Amazon EFS でのタグの使用

タグを使用すると、Amazon EFS リソースへのアクセスをコントロールしたり、属性ベースのアクセスコントロール (ABAC) を実装したりできます。詳細については、以下を参照してください。

作成中に Amazon EFS リソースにタグを適用するには、ユーザーは特定の AWS Identity and Access Management (IAM) 許可を持っている必要があります。

リソース作成時にタグ付けするアクセス許可の付与

次の作成時のタグ付けの Amazon EFS API アクションを使用すると、リソースの作成時にタグを指定できます。

ユーザーが作成時にリソースにタグを付けることができるようにするには、elasticfilesystem:CreateAccessPoint や elasticfilesystem:CreateFileSystem などのリソースを作成するアクションを使用するためのアクセス許可が必要です。リソース作成アクションでタグが指定されている場合、 はelasticfilesystem:TagResourceアクションに対して追加の認可 AWS を実行して、ユーザーがタグを作成するアクセス許可を持っているかどうかを確認します。そのため、ユーザーにはelasticfilesystem:TagResource アクションを使用する明示的なアクセス権限が必要です。

elasticfilesystem:TagResource アクションの IAM ポリシー定義で、Condition 要素と elasticfilesystem:CreateAction 条件キーを使用して、リソースを作成するアクションにタグ付けのアクセス許可を付与します。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "elasticfilesystem:CreateFileSystem"
      ],
      "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*"
    },
    {
      "Effect": "Allow",
      "Action": [
         "elasticfilesystem:TagResource"
      ],
      "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*",
      "Condition": {
         "StringEquals": {
             "elasticfilesystem:CreateAction": "CreateFileSystem"
          }
       }
    }
  ]
}

タグを使用した Amazon EFS リソースへのアクセスのコントロール

Amazon EFS とアクションへのアクセスをコントロールするには、タグに基づいて IAM ポリシーを使用できます。コントロールは 2 つの方法で可能です。

タグを使用して AWS リソースへのアクセスを制御する方法については、IAM ユーザーガイドのタグを使用したアクセスの制御を参照してください。

リソースのタグに基づいてアクセスをコントロールする

ユーザーまたはロールが Amazon EFS リソースで実行できるアクションをコントロールするには、リソースでタグを使用できます。例えば、リソースのタグのキーバリューのペアに基づいて、ファイルシステムリソースに対する特定の API オペレーションを許可または拒否することが必要な場合があります。

このポリシー例により、ユーザーは、特定のタグとキーと値のペア (この例では、key=Department、value=Finance) でタグ付けした場合にのみ、ファイルシステムを作成できます。

{
    "Effect": "Allow",
    "Action": [
        "elasticfilesystem:CreateFileSystem",
        "elasticfilesystem:TagResource"
    ],
    "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*",
    "Condition": {
        "StringEquals": {
            "aws:RequestTag/Department": "Finance"
        }
    }
}

このポリシー例により、ユーザーは Department=Finance でタグ付けされたファイルシステムのみを削除できます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:DeleteFileSystem"
            ],
            "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        }
    ]
}