View a markdown version of this page

Recurso: restrinja las etiquetas de Amazon EC2 que un principal puede establecer en los recursos informáticos - AWS Batch

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Recurso: restrinja las etiquetas de Amazon EC2 que un principal puede establecer en los recursos informáticos

Usa la siguiente política para controlar las etiquetas que establece un principal cuando crea o actualiza un entorno de procesamiento. La política exige que el principal establezca siempre un CostCenter etiqueta de recurso informático con un valor aprobado y un Team etiqueta de recursos de computación. Esta política demuestra cómo usar la batch:ComputeResourcesTag/tag-key condición clave para hacer cumplir una convención de etiquetado en las instancias de Amazon EC2 que administra un entorno informático. Para obtener más información, consulte Controle el acceso a las etiquetas de recursos informáticos con claves de condición. Para restringir también las claves de etiqueta que puede establecer un principal, utilice el complemento batch:ComputeResourcesTagKeys clave de condición. Para ver un ejemplo, consulta Ejemplo: restringir las claves de etiqueta de recursos informáticos que puede establecer un principal.

La primera sentencia permite que el entorno informático actúe cuando CostCenter la etiqueta es engineering. La segunda declaración niega las acciones siempre que una solicitud omite el Team etiqueta de recurso informático, independientemente de si la solicitud establece o no otras etiquetas de recursos informáticos.

Requiere una etiqueta de equipo en cada solicitud

Esta política deniega la creación o actualización de todos los entornos informáticos que no incluyan un Team etiqueta de recurso informático. AWS Batch evalúa batch:ComputeResourcesTag/tag-key solo cuando su solicitud incluye computeResources.tags. El Null el operador de condición de la segunda sentencia coincide siempre que Team la etiqueta de recurso de procesamiento está ausente. Esto incluye una solicitud que no establece ninguna etiqueta de recurso informático.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowApprovedCostCenterTag",
      "Effect": "Allow",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:*:*:compute-environment/*",
      "Condition": {
        "StringEquals": {
          "batch:ComputeResourcesTag/CostCenter": "engineering"
        }
      }
    },
    {
      "Sid": "DenyMissingTeamTag",
      "Effect": "Deny",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:*:*:compute-environment/*",
      "Condition": {
        "Null": {
          "batch:ComputeResourcesTag/Team": "true"
        }
      }
    }
  ]
}