View a markdown version of this page

Ressource : Restreindre les balises Amazon EC2 qu'un principal peut définir sur les ressources de calcul - AWS Batch

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Ressource : Restreindre les balises Amazon EC2 qu'un principal peut définir sur les ressources de calcul

Utilisez la politique suivante pour contrôler les balises définies par un directeur lors de la création ou de la mise à jour d'un environnement informatique. La politique exige que le directeur définisse toujours un CostCenter étiquette de ressource de calcul avec une valeur approuvée et Team étiquette de ressource de calcul. Cette politique explique comment utiliser batch:ComputeResourcesTag/tag-key clé de condition pour appliquer une convention de balisage aux instances Amazon EC2 gérées par un environnement informatique. Pour plus d’informations, consultez Contrôlez l'accès aux balises de ressources de calcul à l'aide de clés de condition. Pour restreindre également les clés de balise qu'un principal peut définir, utilisez le complément batch:ComputeResourcesTagKeys clé de condition. Pour obtenir un exemple, consultez Exemple : Restreindre les clés de balises de ressources de calcul qu'un principal peut définir.

La première instruction autorise les actions de l'environnement de calcul lorsque CostCenter le tag est engineering. La deuxième instruction refuse les actions chaque fois qu'une demande omet le Team balise de ressource de calcul, que la demande définisse ou non d'autres balises de ressources de calcul.

Nécessite un tag d'équipe pour chaque demande

Cette politique interdit toute création ou mise à jour d'un environnement informatique qui n'inclut pas de Team étiquette de ressource de calcul. AWS Batch évalue batch:ComputeResourcesTag/tag-key uniquement lorsque votre demande inclut computeResources.tags. Le Null l'opérateur de condition dans la deuxième instruction correspond chaque fois que Team la balise de ressource de calcul est absente. Cela inclut une requête qui ne définit aucune étiquette de ressource de calcul.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowApprovedCostCenterTag",
      "Effect": "Allow",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:*:*:compute-environment/*",
      "Condition": {
        "StringEquals": {
          "batch:ComputeResourcesTag/CostCenter": "engineering"
        }
      }
    },
    {
      "Sid": "DenyMissingTeamTag",
      "Effect": "Deny",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:*:*:compute-environment/*",
      "Condition": {
        "Null": {
          "batch:ComputeResourcesTag/Team": "true"
        }
      }
    }
  ]
}