Acciones, recursos y claves de condición para AWS IoT Greengrass
AWS IoT Greengrass (prefijo de servicio:greengrass) proporciona las siguientes operaciones, recursos, acciones y claves de condición específicos del servicio para su uso en las políticas de permisos de IAM.
Referencias:
-
Obtenga información para configurar este servicio.
-
Vea una lista de las operaciones de API disponibles para este servicio.
-
Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.
-
Consulte la referencia de autorización de servicio programática de este servicio.
Temas
Las operaciones de la API se definen mediante AWS IoT Greengrass
En la siguiente tabla, se asignan las operaciones de la API a las acciones de IAM que autorizan. Solo se muestran las claves de condición que tienen valores estáticos para la API y la acción determinadas; para ver el conjunto completo de claves de condición que admite cada acción, consulte la tabla de acciones.
| Operación | Acción de IAM | Clave de condición | Valores posibles | Nivel de acceso |
|---|---|---|---|---|
|
AssociateRoleToGroup |
Escritura |
|||
objetivo: PassedToService |
greengrass.amazonaws.com |
Escritura |
||
|
AssociateServiceRoleToAccount |
Gestión de permisos, Write |
|||
objetivo: PassedToService |
greengrass.amazonaws.com |
Escritura |
||
|
CreateConnectorDefinition |
Escritura |
|||
Etiquetar, escribir |
||||
|
CreateConnectorDefinitionVersion |
Escritura |
|||
|
CreateCoreDefinition |
Escritura |
|||
Etiquetar, escribir |
||||
|
CreateCoreDefinitionVersion |
Escritura |
|||
|
CreateDeployment |
Escritura |
|||
Etiquetar, escribir |
||||
|
CreateDeviceDefinition |
Escritura |
|||
Etiquetar, escribir |
||||
|
CreateDeviceDefinitionVersion |
Escritura |
|||
|
CreateFunctionDefinition |
Escritura |
|||
Etiquetar, escribir |
||||
|
CreateFunctionDefinitionVersion |
Escritura |
|||
|
CreateGroup |
Escritura |
|||
Etiquetar, escribir |
||||
|
CreateGroupCertificateAuthority |
Escritura |
|||
|
CreateGroupVersion |
Escritura |
|||
|
CreateLoggerDefinition |
Escritura |
|||
Etiquetar, escribir |
||||
|
CreateLoggerDefinitionVersion |
Escritura |
|||
|
CreateResourceDefinition |
Escritura |
|||
Etiquetar, escribir |
||||
|
CreateResourceDefinitionVersion |
Escritura |
|||
|
CreateSoftwareUpdateJob |
Escritura |
|||
objetivo: PassedToService |
greengrass.amazonaws.com |
Escritura |
||
|
CreateSubscriptionDefinition |
Escritura |
|||
Etiquetar, escribir |
||||
|
CreateSubscriptionDefinitionVersion |
Escritura |
|||
|
DeleteConnectorDefinition |
Escritura |
|||
|
DeleteCoreDefinition |
Escritura |
|||
|
DeleteDeviceDefinition |
Escritura |
|||
|
DeleteFunctionDefinition |
Escritura |
|||
|
DeleteGroup |
Escritura |
|||
|
DeleteLoggerDefinition |
Escritura |
|||
|
DeleteResourceDefinition |
Escritura |
|||
|
DeleteSubscriptionDefinition |
Escritura |
|||
|
DisassociateRoleFromGroup |
Escritura |
|||
|
DisassociateServiceRoleFromAccount |
Escritura |
|||
|
GetAssociatedRole |
Lectura |
|||
|
GetBulkDeploymentStatus |
Lectura |
|||
|
GetConnectivityInfo |
Lectura |
|||
|
GetConnectorDefinition |
Lectura |
|||
|
GetConnectorDefinitionVersion |
Lectura |
|||
|
GetCoreDefinition |
Lectura |
|||
|
GetCoreDefinitionVersion |
Lectura |
|||
|
GetDeploymentStatus |
Lectura |
|||
|
GetDeviceDefinition |
Lectura |
|||
|
GetDeviceDefinitionVersion |
Lectura |
|||
|
GetFunctionDefinition |
Lectura |
|||
|
GetFunctionDefinitionVersion |
Lectura |
|||
|
GetGroup |
Lectura |
|||
|
GetGroupCertificateAuthority |
Lectura |
|||
|
GetGroupCertificateConfiguration |
Lectura |
|||
|
GetGroupVersion |
Lectura |
|||
|
GetLoggerDefinition |
Lectura |
|||
|
GetLoggerDefinitionVersion |
Lectura |
|||
|
GetResourceDefinition |
Lectura |
|||
|
GetResourceDefinitionVersion |
Lectura |
|||
|
GetServiceRoleForAccount |
Lectura |
|||
|
GetSubscriptionDefinition |
Lectura |
|||
|
GetSubscriptionDefinitionVersion |
Lectura |
|||
|
GetThingRuntimeConfiguration |
Lectura |
|||
|
ListBulkDeploymentDetailedReports |
Lectura |
|||
|
ListBulkDeployments |
Enumeración |
|||
|
ListConnectorDefinitionVersions |
Enumeración |
|||
|
ListConnectorDefinitions |
Enumeración |
|||
|
ListCoreDefinitionVersions |
Enumeración |
|||
|
ListCoreDefinitions |
Enumeración |
|||
|
ListDeployments |
Enumeración |
|||
|
ListDeviceDefinitionVersions |
Enumeración |
|||
|
ListDeviceDefinitions |
Enumeración |
|||
|
ListFunctionDefinitionVersions |
Enumeración |
|||
|
ListFunctionDefinitions |
Enumeración |
|||
|
ListGroupCertificateAuthorities |
Enumeración |
|||
|
ListGroupVersions |
Enumeración |
|||
|
ListGroups |
Enumeración |
|||
|
ListLoggerDefinitionVersions |
Enumeración |
|||
|
ListLoggerDefinitions |
Enumeración |
|||
|
ListResourceDefinitionVersions |
Enumeración |
|||
|
ListResourceDefinitions |
Enumeración |
|||
|
ListSubscriptionDefinitionVersions |
Enumeración |
|||
|
ListSubscriptionDefinitions |
Enumeración |
|||
|
ListTagsForResource |
Lectura |
|||
|
ResetDeployments |
Escritura |
|||
|
StartBulkDeployment |
Escritura |
|||
Etiquetar, escribir |
||||
objetivo: PassedToService |
greengrass.amazonaws.com |
Escritura |
||
|
StopBulkDeployment |
Escritura |
|||
|
TagResource |
Etiquetar, escribir |
|||
|
UntagResource |
Etiquetar, escribir |
|||
|
UpdateConnectivityInfo |
Escritura |
|||
|
UpdateConnectorDefinition |
Escritura |
|||
|
UpdateCoreDefinition |
Escritura |
|||
|
UpdateDeviceDefinition |
Escritura |
|||
|
UpdateFunctionDefinition |
Escritura |
|||
|
UpdateGroup |
Escritura |
|||
|
UpdateGroupCertificateConfiguration |
Escritura |
|||
|
UpdateLoggerDefinition |
Escritura |
|||
|
UpdateResourceDefinition |
Escritura |
|||
|
UpdateSubscriptionDefinition |
Escritura |
|||
|
UpdateThingRuntimeConfiguration |
Escritura |
Acciones definidas por AWS IoT Greengrass
Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.
| Acciones | Description (Descripción) | Tipos de recursos (*necesarios) | Claves de condición | Nivel de acceso |
|---|---|---|---|---|
Concede permiso para asociar un rol a un grupo. Los permisos del rol deben permitir que las funciones y conectores principales de Lambda de Greengrass realicen acciones en otros servicios. AWS |
Escritura |
|||
Otorga permiso para asociar un rol a su cuenta. AWS IoT Greengrass utiliza esta función para acceder a sus funciones de Lambda y sus recursos de IoT AWS |
Administración de permisos, escritura |
|||
Concede permiso para crear una definición de conector |
Escritura |
|||
Concede permiso para crear una versión de una definición de conector existente |
Escritura |
|||
Concede permiso para crear una definición de núcleo |
Escritura |
|||
Concede permiso para crear una versión de una definición de núcleo existente. Los grupos de Greengrass deben contener exactamente un núcleo de Greengrass cada uno |
Escritura |
|||
Concede permiso para crear una implementación. |
Escritura |
|||
Concede permiso para crear una definición de dispositivo |
Escritura |
|||
Concede permiso para crear una versión de una definición de dispositivo existente |
Escritura |
|||
Concede permiso para crear una definición de función de Lambda que se pueda utilizar en un grupo que contenga una lista de funciones de Lambda y sus configuraciones |
Escritura |
|||
Concede permiso para crear una versión de una definición de función de Lambda existente |
Escritura |
|||
Concede permiso para crear un grupo |
Escritura |
|||
Concede permiso para crear una CA para el grupo o rotar la CA actual |
Escritura |
|||
Concede permiso para crear una versión de un grupo que ya se ha definido |
Escritura |
|||
Concede permiso para crear una definición de registrador |
Escritura |
|||
Concede permiso para crear una versión de una definición de registrador existente |
Escritura |
|||
Concede permiso para crear una definición de recursos que contenga una lista de los recursos que se utilizarán en un grupo |
Escritura |
|||
Concede permiso para crear una versión de una definición de recursos existente |
Escritura |
|||
Otorga permiso para crear un trabajo de AWS IoT que activará sus núcleos de Greengrass para que actualicen el software que están ejecutando |
Escritura |
|||
Concede permiso para crear una definición de suscripción |
Escritura |
|||
Concede permiso para crear una versión de una definición de suscripción existente |
Escritura |
|||
Concede permiso para eliminar una definición de conector |
Escritura |
|||
Concede permiso para eliminar una definición de núcleo. La eliminación de una definición que se encuentra en uso en una implementación afecta a futuras implementaciones |
Escritura |
|||
Concede permiso para eliminar una definición de dispositivo. La eliminación de una definición que se encuentra en uso en una implementación afecta a futuras implementaciones |
Escritura |
|||
Concede permiso para eliminar una definición de función Lambda. La eliminación de una definición que se encuentra en uso en una implementación afecta a futuras implementaciones |
Escritura |
|||
Concede permiso para eliminar un grupo que actualmente no se usa en una implementación |
Escritura |
|||
Concede permiso para eliminar una definición de registrador. La eliminación de una definición que se encuentra en uso en una implementación afecta a futuras implementaciones |
Escritura |
|||
Concede permiso para eliminar una definición de recursos |
Escritura |
|||
Concede permiso para eliminar una definición de suscripción. La eliminación de una definición que se encuentra en uso en una implementación afecta a futuras implementaciones |
Escritura |
|||
Concede permiso para desasociar el rol de un grupo |
Escritura |
|||
Concede permiso para desasociar el rol de servicio de una cuenta. Sin un rol de servicio, las implementaciones no funcionarán |
Escritura |
|||
Concede permiso para recuperar la información necesaria para conectarse a un núcleo de Greengrass |
Lectura |
|||
Concede permiso para recuperar el rol asociado a un grupo |
Lectura |
|||
Concede permiso para devolver el estado de una implementación masiva |
Lectura |
|||
Concede permiso para recuperar información de conectividad para un núcleo |
Lectura |
|||
Concede permiso para recuperar información sobre una definición de conector |
Lectura |
|||
Concede permiso para recuperar información sobre una versión de definición de conector |
Lectura |
|||
Concede permiso para recuperar información sobre una definición de núcleo |
Lectura |
|||
Concede permiso para recuperar información sobre una versión de definición de núcleo |
Lectura |
|||
Concede permiso para devolver el estado de una implementación |
Lectura |
|||
Concede permiso para recuperar información sobre una definición de dispositivo |
Lectura |
|||
Concede permiso para recuperar información sobre una versión de definición de dispositivo |
Lectura |
|||
Concede permiso para recuperar información sobre una definición de función de Lambda, como su hora de creación y versión más reciente |
Lectura |
|||
Concede permiso para recuperar información sobre una versión de definición de función de Lambda, como, por ejemplo, qué funciones de Lambda se incluyen en la versión y sus configuraciones |
Lectura |
|||
Concede permiso para recuperar información sobre un grupo |
Lectura |
|||
Concede permiso para devolver la clave pública de la CA asociada a un grupo |
Lectura |
|||
Concede permiso para recuperar la configuración actual de la CA utilizada por un grupo |
Lectura |
|||
Concede permiso para recuperar información sobre una versión de grupo |
Lectura |
|||
Concede permiso para recuperar información sobre una definición de registrador |
Lectura |
|||
Concede permiso para recuperar información sobre una versión de definición de registrador |
Lectura |
|||
Concede permiso para recuperar información sobre una definición de recursos, como su hora de creación y versión más reciente |
Lectura |
|||
Concede permiso para recuperar información sobre una versión de la definición de recursos, como, por ejemplo, qué recursos se incluyen en la versión |
Lectura |
|||
Concede permiso para recuperar el rol de servicio que está adjuntado a una cuenta |
Read |
|||
Concede permiso para recuperar información sobre una definición de suscripción |
Lectura |
|||
Concede permiso para recuperar información sobre una versión de definición de suscripción |
Lectura |
|||
Concede permiso para recuperar la configuración de tiempo de ejecución de una cosa |
Lectura |
|||
Concede permiso para recuperar un listado paginado de las implementaciones que se iniciaron en una operación de implementación masiva y su estado de implementación actual |
Lectura |
|||
Concede permiso para recuperar una lista de implementaciones masivas |
List |
|||
Concede permiso para obtener una lista de las versiones de una definición de conector |
Enumeración |
|||
Concede permiso para recuperar una lista de definiciones de conectores |
List |
|||
Concede permiso para obtener una lista de las versiones de una definición de núcleo |
Enumeración |
|||
Concede permiso para recuperar una lista de definiciones de núcleos |
List |
|||
Concede permiso para recuperar una lista de todas las implementaciones de un grupo |
Enumeración |
|||
Concede permiso para obtener una lista de las versiones de una definición de dispositivos |
Enumeración |
|||
Concede permiso para recuperar una lista de definiciones de dispositivos |
List |
|||
Concede permiso para crear una lista de versiones de una definición de función de Lambda |
Enumeración |
|||
Concede permiso para recuperar una lista de definiciones de funciones de Lambda |
List |
|||
Concede permiso para recuperar una lista de las CA actuales para un grupo |
Enumeración |
|||
Concede permiso para crear una lista de las versiones de un grupo |
Enumeración |
|||
Concede permiso para recuperar una lista de grupos |
List |
|||
Concede permiso para crear una lista de versiones de una definición de registrador |
Enumeración |
|||
Concede permiso para recuperar una lista de definiciones de registrador |
List |
|||
Concede permiso para crear una lista de las versiones de una definición de recursos |
Enumeración |
|||
Concede permiso para recuperar una lista de definiciones de recursos |
List |
|||
Concede permiso para obtener una lista de versiones de una definición de suscripción |
Enumeración |
|||
Concede permiso para recuperar una lista de definiciones de suscripciones |
List |
|||
Concede permiso para enumerar las etiquetas de un recurso |
Lectura |
|||
Concede permiso para restablecer las implementaciones de un grupo |
Escritura |
|||
Concede permiso para implementar varios grupos en una operación |
Escritura |
|||
Concede permiso para detener la ejecución de una implementación masiva |
Escritura |
|||
Otorga permiso para agregar etiquetas a un recurso |
Etiquetar, escribir |
|||
Concede permiso para eliminar etiquetas de un recurso |
Etiquetar, escribir |
|||
Concede permiso para actualizar la información de conectividad de un núcleo de Greengrass. Los dispositivos que pertenezcan al grupo que tiene este núcleo recibirán esta información para poder encontrar la ubicación del núcleo y conectarse a este |
Escritura |
|||
Concede permiso para actualizar una definición de conector |
Escritura |
|||
Concede permiso para actualizar una definición de núcleo |
Escritura |
|||
Concede permiso para actualizar una definición de dispositivo |
Escritura |
|||
Concede permiso para actualizar una definición de función de Lambda |
Escritura |
|||
Concede permiso para actualizar un grupo |
Escritura |
|||
Concede permiso para actualizar el tiempo de caducidad del certificado para un grupo |
Escritura |
|||
Concede permiso para actualizar una definición de registrador |
Escritura |
|||
Concede permiso para actualizar una definición de recursos |
Escritura |
|||
Concede permiso para actualizar una definición de suscripción |
Escritura |
|||
Concede permiso para actualizar la configuración de tiempo de ejecución de una cosa |
Escritura |
Tipos de recursos definidos por AWS IoT Greengrass
Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM.
| Tipos de recurso | ARN | Claves de condición |
|---|---|---|
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /deployments/ $ {} greengrass/bulk BulkDeploymentId |
||
arn: $ {Partition}: greengrass: $ {Region} :$ {Account} :/ /$ {} /certificateauthorities/$ {} greengrass/groups GroupId CertificateAuthorityId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /$ {} /ConnectivityInfo greengrass/things ThingName |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /connectors/ $ {} greengrass/definition ConnectorDefinitionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ greengrass/definition /connectors/ $ {} /versions/$ {} ConnectorDefinitionId VersionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /cores/ $ {} greengrass/definition CoreDefinitionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ greengrass/definition /cores/ $ {} /versions/$ {} CoreDefinitionId VersionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ greengrass/groups /$ {} /deployments/$ {GroupId}, arn: $ {PartitionDeploymentId} :greengrass: $ {Region} :$ {Account} :despliegues: $ {} DeploymentId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /devices/ $ {} greengrass/definition DeviceDefinitionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ greengrass/definition /devices/ $ {} /versions/$ {} DeviceDefinitionId VersionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /functions/ $ {} greengrass/definition FunctionDefinitionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ greengrass/definition /functions/ $ {} /versions/$ {} FunctionDefinitionId VersionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /$ {} greengrass/groups GroupId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ greengrass/groups /$ {} /versions/$ {} GroupId VersionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /loggers/ $ {} greengrass/definition LoggerDefinitionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /loggers/ $ {} greengrass/definition /versions/$ {} LoggerDefinitionId VersionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /resources/ $ {} greengrass/definition ResourceDefinitionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ greengrass/definition /resources/ $ {} /versions/$ {} ResourceDefinitionId VersionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /subscriptions/ $ {} greengrass/definition SubscriptionDefinitionId |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ greengrass/definition /subscriptions/ $ {} /versions/$ {} SubscriptionDefinitionId VersionId |
||
arn: $ {Partition} :iot: $ {Region} :$ {Account} :thing/$ {} ThingName |
||
arn: $ {Partition} :greengrass: $ {Region} :$ {Account} :/ /$ {} /runtimeconfig greengrass/things ThingName |
Claves de condición para AWS IoT Greengrass
AWS IoT Greengrass define las siguientes claves de condición que se pueden usar en el Condition elemento de una política de IAM.
| Claves de condición | Descripción | Tipo |
|---|---|---|
Filtra el acceso por el conjunto de valores permitidos para cada una de las etiquetas obligatorias |
Cadena |
|
Filtra el acceso según el valor de la etiqueta asociada con el recurso |
Cadena |
|
Filtra el acceso por la presencia de etiquetas obligatorias en la solicitud |
ArrayOfString |
