Schlüsselbeispiele für mehrwertige Kontexte

Die folgenden Richtlinienbeispiele veranschaulichen, wie Richtlinienbedingungen mit mehrwertigen Kontextschlüsseln erstellt werden.

Beispiel: Richtlinie ablehnen mit Bedingungssatzoperator ForAllValues

Das folgende Beispiel zeigt, die Verwendung einer identitätsbasierten Richtlinie zum Verweigern der Verwendung von IAM-Tagging-Aktionen, wenn bestimmte Tag-Schlüsselpräfixe in der Anfrage enthalten sind. Die Werte für aws:TagKeys enthalten einen Platzhalter (*) für eine teilweise übereinstimmende Zeichenfolge. Die Richtlinie enthält den ForAllValues-Satz-Operator mit Kontextschlüssel aws:TagKeys, da der Anforderungskontextschlüssel mehrere Werte enthalten kann. Damit der Kontextschlüssel aws:TagKeys übereinstimmt, muss jeder Wert im Anfragekontext mit mindestens einem Wert in der Richtlinie übereinstimmen.

Der ForAllValues-Satz-Operator gibt auch „true“ zurück, wenn die Anfrage keine Kontextschlüssel enthält.

Sie können verhindern, dass fehlende Kontextschlüssel oder Kontextschlüssel mit leeren Werten als „true“ ausgewertet werden, indem Sie den Null-Bedingungsoperator mit dem Wert false in Ihre Richtlinie einschließen, um zu überprüfen, ob der Kontextschlüssel in der Anforderung vorhanden ist und sein Wert nicht null ist. Weitere Informationen finden Sie unter Bedingungsoperator zur Prüfung der Existenz von Bedingungsoperatoren .

"ForAllValues:StringNotLike": {
  "aws:TagKeys": "key1*"
}

aws:TagKeys:
  – key1:legal

"ForAllValues:StringNotLike": {
  "aws:TagKeys": "key1*"
}

aws:TagKeys:
  – key1:hr
  – key1:personnel

"ForAllValues:StringNotLike": {
  "aws:TagKeys": "key1*"
}

aws:TagKeys:
  – key2:audit

"ForAllValues:StringNotLike": {
  "aws:TagKeys": "key1*"
}

"ForAllValues:StringNotLike": {
  "aws:TagKeys": [
    "key1*",
    "key2*"
  ]
}

aws:TagKeys:
  – key1:legal

"ForAllValues:StringNotLike": {
   "aws:TagKeys": [
    "key1*",
    "key2*"
  ]
}

aws:TagKeys:
  – key1:hr
  – key1:personnel

"ForAllValues:StringNotLike": {
   "aws:TagKeys": [
    "key1*",
    "key2*"
  ]
}

aws:TagKeys:
  – key1:hr
  – key2:audit

"ForAllValues:StringNotLike": {
   "aws:TagKeys": [
    "key1*",
    "key2*"
  ]
}

aws:TagKeys:
  – key3:legal

"ForAllValues:StringNotLike": {
   "aws:TagKeys": [
    "key1*",
    "key2*"
  ]
}

Beispiel: Richtlinie mit Bedingungssatzoperator ablehnen ForAnyValue

Im folgenden Beispiel für eine identitätsbasierte Richtlinie wird die Erstellung von Snapshots von EC2 Instanz-Volumes verweigert, wenn Snapshots mit einem der in der Richtlinie angegebenen Tag-Schlüssel gekennzeichnet sind, oder. environment webserver Die Richtlinie enthält den ForAnyValue-Satz-Operator mit Kontextschlüssel aws:TagKeys, da der Anforderungskontextschlüssel mehrere Werte enthalten kann. Wenn Ihre Tagging-Anfrage einen der in der Richtlinie angegebenen Tag-Schlüsselwerte enthält, gibt der aws:TagKeys-Kontextschlüssel den Wert wahr zurück und ruft den Effekt der Ablehnungsrichtlinie auf.

Die folgende Tabelle zeigt, wie diese Richtlinie auf der Grundlage der Bedingungsschlüsselwerte in Ihrer Anfrage AWS bewertet wird. Bei einer Deny-Anweisung wird „Übereinstimmung“ verweigert und „Keine Übereinstimmung“ nicht verweigert, sodass dies durch eine andere Anweisung zugelassen werden kann.

"ForAnyValue:StringEquals": {
  "aws:TagKeys": "webserver"
}

aws:TagKeys:
  – webserver

"ForAnyValue:StringEquals": {
  "aws:TagKeys": "webserver"
}

aws:TagKeys:
  – environment
  – webserver
  – test

"ForAnyValue:StringEquals": {
  "aws:TagKeys": "webserver"
}

aws:TagKeys:
  – environment
  – test

"ForAnyValue:StringEquals": {
  "aws:TagKeys": "webserver"
}