Usando pontos de acesso em IAM políticas

Você pode usar uma IAM política para impor que um NFS cliente específico, identificado por sua IAM função, só possa acessar um ponto de acesso específico. Para fazer isso, você usa a chave de elasticfilesystem:AccessPointArn IAM condição. AccessPointArnÉ o Amazon Resource Name (ARN) do ponto de acesso com o qual o sistema de arquivos está montado.

Veja a seguir um exemplo de uma política de sistema de arquivos que permite que app1 a IAM função acesse o sistema de arquivos usando o ponto de acessofsap-01234567. A política também permite que app2 use o sistema de arquivos com o ponto de acesso fsap-89abcdef.

{
    "Version": "2012-10-17",
    "Id": "MyFileSystemPolicy",
    "Statement": [
        {
            "Sid": "App1Access",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/app1" },
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Condition": {
                "StringEquals": {
                    "elasticfilesystem:AccessPointArn" : "arn:aws:elasticfilesystem:us-east-1:222233334444:access-point/fsap-01234567"
                }
            }
        },
        {
            "Sid": "App2Access",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/app2" },
            "Action": [
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:ClientWrite"
            ],
            "Condition": {
                "StringEquals": {
                    "elasticfilesystem:AccessPointArn" : "arn:aws:elasticfilesystem:us-east-1:222233334444:access-point/fsap-89abcdef"
                }
            }
        }
    ]
}