Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

# Beispiel 3: Verweigern Sie den Stream-Zugriff, sofern kein bestimmtes Tag vorhanden ist
<a name="streams-abac-example-3"></a>

Mithilfe des `aws:TagKeys` Bedingungsschlüssels können Sie das Taggen eines Streams verweigern, es sei denn, ein erforderlicher Tag-Schlüssel ist in der Anfrage enthalten.

## Verwendung der AWS CLI
<a name="streams-abac-example-3-cli"></a>

1. Fügen Sie einer Rolle, die über DynamoDB-Zugriff verfügt, eine vom Kunden verwaltete Richtlinie hinzu, wie im folgenden Beispiel gezeigt.

   ```
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [
           "dynamodb:TagResource"
         ],
         "Resource": "arn:aws:dynamodb:*:*:table/*/stream/*",
         "Condition": {
           "Null": {
             "aws:TagKeys": "false"
           },
           "ForAllValues:StringNotEquals": {
             "aws:TagKeys": "CostCenter"
           }
         }
       }
     ]
   }
   ```

1. Nehmen Sie die Rolle an und versuchen Sie, einen Stream mit einem Tag-Schlüssel zu taggen, der dies nicht ist. `CostCenter`

   ```
   aws dynamodb tag-resource \
     --resource-arn arn:aws:dynamodb:us-east-1:123456789012:table/myMusicTable/stream/2024-01-01T00:00:00.000 \
     --tags Key=Department,Value=Engineering
   ```

## Verhalten mit und ohne Streams (ABAC)
<a name="streams-abac-example-3-behavior"></a>

Ohne Streams ABAC  
Wenn Streams ABAC für Sie nicht aktiviert ist AWS-Konto, sendet DynamoDB die Tag-Schlüssel in der Anfrage nicht an IAM. Die `Null` Bedingung stellt sicher, dass die Bedingung als falsch ausgewertet wird, wenn die Anforderung keine Tagschlüssel enthält. Da die Deny-Richtlinie nicht übereinstimmt, wird der `tag-resource` Befehl erfolgreich abgeschlossen.

Mit Streams ABAC  
Wenn Streams ABAC für Sie aktiviert ist AWS-Konto, wird der Tag-Schlüssel anhand des bedingungsbasierten Tag-Schlüssels ausgewertet, der in der `CostCenter` Deny-Richtlinie enthalten `Department` ist. Der Tag-Schlüssel stimmt aufgrund des Operators `Department` nicht mit dem Tag-Schlüssel überein, der in der Deny-Richtlinie enthalten ist`StringNotEquals`. Daher schlägt die `TagResource` Aktion fehl und gibt eine zurück`AccessDeniedException`.