Ressource : Refuser l'action lorsque des clés de condition correspondent à des chaînes

La politique suivante refuse l'accès au RegisterJobDefinitionFonctionnement de l'API lorsque la clé de condition batch:Image (ID de l'image du conteneur) est « string1 » ou que la clé de condition batch:LogDriver (pilote du journal du conteneur) est « »string2. Lorsqu'une tâche couvre plusieurs conteneurs, tels qu'une tâche parallèle à nœuds multiples, il est possible que les conteneurs aient des configurations différentes. Si plusieurs clés de condition sont évaluées dans une instruction, elles sont combinées de manière AND logique. Ainsi, si l'une des multiples clés de condition ne correspond pas à un conteneur, l'Denyeffet ne s'applique pas à ce conteneur. Au contraire, un conteneur différent pour la même tâche peut être refusé.

Pour la liste des clés de condition pour AWS Batch, voir Clés de condition pour AWS Batch dans la référence d'autorisation de service. À l'exception debatch:ShareIdentifier, toutes les clés de batch condition peuvent être utilisées de cette manière. (La clé de batch:ShareIdentifier condition est définie pour une tâche, pas pour une définition de tâche.)

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "batch:Image": [
            "string1"
          ]
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "batch:LogDriver": [
            "string2"
          ]
        }
      }
    }
  ]
}