Menggunakan tag dengan Amazon EFS

Mode fokus

Menggunakan tag dengan Amazon EFS - Sistem File Elastis Amazon

Memberi tanda pada sumber daya saat sumber daya dibuat Kontrol akses menggunakan tag Kontrol akses menggunakan tag

Anda dapat menggunakan tag untuk mengontrol akses ke sumber daya Amazon EFS dan menerapkan kontrol akses berbasis atribut (ABAC). Untuk informasi selengkapnya, lihat:

Menandai sumber daya EFS
Mengontrol akses berdasarkan tag pada sumber daya
Untuk apa ABAC? AWS di Panduan Pengguna IAM

catatan

Replikasi Amazon EFS tidak mendukung penggunaan tag untuk kontrol akses berbasis atribut (ABAC).

Untuk menerapkan tag ke resource Amazon EFS selama pembuatan, pengguna harus memiliki izin AWS Identity and Access Management (IAM) tertentu.

Memberikan izin untuk menandai sumber daya selama pembuatan

Tindakan tag-on create Amazon EFS API berikut memungkinkan Anda menentukan tag saat membuat resource.

CreateAccessPoint
CreateFileSystem

Untuk memungkinkan pengguna menandai sumber daya pada pembuatan, mereka harus memiliki izin untuk menggunakan tindakan yang membuat sumber daya, seperti elasticfilesystem:CreateAccessPoint atauelasticfilesystem:CreateFileSystem. Jika tag ditentukan dalam tindakan pembuatan sumber daya, AWS lakukan otorisasi tambahan pada elasticfilesystem:TagResource tindakan untuk memverifikasi apakah pengguna memiliki izin untuk membuat tag. Oleh karena itu, para pengguna juga harus memiliki izin eksplisit untuk menggunakan tindakan elasticfilesystem:TagResource.

Di dalam definisi kebijakan IAM untuk tindakan elasticfilesystem:TagResource, gunakan elemen Condition dengan kunci syarat elasticfilesystem:CreateAction untuk memberikan izin pemberian tanda pada tindakan yang membuat sumber daya.

contoh policy: Izinkan menambahkan tag ke sistem file hanya pada saat pembuatan

Contoh kebijakan berikut memungkinkan pengguna untuk membuat sistem file dan menerapkan tag kepada mereka hanya selama pembuatan. Pengguna tidak diizinkan untuk menandai sumber daya yang sudah ada (mereka tidak dapat memanggil tindakan elasticfilesystem:TagResource secara langsung).


{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "elasticfilesystem:CreateFileSystem"
      ],
      "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*"
    },
    {
      "Effect": "Allow",
      "Action": [
         "elasticfilesystem:TagResource"
      ],
      "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*",
      "Condition": {
         "StringEquals": {
             "elasticfilesystem:CreateAction": "CreateFileSystem"
          }
       }
    }
  ]
}

Menggunakan tag untuk mengontrol akses ke sumber daya Amazon EFS Anda

Untuk mengontrol akses ke sumber daya dan tindakan Amazon EFS, Anda dapat menggunakan kebijakan IAM berdasarkan tag. Anda dapat memberikan kontrol ini dengan dua cara:

Anda dapat mengontrol akses ke sumber daya Amazon EFS berdasarkan tag pada sumber daya tersebut.
Anda dapat mengontrol tag mana yang dapat diteruskan dalam kondisi permintaan IAM.

Untuk informasi tentang cara menggunakan tag untuk mengontrol akses ke AWS sumber daya, lihat Mengontrol akses menggunakan tag di Panduan Pengguna IAM.

Mengontrol akses berdasarkan tag pada sumber daya

Untuk mengontrol tindakan yang dapat dilakukan pengguna atau peran pada sumber daya Amazon EFS, Anda dapat menggunakan tag pada sumber daya. Misalnya, Anda mungkin ingin mengizinkan atau menolak operasi API tertentu pada sumber daya sistem file berdasarkan pasangan nilai kunci tag pada sumber daya.

contoh kebijakan: Buat sistem file hanya ketika tag tertentu digunakan

Contoh kebijakan berikut memungkinkan pengguna untuk membuat sistem file hanya ketika mereka menandainya dengan pasangan nilai kunci tag tertentu, dalam contoh ini,,key=Department. value=Finance


{
    "Effect": "Allow",
    "Action": [
        "elasticfilesystem:CreateFileSystem",
        "elasticfilesystem:TagResource"
    ],
    "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*",
    "Condition": {
        "StringEquals": {
            "aws:RequestTag/Department": "Finance"
        }
    }
}

contoh kebijakan: Hapus sistem file dengan tag tertentu

Contoh kebijakan berikut memungkinkan pengguna untuk menghapus hanya sistem file yang ditandai denganDepartment=Finance.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:DeleteFileSystem"
            ],
            "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        }
    ]
}