Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Sie können Tags verwenden, um den Zugriff auf Amazon-EFS-Ressourcen zu steuern und die attributbasierte Zugriffskontrolle (ABAC) zu implementieren. Weitere Informationen finden Sie unter:
Anmerkung
Die Amazon-EFS-Replikation unterstützt die Verwendung von Tags für die attributbasierte Zugriffskontrolle (ABAC) nicht.
Um während der Erstellung Tags auf Amazon-EFS-Ressourcen anzuwenden, müssen Benutzer über bestimmte AWS Identity and Access Management -(IAM-) Berechtigungen verfügen.
Erteilen von Berechtigungen zum Markieren von Ressourcen während der Erstellung
Mit den folgenden Tag-on create Amazon EFS API-Aktionen können Sie Tags angeben, wenn Sie die Ressource erstellen.
-
CreateAccessPoint -
CreateFileSystem
Damit Benutzer Ressourcen bei der Erstellung markieren können, müssen sie über die Berechtigung zur Verwendung der Aktion verfügen, mit der die Ressourcen erstellt werden, wie z. B. elasticfilesystem:CreateAccessPoint oder elasticfilesystem:CreateFileSystem. Wenn bei der Aktion zur Erstellung von Ressourcen Tags angegeben wurden, AWS führt dieser Vorgang eine zusätzliche Autorisierung durch, um zu überprüfen, ob Benutzer berechtigt sind, Tags zu erstellen. elasticfilesystem:TagResource Daher benötigen die Benutzer außerdem die expliziten Berechtigungen zum Verwenden der elasticfilesystem:TagResource-Aktion.
Verwenden Sie in der IAM-Richtliniendefinition für die elasticfilesystem:TagResource-Aktion das Condition-Element mit dem elasticfilesystem:CreateAction-Bedingungsschlüssel, um der Aktion, die die Ressource erstellt, Markierungsberechtigungen zu erteilen.
Beispiel Richtlinie: Das Hinzufügen von Tags zu Dateisystemen nur zum Zeitpunkt der Erstellung erlauben
Mit der folgenden Beispielrichtlinie können Benutzer nur während der Erstellung Dateisysteme erstellen und ihnen Tags zuordnen. Die Markierung von bestehenden Ressourcen durch die Benutzer ist nicht zulässig. (Sie können die elasticfilesystem:TagResource-Aktion nicht direkt aufrufen.)
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"elasticfilesystem:CreateFileSystem"
],
"Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*"
},
{
"Effect": "Allow",
"Action": [
"elasticfilesystem:TagResource"
],
"Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*",
"Condition": {
"StringEquals": {
"elasticfilesystem:CreateAction": "CreateFileSystem"
}
}
}
]
}Verwendung von Tags zur Steuerung des Zugriffs auf Ihre Amazon-EFS-Ressourcen
Um den Zugriff auf Amazon-EFS-Ressourcen und -Aktionen zu kontrollieren, können Sie IAM-Richtlinien verwenden, die auf Tags basieren. Sie können diese Kontrolle auf zwei Arten ausüben:
-
Sie können den Zugriff auf Amazon-EFS-Ressourcen anhand der Tags auf diesen Ressourcen steuern.
-
Sie können steuern, welche Tags in einer IAM-Anforderungsbedingung übergeben werden können.
Informationen zur Verwendung von Tags zur Steuerung des Zugriffs auf AWS Ressourcen finden Sie unter Steuern des Zugriffs mithilfe von Tags im IAM-Benutzerhandbuch.
Bestimmung des Zugriffs auf Ressourcen basierend auf Tags
Um zu steuern, welche Aktionen ein Benutzer oder eine Rolle mit einer Amazon-EFS-Ressource durchführen kann, können Sie Tags für die Ressource verwenden. So können Sie beispielsweise bestimmte API-Vorgänge für eine Dateisystemressource auf der Grundlage des Schlüssel-Wert-Paares des Tags der Ressource zulassen oder verbieten.
Beispiel Richtlinie: Ein Dateisystem nur dann erstellen, wen ein bestimmtes Tag verwendet wird
Die folgende Beispielrichtlinie erlaubt es dem Benutzer, ein Dateisystem nur dann zu erstellen, wenn er es mit einem bestimmten Tag-Schlüssel-Wert-Paar markiert, in diesem Beispiel key=Department, value=Finance.
{ "Effect": "Allow", "Action": [ "elasticfilesystem:CreateFileSystem", "elasticfilesystem:TagResource" ], "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*", "Condition": { "StringEquals": { "aws:RequestTag/Department": "Finance" } } }
Beispiel Richtlinie: Dateisysteme mit bestimmten Tags löschen
Die folgende Beispielrichtlinie erlaubt es einem Benutzer, nur Dateisysteme zu löschen, die mit Department=Finance gekennzeichnet sind.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "elasticfilesystem:DeleteFileSystem" ], "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*", "Condition": { "StringEquals": { "aws:ResourceTag/Department": "Finance" } } } ] }
