View a markdown version of this page

Ressource: Beschränken Sie die Amazon EC2-Tags, die ein Principal für Rechenressourcen festlegen kann - AWS Batch

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Ressource: Beschränken Sie die Amazon EC2-Tags, die ein Principal für Rechenressourcen festlegen kann

Verwenden Sie die folgende Richtlinie, um die Tags zu steuern, die ein Principal festlegt, wenn er eine Rechenumgebung erstellt oder aktualisiert. Die Richtlinie verlangt, dass der Prinzipal immer eine festlegt CostCenter berechne ein Ressourcen-Tag mit einem genehmigten Wert und einem Team Ressourcen-Tag berechnen. Diese Richtlinie zeigt, wie das verwendet wird batch:ComputeResourcesTag/tag-key Bedingungsschlüssel zur Durchsetzung einer Tagging-Konvention für die Amazon EC2-Instances, die von einer Rechenumgebung verwaltet werden. Weitere Informationen finden Sie unter Steuern Sie den Zugriff auf Compute-Resource-Tags mit Bedingungsschlüsseln. Um auch einzuschränken, welche Tag-Schlüssel ein Principal setzen kann, verwenden Sie das Zusatzzeichen batch:ComputeResourcesTagKeys Bedingungsschlüssel. Ein Beispiel finden Sie unter Beispiel: Schränken Sie die Schlüssel für Rechenressourcen-Tags ein, die ein Principal festlegen kann.

Die erste Anweisung ermöglicht die Ausführung von Aktionen zur Berechnung der Umgebung, wenn CostCenter Tag ist engineering. Die zweite Anweisung verweigert die Aktionen, wenn in einer Anfrage das weggelassen wird Team Berechnungsressourcen-Tag, unabhängig davon, ob die Anforderung andere Berechnungsressourcen-Tags festlegt oder nicht.

Erfordert bei jeder Anfrage ein Team-Tag

Diese Richtlinie verweigert jede Erstellung oder Aktualisierung einer Computerumgebung, die keine Team Ressourcen-Tag berechnen. AWS Batch bewertet batch:ComputeResourcesTag/tag-key nur wenn Ihre Anfrage Folgendes beinhaltet computeResources.tags. Das Null Der Bedingungsoperator in der zweiten Anweisung stimmt immer dann überein, wenn Team Das Compute-Resource-Tag fehlt. Dies beinhaltet eine Anforderung, die überhaupt keine Compute-Ressourcen-Tags festlegt.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowApprovedCostCenterTag",
      "Effect": "Allow",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:*:*:compute-environment/*",
      "Condition": {
        "StringEquals": {
          "batch:ComputeResourcesTag/CostCenter": "engineering"
        }
      }
    },
    {
      "Sid": "DenyMissingTeamTag",
      "Effect": "Deny",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:*:*:compute-environment/*",
      "Condition": {
        "Null": {
          "batch:ComputeResourcesTag/Team": "true"
        }
      }
    }
  ]
}