Tagbasierte IAM-Zugriffssteuerungsrichtlinien verwenden
Mit Tags können Sie eine IAM-Richtlinie schreiben, die den Condition-Block enthält, um den Zugriff auf eine Ressource basierend auf ihren Tags zu steuern. Dieser Abschnitt enthält Beispiele für Tag-Richtlinien für Arbeitsgruppen und Datenkatalogressourcen.
Tag-Richtlinienbeispiele für Arbeitsgruppen
Die folgende IAM-Richtlinie ermöglicht Ihnen das Ausführen von Abfragen und die Interaktion mit Tags für die Arbeitsgruppe mit dem Namen workgroupA:
Tags, die einer bestehenden Ressource, beispielsweise einer Arbeitsgruppe, zugeordnet sind, werden als Ressourcen-Tags bezeichnet. Mit Ressourcen-Tags können Sie Richtlinienblöcke wie die folgenden schreiben, die die aufgelisteten Aktionen für jede Arbeitsgruppe ablehnen, die mit einem Schlüssel-Wert-Paar wie stack, production gekennzeichnet sind.
Tags, die als Parameter an Operationen übergeben werden, die Tags ändern (z. B. TagResource, UntagResource oder CreateWorkGroup mit Tags) werden als Anforderungs-Tags bezeichnet. Der folgende Beispielrichtlinienblock erlaubt die CreateWorkGroup-Operation nur, wenn eines der übergebenen Tags den Schlüssel costcenter und den Wert 1, 2 oder 3 hat.
Anmerkung
Wenn Sie zulassen möchten, dass eine IAM-Rolle Tags als Teil einer CreateWorkGroup-Operation weitergibt, stellen Sie sicher, dass Sie der Rolle Berechtigungen für die TagResource- und CreateWorkGroup-Aktionen erteilen.
Tag-Richtlinienbeispiele für Datenkataloge
Mit der folgenden IAM-Richtlinie können Sie mit Tags für den Datenkatalog mit dem Namen interagieren datacatalogA:
Sie können Ressourcen-Tags verwenden, um Richtlinienblöcke zu schreiben, die bestimmte Aktionen in Datenkatalogen verweigern, die mit bestimmten Tag-Schlüssel-Wert-Paaren markiert sind. In der folgenden Beispielrichtlinie werden Aktionen für Datenkataloge verweigert, die das Tag-Schlüssel-Wert-Paar stack, production haben.
Tags, die als Parameter an Operationen übergeben werden, die Tags ändern (z. B. TagResource, UntagResource oder CreateDataCatalog mit Tags) werden als Anforderungs-Tags bezeichnet. Der folgende Beispielrichtlinienblock erlaubt die CreateDataCatalog-Operation nur, wenn eines der übergebenen Tags den Schlüssel costcenter und den Wert 1, 2 oder 3 hat.
Anmerkung
Wenn Sie zulassen möchten, dass eine IAM-Rolle Tags als Teil einer CreateDataCatalog-Operation weitergibt, stellen Sie sicher, dass Sie der Rolle Berechtigungen für die TagResource- und CreateDataCatalog-Aktionen erteilen.
