Verwendung von Zugriffspunkten in IAM Richtlinien

Sie können eine IAM Richtlinie verwenden, um zu erzwingen, dass ein bestimmter NFS Client, der anhand seiner IAM Rolle identifiziert wird, nur auf einen bestimmten Access Point zugreifen kann. Dazu verwenden Sie den elasticfilesystem:AccessPointArn IAM Bedingungsschlüssel. Das AccessPointArn ist der Amazon-Ressourcenname (ARN) des Access Points, mit dem das Dateisystem gemountet ist.

Im Folgenden finden Sie ein Beispiel für eine Dateisystemrichtlinie, die es der IAM Rolle app1 ermöglicht, über einen Access Point auf das Dateisystem zuzugreifenfsap-01234567. Die Richtlinie ermöglicht app2 auch die Verwendung des Dateisystems über den Zugriffspunkt fsap-89abcdef.

{
    "Version": "2012-10-17",
    "Id": "MyFileSystemPolicy",
    "Statement": [
        {
            "Sid": "App1Access",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/app1" },
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Condition": {
                "StringEquals": {
                    "elasticfilesystem:AccessPointArn" : "arn:aws:elasticfilesystem:us-east-1:222233334444:access-point/fsap-01234567"
                }
            }
        },
        {
            "Sid": "App2Access",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/app2" },
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Condition": {
                "StringEquals": {
                    "elasticfilesystem:AccessPointArn" : "arn:aws:elasticfilesystem:us-east-1:222233334444:access-point/fsap-89abcdef"
                }
            }
        }
    ]
}