Operazioni Operazioni Permission-only azioni Tipi di risorse Chiavi di condizione

Azioni, risorse e chiavi di condizione per AWS Scudo

AWS Shield (prefisso del servizio: shield) fornisce le seguenti operazioni, risorse, azioni e chiavi di condizione specifiche del servizio da utilizzare nelle politiche di autorizzazione IAM.

Riferimenti:

Scopri come configurare questo servizio.
Visualizza un elenco delle operazioni API disponibili per questo servizio.
Scopri come proteggere questo servizio e le sue risorse utilizzando le policy delle autorizzazioni IAM.
Visualizza riferimento programmatico all'autorizzazione del servizio per questo servizio.

Operazioni API definite da AWS Scudo

La tabella seguente associa le operazioni API alle azioni IAM che autorizzano. Sono elencate solo le chiavi di condizione che hanno valori statici per l'API e l'azione specificate; per il set completo di chiavi di condizione supportate da ciascuna azione, consulta Tabella delle azioni.

Operazione	Azione IAM	Chiave di condizione	Valori possibili	Livello di accesso
AssociateDRTLogBucket	shield:AssociateDRTLogBucket			Scrittura
AssociateDRTRole	shield:AssociateDRTRole			Scrittura
AssociateDRTRole	iam:PassRole	iam:PassedToService	drt.shield.amazonaws.com	Scrittura
AssociateHealthCheck	shield:AssociateHealthCheck			Scrittura
AssociateProactiveEngagementDetails	shield:AssociateProactiveEngagementDetails			Scrittura
CreateProtection	shield:CreateProtection			Scrittura
CreateProtection	shield:TagResource			Etichettatura, scrittura
CreateProtectionGroup	shield:CreateProtectionGroup			Scrittura
CreateProtectionGroup	shield:TagResource			Etichettare, scrivere
CreateSubscription	shield:CreateSubscription			Scrittura
DeleteProtection	shield:DeleteProtection			Scrittura
DeleteProtectionGroup	shield:DeleteProtectionGroup			Scrittura
DeleteSubscription	shield:DeleteSubscription			Scrittura
DescribeAttack	shield:DescribeAttack			Lettura
DescribeAttack	shield:DescribeProtectionGroup			Lettura
DescribeAttackStatistics	shield:DescribeAttackStatistics			Lettura
DescribeDRTAccess	shield:DescribeDRTAccess			Lettura
DescribeEmergencyContactSettings	shield:DescribeEmergencyContactSettings			Lettura
DescribeProtection	shield:DescribeProtection			Lettura
DescribeProtectionGroup	shield:DescribeProtectionGroup			Lettura
DescribeSubscription	shield:DescribeSubscription			Lettura
DisableApplicationLayerAutomaticResponse	shield:DisableApplicationLayerAutomaticResponse			Scrittura
DisableProactiveEngagement	shield:DisableProactiveEngagement			Scrittura
DisassociateDRTLogBucket	shield:DisassociateDRTLogBucket			Scrittura
DisassociateDRTRole	shield:DisassociateDRTRole			Scrittura
DisassociateHealthCheck	shield:DisassociateHealthCheck			Scrittura
EnableApplicationLayerAutomaticResponse	shield:EnableApplicationLayerAutomaticResponse			Scrittura
EnableProactiveEngagement	shield:EnableProactiveEngagement			Scrittura
GetSubscriptionState	shield:GetSubscriptionState			Lettura
ListAttacks	shield:ListAttacks			List
ListProtectionGroups	shield:ListProtectionGroups			List
ListProtections	shield:ListProtections			List
ListResourcesInProtectionGroup	shield:ListResourcesInProtectionGroup			List
ListTagsForResource	shield:ListTagsForResource			Lettura
TagResource	shield:TagResource			Etichettare, scrivere
UntagResource	shield:UntagResource			Etichettare, scrivere
UpdateApplicationLayerAutomaticResponse	shield:UpdateApplicationLayerAutomaticResponse			Scrittura
UpdateEmergencyContactSettings	shield:UpdateEmergencyContactSettings			Scrittura
UpdateProtectionGroup	shield:UpdateProtectionGroup			Scrittura
UpdateSubscription	shield:UpdateSubscription			Scrittura

Azioni definite da AWS Scudo

Puoi specificare le seguenti operazioni nell'elemento Action di un'istruzione di policy IAM. Per ogni azione, la tabella elenca i tipi di risorse e le chiavi di condizione supportate da tale azione. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando utilizzi un'operazione in una policy, in genere consenti o rifiuti l'accesso all'operazione API o al comando CLI con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.

Operazioni	Description	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Livello di accesso
AssociateDRTLogBucket	Concede l'autorizzazione per autorizzare il Team di risposta DDoS ad accedere al bucket Amazon S3 specificato contenente i log di flusso			Scrittura
AssociateDRTRole	Concede il permesso di autorizzare il team di risposta DDoS, utilizzando il ruolo specificato, ad accedere al tuo Account AWS per contribuire alla mitigazione degli attacchi DDoS durante i potenziali attacchi			Scrittura
AssociateHealthCheck	Concede l'autorizzazione per aggiungere il rilevamento basato sullo stato alla protezione Shield Advanced per una risorsa	protection*	aws:ResourceTag/${TagKey}	Write
AssociateProactiveEngagementDetails	Concede l'autorizzazione per inizializzare il coinvolgimento proattivo e impostare l'elenco dei contatti per il Team di risposta DDoS da utilizzare			Write
CreateProtection	Concede l'autorizzazione per attivare il servizio di protezione DDoS per una determinata risorsa ARN		aws:RequestTag/${TagKey} aws:TagKeys	Write
CreateProtectionGroup	Concede l'autorizzazione per creare un raggruppamento di risorse protette in modo che possano essere gestite come collettivo		aws:RequestTag/${TagKey} aws:TagKeys	Write
CreateSubscription	Concede l'autorizzazione per attivare un abbonamento			Write
DeleteProtection	Concede l'autorizzazione per eliminare una protezione esistente	protection*	aws:ResourceTag/${TagKey}	Write
DeleteProtectionGroup	Concede l'autorizzazione per rimuovere il gruppo di protezione specificato	protection-group*	aws:ResourceTag/${TagKey}	Write
DeleteSubscription	Concede l'autorizzazione per disattivare l'abbonamento			Scrittura
DescribeAttack	Concede il permesso di ottenere i dettagli degli attacchi. Per proteggere i dettagli degli attacchi da AWS Gruppo di regole gestito da WAF Anti-DDoS, questa azione chiama inoltre wafv2:DescribeTopContributorsByEvent per recuperare i contributori agli attacchi a livello di applicazione, che richiede wafv2:DescribeTopContributorsByEvent autorizzazione nella politica IAM	attack*		Lettura
DescribeAttackStatistics	Concede il permesso di descrivere informazioni sul numero e sul tipo di attacchi AWS Shield ha rilevato nell'ultimo anno			Lettura
DescribeDRTAccess	Concede l'autorizzazione a descrivere il ruolo corrente e l'elenco dei bucket di log di Amazon S3 utilizzati dal team DDoS Response per accedere al tuo Account AWS fornendo assistenza nella mitigazione degli attacchi			Lettura
DescribeEmergencyContactSettings	Concede l'autorizzazione per elencare gli indirizzi e-mail che il DRT può utilizzare per contattarti durante un presunto attacco			Read
DescribeProtection	Concede l'autorizzazione per ottenere i dettagli della protezione	protection*	aws:ResourceTag/${TagKey}	Read
DescribeProtectionGroup	Concede l'autorizzazione per descrivere la specifica per il gruppo di protezione specificato	protection-group*	aws:ResourceTag/${TagKey}	Read
DescribeSubscription	Concede l'autorizzazione per ottenere i dettagli dell'abbonamento, ad esempio l'ora di inizio			Lettura
DisableApplicationLayerAutomaticResponse	Concede l'autorizzazione per disabilitare la risposta automatica a livello di applicazione per la protezione Shield Advanced per una risorsa			Scrittura
DisableProactiveEngagement	Concede l'autorizzazione per rimuovere l'autorizzazione dal Team di risposta DDoS per notificare i contatti in merito alle escalation			Write
DisassociateDRTLogBucket	Concede l'autorizzazione per rimuovere l'accesso del Team di risposta DDoS al bucket Amazon S3 specificato contenenti i log di flusso			Scrittura
DisassociateDRTRole	Concede il permesso di rimuovere l'accesso del team di risposta DDoS al tuo Account AWS			Scrittura
DisassociateHealthCheck	Concede l'autorizzazione per rimuovere il rilevamento basato sullo stato dalla protezione Shield Advanced per una risorsa	protection*	aws:ResourceTag/${TagKey}	Scrittura
EnableApplicationLayerAutomaticResponse	Concede l'autorizzazione per abilitare la risposta automatica a livello di applicazione per la protezione Shield Advanced per una risorsa			Scrittura
EnableProactiveEngagement	Concede l'autorizzazione per autorizzare il Team di risposta DDoS a utilizzare e-mail e telefono per notificare i contatti in merito alle escalation			Write
GetSubscriptionState	Concede l'autorizzazione per ottenere lo stato dell'abbonamento			Read
ListAttacks	Concede l'autorizzazione per elencare tutti gli attacchi esistenti			Elenco
ListProtectionGroups	Concede l'autorizzazione per recuperare i gruppi di protezione per l'account			Elenco
ListProtections	Concede l'autorizzazione per elencare tutte le protezioni esistenti			Elenco
ListResourcesInProtectionGroup	Concede l'autorizzazione per recuperare le risorse che sono incluse nel gruppo di protezione	protection-group*	aws:ResourceTag/${TagKey}	List
ListTagsForResource	Concede il permesso di ottenere informazioni su AWS tag per un Amazon Resource Name (ARN) specificato in AWS Scudo	protection	aws:ResourceTag/${TagKey}	Lettura
ListTagsForResource		protection-group	aws:ResourceTag/${TagKey}	Lettura
TagResource	Concede il permesso di aggiungere o aggiornare i tag per una risorsa in AWS Scudo	protection	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Etichettare, scrivere
TagResource		protection-group	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Etichettare, scrivere
UntagResource	Concede il permesso di rimuovere i tag da una risorsa in AWS Scudo	protection	aws:ResourceTag/${TagKey} aws:TagKeys	Etichettare, scrivere
UntagResource		protection-group	aws:ResourceTag/${TagKey} aws:TagKeys	Etichettare, scrivere
UpdateApplicationLayerAutomaticResponse	Concede l'autorizzazione per aggiornare la risposta automatica del livello dell'applicazione per la protezione Shield Advanced per una risorsa			Scrittura
UpdateEmergencyContactSettings	Concede l'autorizzazione per aggiornare i dettagli dell'elenco di indirizzi e-mail che il DRT può utilizzare per contattarti durante un presunto attacco			Write
UpdateProtectionGroup	Concede l'autorizzazione per aggiornare un gruppo di protezione esistente	protection-group*	aws:ResourceTag/${TagKey}	Write
UpdateSubscription	Concede l'autorizzazione per aggiornare i dettagli di un abbonamento esistente			Scrittura

Permission-only azioni per AWS Scudo

Le seguenti azioni sono definite da AWS Shield ma non sono direttamente richiamabili tramite alcuna operazione API. Possono essere utilizzati solo nelle dichiarazioni delle politiche IAM per concedere o negare le autorizzazioni.

Operazioni	Description	Tipi di risorsa (*obbligatorio)	Chiavi di condizione	Livello di accesso
DescribeAttackContributors	Concede il permesso di ottenere informazioni dettagliate sui responsabili di uno specifico attacco DDoS	attack*		Lettura
DescribeAttackContributors		protection-group	aws:ResourceTag/${TagKey}	Lettura
GetGlobalThreatData	Concede il permesso di recuperare dati e tendenze di intelligence sulle minacce globali da AWS I sistemi di monitoraggio delle minacce di Shield			Lettura
ListMitigations	Concede il permesso di recuperare un elenco di azioni di mitigazione applicate durante gli attacchi DDoS	attack*		List

Tipi di risorse definiti da AWS Scudo

I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'elemento Resource delle istruzioni di policy delle autorizzazioni IAM.

Tipi di risorse	ARN	Chiavi di condizione
attack	arn:${Partition}:shield::${Account}:attack/${Id}
protection	arn:${Partition}:shield::${Account}:protection/${Id}	aws:ResourceTag/${TagKey}
protection-group	arn:${Partition}:shield::${Account}:protection-group/${Id}	aws:ResourceTag/${TagKey}

Chiavi di condizione per AWS Scudo

AWS Shield definisce le seguenti chiavi di condizione che possono essere utilizzate in Condition elemento di una policy IAM.

Chiavi di condizione	Descrizione	Tipo
aws:RequestTag/${TagKey}	Filtra le operazioni in base alla presenza di coppie chiave-valore di tag nella richiesta.	String
aws:ResourceTag/${TagKey}	Filtra le operazioni in base a tag sotto forma di coppie chiave/valore collegati alla risorsa	String
aws:TagKeys	Filtra le operazioni in base alla presenza di chiavi di tag nella richiesta	ArrayOfString

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

AWS servizio che fornisce reti private gestite (private-networks)

AWS Direttore della sicurezza di rete Shield (network-security-director)