Recurso: denegación de la acción cuando alguna clave de condición coincida con una cadena

La siguiente política deniega el acceso al RegisterJobDefinitionAPIoperación cuando la clave de condición batch:Image (ID de imagen del contenedor) es "string1" o la clave de condición batch:LogDriver (controlador de registro del contenedor) es "»string2. Cuando un trabajo abarca varios contenedores, como un trabajo paralelo de varios nodos, es posible que los contenedores tengan configuraciones diferentes. Si se evalúan varias claves de condición en una instrucción, se combinan mediante la lógica AND. Por lo tanto, si alguna de las múltiples claves de condición no coincide con un contenedor, el efecto Deny no se aplica a ese contenedor. Por el contrario, es posible que se deniegue un contenedor diferente en el mismo trabajo.

Para ver la lista de claves de condición AWS Batch, consulte Claves de condición AWS Batch en la Referencia de autorización de servicios. Excepto para batch:ShareIdentifier, todas las claves de condición batch se pueden usar de esta manera. (La clave de condición batch:ShareIdentifier se define para un trabajo, no para una definición de trabajo).

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "batch:Image": [
            "string1"
          ]
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "batch:LogDriver": [
            "string2"
          ]
        }
      }
    }
  ]
}