Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Controle el acceso a las etiquetas de recursos informáticos con claves de condición
Las siguientes acciones son compatibles tanto con batch:ComputeResourcesTag/ y tag-keybatch:ComputeResourcesTagKeys claves de estado:
-
batch:CreateComputeEnvironment -
batch:UpdateComputeEnvironment
Antes de escribir una política que controle las etiquetas de recursos informáticos, tenga en cuenta lo siguiente:
-
Al crear o actualizar un AWS Batch entorno de procesamiento, puede especificar
computeResources.tagspara aplicar las etiquetas de Amazon EC2 a las instancias que lanza el entorno informático. -
Para controlar qué etiquetas puede establecer un principal en este campo, utilice el
batch:ComputeResourcesTag/clave de condición en una política de IAM.tag-key -
Cuando tu
CreateComputeEnvironmentoUpdateComputeEnvironmentla solicitud incluyecomputeResources.tags, AWS Batch evalúa esta clave de condición.
El batch:ComputeResourcesTag/ la clave de condición es el recurso informático equivalente al global tag-keyaws:RequestTag/ clave de condición. Para cada etiqueta del tag-keycomputeResources.tags mapa, AWS Batch proporciona un valor único batch:ComputeResourcesTag/ entrada cuyo valor es el valor de esa etiqueta. Como la entrada tiene un solo valor, compárela con el valor de una cadena con un operador como tag-keyStringEquals o StringLike. Utilice estas entradas para permitir o denegar una solicitud en función de las claves y los valores que establece la solicitud.
Con AWS Batch, también puedes usar el batch:ComputeResourcesTagKeys clave de condición, el equivalente en recursos informáticos de la global aws:TagKeys clave de condición. En lugar de hacer coincidir los valores de las etiquetas, batch:ComputeResourcesTagKeys coincide con el conjunto de etiquetas llaves presente en el computeResources.tags mapa. Utilízalo con el ForAllValues o ForAnyValue establezca operadores para controlar qué claves de etiqueta puede establecer un principal, independientemente de los valores asignados a esas claves.
Las dos claves de condición son complementarias: batch:ComputeResourcesTag/ restringe la valora permitido para una clave de etiqueta determinada, y tag-keybatch:ComputeResourcesTagKeys restringe la conjunto de llaves permitido en la solicitud. Utilízalos juntos para controlar tanto las claves de etiqueta que puede establecer un principal como los valores que pueden adoptar esas claves. Si una etiqueta está en computeResources.tags tiene un valor nulo, su clave sigue apareciendo en el batch:ComputeResourcesTagKeys conjunto.
Estas claves de condición solo evalúan el cálculoResources.tags
Las etiquetas de Amazon EC2 que autorizan estas claves de condición deben configurarse en el entorno informático computeResources.tags campo. Estas claves de condición no evalúan las etiquetas de la plantilla de lanzamiento de Amazon EC2 del entorno informático. Para controlar las etiquetas que los directores pueden aplicar a través de las plantillas de lanzamiento, restrinja el acceso a las propias plantillas de lanzamiento y a las ec2:CreateLaunchTemplate y ec2:CreateLaunchTemplateVersion acciones.
AWS Batch fusiona las etiquetas de la plantilla de lanzamiento y computeResources.tags antes de aplicarlos a las instancias Amazon EC2 lanzadas. computeResources.tags tiene prioridad cuando una clave de etiqueta está presente en ambas computeResources.tags y la plantilla de lanzamiento. Para obtener más información sobre cómo AWS Batch fusiona la plantilla de lanzamiento y las etiquetas de entorno de procesamiento, consulte Utilice las plantillas de lanzamiento de Amazon EC2 con AWS Batch.
