本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS Sign-In 条件键参考

本页列出了可在 AWS Sign-In 基于资源的策略和资源控制策略 (RCP) 中使用的条件密钥，并显示每个密钥适用的评估阶段和操作。只有特定signin:PrincipalArn于 AWS Sign-In；其他是 AWS 全局条件键。有关全局键的定义，请参阅AWS 全局条件上下文键。

有关《服务授权参考》中操作和条件键的完整列表，请参阅的操作、资源和条件键 AWS Sign-In。

Network-based 条件键

这些条件键检查请求的来源。 AWS Sign-In 对基于资源的策略和 RCP 中的所有 AWS Sign-In 操作（signin:Authenticatesignin:AuthorizeOAuth2Access、和signin:CreateOAuth2Token）进行评估。

Identity-based 条件键

这些条件键用于检查谁在发出请求。它们仅适用于已确定主体身份的身份验证后操作（signin:AuthorizeOAuth2Access和signin:CreateOAuth2Token）。

Service-specific 条件键：登录：PrincipalArn

以下条件密钥特定于全局密钥 AWS Sign-In ，不是全局 AWS 密钥。它仅在身份验证前评估期间可用。signin:PrincipalArn用于在身份验证完成之前识别发起登录的委托人。这相当于的预身份验证aws:PrincipalArn，只有在身份验证之后才可用。

使用 ARN 运算符比较值。您可以指定以下主体类型：

用例：将排除的主体身份排除在网络限制之外，防止锁定，同时仍对所有其他访问尝试实施网络控制。

示例-拒绝未经授权的网络进行预身份验证访问，root 用户除外：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "arn:aws:iam::123456789012:root"
        },
        "NotIpAddress": {
          "aws:SourceIp": "203.0.113.0/24"
        },
        "StringEquals": {
          "aws:ResourceAccount": "123456789012"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "arn:aws:iam::123456789012:root"
        },
        "NotIpAddress": {
          "aws:SourceIp": "203.0.113.0/24"
        },
        "StringEquals": {
          "aws:ResourceAccount": "123456789012"
        }
      }
    }
  ]
}

此策略拒绝从 IP 范围以外203.0.113.0/24的 IP 范围访问控制台，但账户 root 用户除外。身份验证前语句用于signin:PrincipalArn在身份验证完成之前豁免 root 用户。在 OAuth 令牌交换期间aws:PrincipalArn，身份验证后语句用于在身份验证后豁免相同的委托人。请参阅策略示例。

通过操作来条件密钥的可用性

相关信息