Ação Negar quando todas as conndições correspondem a strings

A política a seguir nega acesso à operação RegisterJobDefinition da API quando a chave de condição batch:Image (ID da imagem do contêiner) for "string1" e a chave de condição batch:LogDriver (driver de log do contêiner) for "string2." AWS Batch avalia as chaves de condição em cada contêiner. Quando um trabalho abrange vários contêineres, como um trabalho paralelo de vários nós, é possível que os contêineres tenham configurações diferentes. Se várias chaves de condição forem avaliadas em uma declaração, elas serão combinadas usando a lógica AND. Portanto, se alguma das várias chaves de condição não corresponder a um contêiner, o efeito Deny não será aplicado a esse contêiner. Em vez disso, um contêiner diferente no mesmo trabalho pode ser negado.

Para a lista de chaves de condição do AWS Batch, consulte Chaves de condição do AWS Batch na Referência de autorização do serviço. Com exceção de batch:ShareIdentifier, todas as chaves de condição do batch podem ser usadas dessa forma. A chave de condição batch:ShareIdentifier é definida para um trabalho, não para uma definição de trabalho.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": "batch:RegisterJobDefinition",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "batch:Image": "string1",
          "batch:LogDriver": "string2"
        }
      }
    }
  ]
}