Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

# Ressource: Beschränken Sie die Amazon EC2-Tags, die ein Principal für Rechenressourcen festlegen kann
<a name="iam-example-restrict-compute-environment-tags"></a>

Verwenden Sie die folgende Richtlinie, um die Tags zu steuern, die ein Principal festlegt, wenn er eine Rechenumgebung erstellt oder aktualisiert. Die Richtlinie verlangt, dass der Prinzipal immer eine festlegt `CostCenter` berechne ein Ressourcen-Tag mit einem genehmigten Wert und einem `Team` Ressourcen-Tag berechnen. Diese Richtlinie zeigt, wie das verwendet wird `batch:ComputeResourcesTag/{{tag-key}}` Bedingungsschlüssel zur Durchsetzung einer Tagging-Konvention für die Amazon EC2-Instances, die von einer Rechenumgebung verwaltet werden. Weitere Informationen finden Sie unter [Steuern Sie den Zugriff auf Compute-Resource-Tags mit Bedingungsschlüsseln](compute-resources-tag-access-policy.md). Um auch einzuschränken, welche Tag-Schlüssel ein Principal setzen kann, verwenden Sie das Zusatzzeichen `batch:ComputeResourcesTagKeys` Bedingungsschlüssel. Ein Beispiel finden Sie unter [Beispiel: Schränken Sie die Schlüssel für Rechenressourcen-Tags ein, die ein Principal festlegen kann](compute-resources-tag-access-policy-tagkeys-example.md).

Die erste Anweisung ermöglicht die Ausführung von Aktionen zur Berechnung der Umgebung, wenn `CostCenter` Tag ist `engineering`. Die zweite Anweisung verweigert die Aktionen, wenn in einer Anfrage das weggelassen wird `Team` Berechnungsressourcen-Tag, unabhängig davon, ob die Anforderung andere Berechnungsressourcen-Tags festlegt oder nicht.

**Erfordert bei jeder Anfrage ein Team-Tag**  
Diese Richtlinie verweigert jede Erstellung oder Aktualisierung einer Computerumgebung, die keine `Team` Ressourcen-Tag berechnen. AWS Batch bewertet `batch:ComputeResourcesTag/{{tag-key}}` nur wenn Ihre Anfrage Folgendes beinhaltet `computeResources.tags`. Das `Null` Der Bedingungsoperator in der zweiten Anweisung stimmt immer dann überein, wenn `Team` Das Compute-Resource-Tag fehlt. Dies beinhaltet eine Anforderung, die überhaupt keine Compute-Ressourcen-Tags festlegt.

```
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowApprovedCostCenterTag",
      "Effect": "Allow",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:*:*:compute-environment/*",
      "Condition": {
        "StringEquals": {
          "batch:ComputeResourcesTag/CostCenter": "engineering"
        }
      }
    },
    {
      "Sid": "DenyMissingTeamTag",
      "Effect": "Deny",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:*:*:compute-environment/*",
      "Condition": {
        "Null": {
          "batch:ComputeResourcesTag/Team": "true"
        }
      }
    }
  ]
}
```