Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Utilizzo dei tag con policy IAM
Puoi applicare autorizzazioni a livello di risorsa basate su tag nelle policy IAM che utilizzi per le azioni API di integrazione gestita. In questo modo è possibile controllare meglio le risorse che un utente può creare, modificare o utilizzare. Puoi utilizzare l'elemento Condition (denominato anche blocco Condition) con i seguenti valori e chiavi di contesto di condizione in una policy IAM per controllare l'accesso dell'utente (autorizzazione) in base ai tag della risorsa:
-
Utilizza
aws:ResourceTag/per concedere o negare agli utenti operazioni su risorse con specifici tag.tag-key:tag-value -
Utilizza
aws:RequestTag/per richiedere che un tag specifico venga utilizzato (o non utilizzato) durante la creazione di una richiesta API per creare o modificare una risorsa che abilita i tag.tag-key:tag-value -
Utilizza
aws:TagKeys: [per richiedere che un set di tag specifico venga utilizzato (o non utilizzato) durante la creazione di una richiesta API per creare o modificare una risorsa che abilita i tag.tag-key, ...]
Nota
Le chiavi e i valori del contesto delle condizioni in una policy IAM si applicano solo alle azioni di integrazione gestite in cui un identificatore per una risorsa che può essere etichettata è un parametro obbligatorio. Ad esempio, l'uso di non GetCustomEndpoint è consentito o negato sulla base delle chiavi e dei valori del contesto delle condizioni perché in questa richiesta non viene fatto riferimento a nessuna risorsa taggabile (oggetti gestiti, profili di provisioning, credenziali locker, attività over-the-air). Per ulteriori informazioni sulle risorse di integrazione gestita etichettabili e sulle chiavi di condizione che supportano, leggi la funzionalità Azioni, risorse e chiavi di condizione per le integrazioni gestite di. AWS IoTAWS IoT Device Management
Per ulteriori informazioni sull'utilizzo dei tag, consulta Controllo degli accessi tramite tag nella Guida per l'utente di AWS Identity and Access Management . La sezione relativa al riferimento alle policy JSON IAM della guida ha una sintassi dettagliata, descrizioni ed esempi di elementi, variabili e logica di valutazione delle policy JSON in IAM.
La seguente politica di esempio applica due restrizioni basate su tag per l'azione. CreateManagedThing Un utente IAM limitato da questa policy:
-
Impossibile creare un oggetto gestito con il tag «env=prod» (nell'esempio, vedi la riga).
"aws:RequestTag/env" : "prod" -
Impossibile modificare o accedere a un oggetto gestito che ha un tag esistente «env=prod» (nell'esempio, vedi la riga).
"aws:ResourceTag/env" : "prod"
È anche possibile specificare più valori di tag per una determinata chiave tag racchiudendoli in un elenco, come segue:
"StringEquals" : { "aws:ResourceTag/env" : ["dev", "test"] }
Nota
Se consenti o neghi a un utente l'accesso a risorse in base ai tag, devi considerare esplicitamente di negare agli utenti la possibilità di aggiungere o rimuovere tali tag dalle stesse risorse. In caso contrario, un utente può eludere le restrizioni e ottenere l'accesso a una risorsa modificandone i tag.
