Recurso: Negar ação quando qualquer chave de condição corresponder às strings

A política a seguir nega acesso ao RegisterJobDefinitionOperação de API quando a chave de condição batch:Image (ID da imagem do contêiner) é "string1" ou a chave de condição batch:LogDriver (driver de registro do contêiner) é "”string2. Quando um trabalho abrange vários contêineres, como um trabalho paralelo de vários nós, é possível que os contêineres tenham configurações diferentes. Se várias chaves de condição forem avaliadas em uma declaração, elas serão combinadas usando a lógica AND. Portanto, se alguma das várias chaves de condição não corresponder a um contêiner, o efeito Deny não será aplicado a esse contêiner. Em vez disso, um contêiner diferente no mesmo trabalho pode ser negado.

Para obter a lista de chaves de condição para AWS Batch, consulte Chaves de condição para AWS Batch na Referência de autorização de serviço. Com exceção de batch:ShareIdentifier, todas as chaves de condição do batch podem ser usadas dessa forma. (A chave de condição batch:ShareIdentifier é definida para um trabalho, não para uma definição de trabalho.)

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "batch:Image": [
            "string1"
          ]
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": [
        "batch:RegisterJobDefinition"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringEquals": {
          "batch:LogDriver": [
            "string2"
          ]
        }
      }
    }
  ]
}