Uso del control de acceso basado en etiquetas

La ECR CreateRepository API acción Amazon te permite especificar etiquetas al crear el repositorio. Para obtener más información, consulte Etiquetado de un repositorio privado en Amazon ECR.

Para que los usuarios puedan etiquetar repositorios durante la creación, es preciso que tengan permisos para utilizar la acción que crea el recurso (por ejemplo, ecr:CreateRepository). Si se especifican etiquetas en la acción de creación de recursos, Amazon realiza una autorización adicional en la acción ecr:CreateRepository para verificar que los usuarios tengan permisos para crear etiquetas.

Puede utilizar el control de acceso basado en etiquetas mediante IAM políticas. A continuación se muestran algunos ejemplos.

La siguiente política solo permitiría a un usuario crear o etiquetar un repositorio como key=environment,value=dev.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateTaggedRepository",
            "Effect": "Allow",
            "Action": [
                "ecr:CreateRepository"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/environment": "dev"
                }
            }
        },
        {
            "Sid": "AllowTagRepository",
            "Effect": "Allow",
            "Action": [
                "ecr:TagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/environment": "dev"
                }
            }
        }
    ]
}

La siguiente política permitiría a un usuario extraer imágenes de todos los repositorios a menos que estén etiquetadas como tal. key=environment,value=prod

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "ecr:BatchGetImage",
                "ecr:GetDownloadUrlForLayer"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ecr:BatchGetImage",
                "ecr:GetDownloadUrlForLayer"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ecr:ResourceTag/environment": "prod"
                }
            }
        }
    ]
}