Amazon QuickSight 的操作、资源和条件键

Amazon QuickSight（服务前缀：quicksight）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

Amazon QuickSight 定义的操作
Amazon QuickSight 定义的资源类型
Amazon QuickSight 的条件键

Amazon QuickSight 定义的操作

您可以在 IAM policy 语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键	相关操作
AccountConfigurations [仅权限]	授予启用对 Amazon 资源默认访问设置的权限	Write
CancelIngestion	授予取消数据集上的 SPICE 摄取的权限	Write	ingestion*
CancelIngestion	授予取消数据集上的 SPICE 摄取的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateAccountCustomization	授予权限以便为 QuickSight 账户或命名空间创建账户自定义设置	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateAccountSubscription	授予订阅 QuickSight 的权限	Write
CreateAdmin [仅权限]	授予预置 Amazon QuickSight 管理员、作者和读者的权限	Write	user*
CreateAnalysis	授予根据模板创建分析的权限	Write	analysis*
CreateAnalysis	授予根据模板创建分析的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateCustomPermissions [仅权限]	授予权限以创建用于限制用户访问的自定义权限资源	Permissions management		aws:RequestTag/${TagKey} aws:TagKeys
CreateDashboard	授予创建 QuickSight 控制面板的权限	Write	dashboard*
CreateDashboard	授予创建 QuickSight 控制面板的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateDataSet	授予创建数据集的权限	Write	datasource*		quicksight:PassDataSource
CreateDataSet	授予创建数据集的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateDataSource	授予创建数据源的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateEmailCustomizationTemplate [仅权限]	授予权限以创建 QuickSight 电子邮件自定义模板	Write	emailCustomizationTemplate*
CreateFolder	授予创建 QuickSight 文件夹的权限	Write	folder*
CreateFolder	授予创建 QuickSight 文件夹的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateFolderMembership	授予将 QuickSight 仪表板、分析或数据集添加到 QuickSight 文件夹的权限	Write	folder*
			analysis
			dashboard
			dataset
CreateGroup	授予创建 QuickSight 组的权限	Write	group*
CreateGroupMembership	授予将 QuickSight 用户添加到 QuickSight 组的权限	Write	group*	quicksight:UserName
CreateGroupMembership	授予将 QuickSight 用户添加到 QuickSight 组的权限	Write		aws:TagKeys aws:RequestTag/${TagKey}
CreateIAMPolicyAssignment	授予使用一个指定的 IAM Policy ARN 创建任务，该任务将分配给 QuickSight 的指定组或用户	Write	assignment*
CreateIngestion	授予对数据集启动 SPICE 提取的权限	Write	ingestion*
CreateIngestion	授予对数据集启动 SPICE 提取的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateNamespace	授予权限以创建 QuickSight 命名空间	Write	namespace*		ds:CreateIdentityPoolDirectory
CreateReader [仅权限]	授予预置 Amazon QuickSight 读者的权限	Write	user*
CreateRefreshSchedule	授予为数据集创建刷新计划的权限	Write	refreshschedule*
CreateTemplate	授予创建模板的权限	Write	template*
CreateTemplate	授予创建模板的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateTemplateAlias	授予创建模板别名的权限	Write	template*
CreateTemplateAlias	授予创建模板别名的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateTheme	授予创建主题的权限	Write	theme*
CreateTheme	授予创建主题的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateThemeAlias	授予为主题版本创建别名的权限	Write	theme*
CreateThemeAlias	授予为主题版本创建别名的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateUser [仅权限]	授予预置 Amazon QuickSight 作者和读者的权限	Write	user*
CreateVPCConnection [仅权限]	授予创建 VPC 连接的权限	Write
DeleteAccountCustomization	授予权限以删除 QuickSight 账户或命名空间的账户自定义设置	Write	customization*
DeleteAccountSubscription	授予权限以删除 QuickSight 账户	Write	account*
DeleteAnalysis	授予删除分析的权限	Write	analysis*
DeleteCustomPermissions [仅权限]	授予更新自定义权限资源的权限	Permissions management
DeleteDashboard	授予删除 QuickSight 控制面板的权限	Write	dashboard*
DeleteDataSet	授予删除数据库的权限	Write	dataset*
DeleteDataSet	授予删除数据库的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
DeleteDataSetRefreshProperties	授予删除数据集刷新属性的权限	Write	dataset*
DeleteDataSource	授予删除数据源的权限	Write	datasource*
DeleteDataSource	授予删除数据源的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
DeleteEmailCustomizationTemplate [仅权限]	授予权限以删除 QuickSight 电子邮件自定义模板	Write	emailCustomizationTemplate*
DeleteFolder	授予删除 QuickSight 文件夹的权限	Write	folder*
DeleteFolderMembership	授予从 QuickSight 文件夹中移除 QuickSight 仪表板、分析或数据集的权限	Write	folder*
			analysis
			dashboard
			dataset
DeleteGroup	授予从 QuickSight 中删除用户组的权限	Write	group*
DeleteGroupMembership	授予从组中删除用户以使其不再是该组的成员的权限	Write	group*	quicksight:UserName
DeleteIAMPolicyAssignment	授予更新现有任务的权限	Write	assignment*
DeleteNamespace	授予权限以删除 QuickSight 命名空间	Write	namespace*		ds:DeleteDirectory
DeleteRefreshSchedule	授予删除数据集刷新计划的权限	Write	refreshschedule*
DeleteTemplate	授予删除模板的权限	Write	template*
DeleteTemplateAlias	授予删除模板别名的权限	Write	template*
DeleteTheme	授予删除主题的权限	Write	theme*
DeleteThemeAlias	授予删除主题别名的权限	Write	theme*
DeleteUser	授予在给定用户名的情况下删除 QuickSight 用户的权限	Write	user*
DeleteUserByPrincipalId	授予删除由委托人 ID 标识的用户的权限	Write	user*
DeleteVPCConnection [仅权限]	授予删除 VPC 连接的权限	Write
DescribeAccountCustomization	授予权限以描述 QuickSight 账户或命名空间的账户自定义设置	Read	customization*
DescribeAccountSettings	授予权限以描述 QuickSight 账户的管理账户设置	Read
DescribeAccountSubscription	授予描述 QuickSight 账户的权限	Read	account*
DescribeAnalysis	授予描述分析的权限	Read	analysis*
DescribeAnalysisPermissions	授予描述分析权限的权限	Read	analysis*
DescribeCustomPermissions [仅权限]	授予权限以描述 QuickSight 账户中的自定义权限资源	Write
DescribeDashboard	授予描述 QuickSight 控制面板的权限	Read	dashboard*
DescribeDashboardPermissions	授予描述 QuickSight 控制面板权限的权限	Read	dashboard*
DescribeDataSet	授予描述数据集的权限	Read	dataset*
DescribeDataSet	授予描述数据集的权限	Read		aws:RequestTag/${TagKey} aws:TagKeys
DescribeDataSetPermissions	授予描述数据集资源策略的权限	权限管理	dataset*
DescribeDataSetPermissions	授予描述数据集资源策略的权限	权限管理		aws:RequestTag/${TagKey} aws:TagKeys
DescribeDataSetRefreshProperties	授予描述数据集刷新属性的权限	Read	dataset*
DescribeDataSource	授予权限以描述数据源	Read	datasource*
DescribeDataSource	授予权限以描述数据源	Read		aws:RequestTag/${TagKey} aws:TagKeys
DescribeDataSourcePermissions	授予描述数据源的资源策略的权限	权限管理	datasource*
DescribeDataSourcePermissions	授予描述数据源的资源策略的权限	权限管理		aws:RequestTag/${TagKey} aws:TagKeys
DescribeEmailCustomizationTemplate [仅权限]	授予权限以描述 QuickSight 电子邮件自定义模板	Read	emailCustomizationTemplate*
DescribeFolder	授予描述 QuickSight Folder 的权限	Read	folder*
DescribeFolderPermissions	授予描述 QuickSight Folder 权限的权限	Read	folder*
DescribeFolderResolvedPermissions	授予描述 QuickSight Folder 已解决权限的权限	Read	folder*
DescribeGroup	授予权限以描述 QuickSight 组	Read	group*
DescribeGroupMembership	授予描述 QuickSight 组成员的权限	Read	group*	quicksight:UserName
DescribeIAMPolicyAssignment	授予描述现有任务的权限	Read	assignment*
DescribeIngestion	授予描述数据集上 SPICE 提取的权限	Read	ingestion*
DescribeIngestion	授予描述数据集上 SPICE 提取的权限	Read		aws:RequestTag/${TagKey} aws:TagKeys
DescribeIpRestriction	授予描述 QuickSight 账户 IP 限制的权限	Read
DescribeNamespace	授予权限以描述 QuickSight 命名空间	Read	namespace*
DescribeRefreshSchedule	授予描述数据集刷新计划的权限	Read	refreshschedule*
DescribeTemplate	授予描述模板的权限	Read	template*
DescribeTemplateAlias	授予描述模板别名的权限	Read	template*
DescribeTemplatePermissions	授予描述模板权限的权限	Read	template*
DescribeTheme	授予描述主题的权限	Read	theme*
DescribeThemeAlias	授予描述主题别名的权限	Read	theme*
DescribeThemePermissions	授予描述主题权限的权限	Read	theme*
DescribeUser	授予描述给定用户名的 QuickSight 用户的权限	Read	user*
GenerateEmbedUrlForAnonymousUser	授予权限以生成用于为未注册 QuickSight 的用户嵌入 QuickSight 控制面板的或 Q Topic 的 URL	Write	namespace*
			dashboard
			topic
				aws:TagKeys aws:RequestTag/${TagKey} quicksight:AllowedEmbeddingDomains
GenerateEmbedUrlForRegisteredUser	授予权限以获取用于为已注册 QuickSight 的用户嵌入 QuickSight 控制面板的 URL	Write	user*
GenerateEmbedUrlForRegisteredUser	授予权限以获取用于为已注册 QuickSight 的用户嵌入 QuickSight 控制面板的 URL	Write		quicksight:AllowedEmbeddingDomains
GetAnonymousUserEmbedUrl [仅权限]	授予权限以获取用于为未注册 QuickSight 的用户嵌入 QuickSight 控制面板的 URL	Read
GetAuthCode [仅权限]	授予获取代表 QuickSight 用户的身份验证码的权限	Read	user*
GetDashboardEmbedUrl	授予获取用于嵌入 QuickSight 控制面板的 URL 的权限	Read	dashboard*
GetGroupMapping [仅权限]	授予使用企业版 Amazon QuickSight 识别及显示映射到 Amazon QuickSight 中角色的 Microsoft Active Directory (Microsoft Active Directory) 目录组的权限	Read
GetSessionEmbedUrl	授予获取嵌入 QuickSight 控制台体验的 URL 的权限	Read
ListAnalyses	授予列出账户中所有分析的权限	List	analysis*
ListCustomPermissions [仅权限]	授予权限以列出 QuickSight 账户中的自定义权限资源	Write
ListDashboardVersions	授予列出 QuickSight 控制面板的所有版本的权限	List	dashboard*
ListDashboards	授予列出 QuickSight 账户中所有控制面板的权限	List	dashboard*
ListDataSets	授予列出所有数据集的权限	List		aws:RequestTag/${TagKey} aws:TagKeys
ListDataSources	授予列出所有数据源的权限	List		aws:RequestTag/${TagKey} aws:TagKeys
ListFolderMembers	授予权限以列出所有文件夹的成员	Read	folder*
ListFolders	授予列出 QuickSight 账户中所有文件夹的权限	List	folder*
ListGroupMemberships	授予列出组中成员用户的权限	List	group*
ListGroups	授予列出 QuickSight 中所有用户组的权限	List	group*
ListIAMPolicyAssignments	授予列出当前 Amazon QuickSight 账户中所有任务的权限	List	assignment*
ListIAMPolicyAssignmentsForUser	授予列出分配给用户及其所属组的所有任务的权限	List	assignment*
ListIngestions	授予列出数据集中所有 SPICE 提取的权限	List		aws:RequestTag/${TagKey} aws:TagKeys
ListNamespaces	授予权限以列出 QuickSight 账户中的所有命名空间	List
ListRefreshSchedules	授予列出数据集的所有刷新计划的权限	List
ListTagsForResource	授予列出 QuickSight 资源的标签的权限	Read	customization
			dashboard
			folder
			template
			theme
ListTemplateAliases	授予列出模板的所有别名的权限	List	template*
ListTemplateVersions	授予列出模板所有版本的权限	List	template*
ListTemplates	授予列出 QuickSight 账户中所有模板的权限	List	template*
ListThemeAliases	授予列出主题的所有别名的权限	List	theme*
ListThemeVersions	授予列出主题的所有版本的权限	List	theme*
ListThemes	授予列出账户中所有主题的权限	List	theme*
ListUserGroups	授予列出给定用户所属组的权限	List	user*
ListUsers	授予列出属于此账户的所有 QuickSight 用户的权限	List	user*
PassDataSet [仅权限]	授予对模板使用数据集的权限	Read	dataset*
PassDataSet [仅权限]	授予对模板使用数据集的权限	Read		aws:RequestTag/${TagKey} aws:TagKeys
PassDataSource [仅权限]	授予对数据集使用数据源的权限	Read	datasource*
PassDataSource [仅权限]	授予对数据集使用数据源的权限	Read		aws:RequestTag/${TagKey} aws:TagKeys
PutDataSetRefreshProperties	授予为数据集添加刷新属性的权限	Write	dataset*
RegisterUser	授予创建身份已与请求中指定的 IAM 身份/角色关联了的 QuickSight 用户的权限	Write	user*	quicksight:IamArn quicksight:SessionName
RestoreAnalysis	授予恢复已删除分析的权限	Write	analysis*
ScopeDownPolicy [仅权限]	授予权限以管理用于 Amazon 资源权限的范围政策	Write
SearchAnalyses	授予搜索分析子集的权限	List	analysis*
SearchDashboards	授予搜索 QuickSight 控制面板子集的权限	List	dashboard*
SearchDataSets	授予权限以搜索 QuickSight DatSets 的子集	List	dataset*
SearchDataSources	授予权限以搜索 QuickSight Data Sources 的子集	List	datasource*
SearchDirectoryGroups [仅权限]	它允许用户使用 Amazon QuickSight 显示 Microsoft Active Directory 目录组，以便您可以选择将哪些目录组映射到 Amazon QuickSight 中的角色	List
SearchFolders	授予搜索 QuickSight 文件夹子集的权限	Read	folder*
SearchGroups	授予搜索 QuickSight 组子集的权限	List	group*
SetGroupMapping [仅权限]	它允许用户使用 Amazon QuickSight 显示 Microsoft Active Directory 目录组，以便您可以选择将哪些目录组映射到 Amazon QuickSight 中的角色	Write
Subscribe [仅权限]	授予订阅 Amazon QuickSight 以及允许用户将订阅升级到企业版的权限	Write		quicksight:Edition quicksight:DirectoryType
TagResource	授予向 QuickSight 资源添加标签的权限	Tagging	analysis
			customization
			dashboard
			dataset
			datasource
			folder
			ingestion
			template
			theme
				aws:TagKeys aws:RequestTag/${TagKey}
Unsubscribe [仅权限]	授予取消订阅 Amazon QuickSight 的权限，取消订阅将从 Amazon QuickSight 中永久删除所有用户及其资源	Write
UntagResource	授予从 QuickSight 资源中删除标签的权限	Tagging	analysis
			customization
			dashboard
			dataset
			datasource
			folder
			ingestion
			template
			theme
				aws:TagKeys
UpdateAccountCustomization	授予权限以更新 QuickSight 账户或命名空间的账户自定义设置	Write	customization*
UpdateAccountSettings	授予权限以更新 QuickSight 账户的管理账户设置	Write
UpdateAnalysis	授予更新分析的权限	Write	analysis*
UpdateAnalysisPermissions	授予权限，以更新分析的权限	Permissions management	analysis*
UpdateCustomPermissions [仅权限]	授予权限以更新自定义权限资源	Permissions management
UpdateDashboard	授予更新 QuickSight 控制面板的权限	Write	dashboard*
UpdateDashboardPermissions	授予更新 QuickSight 控制面板权限的权限	Permissions management	dashboard*
UpdateDashboardPublishedVersion	授予更新 QuickSight 控制面板的已发布版本的权限	Write	dashboard*
UpdateDataSet	授予更新数据集的权限	Write	dataset*		quicksight:PassDataSource
			datasource
				aws:RequestTag/${TagKey} aws:TagKeys
UpdateDataSetPermissions	授予更新数据集的资源策略的权限	Permissions management	dataset*
UpdateDataSetPermissions	授予更新数据集的资源策略的权限	Permissions management		aws:RequestTag/${TagKey} aws:TagKeys
UpdateDataSource	授予更新数据源的权限	Write	datasource*
UpdateDataSource	授予更新数据源的权限	Write		aws:RequestTag/${TagKey} aws:TagKeys
UpdateDataSourcePermissions	授予更新数据源的资源策略的权限	权限管理	datasource*
UpdateDataSourcePermissions	授予更新数据源的资源策略的权限	权限管理		aws:RequestTag/${TagKey} aws:TagKeys
UpdateEmailCustomizationTemplate [仅权限]	授予权限以更新 QuickSight 电子邮件自定义模板	Write	emailCustomizationTemplate*
UpdateFolder	授予更新 QuickSight Folder 的权限	Write	folder*
UpdateFolderPermissions	授予更新 QuickSight Folder 的权限	权限管理	folder*
UpdateGroup	授予更改组描述的权限	Write	group*
UpdateIAMPolicyAssignment	授予更新现有任务的权限	Write	assignment*
UpdateIpRestriction	授予更新 QuickSight 账户 IP 限制的权限	Write
UpdatePublicSharingSettings	授予在账户上启用或禁用公开共享的权限	Write
UpdateRefreshSchedule	授予更新数据集刷新计划的权限	Write	refreshschedule*
UpdateResourcePermissions [仅权限]	授予在 QuickSight 中更新资源级权限的权限	Write
UpdateTemplate	授予更新模板的权限	Write	template*
UpdateTemplateAlias	授予更新模板别名的权限	Write	template*
UpdateTemplatePermissions	授予权限，以更新模板的权限	Permissions management	template*
UpdateTheme	授予更新主题的权限	Write	theme*
UpdateThemeAlias	授予更新主题别名的权限	Write	theme*
UpdateThemePermissions	授予权限，以更新主题的权限	Permissions management	theme*
UpdateUser	授予更新 Amazon QuickSight 用户的权限	Write	user*

Amazon QuickSight 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
account	`arn:${Partition}:quicksight:${Region}:${Account}:account/${ResourceId}`
user	`arn:${Partition}:quicksight:${Region}:${Account}:user/${ResourceId}`
group	`arn:${Partition}:quicksight:${Region}:${Account}:group/${ResourceId}`
analysis	`arn:${Partition}:quicksight:${Region}:${Account}:analysis/${ResourceId}`	aws:ResourceTag/${TagKey}
dashboard	`arn:${Partition}:quicksight:${Region}:${Account}:dashboard/${ResourceId}`	aws:ResourceTag/${TagKey}
template	`arn:${Partition}:quicksight:${Region}:${Account}:template/${ResourceId}`	aws:ResourceTag/${TagKey}
datasource	`arn:${Partition}:quicksight:${Region}:${Account}:datasource/${ResourceId}`	aws:ResourceTag/${TagKey}
dataset	`arn:${Partition}:quicksight:${Region}:${Account}:dataset/${ResourceId}`	aws:ResourceTag/${TagKey}
ingestion	`arn:${Partition}:quicksight:${Region}:${Account}:dataset/${DatasetId}/ingestion/${ResourceId}`	aws:ResourceTag/${TagKey}
refreshschedule	`arn:${Partition}:quicksight:${Region}:${Account}:dataset/${DatasetId}/refresh-schedule/${ResourceId}`
theme	`arn:${Partition}:quicksight:${Region}:${Account}:theme/${ResourceId}`	aws:ResourceTag/${TagKey}
assignment	`arn:${Partition}:quicksight::${Account}:assignment/${ResourceId}`
customization	`arn:${Partition}:quicksight:${Region}:${Account}:customization/${ResourceId}`	aws:ResourceTag/${TagKey}
namespace	`arn:${Partition}:quicksight:${Region}:${Account}:namespace/${ResourceId}`
folder	`arn:${Partition}:quicksight:${Region}:${Account}:folder/${ResourceId}`	aws:ResourceTag/${TagKey}
emailCustomizationTemplate	`arn:${Partition}:quicksight:${Region}:${Account}:email-customization-template/${ResourceId}`
topic	`arn:${Partition}:quicksight:${Region}:${Account}:topic/${ResourceId}`

Amazon QuickSight 的条件键

Amazon QuickSight 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
aws:RequestTag/${TagKey}	按请求中的标签键值对筛选访问	字符串
aws:ResourceTag/${TagKey}	按附加到资源的标签键值对筛选操作	字符串
aws:TagKeys	按标签键筛选访问	字符串数组
quicksight:AllowedEmbeddingDomains	按允许的嵌入域筛选访问权限	字符串数组
quicksight:DirectoryType	按照用户管理选项筛选访问权限	字符串
quicksight:Edition	按照 QuickSight 版本筛选访问权限	字符串
quicksight:IamArn	按 IAM 用户或角色 ARN 筛选访问	字符串
quicksight:SessionName	按会话名称筛选访问	字符串
quicksight:UserName	按用户名筛选访问	字符串

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon 采购订单控制台

Amazon RDS