Esempio: limita le chiavi dei tag delle risorse di calcolo che un responsabile può impostare

La seguente policy basata sull'identità, da allegare a un utente o ruolo IAM, consente a un responsabile di creare e aggiornare ambienti di elaborazione, ma solo quando ogni tag è inserito computeResources.tags è CostCenter, Team, o Project. Le richieste che impostano qualsiasi altra chiave di tag vengono rifiutate.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowComputeEnvironmentManagement",
      "Effect": "Allow",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:us-east-1:123456789012:compute-environment/*",
      "Condition": {
        "ForAllValues:StringEquals": {
          "batch:ComputeResourcesTagKeys": ["CostCenter", "Team", "Project"]
        }
      }
    }
  ]
}

Questa politica limita la richiesta alle chiavi di tag consentite, ma non richiede che la richiesta ne imposti nessuna. Il ForAllValues l'operatore set è soddisfatto anche quando la richiesta non imposta alcun tag di risorse di calcolo. Per richiedere inoltre che una chiave tag specifica sia sempre presente, aggiungi un'istruzione che utilizzi il Null operatore attivo batch:ComputeResourcesTag/tag-key. Per un esempio, consulta Risorsa: limita i tag Amazon EC2 che un responsabile può impostare sulle risorse di calcolo.

È possibile combinare entrambe le chiavi di condizione in un'unica istruzione per limitare contemporaneamente le chiavi di tag consentite e il valore consentito per una di queste chiavi. La seguente politica consente a un responsabile di creare e aggiornare ambienti di elaborazione solo quando CostCenter il valore del tag è engineeringe solo quando nessuna chiave del tag è diversa da CostCenter, Team, o Project è usato.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowComputeEnvironmentManagementWithApprovedTags",
      "Effect": "Allow",
      "Action": [
        "batch:CreateComputeEnvironment",
        "batch:UpdateComputeEnvironment"
      ],
      "Resource": "arn:aws:batch:us-east-1:123456789012:compute-environment/*",
      "Condition": {
        "StringEquals": {
          "batch:ComputeResourcesTag/CostCenter": "engineering"
        },
        "ForAllValues:StringEquals": {
          "batch:ComputeResourcesTagKeys": ["CostCenter", "Team", "Project"]
        }
      }
    }
  ]
}