Utilizzare policy di controllo degli accessi IAM basate su tag
La presenza di tag consente di scrivere una policy IAM che include il blocco Condition per controllare l'accesso a una risorsa in base ai relativi tag. Questa sezione include esempi di policy sui tag per le risorse di gruppi di lavoro e cataloghi di dati.
Esempi di policy relative ai tag per gruppi di lavoro
La policy IAM seguente consente di eseguire query e interagire con i tag per il gruppo di lavoro denominato workgroupA:
I tag associati a una risorsa esistente sono definiti tag di risorsa. I tag delle risorse consentono di scrivere blocchi di policy come i seguenti che negano le operazioni elencate su qualsiasi gruppo di lavoro contrassegnato con una coppia chiave-valore come stack, production.
I tag passati come parametri alle operazioni che modificano i tag (ad esempio TagResource, UntagResource, o CreateWorkGroup con tag) vengono definiti tag di richiesta. Il seguente blocco di policy di esempio consente l'operazione CreateWorkGroup solo se uno dei tag passati ha la chiave costcenter e il valore 1, 2, o 3.
Nota
Se desideri autorizzare un ruolo IAM a passare i tag come parte di un'operazione CreateWorkGroup, assicurati di concedere al ruolo le autorizzazioni per le operazioni TagResource e CreateWorkGroup.
Esempi di policy relative ai tag per cataloghi dati
La seguente policy IAM consente di interagire con i tag per il catalogo dati denominato datacatalogA:
È possibile utilizzare i tag delle risorse per scrivere blocchi di policy che negano operazioni specifiche nei cataloghi dati contrassegnati con coppie chiave-valore di tag specifiche. La seguente policy di esempio nega le operazioni sui cataloghi dati con la coppia chiave-valore di tag stack, production.
I tag passati come parametri alle operazioni che modificano i tag (ad esempio TagResource, UntagResource, o CreateDataCatalog con tag) vengono definiti tag di richiesta. Il seguente blocco di policy di esempio consente l'operazione CreateDataCatalog solo se uno dei tag passati ha la chiave costcenter e il valore 1, 2, o 3.
Nota
Se desideri autorizzare un ruolo IAM a passare i tag come parte di un'operazione CreateDataCatalog, assicurati di concedere al ruolo le autorizzazioni per le operazioni TagResource e CreateDataCatalog.
