Beispiel: Schränken Sie die Schlüssel für Rechenressourcen-Tags ein, die ein Principal festlegen kann

Die folgende identitätsbasierte Richtlinie, die Sie einem IAM-Benutzer oder einer IAM-Rolle zuordnen, ermöglicht es einem Principal, Rechenumgebungen zu erstellen und zu aktualisieren, allerdings nur, wenn jedes Tag Folgendes eingibt computeResources.tags ist CostCenter, Team, oder Project. Anfragen, die einen anderen Tag-Schlüssel setzen, werden abgelehnt.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowComputeEnvironmentManagement",
      "Effect": "Allow",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:us-east-1:123456789012:compute-environment/*",
      "Condition": {
        "ForAllValues:StringEquals": {
          "batch:ComputeResourcesTagKeys": ["CostCenter", "Team", "Project"]
        }
      }
    }
  ]
}

Diese Richtlinie beschränkt die Anfrage auf die erlaubten Tag-Schlüssel, erfordert jedoch nicht, dass die Anfrage einen von ihnen festlegt. Die ForAllValues Der Operator set ist auch dann erfüllt, wenn die Anforderung keine Computing-Resource-Tags festlegt. Um außerdem zu verlangen, dass immer ein bestimmter Tag-Schlüssel vorhanden ist, fügen Sie eine Anweisung hinzu, die den Null Operator an batch:ComputeResourcesTag/tag-key. Ein Beispiel finden Sie unter Ressource: Beschränken Sie die Amazon EC2-Tags, die ein Principal für Rechenressourcen festlegen kann.

Sie können beide Bedingungsschlüssel in einer einzigen Anweisung kombinieren, um die zulässigen Tag-Schlüssel und den für einen dieser Schlüssel gleichzeitig zulässigen Wert einzuschränken. Die folgende Richtlinie ermöglicht es einem Principal, Rechenumgebungen nur zu erstellen und zu aktualisieren, wenn CostCenter Der Tag-Wert ist engineering, und nur wenn kein anderer Tag-Schlüssel als CostCenter, Team, oder Project wird verwendet.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowComputeEnvironmentManagementWithApprovedTags",
      "Effect": "Allow",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:us-east-1:123456789012:compute-environment/*",
      "Condition": {
        "StringEquals": {
          "batch:ComputeResourcesTag/CostCenter": "engineering"
        },
        "ForAllValues:StringEquals": {
          "batch:ComputeResourcesTagKeys": ["CostCenter", "Team", "Project"]
        }
      }
    }
  ]
}