使用標籤型存取控制

Amazon ECR CreateRepository API 動作可讓您在建立存放庫時指定標籤。如需詳細資訊，請參閱在 Amazon 中標記私有存儲庫 ECR。

若要讓使用者在建立時標記儲存庫，他們必須具備建立資源之動作 (如 ecr:CreateRepository) 的使用許可。若標籤於資源建立動作指定，Amazon 會針對 ecr:CreateRepository 動作執行其他授權，以確認使用者具備建立標籤的許可。

您可以透過原則使用以標籤為基礎的存取控IAM制。範例如下。

以下政策只允許使用者將儲存庫建立或標記為 key=environment,value=dev。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateTaggedRepository",
            "Effect": "Allow",
            "Action": [
                "ecr:CreateRepository"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/environment": "dev"
                }
            }
        },
        {
            "Sid": "AllowTagRepository",
            "Effect": "Allow",
            "Action": [
                "ecr:TagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/environment": "dev"
                }
            }
        }
    ]
}

以下政策允許使用者存取所有儲存庫，除非被標記為 key=environment,value=prod。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ecr:*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "ecr:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ecr:ResourceTag/environment": "prod"
                }
            }
        }
    ]
}