Utilisation des points d’accès dans les stratégies IAM

Vous pouvez utiliser une stratégie IAM pour appliquer de manière forcée l’accès d’un client NFS spécifique, identifié par son rôle IAM, à un point d’accès particulier. Pour ce faire, utilisez la clé de condition IAM elasticfilesystem:AccessPointArn. AccessPointArn est l’ARN (Amazon Resource Name) du point d’accès avec lequel le système de fichiers est monté.

Voici un exemple de stratégie de système de fichiers qui permet au rôle IAM app1 d’accéder au système de fichiers à l’aide du point d’accès fsap-01234567. Cette stratégie permet également à app2 d’utiliser le système de fichiers via le point d’accès fsap-89abcdef.

{
    "Version": "2012-10-17",
    "Id": "MyFileSystemPolicy",
    "Statement": [
        {
            "Sid": "App1Access",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/app1" },
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Condition": {
                "StringEquals": {
                    "elasticfilesystem:AccessPointArn" : "arn:aws:elasticfilesystem:us-east-1:222233334444:access-point/fsap-01234567"
                }
            }
        },
        {
            "Sid": "App2Access",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/app2" },
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Condition": {
                "StringEquals": {
                    "elasticfilesystem:AccessPointArn" : "arn:aws:elasticfilesystem:us-east-1:222233334444:access-point/fsap-89abcdef"
                }
            }
        }
    ]
}