View a markdown version of this page

Elemen kebijakan JSON IAM: Operator kondisi - AWS Identity and Access Management
Operator ketentuan stringOperator ketentuan numerikOperator ketentuan tanggalOperator ketentuan BooleanOperator ketentuan binerOperator ketentuan alamat IPOperator ketentuan Amazon Resource Name (ARN)... IfExists operator kondisiOperator ketentuan memeriksa keberadaan kunci kondisi

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Elemen kebijakan JSON IAM: Operator kondisi

Gunakan operator ketentuan di elemen Condition untuk mencocokkan kunci kondisi dan nilai di dalam kebijakan terhadap nilai di dalam konteks permintaan. Untuk informasi selengkapnya tentang elemen Condition, lihat Elemen kebijakan IAM JSON: Kondisi.

Operator ketentuan yang dapat Anda gunakan dalam kebijakan tergantung pada kunci kondisi yang Anda pilih. Anda dapat memilih kunci kondisi global atau kunci kondisi khusus layanan. Untuk mempelajari operator ketentuan mana yang dapat Anda gunakan pada kunci kondisi global, lihat AWS kunci konteks kondisi global. Untuk mempelajari operator kondisi mana yang dapat Anda gunakan untuk kunci kondisi khusus layanan, lihat Tindakan, Sumber Daya, dan Kunci Kondisi untuk AWS Layanan dan pilih layanan yang ingin Anda lihat.

penting

Jika kunci yang Anda tentukan dalam kondisi kebijakan tidak ada dalam konteks permintaan, nilainya tidak cocok dan kondisinya salah. Jika kondisi kebijakan mengharuskan kunci tidak cocok, seperti StringNotLike atauArnNotLike, dan kunci yang tepat tidak ada, kondisinya benar. Logika ini berlaku untuk semua operator kondisi kecuali... IfExistsdan pemeriksaan Null. Operator ini menguji apakah kuncinya ada (exists) dalam konteks permintaan.

Operator ketentuan dapat dikelompokkan ke dalam kategori berikut:

Operator ketentuan string

Operator ketentuan string memungkinkan Anda membangun elemen Condition yang membatasi akses berdasarkan perbandingan kunci ke nilai string.

Operator ketentuan Deskripsi

StringEquals

Kecocokan yang tepat, peka terhadap huruf besar-kecil

StringNotEquals

Pencocokan dinegasikan

StringEqualsIgnoreCase

Pencocokan yang tepat, mengabaikan huruf besar-kecil

StringNotEqualsIgnoreCase

Pencocokan yang dinegasikan, mengabaikan huruf besar-kecil

StringLike

Case-sensitive mencocokkan. Nilai dapat mencakup wildcard pencocokan multi-karakter (*) dan wildcard pencocokan karakter tunggal (?) di mana saja di string. Anda harus menentukan wildcard untuk mencapai kecocokan string paruh.

catatan

Jika kunci berisi beberapa nilai, StringLike dapat memenuhi syarat dengan operator set— ForAllValues:StringLike danForAnyValue:StringLike. Untuk informasi selengkapnya, lihat Mengatur operator untuk kunci konteks multinilai.

StringNotLike

Kecocokan dinegasikan kepekaan huruf besar-kecil. Nilai dapat mencakup wildcard pencocokan multi-karakter (*) atau wildcard pencocokan karakter tunggal (?) di mana saja di string.
contoh operator kondisi string

Misalnya, pernyataan berikut berisi Condition elemen yang menggunakan aws:PrincipalTag kunci untuk menentukan bahwa prinsipal yang membuat permintaan harus diberi tag dengan kategori iamuser-admin pekerjaan.

JSON
{
    "Version":"2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "iam:*AccessKey*",
        "Resource": "arn:aws:iam::111122223333:user/*",
        "Condition": {
            "StringEquals": {
                "aws:PrincipalTag/job-category": "iamuser-admin"
            }
        }
    }
}

Jika kunci yang Anda sebutkan dalam ketentuan kebijakan tidak ada dalam konteks permintaan, nilainya tidak cocok. Dalam contoh ini, kunci aws:PrincipalTag/job-category ada dalam konteks permintaan jika prinsipnya menggunakan pengguna IAM dengan tag terlampir. Juga disertakan untuk prinsipal menggunakan IAM role dengan tanda terlampir atau tanda sesi. Jika pengguna tanpa tanda mencoba melihat atau mengedit access key, ketentuan akan kembali false dan permintaan tersebut ditolak secara tersirat oleh pernyataan ini.

Tabel berikut menunjukkan cara AWS mengevaluasi kebijakan ini berdasarkan nilai kunci kondisi dalam permintaan Anda.

Kondisi Kebijakan Permintaan Konteks Hasil 
"StringEquals": {
  "aws:PrincipalTag/job-category": "iamuser-admin"
}
 
aws:PrincipalTag/job-category:
  – iamuser-admin

Cocokkan

 
"StringEquals": {
  "aws:PrincipalTag/job-category": "iamuser-admin"
}
 
aws:PrincipalTag/job-category:
  – dev-ops

Tidak cocok

 
"StringEquals": {
  "aws:PrincipalTag/job-category": "iamuser-admin"
}

Tidak aws:PrincipalTag/job-category dalam konteks permintaan.

Tidak cocok
contoh menggunakan variabel kebijakan dengan operator kondisi string

Contoh berikut menggunakan operator ketentuan StringLike untuk melakukan pencocokan string dengan variabel kebijakan untuk membuat kebijakan yang memungkinkan pengguna IAM menggunakan konsol Amazon S3 untuk mengelola "direktori beranda"-nya sendiri dalam bucket Amazon S3. Kebijakan tersebut mengizinkan tindakan tertentu pada bucket S3 selama s3:prefix cocok dengan salah satu pola yang ditentukan.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets",
        "s3:GetBucketLocation"
      ],
      "Resource": "arn:aws:s3:::*"
    },
    {
      "Effect": "Allow",
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
      "Condition": {
        "StringLike": {
          "s3:prefix": [
            "",
            "home/",
            "home/${aws:username}/"
          ]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket/home/${aws:username}",
        "arn:aws:s3:::amzn-s3-demo-bucket/home/${aws:username}/*"
      ]
    }
  ]
}

Tabel berikut menunjukkan cara AWS mengevaluasi kebijakan ini untuk pengguna yang berbeda berdasarkan aws:username nilai dalam konteks permintaan.

Kondisi kebijakan Permintaan konteks Hasil 
"StringLike": {
  "s3:prefix": [
    "home/",
    "home/${aws:username}/"
  ]
}
 
aws:username:
  – martha_rivera
 
"StringLike": {
  "s3:prefix": [
    "home/",
    "home/martha_rivera/"
  ]
}
 
"StringLike": {
  "s3:prefix": [
    "home/",
    "home/${aws:username}/"
  ]
}
 
aws:username:
  – nikki_wolf
 
"StringLike": {
  "s3:prefix": [
    "home/",
    "home/nikki_wolf/"
  ]
}
 
"StringLike": {
  "s3:prefix": [
    "home/",
    "home/${aws:username}/"
  ]
}

Tidak aws:username dalam konteks permintaan.

Tidak cocok

Untuk contoh kebijakan yang menunjukkan cara menggunakan Condition elemen untuk membatasi akses ke sumber daya berdasarkan ID aplikasi dan ID pengguna untuk federasi OIDC, lihatAmazon S3: Memungkinkan pengguna Amazon Cognito mengakses objek di bucket mereka.

Operator kondisi string multinilai

Jika kunci dalam permintaan berisi beberapa nilai, operator string dapat memenuhi syarat dengan operator set ForAllValues danForAnyValue. Untuk informasi selengkapnya tentang logika evaluasi beberapa kunci konteks atau nilai, lihatMengatur operator untuk kunci konteks multinilai.

Operator ketentuan Deskripsi

ForAllValues:StringEquals

ForAllValues:StringEqualsIgnoreCase

Semua nilai untuk kunci kondisi dalam permintaan harus cocok dengan setidaknya satu nilai dalam kebijakan Anda.

ForAnyValue:StringEquals

ForAnyValue:StringEqualsIgnoreCase

Setidaknya satu nilai kunci kondisi dalam permintaan harus cocok dengan salah satu nilai dalam kebijakan Anda.

ForAllValues:StringNotEquals

ForAllValues:StringNotEqualsIgnoreCase

Pencocokan yang dinegasikan.

Tidak ada nilai kunci konteks dalam permintaan yang dapat mencocokkan nilai kunci konteks apa pun dalam kebijakan Anda.

ForAnyValue:StringNotEquals

ForAnyValue:StringNotEqualsIgnoreCase

Pencocokan yang dinegasikan.

Setidaknya satu nilai kunci konteks dalam permintaan TIDAK boleh cocok dengan salah satu nilai dalam kunci konteks dalam kebijakan Anda.

ForAllValues:StringLike

Semua nilai untuk kunci kondisi dalam permintaan harus cocok dengan setidaknya satu nilai dalam kebijakan Anda.

ForAnyValue:StringLike

Setidaknya satu nilai kunci kondisi dalam permintaan harus cocok dengan salah satu nilai dalam kebijakan Anda.

ForAllValues:StringNotLike

Pencocokan yang dinegasikan.

Tidak ada nilai kunci konteks dalam permintaan yang dapat mencocokkan nilai kunci konteks apa pun dalam kebijakan Anda.

ForAnyValue:StringNotLike

Pencocokan yang dinegasikan.

Setidaknya satu nilai kunci konteks dalam permintaan TIDAK boleh cocok dengan salah satu nilai dalam kunci konteks dalam kebijakan Anda.
contoh menggunakan ForAnyValue dengan operator kondisi string

Contoh ini menunjukkan cara membuat kebijakan berbasis identitas yang memungkinkan penggunaan CreateTags tindakan Amazon EC2 untuk melampirkan tag ke instans. Saat Anda menggunakanStringEqualsIgnoreCase, Anda dapat melampirkan tag hanya jika tag berisi environment kunci dengan storage nilai preprod atau. Saat Anda menambahkan IgnoreCase ke operator, Anda mengizinkan kapitalisasi nilai tag yang ada, seperti,preprod, dan PreprodPreProd, untuk diselesaikan menjadi true.

Saat Anda menambahkan ForAnyValue pengubah dengan kunci aw: TagKeys kondisi, setidaknya satu nilai kunci tag dalam permintaan harus cocok dengan nilainya. environment ForAnyValueperbandingan peka huruf besar/kecil, yang mencegah pengguna menggunakan huruf besar yang salah untuk kunci tag, seperti menggunakan al Environment ih-alihenvironment.

JSON
{
  "Version":"2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "ec2:CreateTags",
    "Resource": "arn:aws:ec2:*:*:instance/*",
    "Condition": {
      "StringEqualsIgnoreCase": {
        "aws:RequestTag/environment": [
          "preprod",
          "storage"
        ]
      },
      "ForAnyValue:StringEquals": {
        "aws:TagKeys": "environment"
      }
    }
  }
}

Tabel berikut menunjukkan cara AWS mengevaluasi kebijakan ini berdasarkan nilai kunci kondisi dalam permintaan Anda.

Kondisi kebijakan Permintaan konteks Hasil 
"StringEqualsIgnoreCase": {
  "aws:RequestTag/environment": [
    "preprod",
    "storage"
  ]
},
"ForAnyValue:StringEquals": {
  "aws:TagKeys": "environment"
}
 
aws:TagKeys:
  – environment
aws:RequestTag/environment:
  – preprod

Cocokkan

 
"StringEqualsIgnoreCase": {
  "aws:RequestTag/environment": [
    "preprod",
    "storage"
  ]
},
"ForAnyValue:StringEquals": {
  "aws:TagKeys": "environment"
}
 
aws:TagKeys:
  – environment
  – costcenter
aws:RequestTag/environment:
  – PreProd

Cocokkan

 
"StringEqualsIgnoreCase": {
  "aws:RequestTag/environment": [
    "preprod",
    "storage"
  ]
},
"ForAnyValue:StringEquals": {
  "aws:TagKeys": "environment"
}
 
aws:TagKeys:
  – Environment
aws:RequestTag/Environment:
  – preprod

Tidak cocok

 
"StringEqualsIgnoreCase": {
  "aws:RequestTag/environment": [
    "preprod",
    "storage"
  ]
},
"ForAnyValue:StringEquals": {
  "aws:TagKeys": "environment"
}
 
aws:TagKeys:
  – costcenter
aws:RequestTag/environment:
  – preprod

Tidak cocok

 
"StringEqualsIgnoreCase": {
  "aws:RequestTag/environment": [
    "preprod",
    "storage"
  ]
},
"ForAnyValue:StringEquals": {
  "aws:TagKeys": "environment"
}

Tidak aws:TagKeys dalam konteks permintaan.

aws:RequestTag/environment:
  – storage

Tidak cocok

 
"StringEqualsIgnoreCase": {
  "aws:RequestTag/environment": [
    "preprod",
    "storage"
  ]
},
"ForAnyValue:StringEquals": {
  "aws:TagKeys": "environment"
}
 
aws:TagKeys:
  – environment

Tidak aws:RequestTag/environment dalam konteks permintaan.

Tidak cocok

 
"StringEqualsIgnoreCase": {
  "aws:RequestTag/environment": [
    "preprod",
    "storage"
  ]
},
"ForAnyValue:StringEquals": {
  "aws:TagKeys": "environment"
}

Tidak aws:TagKeys dalam konteks permintaan.

Tidak aws:RequestTag/environment dalam konteks permintaan.

Tidak cocok

Pencocokan wildcard

Operator kondisi string melakukan pencocokan tanpa pola yang tidak menerapkan format yang telah ditentukan sebelumnya. Operator kondisi ARN dan Tanggal adalah subset dari operator string yang menerapkan struktur pada nilai kunci kondisi.

Sebaiknya gunakan operator kondisi yang sesuai dengan nilai yang Anda bandingkan dengan kunci. Misalnya, Anda harus menggunakan Operator ketentuan string saat membandingkan kunci dengan nilai string. Demikian pula, Anda harus menggunakan Operator ketentuan Amazon Resource Name (ARN) ketika membandingkan kunci dengan nilai ARN.

contoh

Contoh ini menunjukkan bagaimana Anda dapat membuat batas di sekitar sumber daya di organisasi Anda. Kondisi dalam kebijakan ini menolak akses ke tindakan Amazon S3 kecuali sumber daya yang diakses berada dalam kumpulan unit organisasi (OU) tertentu di AWS Organizations. Jal AWS Organizations ur adalah representasi teks dari struktur entitas organisasi.

Kondisi mengharuskan itu aws: ResourceOrgPaths berisi salah satu jalur OU yang terdaftar. Karena aws:ResourceOrgPaths merupakan kondisi multi-nilai, kebijakan menggunakan ForAllValues:StringNotLike operator untuk membandingkan nilai-nilai aws:ResourceOrgPaths dengan daftar OU dalam kebijakan.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "DenyS3AccessOutsideMyBoundary",
      "Effect": "Deny",
      "Action": [
        "s3:*"
      ],
      "Resource": "*",
      "Condition": {
        "ForAllValues:StringNotLike": {
          "aws:ResourceOrgPaths": [
            "o-acorg/r-acroot/ou-acroot-mediaou/",
            "o-acorg/r-acroot/ou-acroot-sportsou/*"
          ] 
        }
      }
    }
  ]
}

Tabel berikut menunjukkan cara AWS mengevaluasi kebijakan ini berdasarkan nilai kunci kondisi dalam permintaan Anda.

Kondisi kebijakan Permintaan konteks Hasil 
"ForAllValues:StringNotLike": {
  "aws:ResourceOrgPaths": [
    "o-acorg/r-acroot/ou-acroot-mediaou/",
    "o-acorg/r-acroot/ou-acroot-sportsou/*"
  ] 
}
 
aws:ResourceOrgPaths:
  – o-acorg/r-acroot/ou-acroot-sportsou/costcenter/

Cocokkan

 
"ForAllValues:StringNotLike": {
  "aws:ResourceOrgPaths": [
    "o-acorg/r-acroot/ou-acroot-mediaou/",
    "o-acorg/r-acroot/ou-acroot-sportsou/*"
  ] 
}
 
aws:ResourceOrgPaths:
  – o-acorg/r-acroot/ou-acroot-mediaou/costcenter/

Tidak cocok

 
"ForAllValues:StringNotLike": {
  "aws:ResourceOrgPaths": [
    "o-acorg/r-acroot/ou-acroot-mediaou/",
    "o-acorg/r-acroot/ou-acroot-sportsou/*"
  ] 
}

Tidak aws:ResourceOrgPaths: dalam permintaan.

Tidak cocok

Operator ketentuan numerik

Operator ketentuan numerik memungkinkan Anda membangun elemen Condition yang membatasi akses berdasarkan perbandingan kunci ke nilai bilangan bulat atau desimal.

  • Variabel kebijakan - Tidak didukung

  • Karakter pengganti - Tidak didukung

Operator ketentuan Deskripsi

NumericEquals

Pencocokan

NumericNotEquals

Pencocokan dinegasikan

NumericLessThan

Pencocokan “Kurang dari”

NumericLessThanEquals

Pencocokan “kurang dari atau sama dengan”

NumericGreaterThan

Pencocokan “lebih besar dari”

NumericGreaterThanEquals

Pencocokan “lebih besar dari atau sama dengan”

Misalnya, pernyataan berikut memuat elemen Condition yang menggunakan operator ketentuan NumericLessThanEquals dengan kunci s3:max-keys untuk menentukan bahwa pemohon dapat membuat daftar hingga 10 objek dalam amzn-s3-demo-bucket sekali waktu.

JSON
{
  "Version":"2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "s3:ListBucket",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
    "Condition": {"NumericLessThanEquals": {"s3:max-keys": "10"}}
  }
}

Jika kunci yang Anda sebutkan dalam ketentuan kebijakan tidak ada dalam konteks permintaan, nilainya tidak cocok. Dalam contoh ini, kunci s3:max-keys selalu hadir dalam permintaan saat Anda melakukan operasi ListBucket. Jika kebijakan ini mengizinkan semua operasi Amazon S3 maka hanya operasi yang mencakup kunci konteks max-keys yang bernilai kurang dari atau sama dengan 10 akan diperbolehkan.

Operator ketentuan tanggal

Operator kondisi tanggal memungkinkan Anda membangun Condition elemen yang membatasi akses berdasarkan membandingkan kunci dengan date/time nilai. Anda menggunakan operator kondisi ini dengan aws:CurrentTime kunci atau aws:EpochTime kunci. Anda harus menentukan date/time nilai dengan salah satu implementasi W3C dari format tanggal ISO 8601 atau dalam waktu zaman (UNIX).

  • Variabel kebijakan - Tidak didukung

  • Karakter pengganti - Tidak didukung

Operator ketentuan Deskripsi

DateEquals

Mencocokkan tanggal tertentu

DateNotEquals

Pencocokan dinegasikan

DateLessThan

Sesuai sebelum tanggal dan waktu tertentu

DateLessThanEquals

Sesuai pada atau sebelum tanggal dan waktu tertentu

DateGreaterThan

Sesuai setelah tanggal dan waktu tertentu

DateGreaterThanEquals

Sesuai pada atau setelah tanggal dan waktu tertentu

Misalnya, pernyataan berikut memuat elemen Condition yang menggunakan operator ketentuan DateGreaterThan dengan kunci aws:TokenIssueTime. Ketentuan ini menyebutkan bahwa kredensial keamanan sementara yang digunakan untuk membuat permintaan tersebut diterbitkan pada 2020. Kebijakan ini dapat secara terprogram diperbarui setiap hari untuk memastikan anggota akun menggunakan kredensial baru.

JSON
{
    "Version":"2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "iam:*AccessKey*",
        "Resource": "arn:aws:iam::111122223333:user/*",
        "Condition": {
            "DateGreaterThan": {
                "aws:TokenIssueTime": "2020-01-01T00:00:01Z"
            }
        }
    }
}

Jika kunci yang Anda sebutkan dalam ketentuan kebijakan tidak ada dalam konteks permintaan, nilainya tidak cocok. Kunci aws:TokenIssueTime tersedia dalam konteks permintaan hanya ketika prinsipal menggunakan kredensial sementara untuk membuat permintaan. Kunci tidak ada dalam permintaan AWS CLI, AWS API, atau AWS SDK yang dibuat menggunakan kunci akses. Dalam contoh ini, jika pengguna IAM mencoba untuk melihat atau mengedit kunci akses, permintaan ditolak.

Operator ketentuan Boolean

Kondisi Boolean memungkinkan Anda membangun Condition elemen yang membatasi akses berdasarkan membandingkan kunci dengan atau. true false

Jika kunci berisi beberapa nilai, operator boolean dapat memenuhi syarat dengan operator ForAllValues set dan. ForAnyValue Untuk informasi selengkapnya tentang logika evaluasi beberapa kunci konteks atau nilai, lihatMengatur operator untuk kunci konteks multinilai.

  • Variabel kebijakan - Di dukung

  • Karakter pengganti - Tidak didukung

Operator ketentuan Deskripsi

Bool

Pencocokan Boolean

ForAllValues:Bool

Gunakan dengan tipe data Array of Bool. Semua boolean dalam nilai kunci konteks harus sesuai dengan nilai boolean dalam kebijakan Anda.

Untuk mencegah ForAllValues operator mengevaluasi kunci konteks yang hilang atau kunci konteks dengan nilai kosong sebagai Diizinkan, Anda dapat menyertakan operator kondisi Null dalam kebijakan Anda.

ForAnyValue:Bool

Gunakan dengan tipe data Array of Bool. Setidaknya satu boolean dalam nilai kunci konteks harus cocok dengan nilai boolean dalam kebijakan Anda.
contoh operator kondisi boolean

Kebijakan berbasis identitas berikut menggunakan operator Bool kondisi dengan aws:SecureTransport kunci untuk menolak mereplikasi objek dan tag objek ke bucket tujuan dan isinya jika permintaan tidak melewati SSL.

penting

Kebijakan ini tidak mengizinkan tindakan apa pun. Gunakan kebijakan ini bersama dengan kebijakan lain yang mengizinkan tindakan tertentu.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "BooleanExample",
      "Action": "s3:ReplicateObject",
      "Effect": "Deny",
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket",
        "arn:aws:s3:::amzn-s3-demo-bucket/*"
      ],
      "Condition": {
        "Bool": {
          "aws:SecureTransport": "false"
        }
      }
    }
  ]
}

Tabel berikut menunjukkan cara AWS mengevaluasi kebijakan ini berdasarkan nilai kunci kondisi dalam permintaan Anda.

Kondisi kebijakan Permintaan konteks Hasil 
"Bool": {
  "aws:SecureTransport": "false"
}
 
aws:SecureTransport:
  – false

Cocokkan

 
"Bool": {
  "aws:SecureTransport": "false"
}
 
aws:SecureTransport:
  – true

Tidak cocok

 
"Bool": {
  "aws:SecureTransport": "false"
}

Tidak aws:SecureTransport dalam konteks permintaan.

Tidak cocok

Operator ketentuan biner

Operator BinaryEquals kondisi memungkinkan Anda membangun Condition elemen yang menguji nilai kunci yang dalam format biner. Ini membandingkan nilai dari byte kunci yang ditentukan untuk byte terhadap perwakilan terkode base-64 dari nilai biner di dalam kebijakan. Jika kunci yang Anda sebutkan dalam ketentuan kebijakan tidak ada dalam konteks permintaan, nilainya tidak cocok.

  • Variabel kebijakan - Tidak didukung

  • Karakter pengganti - Tidak didukung

"Condition" : {
  "BinaryEquals": {
    "key" : "QmluYXJ5VmFsdWVJbkJhc2U2NA=="
  }
}
Kondisi kebijakan Permintaan konteks Hasil 
"BinaryEquals": {
  "key" : "QmluYXJ5VmFsdWVJbkJhc2U2NA=="
}
 
key:
  – QmluYXJ5VmFsdWVJbkJhc2U2NA==

Cocokkan

 
"BinaryEquals": {
  "key" : "QmluYXJ5VmFsdWVJbkJhc2U2NA=="
}
 
key:
  – ASIAIOSFODNN7EXAMPLE

Tidak cocok

 
"BinaryEquals": {
  "key" : "QmluYXJ5VmFsdWVJbkJhc2U2NA=="
}

Tidak key dalam konteks permintaan.

Tidak cocok

Operator ketentuan alamat IP

Operator kondisi alamat IP memungkinkan Anda membangun elemen Condition yang membatasi akses berdasarkan perbandingan kunci ke alamat IPv4 atau IPv6 atau rentang alamat IP. Anda menggunakan ini dengan kunci aws:SourceIp. Nilai harus dalam format CIDR standar (misalnya, 203.0.113. 0/24 atau 2001:DB8:1234:5678: :/64). Jika Anda menentukan alamat IP tanpa prefiks perutean yang terkait, IAM menggunakan nilai prefiks default dari /32.

Beberapa AWS layanan mendukung IPv6, menggunakan:: untuk mewakili rentang 0s. Untuk mempelajari apakah layanan mendukung IPv6, lihat dokumentasi untuk layanan tersebut.

  • Variabel kebijakan - Tidak didukung

  • Karakter pengganti - Tidak didukung

Operator ketentuan Deskripsi

IpAddress

Alamat IP atau rentang yang ditentukan

NotIpAddress

Semua alamat IP kecuali alamat dan rentang IP yang ditentukan
contoh Operator kondisi alamat IP

Pernyataan berikut menggunakan operator IpAddress kondisi dengan aws:SourceIp kunci untuk menentukan bahwa permintaan harus berasal dari kisaran IP 203.0.113.0 hingga 203.0.113.255.

JSON
{
    "Version":"2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "iam:*AccessKey*",
        "Resource": "arn:aws:iam::111122223333:user/*",
        "Condition": {
            "IpAddress": {
                "aws:SourceIp": "203.0.113.0/24"
            }
        }
    }
}

Kunci kondisi aws:SourceIp menyelesaikan ke alamat IP yang berasal dari permintaan asli. Jika permintaan berasal dari instans Amazon EC2, aws:SourceIp mengevaluasi alamat IP publik instans.

Jika kunci yang Anda sebutkan dalam ketentuan kebijakan tidak ada dalam konteks permintaan, nilainya tidak cocok. Kunci aws:SourceIp selalu ada dalam konteks permintaan, kecuali saat pemohon menggunakan VPC endpoint untuk membuat permintaan. Dalam hal ini, ketentuan mengembalikan false dan permintaan tersebut ditolak secara tersirat oleh pernyataan ini.

Tabel berikut menunjukkan cara AWS mengevaluasi kebijakan ini berdasarkan nilai kunci kondisi dalam permintaan Anda.

Kondisi kebijakan Permintaan konteks Hasil 
"IpAddress": {
  "aws:SourceIp": "203.0.113.0/24"
}
 
aws:SourceIp:
  – 203.0.113.1

Cocokkan

 
"IpAddress": {
  "aws:SourceIp": "203.0.113.0/24"
}
 
aws:SourceIp:
  – 198.51.100.1

Tidak cocok

Contoh berikut menunjukkan cara menggabungkan rentang alamat IPv4 dan IPv6 untuk mencakup semua alamat IP yang valid dalam organisasi Anda. Kami menyarankan Anda memperbarui kebijakan organisasi Anda dengan rentang alamat IPv6 Anda selain rentang IPv4 Anda sudah harus memastikan kebijakan terus berfungsi saat Anda melakukan transisi ke IPv6.

JSON
{
  "Version":"2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "someservice:*",
    "Resource": "*",
    "Condition": {
      "IpAddress": {
        "aws:SourceIp": [
          "203.0.113.0/24",
          "2001:DB8:1234:5678::/64"
        ]
      }
    }
  }
}

Kunci kondisi aws:SourceIp hanya berfungsi dalam kebijakan JSON jika Anda menghubungi API yang diuji secara langsung sebagai pengguna. Jika Anda menggunakan layanan untuk menelepon layanan target atas nama Anda, layanan target akan melihat alamat IP layanan panggilan, bukan alamat IP pengguna asal. Hal ini dapat terjadi, misalnya, jika Anda menggunakan AWS CloudFormation untuk memanggil Amazon EC2 untuk membuat instans untuk Anda. Saat ini tidak ada cara untuk menyampaikan alamat IP asal melalui layanan panggilan ke layanan target untuk evaluasi di kebijakan JSON. Untuk tipe panggilan API layanan ini, jangan gunakan kunci kondisi aws:SourceIp.

Operator ketentuan Amazon Resource Name (ARN)

Operator ketentuan Amazon Resource Name (ARN) memungkinkan Anda membangun elemen Condition yang membatasi akses berdasarkan perbandingan kunci ke ARN. ARN dianggap sebagai string.

Operator ketentuan Deskripsi

ArnEquals, ArnLike

Case-sensitive pencocokan ARN. Masing-masing dari enam komponen ARN yang dibatasi titik dua diperiksa secara terpisah dan masing-masing dapat menyertakan wildcard kecocokan multi-karakter (*) atau wildcard pencocokan karakter tunggal (?). Oper ArnEquals ator ArnLike kondisi dan berperilaku identik.

ArnNotEquals, ArnNotLike

Pencocokan negasi untuk ARN. Oper ArnNotEquals ator ArnNotLike kondisi dan berperilaku identik.
contoh Operator kondisi ARN

Contoh kebijakan berbasis sumber daya berikut ini menunjukkan kebijakan yang terlampir pada antrean Amazon SQS di mana Anda ingin mengirimkan pesan SNS. Ini memberi izin Amazon SNS untuk mengirimkan pesan ke antrean (atau antrean-antrean) pilihan Anda, tetapi hanya jika layanan tersebut mengirimkan pesan atas nama topik (atau topik) Amazon SNS tertentu. Anda menentukan antrean di bidang Resource, dan topik Amazon SNS sebagai nilai untuk kunci SourceArn.

JSON
{
    "Version":"2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {
            "Service": "sns.amazonaws.com"
        },
        "Action": "SQS:SendMessage",
        "Resource": "arn:aws:sqs:us-east-1:123456789012:QUEUE-ID",
        "Condition": {
            "ArnEquals": {
                "aws:SourceArn": "arn:aws:sns:us-east-1:123456789012:TOPIC-ID"
            }
        }
    }
}

Kunci aws:SourceArn muncul dalam konteks permintaan hanya jika sumber daya memicu layanan untuk menghubungi layanan lain atas nama pemilik sumber daya. Jika pengguna IAM mencoba melakukan operasi ini secara langsung, ketentuan akan kembali false dan permintaan tersebut ditolak secara tersirat oleh pernyataan ini.

Tabel berikut menunjukkan cara AWS mengevaluasi kebijakan ini berdasarkan nilai kunci kondisi dalam permintaan Anda.

Kondisi kebijakan Permintaan konteks Hasil 
"ArnEquals": {
  "aws:SourceArn": "arn:aws:sns:us-west-2:123456789012:TOPIC-ID"
}
 
aws:SourceArn:
  – arn:aws:sns:us-west-2:123456789012:TOPIC-ID

Cocokkan

 
"ArnEquals": {
  "aws:SourceArn": "arn:aws:sns:us-west-2:123456789012:TOPIC-ID"
}
 
aws:SourceArn:
  – arn:aws:sns:us-west-2:777788889999:TOPIC-ID

Tidak cocok

 
"ArnEquals": {
  "aws:SourceArn": "arn:aws:sns:us-west-2:123456789012:TOPIC-ID"
}

Tidak aws:SourceArn dalam konteks permintaan.

Tidak cocok

Operator kondisi ARN multinilai

Jika kunci dalam permintaan berisi beberapa nilai, operator ARN dapat memenuhi syarat dengan operator set ForAllValues danForAnyValue. Untuk informasi selengkapnya tentang logika evaluasi beberapa kunci konteks atau nilai, lihatMengatur operator untuk kunci konteks multinilai.

Operator ketentuan Deskripsi

ForAllValues:ArnEquals

ForAllValues:ArnLike

Semua ARN dalam konteks permintaan harus cocok dengan setidaknya satu pola ARN dalam kebijakan Anda.

ForAnyValue:ArnEquals

ForAnyValue:ArnLike

Setidaknya satu ARN dalam konteks permintaan harus cocok dengan salah satu pola ARN dalam kebijakan Anda.

ForAllValues:ArnNotEquals

ForAllValues:ArnNotLike

Pencocokan yang dinegasikan.

Tak satu pun dari ARN dalam konteks permintaan dapat mencocokkan pola ARN string apa pun dalam kebijakan Anda.

ForAnyValue:ArnNotEquals

ForAnyValue:ArnNotLike

Pencocokan yang dinegasikan.

Setidaknya satu ARN dalam konteks permintaan TIDAK boleh cocok dengan pola ARN apa pun dalam kebijakan Anda.
contoh menggunakan ForAllValues dengan operator kondisi ARN

Contoh berikut digunakan ForAllValues:ArnLike untuk membuat atau memperbarui sumber pengiriman logis untuk CloudWatch log Amazon Logs. Blok kondisi menyertakan kunci kondisi logs:LogGeneratingResourceArns untuk memfilter ARN sumber daya penghasil log yang diteruskan dalam permintaan. Menggunakan operator kondisi ini, semua ARN dalam permintaan harus cocok dengan setidaknya satu ARN dalam kebijakan.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "logs:PutDeliverySource",
            "Resource": "arn:aws:logs:us-east-1:123456789012:delivery-source:*",
            "Condition": {
                "ForAllValues:ArnLike": {
                    "logs:LogGeneratingResourceArns": [
                        "arn:aws:cloudfront::123456789012:distribution/*",
                        "arn:aws:cloudfront::123456789012:distribution/support*"
                    ]
                }
            }
        }
    ]
}

Tabel berikut menunjukkan cara AWS mengevaluasi kebijakan ini berdasarkan nilai kunci kondisi dalam permintaan Anda.

Kondisi kebijakan Permintaan konteks Hasil 
"ForAllValues:ArnLike": {
  "logs:LogGeneratingResourceArns": [
    "arn:aws::cloudfront:123456789012:distribution/*",
    "arn:aws::cloudfront:123456789012:distribution/support*"
  ]
}
 
logs:LogGeneratingResourceArns:
  – arn:aws::cloudfront:123456789012:distribution/costcenter

Cocokkan

 
"ForAllValues:ArnLike": {
  "logs:LogGeneratingResourceArns": [
    "arn:aws::cloudfront:123456789012:distribution/*",
    "arn:aws::cloudfront:123456789012:distribution/support*"
  ]
}
 
logs:LogGeneratingResourceArns:
  – arn:aws::cloudfront:123456789012:distribution/costcenter
  – arn:aws::cloudfront:123456789012:distribution/support2025

Cocokkan

 
"ForAllValues:ArnLike": {
  "logs:LogGeneratingResourceArns": [
    "arn:aws::cloudfront:123456789012:distribution/*",
    "arn:aws::cloudfront:123456789012:distribution/support*"
  ]
}
 
logs:LogGeneratingResourceArns:
  – arn:aws::cloudfront:123456789012:distribution/costcenter
  – arn:aws::cloudfront:123456789012:distribution/admin

Cocokkan

 
"ForAllValues:ArnLike": {
  "logs:LogGeneratingResourceArns": [
    "arn:aws::cloudfront:123456789012:distribution/*",
    "arn:aws::cloudfront:123456789012:distribution/support*"
  ]
}
 
logs:LogGeneratingResourceArns:
  – arn:aws::cloudfront:777788889999:distribution/costcenter

Tidak cocok

 
"ForAllValues:ArnLike": {
  "logs:LogGeneratingResourceArns": [
    "arn:aws::cloudfront:123456789012:distribution/*",
    "arn:aws::cloudfront:123456789012:distribution/support*"
  ]
}

Tidak logs:LogGeneratingResourceArns dalam konteks permintaan.

Cocokkan

ForAllValuesQualifier mengembalikan true jika tidak ada kunci konteks dalam permintaan atau jika nilai kunci konteks diselesaikan ke dataset null, seperti string kosong. Untuk mencegah kunci konteks yang hilang atau kunci konteks dengan nilai kosong dievaluasi menjadi true, Anda dapat menyertakan operator kondisi Null dalam kebijakan Anda dengan false nilai untuk memeriksa apakah kunci konteks ada dan nilainya tidak null.

... IfExists operator kondisi

Anda dapat menambahkan IfExists ke akhir nama operator kondisi apa pun kecuali kondisi Null —misalnya,. StringLikeIfExists Anda melakukan ini untuk mengatakan “Jika kunci kondisi ada dalam konteks permintaan, proses kunci seperti yang ditentukan dalam kebijakan. Jika kuncinya tidak ada, evaluasi elemen ketentuan sebagai benar." Elemen ketentuan lain dalam pernyataan ini masih dapat menghasilkan ketidakcocokkan, tetapi bukan kunci yang hilang saat diperiksa dengan ...IfExists. Jika Anda menggunakan "Effect": "Deny" elemen dengan operator kondisi dinegasikan sepertiStringNotEqualsIfExists, permintaan masih ditolak meskipun kunci kondisi tidak ada.

Contoh menggunakan IfExists

Banyak kunci kondisi menjelaskan informasi tentang tipe sumber daya tertentu dan hanya ada ketika mengakses tipe sumber daya tersebut. Kunci kepatuhan ini tidak ada pada tipe sumber daya lainnya. Hal ini tidak menyebabkan masalah ketika pernyataan kebijakan berlaku hanya pada satu tipe sumber daya. Namun, ada kasus ketika pernyataan tunggal dapat berlaku untuk beberapa tipe sumber daya, seperti ketika pernyataan kebijakan merujuk tindakan dari beberapa layanan atau ketika tindakan tertentu dalam layanan mengakses beberapa tipe sumber daya yang berbeda dalam layanan yang sama. Dalam kasus seperti itu, termasuk kunci kepatuhan yang berlaku hanya pada salah satu sumber daya dalam pernyataan kebijakan dapat menyebabkan elemen Condition dalam pernyataan kebijakan gagal sehingga pernyataan "Effect" tidak berlaku.

Misalnya, pertimbangkan contoh kebijakan berikut ini:

JSON
{
  "Version":"2012-10-17",
  "Statement": {
    "Sid": "THISPOLICYDOESNOTWORK",
    "Effect": "Allow",
    "Action": "ec2:RunInstances",
    "Resource": "*",
    "Condition": {"StringLike": {"ec2:InstanceType": [
      "t1.*",
      "t2.*",
      "m3.*"
    ]}}
  }
}

Mak sud dari kebijakan sebelumnya adalah untuk memungkinkan pengguna meluncurkan instance apa pun yang berjenist1, t2 ataum3. Namun, meluncurkan instance memerlukan akses ke banyak sumber daya selain instance itu sendiri; misalnya, gambar, pasangan kunci, grup keamanan, dan banyak lagi. Keseluruhan pernyataan dievaluasi terhadap setiap sumber daya yang diperlukan untuk meluncurkan instans. Sumber daya tambahan ini tidak memiliki kunci kondisi ec2:InstanceType, jadi StringLike gagal diperiksa, dan pengguna tidak diberi kemampuan untuk meluncurkan tipe instans mana pun.

Untuk mengatasi ini, gunakan operator ketentuan StringLikeIfExists. Dengan cara ini, pengujian hanya terjadi jika terdapat kunci kondisi. Anda dapat membaca kebijakan berikut sebagai: “Jika sumber daya yang diperiksa memiliki kunci kondisi, maka izinkan tindakan hanya jika nilai kunci dimulai dengant1.,t2., ataum3.. ec2:InstanceType Jika sumber daya yang diperiksa tidak memiliki kunci kondisi itu, jangan khawatir tentang hal tersebut.” Tanda bintang (*) dalam nilai kunci kondisi, bila digunakan dengan operator StringLikeIfExists kondisi, ditafsirkan sebagai wildcard untuk mencapai kecocokan string parSIAL. Pernyataan DescribeActions mencakup tindakan yang diperlukan untuk melihat instans di konsol.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "RunInstance",
      "Effect": "Allow",
      "Action": "ec2:RunInstances",
      "Resource": "*",
      "Condition": {
        "StringLikeIfExists": {
          "ec2:InstanceType": [
            "t1.*",
            "t2.*",
            "m3.*"
          ]
        }
      }
    },
    {
      "Sid": "DescribeActions",
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeImages",
        "ec2:DescribeInstances",
        "ec2:DescribeVpcs",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups"
      ],
      "Resource": "*"
    }
  ]
}

Tabel berikut menunjukkan cara AWS mengevaluasi kebijakan ini berdasarkan nilai kunci kondisi dalam permintaan Anda.

Kondisi kebijakan Permintaan konteks Hasil 
"StringLikeIfExists": {
  "ec2:InstanceType": [
    "t1.*",
    "t2.*",
    "m3.*"
  ]
}
 
ec2:InstanceType:
  – t1.micro

Cocokkan

 
"StringLikeIfExists": {
  "ec2:InstanceType": [
    "t1.*",
    "t2.*",
    "m3.*"
  ]
}
 
ec2:InstanceType:
  – m2.micro

Tidak cocok

 
"StringLikeIfExists": {
  "ec2:InstanceType": [
    "t1.*",
    "t2.*",
    "m3.*"
  ]
}

Tidak ec2:InstanceType dalam konteks permintaan.

Cocokkan

Operator ketentuan memeriksa keberadaan kunci kondisi

Gunakan operator Null kondisi untuk memeriksa apakah kunci kondisi tidak ada pada saat otorisasi. Dalam pernyataan kebijakan, gunakan true (kuncinya tidak ada — yaitu null) atau false (kunci ada dan nilainya tidak null).

Anda tidak dapat menggunakan variabel kebijakan dengan operator ketentuan Null.

Misalnya, Anda dapat menggunakan operator kondisi ini untuk menentukan apakah pengguna menggunakan kredentif sementara atau kredensialnya sendiri untuk membuat permintaan. Jika pengguna menggunakan kredensial sementara, maka kuncinya aws:TokenIssueTime ada dan memiliki nilai. Contoh berikut menunjukkan kondisi yang menyatakan bahwa pengguna harus menggunakan kredenSIAL sementara (kunci tidak boleh absen) agar pengguna dapat menggunakan Amazon EC2 API.

JSON
{
  "Version":"2012-10-17",
  "Statement":{
      "Action":"ec2:*",
      "Effect":"Allow",
      "Resource":"*",
      "Condition":{"Null":{"aws:TokenIssueTime":"false"}}
  }
}