Ressource: Aktion verweigern, wenn Bedingungsschlüssel mit Zeichenketten übereinstimmen

Die folgende Richtlinie verweigert den Zugriff auf RegisterJobDefinitionAPIVorgang, wenn entweder der Bedingungsschlüssel batch:Image (Container-Image-ID)“ lautetstring1"oder der Bedingungsschlüssel batch:LogDriver (Container-Protokolltreiber) ist“string2.“ Wenn sich ein Job über mehrere Container erstreckt, z. B. ein parallel Job mit mehreren Knoten, ist es möglich, dass die Container unterschiedliche Konfigurationen haben. Wenn mehrere Bedingungsschlüssel in einer Anweisung ausgewertet werden, werden sie mithilfe von AND Logik kombiniert. Wenn also einer der mehreren Bedingungsschlüssel nicht zu einem Container passt, wird der Deny Effekt nicht auf diesen Container angewendet. Vielmehr könnte ein anderer Container im selben Job verweigert werden.

Eine Liste der Bedingungsschlüssel für AWS Batch finden Sie unter Bedingungsschlüssel für AWS Batch in der Service Authorization Reference. Mit Ausnahme batch:ShareIdentifier von können alle batch Bedingungsschlüssel auf diese Weise verwendet werden. (Der batch:ShareIdentifier Bedingungsschlüssel ist für einen Job definiert, nicht für eine Jobdefinition.)

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "batch:Image": [
            "string1"
          ]
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "batch:LogDriver": [
            "string2"
          ]
        }
      }
    }
  ]
}