Operazioni Operazioni Permission-only azioni Tipi di risorse Chiavi di condizione

Azioni, risorse e chiavi di condizione per AWS CloudTrail

AWS CloudTrail (prefisso del servizio: cloudtrail) fornisce le seguenti operazioni, risorse, azioni e chiavi di condizione specifiche del servizio da utilizzare nelle politiche di autorizzazione IAM.

Riferimenti:

Scopri come configurare questo servizio.
Visualizza un elenco delle operazioni API disponibili per questo servizio.
Scopri come proteggere questo servizio e le sue risorse utilizzando le policy delle autorizzazioni IAM.
Visualizza riferimento programmatico all'autorizzazione del servizio per questo servizio.

Argomenti

Operazioni API definite da AWS CloudTrail
Azioni definite da AWS CloudTrail
Permission-only azioni per AWS CloudTrail
Tipi di risorse definiti da AWS CloudTrail
Chiavi di condizione per AWS CloudTrail

Operazioni API definite da AWS CloudTrail

La tabella seguente associa le operazioni API alle azioni IAM che autorizzano. Sono elencate solo le chiavi di condizione che hanno valori statici per l'API e l'azione specificate; per il set completo di chiavi di condizione supportate da ciascuna azione, consulta Tabella delle azioni.

Operazione	Azione IAM	Chiave di condizione	Valori possibili	Livello di accesso
AddTags	cloudtrail:AddTags			Etichettatura, scrittura
CancelQuery	cloudtrail:CancelQuery			Scrittura
CreateChannel	cloudtrail:AddTags			Etichettare, scrivere
CreateChannel	cloudtrail:CreateChannel			Scrittura
CreateDashboard	cloudtrail:AddTags			Etichettare, scrivere
	cloudtrail:CreateDashboard			Scrittura
	cloudtrail:StartDashboardRefresh			Scrittura
	cloudtrail:StartQuery			Scrittura
CreateEventDataStore	cloudtrail:AddTags			Etichettare, scrivere
CreateEventDataStore	cloudtrail:CreateEventDataStore			Scrittura
CreateTrail	cloudtrail:AddTags			Etichettare, scrivere
	cloudtrail:CreateTrail			Scrittura
	iam:PassRole	iam:PassedToService	cloudtrail.amazonaws.com	Scrittura
DeleteChannel	cloudtrail:DeleteChannel			Scrittura
DeleteDashboard	cloudtrail:DeleteDashboard			Scrittura
DeleteEventDataStore	cloudtrail:DeleteEventDataStore			Scrittura
DeleteResourcePolicy	cloudtrail:DeleteResourcePolicy			Scrittura
DeleteTrail	cloudtrail:DeleteTrail			Scrittura
DeregisterOrganizationDelegatedAdmin	cloudtrail:DeregisterOrganizationDelegatedAdmin			Scrittura
DescribeQuery	cloudtrail:DescribeQuery			Lettura
DescribeTrails	cloudtrail:DescribeTrails			Lettura
DisableFederation	cloudtrail:DisableFederation			Scrittura
EnableFederation	cloudtrail:EnableFederation			Scrittura
EnableFederation	iam:PassRole	iam:PassedToService	cloudtrail.amazonaws.com	Scrittura
GenerateQuery	cloudtrail:GenerateQuery			Scrittura
GetChannel	cloudtrail:GetChannel			Lettura
GetDashboard	cloudtrail:GetDashboard			Lettura
GetEventConfiguration	cloudtrail:GetEventConfiguration			Lettura
GetEventDataStore	cloudtrail:GetEventDataStore			Lettura
GetEventSelectors	cloudtrail:GetEventSelectors			Lettura
GetImport	cloudtrail:GetImport			Lettura
GetInsightSelectors	cloudtrail:GetInsightSelectors			Lettura
GetQueryResults	cloudtrail:GetQueryResults			Lettura
GetResourcePolicy	cloudtrail:GetResourcePolicy			Lettura
GetTrail	cloudtrail:GetTrail			Lettura
GetTrailStatus	cloudtrail:GetTrailStatus			Lettura
ListChannels	cloudtrail:ListChannels			List
ListDashboards	cloudtrail:ListDashboards			List
ListEventDataStores	cloudtrail:ListEventDataStores			List
ListImportFailures	cloudtrail:ListImportFailures			Lettura
ListImports	cloudtrail:ListImports			List
ListInsightsData	cloudtrail:ListInsightsData			List
ListInsightsMetricData	cloudtrail:ListInsightsData			List
ListInsightsMetricData	cloudtrail:LookupEvents			Lettura
ListPublicKeys	cloudtrail:ListPublicKeys			Lettura
ListQueries	cloudtrail:ListQueries			List
ListTags	cloudtrail:ListTags			Lettura
ListTrails	cloudtrail:ListTrails			List
LookupEvents	cloudtrail:LookupEvents			Lettura
PutEventConfiguration	cloudtrail:PutEventConfiguration			Scrittura
PutEventSelectors	cloudtrail:PutEventSelectors			Scrittura
PutInsightSelectors	cloudtrail:PutInsightSelectors			Scrittura
PutResourcePolicy	cloudtrail:PutResourcePolicy			Scrittura
RegisterOrganizationDelegatedAdmin	cloudtrail:RegisterOrganizationDelegatedAdmin			Scrittura
RemoveTags	cloudtrail:RemoveTags			Etichettare, scrivere
RestoreEventDataStore	cloudtrail:RestoreEventDataStore			Scrittura
SearchSampleQueries	cloudtrail:SearchSampleQueries			Lettura
StartDashboardRefresh	cloudtrail:StartDashboardRefresh			Scrittura
StartDashboardRefresh	cloudtrail:StartQuery			Scrittura
StartEventDataStoreIngestion	cloudtrail:StartEventDataStoreIngestion			Scrittura
StartImport	cloudtrail:StartImport			Scrittura
StartImport	iam:PassRole	iam:PassedToService	cloudtrail.amazonaws.com	Scrittura
StartLogging	cloudtrail:StartLogging			Scrittura
StartQuery	cloudtrail:StartQuery			Scrittura
StopEventDataStoreIngestion	cloudtrail:StopEventDataStoreIngestion			Scrittura
StopImport	cloudtrail:StopImport			Scrittura
StopLogging	cloudtrail:StopLogging			Scrittura
UpdateChannel	cloudtrail:UpdateChannel			Scrittura
UpdateDashboard	cloudtrail:StartDashboardRefresh			Scrittura
	cloudtrail:StartQuery			Scrittura
	cloudtrail:UpdateDashboard			Scrittura
UpdateEventDataStore	cloudtrail:UpdateEventDataStore			Scrittura
UpdateTrail	cloudtrail:UpdateTrail			Scrittura
UpdateTrail	iam:PassRole	iam:PassedToService	cloudtrail.amazonaws.com	Scrittura

Azioni definite da AWS CloudTrail

Puoi specificare le seguenti operazioni nell'elemento Action di un'istruzione di policy IAM. Per ogni azione, la tabella elenca i tipi di risorse e le chiavi di condizione supportate da tale azione. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando utilizzi un'operazione in una policy, in genere consenti o rifiuti l'accesso all'operazione API o al comando CLI con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.

Operazioni	Description	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Livello di accesso
AddTags	Concede il permesso di aggiungere uno o più tag a un percorso, a un archivio dati di eventi, a un canale o a una dashboard, fino a un limite di 50	channel	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Etichettatura, scrittura
		dashboard	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		eventdatastore	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		trail	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CancelQuery	Concede l'autorizzazione per annullare una query in esecuzione	eventdatastore*	aws:ResourceTag/${TagKey}	Scrittura
CreateChannel	Concede l'autorizzazione per creare un canale	channel*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Scrittura
CreateChannel	Concede l'autorizzazione per creare un canale	eventdatastore*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Scrittura
CreateDashboard	Concede il permesso di creare una dashboard	dashboard*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Scrittura
CreateEventDataStore	Concede l'autorizzazione per creare un datastore di evento	eventdatastore*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Scrittura
CreateTrail	Concede l'autorizzazione per creare un trail che specifica le impostazioni per la distribuzione dei dati di log per un bucket Amazon S3	trail*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Scrittura
DeleteChannel	Concede l'autorizzazione per eliminare un canale	channel*	aws:ResourceTag/${TagKey}	Scrittura
DeleteDashboard	Concede l'autorizzazione per eliminare un dashboard	dashboard*	aws:ResourceTag/${TagKey}	Scrittura
DeleteEventDataStore	Concede l'autorizzazione per eliminare un datastore di evento	eventdatastore*	aws:ResourceTag/${TagKey}	Scrittura
DeleteResourcePolicy	Concede l'autorizzazione per eliminare una policy delle risorse dalla risorsa fornita	channel	aws:ResourceTag/${TagKey}	Scrittura
		dashboard	aws:ResourceTag/${TagKey}
		eventdatastore	aws:ResourceTag/${TagKey}
DeleteTrail	Concede l'autorizzazione per eliminare un trail	trail*	aws:ResourceTag/${TagKey}	Scrittura
DeregisterOrganizationDelegatedAdmin	Concede il permesso di annullare la registrazione di un AWS Account membro dell'organizzazione come amministratore delegato			Scrittura
DescribeQuery	Concede l'autorizzazione per elencare i dettagli per la query	eventdatastore*	aws:ResourceTag/${TagKey}	Lettura
DescribeTrails	Concede l'autorizzazione per elencare le impostazioni per i trail associati alla regione corrente per il tuo account			Lettura
DisableFederation	Concede l'autorizzazione a disattivare la federazione dei dati dell'archivio dati degli eventi utilizzando il AWS Catalogo dati Glue	eventdatastore*	aws:ResourceTag/${TagKey}	Scrittura
EnableFederation	Concede l'autorizzazione per abilitare la federazione dei dati dell'archivio dati degli eventi utilizzando il AWS Catalogo dati Glue	eventdatastore*	aws:ResourceTag/${TagKey}	Scrittura
GenerateQuery	Concede l'autorizzazione a generare una query per un data store di eventi specificato utilizzando il CloudTrail Generatore di query Lake	eventdatastore*	aws:ResourceTag/${TagKey}	Scrittura
GetChannel	Concede l'autorizzazione per restituire informazioni su un canale specifico	channel*	aws:ResourceTag/${TagKey}	Lettura
GetDashboard	Concede il permesso di elencare le impostazioni per la dashboard	dashboard*	aws:ResourceTag/${TagKey}	Lettura
GetEventConfiguration	Concede il permesso di elencare le configurazioni degli eventi configurate per un percorso o un archivio dati di eventi	eventdatastore	aws:ResourceTag/${TagKey}	Lettura
GetEventConfiguration		trail	aws:ResourceTag/${TagKey}	Lettura
GetEventDataStore	Concede l'autorizzazione a elencare le impostazioni per il datastore di evento	eventdatastore*	aws:ResourceTag/${TagKey}	Lettura
GetEventDataStoreData	Concede il permesso di ottenere dati da un archivio dati di eventi utilizzando il AWS Catalogo dati Glue	eventdatastore*	aws:ResourceTag/${TagKey}	Lettura
GetEventSelectors	Concede l'autorizzazione per elencare le impostazioni per selettori di eventi configurati per un trail	trail*	aws:ResourceTag/${TagKey}	Lettura
GetImport	Concede l'autorizzazione per restituire informazioni su un'importazione specifica			Lettura
GetInsightSelectors	Concede il permesso di pubblicare elenchi CloudTrail Selettori di Insights configurati per un data store di percorsi o eventi	eventdatastore	aws:ResourceTag/${TagKey}	Lettura
GetInsightSelectors		trail	aws:ResourceTag/${TagKey}	Lettura
GetQueryResults	Concede l'autorizzazione per recuperare i risultati di una query completa	eventdatastore*	aws:ResourceTag/${TagKey}	Lettura
GetResourcePolicy	Concede l'autorizzazione per ottenere la policy delle risorse collegata alla risorsa fornita	channel	aws:ResourceTag/${TagKey}	Lettura
		dashboard	aws:ResourceTag/${TagKey}
		eventdatastore	aws:ResourceTag/${TagKey}
GetTrail	Concede l'autorizzazione a elencare le impostazioni per il trail	trail*	aws:ResourceTag/${TagKey}	Lettura
GetTrailStatus	Concede il permesso di recuperare un JSON-formatted elenco di informazioni sul percorso specificato	trail*	aws:ResourceTag/${TagKey}	Lettura
ListChannels	Concede l'autorizzazione per elencare i canali nell'account corrente e i relativi nomi di origine			List
ListDashboards	Concede l'autorizzazione a elencare le dashboard associate alla regione corrente del tuo account			List
ListEventDataStores	Concede l'autorizzazione per elencare i datastore di evento associati alla regione corrente per il tuo account			List
ListImportFailures	Concede l'autorizzazione per restituire un elenco di errori per l'importazione specificata			Lettura
ListImports	Concede l'autorizzazione a restituire informazioni su tutte le importazioni o su una serie selezionata di importazioni entro ImportStatus o Destinazione			List
ListInsightsData	Concede il permesso di recuperare i dati acquisiti da CloudTrail Approfondimenti	trail*	aws:ResourceTag/${TagKey}	List
ListPublicKeys	Concede l'autorizzazione per elencare le chiavi pubbliche le cui chiavi private sono state utilizzate per firmare i file digest del trail all'interno di un intervallo di tempo specificato			Lettura
ListQueries	Concede l'autorizzazione per elencare le query associate a un datastore di evento	eventdatastore*	aws:ResourceTag/${TagKey}	List
ListTags	Concede il permesso di elencare i tag per percorsi, archivi di dati sugli eventi, canali o dashboard nella regione corrente	channel	aws:ResourceTag/${TagKey}	Lettura
		dashboard	aws:ResourceTag/${TagKey}
		eventdatastore	aws:ResourceTag/${TagKey}
		trail	aws:ResourceTag/${TagKey}
ListTrails	Concede l'autorizzazione per elencare i trail associati alla regione corrente per il tuo account			List
LookupEvents	Concede il permesso di cercare e recuperare i dati metrici per gli eventi di attività delle API acquisiti da CloudTrail che creano, aggiornano o eliminano risorse nel tuo account			Lettura
PutEventConfiguration	Concede il permesso di creare e aggiornare le configurazioni degli eventi per un percorso o un archivio dati di eventi	eventdatastore	aws:ResourceTag/${TagKey}	Scrittura
PutEventConfiguration		trail	aws:ResourceTag/${TagKey}	Scrittura
PutEventSelectors	Concede l'autorizzazione per creare e aggiornare selettori di eventi per un trail	trail*	aws:ResourceTag/${TagKey}	Scrittura
PutInsightSelectors	Concede il permesso di creare e aggiornare CloudTrail Selettori di approfondimenti per un archivio dati di percorsi o eventi	eventdatastore	aws:ResourceTag/${TagKey}	Scrittura
PutInsightSelectors		trail	aws:ResourceTag/${TagKey}	Scrittura
PutResourcePolicy	Concede l'autorizzazione per collegare una policy delle risorse alla risorsa fornita	channel	aws:ResourceTag/${TagKey}	Scrittura
		dashboard	aws:ResourceTag/${TagKey}
		eventdatastore	aws:ResourceTag/${TagKey}
RegisterOrganizationDelegatedAdmin	Concede il permesso di registrare un AWS Account membro dell'organizzazione come amministratore delegato			Scrittura
RemoveTags	Concede l'autorizzazione a rimuovere i tag da un percorso, da un archivio dati di eventi, da un canale o da una dashboard	channel	aws:ResourceTag/${TagKey} aws:TagKeys	Etichettatura, scrittura
		dashboard	aws:ResourceTag/${TagKey} aws:TagKeys
		eventdatastore	aws:ResourceTag/${TagKey} aws:TagKeys
		trail	aws:ResourceTag/${TagKey} aws:TagKeys
RestoreEventDataStore	Concede l'autorizzazione per ripristinare un datastore di evento	eventdatastore*	aws:ResourceTag/${TagKey}	Scrittura
SearchSampleQueries	Concede il permesso di eseguire una ricerca semantica per CloudTrail Domande di esempio su Lake			Lettura
StartDashboardRefresh	Concede l'autorizzazione per avviare un aggiornamento sulla dashboard specificata	dashboard*	aws:ResourceTag/${TagKey}	Scrittura
StartEventDataStoreIngestion	Concede l'autorizzazione per avviare l'acquisizione su un datastore di evento	eventdatastore*	aws:ResourceTag/${TagKey}	Scrittura
StartImport	Concede l'autorizzazione per avviare un'importazione di eventi traccia registrati da un bucket S3 di origine a un archivio dati di eventi di destinazione			Scrittura
StartLogging	Concede il permesso di avviare la registrazione di AWS Chiamate API e invio di file di registro per un percorso	trail*	aws:ResourceTag/${TagKey}	Scrittura
StartQuery	Concede l'autorizzazione per avviare una nuova query su un datastore di evento specificato	eventdatastore*	aws:ResourceTag/${TagKey}	Scrittura
StopEventDataStoreIngestion	Concede l'autorizzazione per arrestare l'acquisizione su un datastore di evento	eventdatastore*	aws:ResourceTag/${TagKey}	Scrittura
StopImport	Concede l'autorizzazione per arrestare un'importazione specificata			Scrittura
StopLogging	Concede il permesso di interrompere la registrazione di AWS Chiamate API e invio di file di registro per un percorso	trail*	aws:ResourceTag/${TagKey}	Scrittura
UpdateChannel	Concede l'autorizzazione per aggiornare un canale	channel*	aws:ResourceTag/${TagKey}	Scrittura
UpdateDashboard	Concede l'autorizzazione per aggiornare un dashboard	dashboard*	aws:ResourceTag/${TagKey}	Scrittura
UpdateEventDataStore	Concede l'autorizzazione per aggiornare un datastore di evento	eventdatastore*	aws:ResourceTag/${TagKey}	Scrittura
UpdateTrail	Concede l'autorizzazione per aggiornare le impostazioni che specificano la distribuzione di file di log	trail*	aws:ResourceTag/${TagKey}	Scrittura

Permission-only azioni per AWS CloudTrail

Le seguenti azioni sono definite da AWS CloudTrail ma non sono direttamente richiamabili tramite alcuna operazione API. Possono essere utilizzati solo nelle dichiarazioni delle politiche IAM per concedere o negare le autorizzazioni.

Operazioni	Description	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Livello di accesso
CreateServiceLinkedChannel	Concede il permesso di creare un canale collegato al servizio che specifica le impostazioni per l'invio dei dati di registro a un AWS servizio	channel*	aws:ResourceTag/${TagKey}	Scrittura
DeleteServiceLinkedChannel	Concede l'autorizzazione per eliminare un canale collegato al servizio	channel*	aws:ResourceTag/${TagKey}	Scrittura
GenerateQueryResultsSummary	Concede l'autorizzazione a generare un riepilogo dei risultati per le query specificate utilizzando il CloudTrail generatore di linguaggio naturale	eventdatastore*	aws:ResourceTag/${TagKey}	Lettura
GetServiceLinkedChannel	Concede l'autorizzazione per elencare le impostazioni per il canale collegato al servizio	channel*	aws:ResourceTag/${TagKey}	Lettura
ListServiceLinkedChannels	Concede l'autorizzazione per elencare i canali collegati ai servizi associati alla regione corrente per un account specifico			List
UpdateServiceLinkedChannel	Concede il permesso di aggiornare le impostazioni del canale collegato al servizio per l'invio dei dati di registro a un AWS servizio	channel*	aws:ResourceTag/${TagKey}	Scrittura

Tipi di risorse definiti da AWS CloudTrail

I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'elemento Resource delle istruzioni di policy delle autorizzazioni IAM.

Tipi di risorse	ARN	Chiavi di condizione
channel	arn:${Partition}:cloudtrail:${Region}:${Account}:channel/${ChannelId}	aws:ResourceTag/${TagKey}
dashboard	arn:${Partition}:cloudtrail:${Region}:${Account}:dashboard/${DashboardName}	aws:ResourceTag/${TagKey}
eventdatastore	arn:${Partition}:cloudtrail:${Region}:${Account}:eventdatastore/${EventDataStoreId}	aws:ResourceTag/${TagKey}
trail	arn:${Partition}:cloudtrail:${Region}:${Account}:trail/${TrailName}	aws:ResourceTag/${TagKey}

Chiavi di condizione per AWS CloudTrail

AWS CloudTrail definisce le seguenti chiavi di condizione che possono essere utilizzate in Condition elemento di una policy IAM.

Chiavi di condizione	Descrizione	Tipo
aws:RequestTag/${TagKey}	Filtra l'accesso dalle coppie chiave-valore tag nella richiesta	String
aws:ResourceTag/${TagKey}	Filtra l'accesso dai tag collegati a una risorsa	String
aws:TagKeys	Filtra l'accesso tramite i tasti tag in una richiesta	ArrayOfString

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

AWS CloudShell (cloudshell)

AWS CloudTrail Dati (cloudtrail-data)