Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

# Menggunakan tanda dengan kebijakan IAM
<a name="tagging-iot-iam"></a>

Anda dapat menerapkan izin tingkat sumber daya berbasis tag dalam kebijakan IAM yang Anda gunakan untuk tindakan API. AWS IoT Hal ini memberi Anda kontrol yang lebih baik atas sumber daya yang dapat dibuat, dimodifikasi, atau digunakan oleh pengguna. Anda menggunakan elemen `Condition` (juga disebut blok `Condition`) dengan kunci konteks syarat berikut dan nilai-nilai dalam kebijakan IAM untuk mengontrol akses pengguna (izin) berdasarkan tanda sumber daya: 
+ Gunakan `aws:ResourceTag/tag-key: tag-value` untuk mengizinkan atau menolak tindakan pengguna pada sumber daya dengan tag tertentu.
+ Gunakan `aws:RequestTag/tag-key: tag-value` untuk mengharuskan tag tertentu digunakan (atau tidak digunakan) saat membuat permintaan API untuk membuat atau memodifikasi sumber daya yang memungkinkan tag.
+ Gunakan `aws:TagKeys: [tag-key, ...]` untuk mengharuskan sekumpulan kunci tag tertentu digunakan (atau tidak digunakan) saat membuat permintaan API untuk membuat atau memodifikasi sumber daya yang memungkinkan tag.

**catatan**  
Kunci konteks kondisi dan nilai dalam kebijakan IAM hanya berlaku untuk AWS IoT tindakan tersebut di mana pengidentifikasi untuk sumber daya yang mampu diberi tag adalah parameter wajib. Misalnya, penggunaan tidak [DescribeEndpoint](https://docs.aws.amazon.com//iot/latest/apireference/API_DescribeEndpoint)diizinkan atau ditolak berdasarkan kunci dan nilai konteks kondisi karena tidak ada sumber daya yang dapat diberi tag (grup benda, tipe benda, aturan topik, pekerjaan, atau profil keamanan) yang direferensikan dalam permintaan ini. Untuk informasi selengkapnya tentang AWS IoT sumber daya yang dapat diberi tag dan kunci kondisi yang didukungnya, baca [kunci Tindakan, sumber daya, dan kondisi](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsiot.html). AWS IoT

Untuk informasi selengkapnya tentang penggunaan tag, lihat [Mengontrol Akses Menggunakan Tag](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_tags.html) di *Panduan AWS Identity and Access Management Pengguna*. Bagian [Referensi Kebijakan IAM JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html) dari panduan itu memiliki sintaks terperinci, deskripsi, dan contoh elemen, variabel, dan logika evaluasi kebijakan JSON di IAM.

Kebijakan contoh berikut menerapkan dua batasan berbasis tag untuk `ThingGroup` tindakan tersebut. Pengguna IAM dibatasi oleh kebijakan ini:
+ Tidak dapat membuat sesuatu mengelompokkan tag “env=prod” (dalam contoh, lihat baris). `"aws:RequestTag/env" : "prod"`
+ Tidak dapat memodifikasi atau mengakses grup benda yang memiliki tag “env=prod” yang ada (dalam contoh, lihat baris). `"aws:ResourceTag/env" : "prod"`

****  

```
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "iot:CreateThingGroup",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/env": "prod"
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": [
        "iot:CreateThingGroup",
        "iot:DeleteThingGroup",
        "iot:DescribeThingGroup",
        "iot:UpdateThingGroup"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/env": "prod"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "iot:CreateThingGroup",
        "iot:DeleteThingGroup",
        "iot:DescribeThingGroup",
        "iot:UpdateThingGroup"
      ],
      "Resource": "*"
    }
  ]
}
```

Anda juga dapat menentukan beberapa nilai tag untuk kunci tag tertentu dengan melampirkannya dalam daftar, seperti ini: 

```
            "StringEquals" : {
              "aws:ResourceTag/env" : ["dev", "test"]
            }
```

**catatan**  
Jika Anda mengizinkan atau menolak akses para pengguna ke sumber daya berdasarkan tanda, maka Anda harus mempertimbangkan untuk menolak secara eksplisit memberikan kemampuan kepada pengguna untuk menambahkan atau menghapus tanda tersebut dari sumber daya yang sama. Jika tidak, pengguna dapat mengakali pembatasan Anda dan mendapatkan akses atas sumber daya dengan melakukan modifikasi pada tanda dari sumber daya tersebut.