Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Contrôlez l'accès aux balises de ressources de calcul à l'aide de clés de condition
Les actions suivantes soutiennent à la fois batch:ComputeResourcesTag/ et tag-keybatch:ComputeResourcesTagKeys clés de condition :
-
batch:CreateComputeEnvironment -
batch:UpdateComputeEnvironment
Avant de rédiger une politique qui contrôle les balises de ressources de calcul, tenez compte des points suivants :
-
Lorsque vous créez ou mettez à jour un AWS Batch environnement de calcul, vous pouvez spécifier
computeResources.tagspour appliquer des balises Amazon EC2 aux instances lancées par l'environnement informatique. -
Pour contrôler les balises qu'un directeur peut définir dans ce champ, utilisez le
batch:ComputeResourcesTag/clé de condition dans une politique IAM.tag-key -
Quand votre
CreateComputeEnvironmentouUpdateComputeEnvironmentla demande comprendcomputeResources.tags, AWS Batch évalue cette clé de condition.
Le batch:ComputeResourcesTag/ la clé de condition est l'équivalent en ressources de calcul de la valeur globale tag-keyaws:RequestTag/ clé de condition. Pour chaque étiquette du tag-keycomputeResources.tags carte, AWS Batch fournit une valeur unique batch:ComputeResourcesTag/ entrée dont la valeur est la valeur de cette balise. Comme l'entrée est à valeur unique, comparez-la à une valeur de chaîne à l'aide d'un opérateur tel que tag-keyStringEquals ou StringLike. Utilisez ces entrées pour autoriser ou refuser une demande en fonction des clés et des valeurs définies par la demande.
Avec AWS Batch, vous pouvez également utiliser le batch:ComputeResourcesTagKeys clé de condition, l'équivalent en ressources de calcul de la valeur globale aws:TagKeys clé de condition. Au lieu de faire correspondre les valeurs des balises, batch:ComputeResourcesTagKeys matchs contre le set de tag clés présent dans le computeResources.tags carte. Utilisez-le avec ForAllValues ou ForAnyValue des opérateurs de définition pour contrôler les clés de balise qu'un principal est autorisé à définir, indépendamment des valeurs attribuées à ces clés.
Les deux clés de condition sont complémentaires : batch:ComputeResourcesTag/ restreint la valeurs autorisé pour une clé de balise donnée, et tag-keybatch:ComputeResourcesTagKeys restreint la jeu de clés autorisé dans la demande. Utilisez-les ensemble pour contrôler à la fois les clés de balise qu'un principal peut définir et les valeurs que ces clés peuvent prendre. Si une étiquette est computeResources.tags a une valeur nulle, sa clé apparaît toujours dans batch:ComputeResourcesTagKeys ensemble.
Ces clés de condition évaluent uniquement le calculResources.tags
Les balises Amazon EC2 que ces clés de condition autorisent doivent être définies dans l'environnement informatique computeResources.tags champ. Ces clés de condition n'évaluent pas les balises du modèle de lancement Amazon EC2 de l'environnement informatique. Pour contrôler les balises que les directeurs peuvent appliquer via les modèles de lancement, limitez l'accès aux modèles de lancement eux-mêmes et au ec2:CreateLaunchTemplate et ec2:CreateLaunchTemplateVersion actions.
AWS Batch fusionne les balises du modèle de lancement et computeResources.tags avant de les appliquer aux instances Amazon EC2 lancées. computeResources.tags est prioritaire lorsqu'une clé de balise est présente dans les deux computeResources.tags et le modèle de lancement. Pour plus d'informations sur la façon dont AWS Batch fusionne le modèle de lancement et les balises de l'environnement de calcul, voir Utilisez les modèles de lancement Amazon EC2 avec AWS Batch.
