Refuser l'action lorsque toutes les conditions correspondent à des chaînes

La politique suivante refuse l'accès au RegisterJobDefinitionAPIopération lorsque la clé de condition batch:Image (ID de l'image du conteneur) est à la fois »string1« et la clé de condition batch:LogDriver (pilote de journal du conteneur) est »string2. » AWS Batch évalue les clés de condition sur chaque conteneur. Lorsqu'une tâche couvre plusieurs conteneurs, comme une tâche parallèle à nœuds multiples, il est possible que les conteneurs aient des configurations différentes. Si plusieurs clés de condition sont évaluées dans une instruction, elles sont combinées de manière AND logique. Ainsi, si l'une des multiples clés de condition ne correspond pas à un conteneur, l'Denyeffet ne s'applique pas à ce conteneur. Au contraire, un conteneur différent pour la même tâche peut être refusé.

Pour la liste des clés de condition pour AWS Batch, voir Clés de condition pour AWS Batch dans la référence d'autorisation de service. À l'exception debatch:ShareIdentifier, toutes les clés de batch condition peuvent être utilisées de cette manière. La clé de batch:ShareIdentifier condition est définie pour une tâche, et non pour une définition de tâche.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": "batch:RegisterJobDefinition",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "batch:Image": "string1",
          "batch:LogDriver": "string2"
        }
      }
    }
  ]
}