Uso de etiquetas con índices vectoriales de S3 - Amazon Simple Storage Service
Formas habituales de utilizar etiquetas con índices vectorialesAdministración de etiquetas para índices vectoriales

Uso de etiquetas con índices vectoriales de S3

Una etiqueta de AWS es un par clave-valor que contiene metadatos acerca de los recursos, en este caso índices vectoriales de Amazon S3. Puede etiquetar los índices vectoriales de S3 al crearlos o administrar las etiquetas de los índices vectoriales existentes. Para obtener información general sobre las etiquetas, consulte Etiquetado para la asignación de costos o el control de acceso basado en atributos (ABAC).

nota

No se aplican cargos adicionales por el uso de etiquetas en índices vectoriales más allá de las tarifas estándar de solicitud de API de S3. Para obtener más información, consulte Precios de Amazon S3.

Formas habituales de utilizar etiquetas con índices vectoriales

Utilice etiquetas en los índices vectoriales de S3 para:

nota

Puede usar las mismas etiquetas para la asignación de costos y para el control de acceso.

ABAC para índices vectoriales de S3

Los índices vectoriales de Amazon S3 admiten el control de acceso basado en atributos (ABAC) mediante etiquetas. Utilice claves de condición basadas en etiquetas en las políticas de índice de organizaciones, IAM y vectoriales de S3 de AWS. Para las empresas, ABAC en Amazon S3 admite la autorización en varias cuentas de AWS.

En las políticas de IAM, puede controlar el acceso a los índices vectoriales de S3 en función de las etiquetas del índice vectorial mediante las siguientes claves de condición globales:

aws:ResourceTag/key-name

Utilice esta clave para comparar el par clave-valor de etiqueta que especifique en la política con el par clave-valor asociado al recurso. Por ejemplo, puede requerir que el acceso a un recurso solo se permita si el recurso tiene la clave de etiqueta Dept adjunta con el valor Marketing. Para obtener más información, consulte Control del acceso a los recursos de AWS.

aws:RequestTag/key-name

Utilice esta clave para comparar el par clave-valor de etiqueta que se transfirió en la solicitud con el par de etiquetas especificado en la política. Por ejemplo, podría comprobar si la solicitud incluya la clave de etiqueta Dept y que tenga el valor Accounting. Para obtener más información, consulte Control del acceso durante solicitudes de AWS. Puede utilizar esta clave de condición para restringir qué pares de clave-valor de etiqueta se pueden pasar durante las operaciones de API TagResource y CreateIndex.

aws:TagKeys

Utilice esta clave para comparar las claves de etiqueta de una solicitud con las claves que especifique en la política. Como práctica recomendada cuando utilice políticas para controlar el acceso mediante etiquetas, utilice la clave de condición aws:TagKeys para definir lo que se permite realizar a las claves de etiqueta. Para obtener más información y políticas de ejemplo, consulte Control del acceso en función de las claves de etiqueta. Puede crear un índice vectorial de S3 con etiquetas. Para permitir el etiquetado durante la operación de API CreateVectorBucket, debe crear una política que incluya las acciones s3vectors:TagResource y s3vectors:CreateVectorBucket. A continuación, puede utilizar la clave de condición aws:TagKeys para imponer el uso de etiquetas específicas en la solicitud CreateVectorBucket.

Políticas de ABAC de ejemplo para índices vectoriales

Consulte las políticas de ABAC de ejemplo siguientes para índices vectoriales de Amazon S3.

1.1: Política de IAM para crear o modificar índices vectoriales con etiquetas específicas

En esta política de IAM, los usuarios o roles con esta política solo pueden crear índices vectoriales de S3 si etiquetan el índice vectorial con la clave de etiqueta project y el valor de etiqueta Trinity en la solicitud de creación del índice vectorial. También pueden agregar o modificar etiquetas en los índices vectoriales de S3 existentes, siempre que la solicitud de TagResource incluya el par clave-valor de etiqueta project:Trinity. Esta política no concede permisos de lectura, escritura o eliminación en los índices vectoriales ni en sus objetos.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "CreateVectorIndexWithTags",
      "Effect": "Allow",
      "Action": [
        "s3vectors:CreateIndex",
        "s3vectors:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2: Política de IAM para modificar las etiquetas de los recursos existentes manteniendo la gobernanza del etiquetado

En esta política de IAM, las entidades principales de IAM (usuarios o roles) solo pueden modificar las etiquetas de un índice vectorial si el valor de la etiqueta project del índice vectorial coincide con el valor de la etiqueta project de la entidad principal. Solo se permiten las cuatro etiquetas project, environment, owner y cost-center especificadas en las claves de condición aws:TagKeys para estos índices vectoriales. Esto ayuda a reforzar la gobernanza de las etiquetas, evita las modificaciones no autorizadas de las etiquetas y mantiene la coherencia del esquema de etiquetado en todos los índices vectoriales.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3vectors:TagResource"
      ],
      "Resource": "arn:aws::s3vectors:us-west-2:111122223333:bucket/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

Administración de etiquetas para índices vectoriales

Puede agregar o administrar etiquetas para los índices vectoriales de S3 mediante la consola de Amazon S3, la AWS Command Line Interface (AWS CLI), los AWS SDK o usar las API de S3: TagResource, UntagResource y ListTagsForResource. Para obtener más información, consulte:

Temas