Aktion ablehnen, wenn alle Bedingungen den Zeichenfolgen entsprechen

Die folgende Richtlinie verweigert den Zugriff auf RegisterJobDefinitionAPIVorgang, wenn sowohl der Bedingungsschlüssel batch:Image (Container-Image-ID) "string1" als auch der Bedingungsschlüssel batch:LogDriver (Container-Protokolltreiber) "" lautetstring2. AWS Batch wertet Bedingungsschlüssel für jeden Container aus. Wenn sich ein Job über mehrere Container erstreckt, z. B. ein parallel Job mit mehreren Knoten, ist es möglich, dass die Container unterschiedliche Konfigurationen haben. Wenn mehrere Bedingungsschlüssel in einer Anweisung ausgewertet werden, werden sie mithilfe von AND Logik kombiniert. Wenn also einer der mehreren Bedingungsschlüssel nicht zu einem Container passt, wird der Deny Effekt nicht auf diesen Container angewendet. Vielmehr könnte ein anderer Container im selben Job verweigert werden.

Eine Liste der Bedingungsschlüssel für AWS Batch finden Sie unter Bedingungsschlüssel für AWS Batch in der Service Authorization Reference. Mit Ausnahme batch:ShareIdentifier von können alle batch Bedingungsschlüssel auf diese Weise verwendet werden. Der batch:ShareIdentifier Bedingungsschlüssel ist für einen Job definiert, nicht für eine Jobdefinition.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": "batch:RegisterJobDefinition",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "batch:Image": "string1",
          "batch:LogDriver": "string2"
        }
      }
    }
  ]
}