geomatchset*		Schreiben
CreateIPSet	Gewährt die Berechtigung zum Erstellen eines IPSet.	ipset*		Schreiben
CreateRateBasedRule	Erteilt die Erlaubnis zur Erstellung einer RateBasedRule zur Begrenzung der Anzahl der Anfragen von einer einzelnen IP-Adresse	ratebasedrule*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
CreateRegexMatchSet	Erteilt die Erlaubnis, eine zu erstellen RegexMatchSet	regexmatchset*		Schreiben
CreateRegexPatternSet	Erteilt die Erlaubnis zur Erstellung einer RegexPatternSet	regexpatternset*		Schreiben
CreateRule	Gewährt die Berechtigung zum Erstellen einer Regel zum Filtern von Webanforderungen	rule*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
CreateRuleGroup	Erteilt die Erlaubnis zur Erstellung einer RuleGroup, das ist eine Sammlung vordefinierter Regeln, die Sie in einer WebACL verwenden können	rulegroup*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Schreiben
CreateSizeConstraintSet	Erteilt die Erlaubnis zum Erstellen einer SizeConstraintSet	sizeconstraintset*		Schreiben
CreateSqlInjectionMatchSet	Erteilt die Erlaubnis zur Erstellung eines SqlInjectionMatchSet	sqlinjectionmatchset*		Schreiben
CreateWebACL	Gewährt die Berechtigung zum Erstellen einer WebACL, die Regeln zum Filtern von Webanforderungen enthält	webacl*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Rechteverwaltung, Schreiben
CreateWebACLMigrationStack	Erteilt die Erlaubnis zum Erstellen einer CloudFormation Web-ACL-Vorlage in einem S3-Bucket zum Migrieren der Web-ACL von AWS WAF Classic zu AWS WAF v2	webacl*	aws:ResourceTag/${TagKey}	Schreiben
CreateXssMatchSet	Erteilt die Erlaubnis zur Erstellung eines XssMatchSet, mit dem Sie Anfragen erkennen, die Cross-Site-Scripting-Angriffe enthalten	xssmatchset*		Schreiben
DeleteByteMatchSet	Erteilt die Erlaubnis zum Löschen einer ByteMatchSet	bytematchset*		Schreiben
DeleteGeoMatchSet	Erteilt die Erlaubnis zum Löschen einer GeoMatchSet	geomatchset*		Schreiben
DeleteIPSet	Gewährt die Berechtigung zum Löschen eines IPSet	ipset*		Schreiben
DeleteLoggingConfiguration	Erteilt die Erlaubnis zum Löschen von LoggingConfiguration von einer Web-ACL	webacl*	aws:ResourceTag/${TagKey}	Schreiben
DeletePermissionPolicy	Gewährt die Berechtigung zum Löschen einer IAM-Richtlinie aus einer Regelgruppe	rulegroup*	aws:ResourceTag/${TagKey}	Verwaltung von Berechtigungen, Schreiben
DeleteRateBasedRule	Erteilt die Erlaubnis zum Löschen einer RateBasedRule	ratebasedrule*	aws:ResourceTag/${TagKey}	Schreiben
DeleteRegexMatchSet	Erteilt die Erlaubnis zum Löschen einer RegexMatchSet	regexmatchset*		Schreiben
DeleteRegexPatternSet	Erteilt die Erlaubnis zum Löschen einer RegexPatternSet	regexpatternset*		Schreiben
DeleteRule	Gewährt die Berechtigung zum Löschen einer Regel	rule*	aws:ResourceTag/${TagKey}	Schreiben
DeleteRuleGroup	Erteilt die Erlaubnis zum Löschen einer RuleGroup	rulegroup*	aws:ResourceTag/${TagKey}	Schreiben
DeleteSizeConstraintSet	Erteilt die Erlaubnis zum Löschen einer SizeConstraintSet	sizeconstraintset*		Schreiben
DeleteSqlInjectionMatchSet	Erteilt die Erlaubnis zum Löschen einer SqlInjectionMatchSet	sqlinjectionmatchset*		Schreiben
DeleteWebACL	Gewährt die Berechtigung zum Löschen einer WebACL	webacl*	aws:ResourceTag/${TagKey}	Verwaltung von Berechtigungen, Schreiben
DeleteXssMatchSet	Erteilt die Erlaubnis zum Löschen einer XssMatchSet	xssmatchset*		Schreiben
GetByteMatchSet	Erteilt die Erlaubnis zum Abrufen einer ByteMatchSet	bytematchset*		Lesen
GetChangeToken	Gewährt die Berechtigung zum Abrufen eines Änderungstoken zur Verwendung in Erstellungs-, Aktualisierungs- und Löschanforderungen			Read
GetChangeTokenStatus	Gewährt die Berechtigung zum Abrufen des Status eines Änderungstoken			Lesen
GetGeoMatchSet	Erteilt die Erlaubnis zum Abrufen einer GeoMatchSet	geomatchset*		Lesen
GetIPSet	Gewährt die Berechtigung zum Abrufen eines IPSet	ipset*		Lesen
GetLoggingConfiguration	Erteilt die Erlaubnis zum Abrufen einer LoggingConfiguration für eine Web-ACL	webacl*	aws:ResourceTag/${TagKey}	Lesen
GetPermissionPolicy	Gewährt die Berechtigung zum Abrufen einer IAM-Richtlinie für eine Regelgruppe	rulegroup*	aws:ResourceTag/${TagKey}	Lesen
GetRateBasedRule	Erteilt die Erlaubnis zum Abrufen einer RateBasedRule	ratebasedrule*	aws:ResourceTag/${TagKey}	Lesen
GetRateBasedRuleManagedKeys	Erteilt die Erlaubnis, das Array von IP-Adressen abzurufen, die derzeit von einem blockiert werden RateBasedRule	ratebasedrule*	aws:ResourceTag/${TagKey}	Lesen
GetRegexMatchSet	Erteilt die Erlaubnis zum Abrufen von RegexMatchSet	regexmatchset*		Lesen
GetRegexPatternSet	Erteilt die Erlaubnis zum Abrufen einer RegexPatternSet	regexpatternset*		Lesen
GetRule	Gewährt die Berechtigung zum Abrufen einer Regel	rule*	aws:ResourceTag/${TagKey}	Lesen
GetRuleGroup	Erteilt die Erlaubnis zum Abrufen einer RuleGroup	rulegroup*	aws:ResourceTag/${TagKey}	Lesen
GetSampledRequests	Gewährt die Berechtigung zum Abrufen detaillierter Informationen zu einem Beispielsatz von Webanforderungen	webacl	aws:ResourceTag/${TagKey}	Lesen
GetSizeConstraintSet	Erteilt die Erlaubnis zum Abrufen einer SizeConstraintSet	sizeconstraintset*		Lesen
GetSqlInjectionMatchSet	Erteilt die Erlaubnis zum Abrufen einer SqlInjectionMatchSet	sqlinjectionmatchset*		Lesen
GetWebACL	Gewährt die Berechtigung zum Abrufen einer WebACL	webacl*	aws:ResourceTag/${TagKey}	Lesen
GetXssMatchSet	Erteilt die Erlaubnis zum Abrufen einer XssMatchSet	xssmatchset*		Lesen
ListActivatedRulesInRuleGroup	Erteilt die Erlaubnis zum Abrufen eines Arrays von ActivatedRule Objekte			Auflisten
ListByteMatchSets	Erteilt die Erlaubnis zum Abrufen eines Arrays von ByteMatchSetSummary Objekte			Auflisten
ListGeoMatchSets	Erteilt die Erlaubnis zum Abrufen eines Arrays von GeoMatchSetSummary Objekte			Auflisten
ListIPSets	Erteilt die Erlaubnis zum Abrufen eines Arrays von IPSetSummary Objekte			Auflisten
ListLoggingConfigurations	Erteilt die Erlaubnis zum Abrufen eines Arrays von LoggingConfiguration Objekte			Auflisten
ListRateBasedRules	Erteilt die Erlaubnis zum Abrufen eines Arrays von RuleSummary Objekte			Auflisten
ListRegexMatchSets	Erteilt die Erlaubnis zum Abrufen eines Arrays von RegexMatchSetSummary Objekte			Auflisten
ListRegexPatternSets	Erteilt die Erlaubnis zum Abrufen eines Arrays von RegexPatternSetSummary Objekte			Auflisten
ListRuleGroups	Erteilt die Erlaubnis zum Abrufen eines Arrays von RuleGroup Objekte			Auflisten
ListRules	Erteilt die Erlaubnis zum Abrufen eines Arrays von RuleSummary Objekte			Auflisten
ListSizeConstraintSets	Erteilt die Erlaubnis zum Abrufen eines Arrays von SizeConstraintSetSummary Objekte			Auflisten
ListSqlInjectionMatchSets	Erteilt die Erlaubnis zum Abrufen eines Arrays von SqlInjectionMatchSet Objekte			Auflisten
ListSubscribedRuleGroups	Erteilt die Erlaubnis zum Abrufen eines Arrays von RuleGroup Objekte, die Sie abonniert haben			Auflisten
ListTagsForResource	Gewährt die Berechtigung zum Abrufen der Tags für eine Ressource	ratebasedrule	aws:ResourceTag/${TagKey}	Read
		rule	aws:ResourceTag/${TagKey}
		rulegroup	aws:ResourceTag/${TagKey}
		webacl	aws:ResourceTag/${TagKey}
ListWebACLs	Gewährt die Berechtigung zum Abrufen eines Arrays von WebACLSummary-Objekten			Auflisten
ListXssMatchSets	Erteilt die Erlaubnis zum Abrufen eines Arrays von XssMatchSet Objekte			Auflisten
PutLoggingConfiguration	Erteilt die Erlaubnis, eine zuzuordnen LoggingConfiguration mit einer angegebenen Web-ACL	webacl*	aws:ResourceTag/${TagKey}	Schreiben
PutPermissionPolicy	Gewährt die Berechtigung zum Anhängen einer IAM-Richtlinie an eine Regelgruppe, um die Regelgruppe zwischen Konten zu teilen	rulegroup*	aws:ResourceTag/${TagKey}	Verwaltung von Berechtigungen, Schreiben
TagResource	Gewährt die Berechtigung zum Hinzufügen eines Tags zu einer Ressource	ratebasedrule	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
		rule	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		rulegroup	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		webacl	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
UntagResource	Gewährt die Berechtigung zum Entfernen eines Tags von einer Ressource	ratebasedrule	aws:ResourceTag/${TagKey} aws:TagKeys	Taggen, Schreiben
		rule	aws:ResourceTag/${TagKey} aws:TagKeys
		rulegroup	aws:ResourceTag/${TagKey} aws:TagKeys
		webacl	aws:ResourceTag/${TagKey} aws:TagKeys
UpdateByteMatchSet	Erteilt die Erlaubnis zum Einfügen oder Löschen ByteMatchTuple Objekte in einem ByteMatchSet	bytematchset*		Schreiben
UpdateGeoMatchSet	Erteilt die Erlaubnis zum Einfügen oder Löschen GeoMatchConstraint Objekte in einem GeoMatchSet	geomatchset*		Schreiben
UpdateIPSet	Erteilt die Erlaubnis zum Einfügen oder Löschen IPSetDescriptor Objekte in einem IPSet	ipset*		Schreiben
UpdateRateBasedRule	Gewährt die Berechtigung zum Ändern einer ratenbasierten Regel	ratebasedrule*	aws:ResourceTag/${TagKey}	Schreiben
UpdateRegexMatchSet	Erteilt die Erlaubnis zum Einfügen oder Löschen RegexMatchTuple Objekte in einem RegexMatchSet	regexmatchset*		Schreiben
UpdateRegexPatternSet	Erteilt die Erlaubnis zum Einfügen oder Löschen RegexPatternStrings in einem RegexPatternSet	regexpatternset*		Schreiben
UpdateRule	Gewährt die Berechtigung zum Ändern einer Regel	rule*	aws:ResourceTag/${TagKey}	Schreiben
UpdateRuleGroup	Erteilt die Erlaubnis zum Einfügen oder Löschen ActivatedRule Objekte in einem RuleGroup	rulegroup*	aws:ResourceTag/${TagKey}	Schreiben
UpdateSizeConstraintSet	Erteilt die Erlaubnis zum Einfügen oder Löschen SizeConstraint Objekte in einem SizeConstraintSet	sizeconstraintset*		Schreiben
UpdateSqlInjectionMatchSet	Erteilt die Erlaubnis zum Einfügen oder Löschen SqlInjectionMatchTuple Objekte in einem SqlInjectionMatchSet	sqlinjectionmatchset*		Schreiben
UpdateWebACL	Erteilt die Erlaubnis zum Einfügen oder Löschen ActivatedRule Objekte in einer WebACL	webacl*	aws:ResourceTag/${TagKey}	Verwaltung von Berechtigungen, Schreiben
UpdateXssMatchSet	Erteilt die Erlaubnis zum Einfügen oder Löschen XssMatchTuple Objekte in einem XssMatchSet	xssmatchset*		Schreiben

Ressourcentypen, definiert durch AWS WAF

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden.

Ressourcentypen	ARN	Bedingungsschlüssel
bytematchset	arn:${Partition}:waf::${Account}:bytematchset/${Id}
geomatchset	arn:${Partition}:waf::${Account}:geomatchset/${Id}
ipset	arn:${Partition}:waf::${Account}:ipset/${Id}
ratebasedrule	arn:${Partition}:waf::${Account}:ratebasedrule/${Id}	aws:ResourceTag/${TagKey}
regexmatchset	arn:${Partition}:waf::${Account}:regexmatch/${Id}
regexpatternset	arn:${Partition}:waf::${Account}:regexpatternset/${Id}
rule	arn:${Partition}:waf::${Account}:rule/${Id}	aws:ResourceTag/${TagKey}
rulegroup	arn:${Partition}:waf::${Account}:rulegroup/${Id}	aws:ResourceTag/${TagKey}
sizeconstraintset	arn:${Partition}:waf::${Account}:sizeconstraintset/${Id}
sqlinjectionmatchset	arn:${Partition}:waf::${Account}:sqlinjectionset/${Id}
webacl	arn:${Partition}:waf::${Account}:webacl/${Id}	aws:ResourceTag/${TagKey}
xssmatchset	arn:${Partition}:waf::${Account}:xssmatchset/${Id}

Bedingungsschlüssel für AWS WAF

AWS WAF definiert die folgenden Bedingungsschlüssel, die in der verwendet werden können Condition Element einer IAM-Richtlinie.

Bedingungsschlüssel	Beschreibung	Typ
aws:RequestTag/${TagKey}	Filtert Aktionen basierend auf den zulässigen Werten für die einzelnen Tags	String
aws:ResourceTag/${TagKey}	Filtert Aktionen basierend auf dem Tag-Wert, der der Ressource zugeordnet ist.	String
aws:TagKeys	Filtert Aktionen basierend auf den obligatorischen Tags in der Anforderung	ArrayOfString

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

AWS Verifizierter Zugriff (verified-access)

AWS WAF Regional (waf-regional)