Operaciones Acciones Tipos de recurso Claves de condición

Acciones, recursos y claves de condición para AWS WAF

AWS El WAF (prefijo de servicio:waf) proporciona las siguientes operaciones, recursos, acciones y claves de condición específicos del servicio para su uso en las políticas de permisos de IAM.

Referencias:

Obtenga información para configurar este servicio.
Vea una lista de las operaciones de API disponibles para este servicio.
Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.
Consulte la referencia de autorización de servicio programática de este servicio.

Temas

Las operaciones de API definidas por AWS WAF
Acciones definidas por AWS WAF
Tipos de recursos definidos por AWS WAF
Claves de condición para AWS WAF

Las operaciones de API definidas por AWS WAF

En la siguiente tabla, se asignan las operaciones de la API a las acciones de IAM que autorizan. Solo se muestran las claves de condición que tienen valores estáticos para la API y la acción determinadas; para ver el conjunto completo de claves de condición que admite cada acción, consulte la tabla de acciones.

Operación	Acción de IAM	Nivel de acceso
CreateByteMatchSet	waf: CreateByteMatchSet	Escritura
CreateGeoMatchSet	waf: CreateGeoMatchSet	Escritura
Crear CreateipSet	WAF: crear IPset	Escritura
CreateRateBasedRule	waf: CreateRateBasedRule	Escritura
CreateRateBasedRule	waf: TagResource	Etiquetar, escribir
CreateRegexMatchSet	waf: CreateRegexMatchSet	Escritura
CreateRegexPatternSet	waf: CreateRegexPatternSet	Escritura
CreateRule	waf: CreateRule	Escritura
CreateRule	waf: TagResource	Etiquetar, escribir
CreateRuleGroup	waf: CreateRuleGroup	Escritura
CreateRuleGroup	waf: TagResource	Etiquetar, escribir
CreateSizeConstraintSet	waf: CreateSizeConstraintSet	Escritura
CreateSqlInjectionMatchSet	waf: CreateSqlInjectionMatchSet	Escritura
CreateWebACL	waf: ACL CreateWeb	Administración de permisos, escritura
CreateWebACL	waf: TagResource	Etiquetar, escribir
CreateWebACLMigrationStack	waf: CreateWebACLMigrationStack	Escritura
CreateXssMatchSet	waf: CreateXssMatchSet	Escritura
DeleteByteMatchSet	waf: DeleteByteMatchSet	Escritura
DeleteGeoMatchSet	waf: DeleteGeoMatchSet	Escritura
Eliminar IPset	WAF: eliminar IPset	Escritura
DeleteLoggingConfiguration	waf: DeleteLoggingConfiguration	Escritura
DeletePermissionPolicy	waf: DeletePermissionPolicy	Gestión de permisos, escritura
DeleteRateBasedRule	waf: DeleteRateBasedRule	Escritura
DeleteRegexMatchSet	waf: DeleteRegexMatchSet	Escritura
DeleteRegexPatternSet	waf: DeleteRegexPatternSet	Escritura
DeleteRule	waf: DeleteRule	Escritura
DeleteRuleGroup	waf: DeleteRuleGroup	Escritura
DeleteSizeConstraintSet	waf: DeleteSizeConstraintSet	Escritura
DeleteSqlInjectionMatchSet	waf: DeleteSqlInjectionMatchSet	Escritura
DeleteWebACL	waf: ACL DeleteWeb	Administración de permisos, escritura
DeleteXssMatchSet	waf: DeleteXssMatchSet	Escritura
GetByteMatchSet	waf: GetByteMatchSet	Lectura
GetChangeToken	waf: GetChangeToken	Lectura
GetChangeTokenStatus	waf: GetChangeTokenStatus	Lectura
GetGeoMatchSet	waf: GetGeoMatchSet	Lectura
Getipset	WAF: getIpset	Lectura
GetLoggingConfiguration	waf: GetLoggingConfiguration	Lectura
GetPermissionPolicy	waf: GetPermissionPolicy	Lectura
GetRateBasedRule	waf: GetRateBasedRule	Lectura
GetRateBasedRuleManagedKeys	waf: GetRateBasedRuleManagedKeys	Lectura
GetRegexMatchSet	waf: GetRegexMatchSet	Lectura
GetRegexPatternSet	waf: GetRegexPatternSet	Lectura
GetRule	waf: GetRule	Lectura
GetRuleGroup	waf: GetRuleGroup	Lectura
GetSampledRequests	waf: GetSampledRequests	Lectura
GetSizeConstraintSet	waf: GetSizeConstraintSet	Lectura
GetSqlInjectionMatchSet	waf: GetSqlInjectionMatchSet	Lectura
GetWebACL	waf: ACL GetWeb	Lectura
GetXssMatchSet	waf: GetXssMatchSet	Lectura
ListActivatedRulesInRuleGroup	waf: ListActivatedRulesInRuleGroup	Enumeración
ListByteMatchSets	waf: ListByteMatchSets	Enumeración
ListGeoMatchSets	waf: ListGeoMatchSets	Enumeración
Listipsets	WAF: lista de conjuntos	Enumeración
ListLoggingConfigurations	waf: ListLoggingConfigurations	Enumeración
ListRateBasedRules	waf: ListRateBasedRules	Enumeración
ListRegexMatchSets	waf: ListRegexMatchSets	Enumeración
ListRegexPatternSets	waf: ListRegexPatternSets	Enumeración
ListRuleGroups	waf: ListRuleGroups	Enumeración
ListRules	waf: ListRules	Enumeración
ListSizeConstraintSets	waf: ListSizeConstraintSets	Enumeración
ListSqlInjectionMatchSets	waf: ListSqlInjectionMatchSets	Enumeración
ListSubscribedRuleGroups	waf: ListSubscribedRuleGroups	Enumeración
ListTagsForResource	waf: ListTagsForResource	Lectura
ListWebACLs	waf: ListWebACLs	Enumeración
ListXssMatchSets	waf: ListXssMatchSets	Enumeración
PutLoggingConfiguration	waf: PutLoggingConfiguration	Escritura
PutPermissionPolicy	waf: PutPermissionPolicy	Gestión de permisos, escritura
TagResource	waf: TagResource	Etiquetar, escribir
UntagResource	waf: UntagResource	Etiquetar, escribir
UpdateByteMatchSet	waf: UpdateByteMatchSet	Escritura
UpdateGeoMatchSet	waf: UpdateGeoMatchSet	Escritura
Actualizar IPset	WAF: actualizar IPSET	Escritura
UpdateRateBasedRule	waf: UpdateRateBasedRule	Escritura
UpdateRegexMatchSet	waf: UpdateRegexMatchSet	Escritura
UpdateRegexPatternSet	waf: UpdateRegexPatternSet	Escritura
UpdateRule	waf: UpdateRule	Escritura
UpdateRuleGroup	waf: UpdateRuleGroup	Escritura
UpdateSizeConstraintSet	waf: UpdateSizeConstraintSet	Escritura
UpdateSqlInjectionMatchSet	waf: UpdateSqlInjectionMatchSet	Escritura
UpdateWebACL	waf: ACL UpdateWeb	Administración de permisos, escritura
UpdateXssMatchSet	waf: UpdateXssMatchSet	Escritura

Acciones definidas por AWS WAF

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

Acciones	Description (Descripción)	Tipos de recursos (*necesarios)	Claves de condición	Nivel de acceso
CreateByteMatchSet	Otorga permiso para crear un ByteMatchSet	bytematchset*		Escritura
CreateGeoMatchSet	Otorga permiso para crear un GeoMatchSet	geomatchset*		Escritura
Crear CreateipSet	Concede permiso para crear un IPSet	ipset*		Escritura
CreateRateBasedRule	Otorga permiso para crear un RateBasedRule para limitar el volumen de solicitudes desde una sola dirección IP	regla basada en tarifas*	was: /$ {} RequestTag TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys	Escritura
CreateRegexMatchSet	Otorga permiso para crear un RegexMatchSet	regexmatchset*		Escritura
CreateRegexPatternSet	Otorga permiso para crear un RegexPatternSet	conjunto de patrones de regex*		Escritura
CreateRule	Concede permiso para crear una regla para filtrar solicitudes web	regla*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys	Escritura
CreateRuleGroup	Otorga permiso para crear una RuleGroup, que es una colección de reglas predefinidas que puede usar en una WebACL	grupo de reglas*	was: /$ {} RequestTag TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys	Escritura
CreateSizeConstraintSet	Otorga permiso para crear un SizeConstraintSet	conjunto de restricciones de tamaño*		Escritura
CreateSqlInjectionMatchSet	Otorga permiso para crear un SqlInjectionMatchSet	sqlinjectionmatchset*		Escritura
CreateWebACL	Concede permiso para crear una WebACL, que contiene reglas para filtrar solicitudes web	webacl*	aws: /$ {} RequestTag TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys	Gestión de permisos, escritura
CreateWebACLMigrationStack	Otorga permiso para crear una plantilla de ACL CloudFormation web en un bucket de S3 con el fin de migrar la ACL web de AWS WAF Classic a AWS WAF v2	webacl*	aws: /$ {} ResourceTag TagKey	Escritura
CreateXssMatchSet	Otorga permiso para crear un XssMatchSet, que se utiliza para detectar solicitudes que contienen ataques de secuencias de comandos entre sitios	xssmatchset*		Escritura
DeleteByteMatchSet	Otorga permiso para eliminar un ByteMatchSet	bytematchset*		Escritura
DeleteGeoMatchSet	Otorga permiso para eliminar un GeoMatchSet	geomatchset*		Escritura
Eliminar IPset	Concede permiso para eliminar un IPSet	ipset*		Escritura
DeleteLoggingConfiguration	Otorga permiso para eliminarla LoggingConfiguration de una ACL web	webacl*	aws: /$ {} ResourceTag TagKey	Escritura
DeletePermissionPolicy	Concede permiso para eliminar una política de IAM de un grupo de reglas	grupo de reglas*	was: /$ {} ResourceTag TagKey	Gestión de permisos, Write
DeleteRateBasedRule	Otorga permiso para eliminar un RateBasedRule	regla basada en tarifas*	was: /$ {} ResourceTag TagKey	Escritura
DeleteRegexMatchSet	Otorga permiso para eliminar un RegexMatchSet	regexmatchset*		Escritura
DeleteRegexPatternSet	Otorga permiso para eliminar un RegexPatternSet	conjunto de patrones de regex*		Escritura
DeleteRule	Concede permiso para eliminar una regla	regla*	aws: ResourceTag /$ {} TagKey	Escritura
DeleteRuleGroup	Otorga permiso para eliminar un RuleGroup	grupo de reglas*	was: /$ {} ResourceTag TagKey	Escritura
DeleteSizeConstraintSet	Otorga permiso para eliminar un SizeConstraintSet	conjunto de restricciones de tamaño*		Escritura
DeleteSqlInjectionMatchSet	Otorga permiso para eliminar un SqlInjectionMatchSet	sqlinjectionmatchset*		Escritura
DeleteWebACL	Concede permiso para eliminar una WebACL	webacl*	aws: /$ {} ResourceTag TagKey	Gestión de permisos, Write
DeleteXssMatchSet	Otorga permiso para eliminar un XssMatchSet	xssmatchset*		Escritura
GetByteMatchSet	Otorga permiso para recuperar un ByteMatchSet	bytematchset*		Lectura
GetChangeToken	Concede permiso para recuperar un token de cambio para utilizarlo en las solicitudes de creación, actualización y eliminación			Read
GetChangeTokenStatus	Concede permiso para recuperar el estado de un token de cambio			Lectura
GetGeoMatchSet	Otorga permiso para recuperar un GeoMatchSet	geomatchset*		Lectura
Getipset	Concede permiso para recuperar un IPSet	ipset*		Lectura
GetLoggingConfiguration	Otorga permiso para recuperar una LoggingConfiguration ACL web	webacl*	aws: /$ {} ResourceTag TagKey	Lectura
GetPermissionPolicy	Concede permiso para recuperar una política de IAM para un grupo de reglas	grupo de reglas*	was: /$ {} ResourceTag TagKey	Lectura
GetRateBasedRule	Otorga permiso para recuperar un RateBasedRule	regla basada en tarifas*	was: /$ {} ResourceTag TagKey	Lectura
GetRateBasedRuleManagedKeys	Otorga permiso para recuperar la matriz de direcciones IP que actualmente están bloqueadas por un RateBasedRule	regla basada en tarifas*	was: /$ {} ResourceTag TagKey	Lectura
GetRegexMatchSet	Otorga permiso para recuperar un RegexMatchSet	regexmatchset*		Lectura
GetRegexPatternSet	Otorga permiso para recuperar un RegexPatternSet	conjunto de patrones de regex*		Lectura
GetRule	Concede permiso para recuperar una regla	regla*	aws: ResourceTag /$ {} TagKey	Lectura
GetRuleGroup	Otorga permiso para recuperar un RuleGroup	grupo de reglas*	was: /$ {} ResourceTag TagKey	Lectura
GetSampledRequests	Concede permiso para recuperar información detallada sobre un conjunto de ejemplo de solicitudes web	web.acl	aws: ResourceTag /$ {} TagKey	Lectura
GetSizeConstraintSet	Otorga permiso para recuperar un SizeConstraintSet	conjunto de restricciones de tamaño*		Lectura
GetSqlInjectionMatchSet	Otorga permiso para recuperar un SqlInjectionMatchSet	sqlinjectionmatchset*		Lectura
GetWebACL	Concede permisos para recuperar una WebACL	webacl*	aws: /$ {} ResourceTag TagKey	Lectura
GetXssMatchSet	Otorga permiso para recuperar un XssMatchSet	xssmatchset*		Lectura
ListActivatedRulesInRuleGroup	Otorga permiso para recuperar una matriz de objetos ActivatedRule			Enumeración
ListByteMatchSets	Otorga permiso para recuperar una matriz de ByteMatchSetSummary objetos			Enumeración
ListGeoMatchSets	Otorga permiso para recuperar una matriz de GeoMatchSetSummary objetos			Enumeración
Listipsets	Otorga permiso para recuperar una matriz de objetos IPSetSummary			Enumeración
ListLoggingConfigurations	Otorga permiso para recuperar una matriz de LoggingConfiguration objetos			Enumeración
ListRateBasedRules	Otorga permiso para recuperar una matriz de RuleSummary objetos			Enumeración
ListRegexMatchSets	Otorga permiso para recuperar una matriz de RegexMatchSetSummary objetos			Enumeración
ListRegexPatternSets	Otorga permiso para recuperar una matriz de RegexPatternSetSummary objetos			Enumeración
ListRuleGroups	Otorga permiso para recuperar una matriz de RuleGroup objetos			Enumeración
ListRules	Otorga permiso para recuperar una matriz de RuleSummary objetos			Enumeración
ListSizeConstraintSets	Otorga permiso para recuperar una matriz de SizeConstraintSetSummary objetos			Enumeración
ListSqlInjectionMatchSets	Otorga permiso para recuperar una matriz de SqlInjectionMatchSet objetos			Enumeración
ListSubscribedRuleGroups	Otorga permiso para recuperar una matriz de RuleGroup objetos a la que está suscrito			Enumeración
ListTagsForResource	Concede permiso para recuperar las etiquetas de un recurso.	regla basada en tasas	was: /$ {} ResourceTag TagKey	Lectura
		regla	aws: ResourceTag /$ {} TagKey
		grupo de reglas	was: /$ {} ResourceTag TagKey
		web.acl	aws: ResourceTag /$ {} TagKey
ListWebACLs	Concede permiso para recuperar una matriz de objetos WebACLSummary			Enumeración
ListXssMatchSets	Otorga permiso para recuperar una matriz de objetos XssMatchSet			Enumeración
PutLoggingConfiguration	Otorga permiso para asociar a a una ACL web específica LoggingConfiguration	webacl*	aws: /$ {} ResourceTag TagKey	Escritura
PutPermissionPolicy	Concede permiso para adjuntar una política de IAM a un grupo de reglas, a fin de compartir el grupo de reglas entre cuentas	grupo de reglas*	was: /$ {} ResourceTag TagKey	Gestión de permisos, Write
TagResource	Concede permiso para agregar una etiqueta a un recurso	Regla basada en tasas	was: /$ {} RequestTag TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys	Etiquetar, escribir
		regla	AWS: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys
		grupo de reglas	was: /$ {} RequestTag TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys
		webacl	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey AWS: TagKeys
UntagResource	Concede permiso para eliminar una etiqueta de un recurso	regla basada en tarifas	was: /$ {} ResourceTag TagKey AWS: TagKeys	Etiquetar, escribir
		regla	AWS: ResourceTag /$ {} TagKey AWS: TagKeys
		grupo de reglas	was: /$ {} ResourceTag TagKey AWS: TagKeys
		webacl	aws: ResourceTag /$ {} TagKey AWS: TagKeys
UpdateByteMatchSet	Otorga permiso para insertar o eliminar ByteMatchTuple objetos en un ByteMatchSet	bytematchset*		Escritura
UpdateGeoMatchSet	Otorga permiso para insertar o eliminar objetos en un GeoMatchConstraint GeoMatchSet	geomatchset*		Escritura
Actualizar IPset	Otorga permiso para insertar o eliminar IPSetDescriptor objetos en un IPSet	ipset*		Escritura
UpdateRateBasedRule	Concede permiso para modificar una regla basada en tasas	regla basada en tarifas*	was: /$ {} ResourceTag TagKey	Escritura
UpdateRegexMatchSet	Otorga permiso para insertar o eliminar RegexMatchTuple objetos en un RegexMatchSet	regexmatchset*		Escritura
UpdateRegexPatternSet	Otorga permiso para insertar o eliminar en un RegexPatternStrings RegexPatternSet	conjunto de patrones de regex*		Escritura
UpdateRule	Concede permiso para modificar una regla	regla*	aws: ResourceTag /$ {} TagKey	Escritura
UpdateRuleGroup	Otorga permiso para insertar o eliminar ActivatedRule objetos en un RuleGroup	grupo de reglas*	was: /$ {} ResourceTag TagKey	Escritura
UpdateSizeConstraintSet	Otorga permiso para insertar o eliminar SizeConstraint objetos en un SizeConstraintSet	conjunto de restricciones de tamaño*		Escritura
UpdateSqlInjectionMatchSet	Otorga permiso para insertar o eliminar objetos en un SqlInjectionMatchTuple SqlInjectionMatchSet	sqlinjectionmatchset*		Escritura
UpdateWebACL	Otorga permiso para insertar o eliminar ActivatedRule objetos en una WebACL	webacl*	aws: /$ {} ResourceTag TagKey	Gestión de permisos, Write
UpdateXssMatchSet	Otorga permiso para insertar o eliminar XssMatchTuple objetos en un XssMatchSet	xssmatchset*		Escritura

Tipos de recursos definidos por AWS WAF

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM.

Tipos de recurso	ARN	Claves de condición
conjunto de combinaciones de bytes	arn: $ {Partition} :waf: :$ {Account} :bytematchset/$ {Id}
geomatchset	arn: $ {Partition} :waf: :$ {Account} :geomatchset/$ {Id}
ipset	arn: $ {Partition} :waf: :$ {Account} :ipset/$ {Id}
regla basada en tasas	arn: $ {Partition} :waf: :$ {Account} :ratebasedrule/$ {Id}	was: /$ {} ResourceTag TagKey
conjunto de partidas regulares	arn: $ {Partition} :waf: :$ {Account} :regexmatch/$ {Id}
conjunto de patrones de expresiones regulares	arn: $ {Partition} :waf: :$ {Account} :regexpatternset/$ {Id}
regla	arn: $ {Partition} :waf: :$ {Account} :rule/$ {Id}	ResourceTagaws: /$ {} TagKey
grupo de reglas	arn: $ {Partition} :waf: :$ {Account} :rulegroup/$ {Id}	ResourceTagaws: /$ {} TagKey
conjunto de restricciones de tamaño	arn: $ {Partition} :waf: :$ {Account} :sizeconstraintset/$ {Id}
conjunto de coincidencias de inyección sql	arn: $ {Partition} :waf: :$ {Account} :sqlinjectionset/$ {Id}
webacl	arn: $ {Partition} :waf: :$ {Account} :webacl/$ {Id}	ResourceTagaws: /$ {} TagKey
ssmatchset	arn: $ {Partition} :waf: :$ {Account} :xssmatchset/$ {Id}

Claves de condición para AWS WAF

AWS El WAF define las siguientes claves de condición que se pueden utilizar en el Condition elemento de una política de IAM.

Claves de condición	Descripción	Tipo
aws: RequestTag /$ {} TagKey	Filtra acciones en función del conjunto de valores permitidos para cada una de las etiquetas.	Cadena
aws: ResourceTag /$ {} TagKey	Filtra acciones en función del valor-etiqueta asociado al recurso	Cadena
AWS: TagKeys	Filtra acciones en función de la presencia de etiquetas obligatorias en la solicitud.	ArrayOfString

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

AWS Acceso verificado (acceso verificado)

AWS WAF Regional (war-regional)