Ejemplo: restringir las claves de etiqueta de recursos informáticos que puede establecer un principal

La siguiente política basada en la identidad, que se asocia a un usuario o rol de IAM, permite a un director crear y actualizar entornos informáticos, pero solo cuando cada etiqueta ingresa computeResources.tags es CostCenter, Team, o Project. Se rechazan las solicitudes que establecen cualquier otra clave de etiqueta.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowComputeEnvironmentManagement",
      "Effect": "Allow",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:us-east-1:123456789012:compute-environment/*",
      "Condition": {
        "ForAllValues:StringEquals": {
          "batch:ComputeResourcesTagKeys": ["CostCenter", "Team", "Project"]
        }
      }
    }
  ]
}

Esta política restringe la solicitud a las claves de etiqueta permitidas, pero no requiere que la solicitud establezca ninguna de ellas. El ForAllValues el operador set está satisfecho incluso cuando la solicitud no establece etiquetas de recursos informáticos. Para exigir también que siempre esté presente una clave de etiqueta específica, añada una instrucción que utilice la Null operador activado batch:ComputeResourcesTag/tag-key. Para ver un ejemplo, consulta Recurso: restrinja las etiquetas de Amazon EC2 que un principal puede establecer en los recursos informáticos.

Puede combinar ambas claves de condición en una sola instrucción para restringir las claves de etiqueta permitidas y el valor permitido para una de esas claves al mismo tiempo. La siguiente política permite a un principal crear y actualizar entornos informáticos solo cuando CostCenter el valor de la etiqueta es engineering, y solo cuando no hay ninguna clave de etiqueta que no sea CostCenter, Team, o Project se usa.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowComputeEnvironmentManagementWithApprovedTags",
      "Effect": "Allow",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:us-east-1:123456789012:compute-environment/*",
      "Condition": {
        "StringEquals": {
          "batch:ComputeResourcesTag/CostCenter": "engineering"
        },
        "ForAllValues:StringEquals": {
          "batch:ComputeResourcesTagKeys": ["CostCenter", "Team", "Project"]
        }
      }
    }
  ]
}