Amazon FSx에서 태그 사용 - FSx for ONTAP
생성 시 리소스에 태그 지정태그를 사용한 액세스 제어

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon FSx에서 태그 사용

태그를 사용하여 Amazon FSx 리소스에 대한 액세스를 제어하고 ABAC(속성 기반 액세스 제어)를 구현할 수 있습니다. 생성 중에 Amazon FSx 리소스에 태그를 적용하려면 사용자에게 AWS Identity and Access Management (IAM) 권한이 있어야 합니다.

생성 시 리소스 태그 지정에 대한 권한 부여

일부 리소스 생성 Amazon FSx API 작업에서는 리소스를 생성할 때 태그를 지정할 수 있습니다. 이러한 리소스 태그를 사용하여 속성 기반 액세스 제어(ABAC)를 구현할 수 있습니다. 자세한 내용은 ABAC의 용도를 참조하십시오. AWS IAM 사용 설명서에서

사용자가 생성 시 리소스에 태그를 지정할 수 있으려면 리소스를 생성하는 작업을 사용할 권한이 있어야 합니다(예: fsx:CreateFileSystem, fsx:CreateStorageVirtualMachine 또는 fsx:CreateVolume). 리소스 생성 작업에서 태그가 지정되면 IAM은 fsx:TagResource 작업에서 추가 권한 부여를 수행하여 사용자에게 태그를 생성할 권한이 있는지 확인합니다. 따라서 사용자는 fsx:TagResource 작업을 사용할 명시적 권한도 가지고 있어야 합니다.

다음 예제 정책은 사용자가 파일 시스템 및 SVM (스토리지 가상 머신) 을 생성하고 특정 SVM (스토리지 가상 머신) 을 생성하는 동안 해당 시스템에 태그를 적용할 수 있도록 허용합니다. AWS 계정

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "fsx:CreateFileSystem",
         "fsx:CreateStorageVirtualMachine",
         "fsx:TagResource"       
      ],
      "Resource": [
         "arn:aws:fsx:region:account-id:file-system/*",
         "arn:aws:fsx:region:account-id:file-system/*/storage-virtual-machine/*"
      ]
    }
  ]
}

마찬가지로 다음 정책은 사용자가 특정 파일 시스템에 백업을 생성하고 백업 생성 도중 백업에 임의의 태그를 적용하는 것을 허용합니다.

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "fsx:CreateBackup"
      ],
      "Resource": "arn:aws:fsx:region:account-id:file-system/file-system-id*"
    },
    {
      "Effect": "Allow",
      "Action": [
         "fsx:TagResource"
      ],
      "Resource": "arn:aws:fsx:region:account-id:backup/*"
    }
  ]
}

fsx:TagResource 작업은 리소스 생성 작업 도중 태그가 적용되는 경우에만 평가됩니다. 따라서 리소스를 생성할 권한이 있는 사용자(태그 지정 조건은 없다고 가정)는 요청에서 태그가 지정되지 않은 경우, fsx:TagResource 작업을 사용할 권한이 필요하지 않습니다. 하지만 사용자가 태그를 사용하여 리소스 생성을 시도하는 경우, 사용자에게 fsx:TagResource 작업을 사용할 권한이 없다면 요청은 실패합니다.

Amazon FSx 리소스 태그 지정에 대한 자세한 내용은 Amazon FSx 리소스 태그 지정 섹션을 참조하세요. 태그를 사용하여 Amazon FSx 리소스에 대한 액세스를 제어하는 방법에 대한 자세한 내용은 태그를 사용하여 Amazon FSx 리소스에 대한 액세스 제어 섹션을 참조하세요.

태그를 사용하여 Amazon FSx 리소스에 대한 액세스 제어

Amazon FSx 리소스 및 작업에 대한 액세스를 제어하려면 태그를 기반으로 IAM 정책을 사용할 수 있습니다. 두 가지 방법으로 제어할 수 있습니다.

  • Amazon FSx 리소스의 태그를 기반으로 리소스에 대한 액세스를 제어할 수 있습니다.

  • IAM 요청 조건에 어떤 태그가 전달될 수 있는지를 제어할 수 있습니다.

태그를 사용하여 AWS 리소스에 대한 액세스를 제어하는 방법에 대한 자세한 내용은 IAM 사용 설명서의 태그를 사용한 액세스 제어를 참조하십시오. 생성 시 Amazon FSx 리소스 태그 지정에 대한 자세한 내용은 생성 시 리소스 태그 지정에 대한 권한 부여 섹션을 참조하세요. 리소스 태그 지정에 대한 자세한 내용은 Amazon FSx 리소스 태그 지정 섹션을 참조하세요.

리소스의 태그를 기반으로 액세스 제어

사용자나 역할이 Amazon FSx 리소스에서 어떤 작업을 수행할 수 있는지를 제어하기 위해 리소스의 태그를 사용할 수 있습니다. 예를 들어, 파일 시스템 리소스에 있는 태그의 키-값 페어를 기반으로 해당 리소스에서 특정 API 작업을 허용하거나 거부할 수 있습니다.

예제 정책 - 특정 태그를 사용하는 경우에만 파일 시스템 생성

이 정책을 통해 사용자가 특정 태그 키-값 페어(이 예제에서는 key=Department, value=Finance)로 태그를 지정하는 경우에만 파일 시스템을 생성할 수 있습니다.

{
    "Effect": "Allow",
    "Action": [
        "fsx:CreateFileSystem",
        "fsx:TagResource"
    ],
    "Resource": "arn:aws:fsx:region:account-id:file-system/*",
    "Condition": {
        "StringEquals": {
            "aws:RequestTag/Department": "Finance"
        }
    }
}
예제 정책 — 특정 태그가 있는 ONTAP NetApp 볼륨에 대한 Amazon FSx 백업만 생성합니다.

이 정책을 통해 사용자는 키-값 페어 key=Department, value=Finance로 태그가 지정된 FSx for ONTAP 볼륨에 대한 백업만 생성할 수 있습니다. 백업은 Department=Finance 태그를 사용하여 생성됩니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:CreateBackup"
            ],
            "Resource": "arn:aws:fsx:region:account-id:volume/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "fsx:TagResource",
                "fsx:CreateBackup"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/Department": "Finance"
                }
            }
        }
     
    ]
}
예제 정책 - 특정 태그가 있는 백업에서 특정 태그가 포함된 볼륨 생성

이 정책을 통해 사용자는 Department=Finance 태그가 지정된 백업에서만 Department=Finance 태그가 지정된 볼륨을 생성할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:CreateVolumeFromBackup",
                "fsx:TagResource"
            ],
            "Resource": "arn:aws:fsx:region:account-id:volume/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/Department": "Finance"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "fsx:CreateVolumeFromBackup"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        }
    ]
}
예제 정책 - 특정 태그가 있는 파일 시스템 삭제

이 정책은 사용자가 Department=Finance 태그가 지정된 파일 시스템만 삭제하도록 허용합니다. 최종 백업을 생성하는 경우 Department=Finance 태그를 지정해야 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:DeleteFileSystem"
            ],
            "Resource": "arn:aws:fsx:region:account-id:file-system/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "fsx:TagResource"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/Department": "Finance"
                }
            }
        }
    ]
}
예제 정책 - 특정 태그가 있는 볼륨 삭제

이 정책을 통해 사용자는 Department=Finance 태그가 지정된 볼륨만 삭제할 수 있습니다. 최종 백업을 생성하는 경우 Department=Finance 태그를 지정해야 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:DeleteVolume"
            ],
            "Resource": "arn:aws:fsx:region:account-id:volume/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "fsx:TagResource"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/Department": "Finance"
                }
            }
        }
    ]
}