リソース: いずれかの条件キーが文字列に一致した場合はアクションを拒否する

次のポリシーは、 へのアクセスを拒否します。 RegisterJobDefinition API batch:Image (コンテナイメージ ID) 条件キーがstring1「」の場合、または batch:LogDriver (コンテナログドライバー) 条件キーが「」である場合の オペレーションstring2。 ジョブがマルチノードの並列ジョブなどの複数のコンテナにまたがる場合、コンテナの設定が異なる場合があります。1 つのステートメントで複数の条件キーを評価する場合、条件キーは AND ロジックを使用して結合されます。そのため、1 つのコンテナで複数の条件キーのいずれかが一致しない場合、そのコンテナに Deny の効果は適用されません。それどころか、同じジョブ内の別のコンテナが拒否される可能性があります。

の条件キーのリストについては AWS Batch、「サービス認可リファレンス」の「 の条件キー AWS Batch」を参照してください。この方法は、batch:ShareIdentifier を除くすべての batch 条件キーで使用できます。(batch:ShareIdentifier 条件キーは、ジョブ定義ではなく、ジョブに対して定義されます)。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "batch:Image": [
            "string1"
          ]
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "batch:LogDriver": [
            "string2"
          ]
        }
      }
    }
  ]
}