View a markdown version of this page

Controlla l'accesso ai tag delle risorse di calcolo con chiavi di condizione - AWS Batch

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controlla l'accesso ai tag delle risorse di calcolo con chiavi di condizione

Le seguenti azioni supportano sia batch:ComputeResourcesTag/tag-key e batch:ComputeResourcesTagKeys chiavi di condizione:

  • batch:CreateComputeEnvironment

  • batch:UpdateComputeEnvironment

Prima di scrivere una policy che controlli i tag delle risorse di calcolo, tenete presente quanto segue:

  • Quando crei o aggiorni un AWS Batch ambiente di calcolo, è possibile specificare computeResources.tags per applicare i tag Amazon EC2 alle istanze avviate dall'ambiente di calcolo.

  • Per controllare quali tag un principale può impostare in questo campo, usa batch:ComputeResourcesTag/tag-key chiave di condizione in una policy IAM.

  • Quando il tuo CreateComputeEnvironment o UpdateComputeEnvironment la richiesta include computeResources.tags, AWS Batch valuta questa chiave di condizione.

Il batch:ComputeResourcesTag/tag-key la chiave di condizione è l'equivalente della risorsa di calcolo globale aws:RequestTag/tag-key chiave di condizione. Per ogni tag in computeResources.tags mappa, AWS Batch fornisce un valore singolo batch:ComputeResourcesTag/tag-key voce il cui valore è il valore di quel tag. Poiché la voce è a valore singolo, confrontala con un valore di stringa con un operatore come StringEquals o StringLike. Utilizza queste voci per consentire o rifiutare una richiesta in base alle chiavi e ai valori impostati dalla richiesta.

Con AWS Batch, puoi anche usare batch:ComputeResourcesTagKeys chiave di condizione, l'equivalente della risorsa di calcolo globale aws:TagKeys chiave di condizione. Invece di far corrispondere i valori dei tag, batch:ComputeResourcesTagKeys corrisponde al set di tag chiavi presente nel computeResources.tags mappa. Usalo con ForAllValues o ForAnyValue imposta operatori per controllare quali chiavi di tag un principale può impostare, indipendentemente dai valori assegnati a tali chiavi.

Le due chiavi di condizione sono complementari: batch:ComputeResourcesTag/tag-key limita il valori consentito per una determinata chiave di tag e batch:ComputeResourcesTagKeys limita il set di chiavi consentito nella richiesta. Usali insieme per controllare sia le chiavi dei tag che un principale può impostare sia i valori che tali chiavi possono assumere. Se un tag è inserito computeResources.tags ha un valore nullo, la relativa chiave appare ancora nel batch:ComputeResourcesTagKeys impostato.

Queste chiavi di condizione valutano solo il calcoloResources.tags

I tag Amazon EC2 autorizzati da queste chiavi di condizione devono essere impostati nell'ambiente di calcolo computeResources.tags campo. Queste chiavi di condizione non valutano i tag nel modello di avvio di Amazon EC2 dell'ambiente di calcolo. Per controllare i tag che i responsabili possono applicare tramite i modelli di avvio, limita l'accesso ai modelli di avvio stessi e ai ec2:CreateLaunchTemplate e ec2:CreateLaunchTemplateVersion azioni.

AWS Batch unisce i tag del modello di avvio e computeResources.tags prima di applicarli alle istanze Amazon EC2 avviate. computeResources.tags ha la precedenza quando una chiave tag è presente in entrambe computeResources.tags e il modello di avvio. Per ulteriori informazioni su come AWS Batch unisce i tag del modello di avvio e dell'ambiente di calcolo, vedi Usa i modelli di lancio di Amazon EC2 con AWS Batch.