Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden von Tags mit S3-Buckets für allgemeine Zwecke

Ein AWS Tag ist ein Schlüssel-Wert-Paar, das Metadaten zu Ressourcen enthält, in diesem Fall Amazon S3-Buckets für allgemeine Zwecke. Sie können S3-Buckets taggen, wenn Sie sie erstellen, oder Tags für vorhandene Buckets verwalten. Allgemeine Informationen zur Verwendung von Tags finden Sie unter Kennzeichnung für die Kostenzuweisung oder attributbasierte Zugriffskontrolle (ABAC).

Übliche Methoden zur Verwendung von Tags mit Buckets

Verwenden Sie Tags in Ihren S3-Buckets für:

ABAC für S3-Buckets für allgemeine Zwecke

Amazon S3-Buckets für allgemeine Zwecke unterstützen die attributbasierte Zugriffskontrolle (ABAC) mithilfe von Tags. Verwenden Sie tagbasierte Bedingungsschlüssel in Ihren Unternehmens-, IAM- und AWS S3-Bucket-Richtlinien. Für Unternehmen unterstützt ABAC in Amazon S3 die Autorisierung über mehrere Konten hinweg. AWS

In Ihren IAM-Richtlinien können Sie den Zugriff auf S3-Buckets anhand der Tags des Buckets steuern, indem Sie die folgenden globalen Bedingungsschlüssel verwenden:

Beispiel für ABAC-Richtlinien für Buckets

Sehen Sie sich das folgende Beispiel für ABAC-Richtlinien für Amazon S3-Buckets an.

1.1 – IAM-Richtlinie zum Erstellen oder Ändern von Buckets mit bestimmten Tags

In dieser IAM-Richtlinie können Benutzer oder Rollen mit dieser Richtlinie nur S3-Buckets erstellen, wenn sie den Bucket mit dem Tag-Schlüssel project und dem Tag-Wert Trinity in der Bucket-Erstellungsanforderung kennzeichnen. Sie können auch Tags zu vorhandenen S3-Buckets hinzufügen oder ändern, sofern die TagResource Anfrage das Tag-Schlüssel-Wert-Paar enthält. project:Trinity Diese Richtlinie gewährt keine Lese-, Schreib- oder Löschberechtigungen für die Buckets oder ihre Objekte.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateBucketWithTags",
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 — Bucket-Richtlinie zur Einschränkung des Betriebs

In dieser Bucket-Richtlinie werden IAM-Prinzipale (Benutzer und Rollen) verweigert und s3:PutObject Aktionen im Bucket nur s3:ListBuckets3:GetObject, wenn der Wert des project Tags im Bucket mit dem Wert des project Tags auf dem Principal übereinstimmt.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyObjectOperations",
            "Effect": "Deny",
            "Principal": "*",
            "Action": ["s3:ListBucket",
                       "s3:GetObject",
                       "s3:PutObject"],
            "Resource": "arn:aws:s3:::aws-s3-demo/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
                }
            }
        }
    ]
}

1.3 — IAM-Richtlinie zum Ändern von Tags auf vorhandenen Ressourcen

In dieser IAM-Richtlinie können IAM-Prinzipale (Benutzer oder Rollen) Tags in einem Bucket nur dann ändern, wenn der Wert des Bucket-Tags project mit dem Wert des Tag des Prinzipals project übereinstimmt. Für diese Buckets sind nur die vier in den aws:TagKeys Bedingungsschlüsseln cost-center angegebenen Tagsproject,, und zulässig. environment owner Dies hilft bei der Durchsetzung der Tag-Governance, verhindert unbefugte Tag-Änderungen und sorgt dafür, dass das Tagging-Schema in allen Buckets konsistent bleibt.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3:TagResource",
        "s3:CreateBucket"
      ],
      "Resource": "*",
      "Condition": {
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4 — Verwendung des BucketTag Bedingungsschlüssels s3:

In dieser IAM-Richtlinie ermöglicht die Bedingungsanweisung den Zugriff auf die Daten des aws-s3-demo Buckets nur, wenn der Bucket über den Tag-Schlüssel Environment und den Tag-Wert Production verfügt.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAccessViaSpecificBucket",
      "Effect": "Allow",
      "Action": "*",
      "Resource": ["arn:aws:s3:::aws-s3-demo","arn:aws:s3:::aws-s3-demo/*"],
      "Condition": {
        "StringEquals": {
          "s3:BucketTag/Environment": "Production"
        }
      }
    }
  ]
}

Verwaltung von Tags für Allzweck-Buckets

Sie können Tags für S3-Buckets mithilfe der Amazon S3-Konsole, der AWS Befehlszeilenschnittstelle (CLI), der AWS SDKs oder mithilfe der S3-APIs hinzufügen oder verwalten: TagResource, und UntagResource. ListTagsForResource Weitere Informationen finden Sie unter: