Operazioni Operazioni Permission-only azioni Tipi di risorse Chiavi di condizione

Azioni, risorse e chiavi di condizione per AWS Control Tower

AWS Control Tower (prefisso del servizio: controltower) fornisce le seguenti operazioni, risorse, azioni e chiavi di condizione specifiche del servizio da utilizzare nelle politiche di autorizzazione IAM.

Riferimenti:

Scopri come configurare questo servizio.
Visualizza un elenco delle operazioni API disponibili per questo servizio.
Scopri come proteggere questo servizio e le sue risorse utilizzando le policy delle autorizzazioni IAM.
Visualizza riferimento programmatico all'autorizzazione del servizio per questo servizio.

Argomenti

Operazioni API definite da AWS Control Tower
Azioni definite da AWS Control Tower
Permission-only azioni per AWS Control Tower
Tipi di risorse definiti da AWS Control Tower
Chiavi di condizione per AWS Control Tower

Operazioni API definite da AWS Control Tower

La tabella seguente associa le operazioni API alle azioni IAM che autorizzano. Sono elencate solo le chiavi di condizione che hanno valori statici per l'API e l'azione specificate; per il set completo di chiavi di condizione supportate da ciascuna azione, consulta Tabella delle azioni.

Operazione	Azione IAM	Livello di accesso
CreateLandingZone	controltower:CreateLandingZone	Scrittura
	controltower:PerformPreLaunchChecks	Lettura
	controltower:SetupLandingZone	Scrittura
	controltower:TagResource	Etichettatura, scrittura
DeleteLandingZone	controltower:DeleteLandingZone	Scrittura
DisableBaseline	controltower:DeregisterOrganizationalUnit	Scrittura
DisableBaseline	controltower:DisableBaseline	Scrittura
DisableControl	controltower:DisableControl	Scrittura
DisableControl	controltower:DisableGuardrail	Scrittura
EnableBaseline	controltower:EnableBaseline	Scrittura
	controltower:ManageOrganizationalUnit	Scrittura
	controltower:TagResource	Etichettare, scrivere
EnableControl	controltower:EnableControl	Scrittura
	controltower:EnableGuardrail	Scrittura
	controltower:TagResource	Etichettare, scrivere
GetBaseline	controltower:GetBaseline	Lettura
GetBaselineOperation	controltower:DescribeRegisterOrganizationalUnitOperation	Lettura
GetBaselineOperation	controltower:GetBaselineOperation	Lettura
GetControlOperation	controltower:GetControlOperation	Lettura
GetEnabledBaseline	controltower:DescribeManagedAccount	Lettura
	controltower:DescribeManagedOrganizationalUnit	Lettura
	controltower:GetEnabledBaseline	Lettura
GetEnabledControl	controltower:DescribeGuardrailForTarget	Lettura
GetEnabledControl	controltower:GetEnabledControl	Lettura
GetLandingZone	controltower:DescribeLandingZoneConfiguration	Lettura
	controltower:GetAvailableUpdates	Lettura
	controltower:GetLandingZone	Lettura
	controltower:GetLandingZoneDriftStatus	Lettura
	controltower:GetLandingZoneStatus	Lettura
GetLandingZoneOperation	controltower:GetLandingZoneOperation	Lettura
GetLandingZoneOperation	controltower:GetLandingZoneStatus	Lettura
ListBaselines	controltower:ListBaselines	List
ListControlOperations	controltower:ListControlOperations	List
ListEnabledBaselines	controltower:ListEnabledBaselines	List
	controltower:ListManagedAccounts	List
	controltower:ListManagedOrganizationalUnits	List
ListEnabledControls	controltower:ListEnabledControls	List
ListEnabledControls	controltower:ListGuardrailsForTarget	List
ListLandingZoneOperations	controltower:GetLandingZoneStatus	Lettura
ListLandingZoneOperations	controltower:ListLandingZoneOperations	List
ListLandingZones	controltower:GetHomeRegion	Lettura
ListLandingZones	controltower:ListLandingZones	List
ListTagsForResource	controltower:ListTagsForResource	Lettura
ResetEnabledBaseline	controltower:ManageOrganizationalUnit	Scrittura
ResetEnabledBaseline	controltower:ResetEnabledBaseline	Scrittura
ResetEnabledControl	controltower:ResetEnabledControl	Scrittura
ResetLandingZone	controltower:ResetLandingZone	Scrittura
ResetLandingZone	controltower:SetupLandingZone	Scrittura
TagResource	controltower:TagResource	Etichettare, scrivere
UntagResource	controltower:UntagResource	Etichettare, scrivere
UpdateEnabledBaseline	controltower:ManageOrganizationalUnit	Scrittura
UpdateEnabledBaseline	controltower:UpdateEnabledBaseline	Scrittura
UpdateEnabledControl	controltower:UpdateEnabledControl	Scrittura
UpdateLandingZone	controltower:SetupLandingZone	Scrittura
UpdateLandingZone	controltower:UpdateLandingZone	Scrittura

Azioni definite da AWS Control Tower

Puoi specificare le seguenti operazioni nell'elemento Action di un'istruzione di policy IAM. Per ogni azione, la tabella elenca i tipi di risorse e le chiavi di condizione supportate da tale azione. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando utilizzi un'operazione in una policy, in genere consenti o rifiuti l'accesso all'operazione API o al comando CLI con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.

Operazioni	Description	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Livello di accesso
CreateLandingZone	Concede l'autorizzazione per creare una zona di destinazione		aws:RequestTag/${TagKey} aws:TagKeys	Scrittura
DeleteLandingZone	Concede l'autorizzazione all'eliminazione AWS Zona di atterraggio della Torre di Controllo	LandingZone*	aws:ResourceTag/${TagKey}	Scrittura
DisableBaseline	Concede il permesso di disattivare una linea di base su un bersaglio	EnabledBaseline*	aws:ResourceTag/${TagKey}	Scrittura
DisableControl	Concede l'autorizzazione per rimuovere un controllo per un'unità organizzativa	EnabledControl*	aws:ResourceTag/${TagKey}	Scrittura
EnableBaseline	Concede l'autorizzazione per abilitare una baseline su un obiettivo		aws:RequestTag/${TagKey} aws:TagKeys	Scrittura
EnableControl	Concede l'autorizzazione per attivare un controllo per un'unità organizzativa	EnabledControl	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Scrittura
GetBaseline	Concede il permesso di ottenere i dettagli della Baseline	Baseline*		Lettura
GetBaselineOperation	Concede il permesso di ottenere lo stato corrente di una particolare operazione di base			Lettura
GetControlOperation	Concede il permesso di ottenere lo stato corrente di una particolare EnabledControl o DisableControl operazione			Lettura
GetEnabledBaseline	Concede l'autorizzazione per ottenere una Baseline abilitata	EnabledBaseline*	aws:ResourceTag/${TagKey}	Lettura
GetEnabledControl	Concede l'autorizzazione per ottenere un controllo abilitato da un'unità organizzativa	EnabledControl*	aws:ResourceTag/${TagKey}	Lettura
GetLandingZone	Concede l'autorizzazione per visualizzare lo stato corrente della configurazione della zona di destinazione	LandingZone*	aws:ResourceTag/${TagKey}	Lettura
GetLandingZoneDriftStatus	Concede l'autorizzazione per visualizzare lo stato corrente della deviazione della zona di destinazione			Lettura
GetLandingZoneOperation	Concede l'autorizzazione per ottenere lo stato corrente di una particolare operazione della zona di destinazione			Lettura
ListBaselines	Concede l'autorizzazione per elencare le baseline			List
ListControlOperations	Concede il permesso di elencare tutte le operazioni di controllo			List
ListDriftDetails	Concede il permesso di elencare le occorrenze di drift in AWS Torre di controllo			Lettura
ListEnabledBaselines	Concede il permesso di elencare le baseline abilitate			List
ListEnabledControls	Concede l'autorizzazione per elencare tutti i controlli abilitati in un'unità organizzativa specificata			List
ListExternalConfigRuleCompliance	Concede il permesso di elencare la conformità delle apparecchiature esterne AWS Regole di configurazione			Lettura
ListLandingZoneOperations	Concede il permesso di elencare tutte le operazioni nelle zone di atterraggio			List
ListLandingZones	Concede l'autorizzazione per elencare tutte le zone di destinazione			List
ListTagsForResource	Concede l'autorizzazione per elencare i tag per una risorsa	EnabledBaseline	aws:ResourceTag/${TagKey}	Lettura
		EnabledControl	aws:ResourceTag/${TagKey}
		LandingZone	aws:ResourceTag/${TagKey}
ResetEnabledBaseline	Concede l'autorizzazione a reimpostare una baseline abilitata	EnabledBaseline*	aws:ResourceTag/${TagKey}	Scrittura
ResetEnabledControl	Concede l'autorizzazione a reimpostare un controllo abilitato per un'unità organizzativa	EnabledControl*	aws:ResourceTag/${TagKey}	Scrittura
ResetLandingZone	Concede l'autorizzazione per reimpostare una zona di destinazione	LandingZone*	aws:ResourceTag/${TagKey}	Scrittura
TagResource	Concede l'autorizzazione per aggiungere tag a una risorsa	EnabledBaseline	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Etichettatura, scrittura
		EnabledControl	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
		LandingZone	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
UntagResource	Concede l'autorizzazione per rimuovere tag da una risorsa	EnabledBaseline	aws:ResourceTag/${TagKey} aws:TagKeys	Etichettare, scrivere
		EnabledControl	aws:ResourceTag/${TagKey} aws:TagKeys
		LandingZone	aws:ResourceTag/${TagKey} aws:TagKeys
UpdateEnabledBaseline	Concede il permesso di aggiornare una baseline abilitata	EnabledBaseline*	aws:ResourceTag/${TagKey}	Scrittura
UpdateEnabledControl	Concede l'autorizzazione per aggiornare un controllo abilitato per un'unità organizzativa	EnabledControl*	aws:ResourceTag/${TagKey}	Scrittura
UpdateLandingZone	Concede l'autorizzazione per aggiornare una zona di destinazione	LandingZone*	aws:ResourceTag/${TagKey}	Scrittura

Permission-only azioni per AWS Control Tower

Le seguenti azioni sono definite da AWS Control Tower, ma non sono direttamente richiamabili tramite alcuna operazione API. Possono essere utilizzati solo nelle dichiarazioni politiche IAM per concedere o negare le autorizzazioni.

Operazioni	Description	Livello di accesso
CreateManagedAccount	Concede il permesso di creare un account gestito da AWS Torre di controllo	Scrittura
DeregisterManagedAccount	Concede il permesso di annullare la registrazione di un account creato tramite l'account factory da AWS Torre di controllo	Scrittura
DeregisterOrganizationalUnit	Concede il permesso di annullare la registrazione di un'unità organizzativa da AWS Gestione della Control Tower	Scrittura
DescribeAccountFactoryConfig	Concede l'autorizzazione per descrivere la configurazione Account Factory corrente	Lettura
DescribeCoreService	Concede l'autorizzazione a descrivere le risorse gestite dagli account principali in AWS Torre di controllo	Lettura
DescribeGuardrail	Concede l'autorizzazione per descrivere un guardrail	Lettura
DescribeGuardrailForTarget	Concede l'autorizzazione per descrivere un guardrail per un'unità organizzativa	Lettura
DescribeLandingZoneConfiguration	Concede l'autorizzazione per descrivere la configurazione della zona di destinazione corrente	Lettura
DescribeManagedAccount	Concede l'autorizzazione per descrivere un account creato tramite Account Factory	Lettura
DescribeManagedOrganizationalUnit	Concede il permesso di descrivere un AWS Unità organizzativa dell'organizzazione gestita da AWS Control Tower	Lettura
DescribeRegisterOrganizationalUnitOperation	Concede l'autorizzazione per descrivere l'operazione di un'unità organizzativa	Lettura
DescribeSingleSignOn	Concede il permesso di descrivere la corrente AWS Configurazione del Control Tower IAM Identity Center	Lettura
DisableGuardrail	Concede l'autorizzazione per disabilitare un guardrail da un'unità organizzativa	Scrittura
EnableGuardrail	Concede l'autorizzazione per abilitare un guardrail in un'unità organizzativa	Scrittura
GetAccountInfo	Concede l'autorizzazione per descrivere l'indirizzo e-mail di un account e verificare che esista	Lettura
GetAvailableUpdates	Concede il permesso di elencare gli aggiornamenti disponibili per la versione corrente AWS Implementazione della Control Tower	Lettura
GetGuardrailComplianceStatus	Concede l'autorizzazione per visualizzare l'attuale stato di conformità di un guardrail	Lettura
GetHomeRegion	Concede il permesso di ottenere la regione di origine del AWS Configurazione della Control Tower	Lettura
GetLandingZoneStatus	Concede l'autorizzazione per visualizzare lo stato corrente della configurazione della zona di destinazione	Lettura
ListDirectoryGroups	Concede il permesso di elencare gli attuali gruppi di directory disponibili tramite IAM Identity Center	List
ListEnabledGuardrails	Concede l'autorizzazione per elencare i guardrail attualmente abilitati	List
ListExtendGovernancePrecheckDetails	Concede l'autorizzazione per elencare i dettagli di precheck per un'unità organizzativa	List
ListGuardrailViolations	Concede l'autorizzazione per elencare le violazioni di guardrail esistenti	List
ListGuardrails	Concede l'autorizzazione per elencare tutti i guardrail disponibili	List
ListGuardrailsForTarget	Concede l'autorizzazione per elencare i guardrail e il loro stato attuale per un'unità organizzativa	List
ListManagedAccounts	Concede il permesso di elencare gli account gestiti tramite AWS Torre di controllo	List
ListManagedAccountsForGuardrail	Concede l'autorizzazione per elencare gli account gestiti a cui è applicato un guardrail specificato	List
ListManagedAccountsForParent	Concede l'autorizzazione per elencare gli account gestiti in un'unità organizzativa	List
ListManagedOrganizationalUnits	Concede il permesso di elencare le unità organizzative gestite da AWS Torre di controllo	List
ListManagedOrganizationalUnitsForGuardrail	Concede l'autorizzazione per elencare le unità organizzative gestite a cui è applicato un guardrail specificato	List
ManageOrganizationalUnit	Concede il permesso di creare un'unità organizzativa gestita da AWS Torre di controllo	Scrittura
PerformPreLaunchChecks	Concede l'autorizzazione per eseguire le convalide in un account	Lettura
SetupLandingZone	Concede l'autorizzazione per la configurazione o l'aggiornamento AWS Zona di atterraggio della Control Tower	Scrittura
UpdateAccountFactoryConfig	Concede l'autorizzazione per aggiornare la configurazione di Account Factory	Scrittura

Tipi di risorse definiti da AWS Control Tower

I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'elemento Resource delle istruzioni di policy delle autorizzazioni IAM.

Tipi di risorse	ARN	Chiavi di condizione
Baseline	arn:${Partition}:controltower:${Region}::baseline/${BaselineId}
EnabledBaseline	arn:${Partition}:controltower:${Region}:${Account}:enabledbaseline/${EnabledBaselineId}	aws:ResourceTag/${TagKey}
EnabledControl	arn:${Partition}:controltower:${Region}:${Account}:enabledcontrol/${EnabledControlId}	aws:ResourceTag/${TagKey}
LandingZone	arn:${Partition}:controltower:${Region}:${Account}:landingzone/${LandingZoneId}	aws:ResourceTag/${TagKey}

Chiavi di condizione per AWS Control Tower

AWS Control Tower definisce le seguenti chiavi di condizione che possono essere utilizzate in Condition elemento di una policy IAM.

Chiavi di condizione	Descrizione	Tipo
aws:RequestTag/${TagKey}	Filtra l'accesso per i tag passati nella richiesta	String
aws:ResourceTag/${TagKey}	Filtra l'accesso per i tag associati alla risorsa	String
aws:TagKeys	Filtra l'accesso tramite le chiavi di tag passate nella richiesta	ArrayOfString

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

AWS Catalogo di controllo (controlcatalog)

AWS Rapporto sui costi e sull'utilizzo (cur)