Uso de claves de condición de IAM con Amazon Aurora DSQL
El elemento Condition (o bloque de Condition) especifica las condiciones en las que entra en vigor una instrucción de política. Las expresiones condicionales se crean con operadores de condición, como StringEquals o StringLike, para hacer coincidir las claves de la política con los valores de la solicitud. Las claves de condición son diferentes del ámbito del ARN del recurso, que restringe las acciones a recursos específicos mediante el elemento Resource.
Amazon Aurora DSQL admite claves de condición específicas de cada servicio y claves de condición globales de AWS. Puede utilizar estas claves para precisar las condiciones en las que se aplican las instrucciones de la política de IAM. Para obtener más información acerca de las claves de condición globales de AWS, consulte Claves de contexto de condición global de AWS en la Guía del usuario de IAM.
Claves de condición disponibles para Amazon Aurora DSQL
Amazon Aurora DSQL admite las claves de condición específicas del servicio dsql:WitnessRegion, dsql:FisActionId y dsql:FisTargetArns. También puede utilizar claves de condición globales de AWS, como aws:RequestTag, aws:ResourceTag y aws:TagKeys. Para obtener una lista completa de las acciones, claves de condición y recursos de Amazon Aurora DSQL que puede especificar en las políticas, consulte Acciones, recursos y claves de condición para Amazon Aurora DSQL en la Información de Autorización de los Servicios.
Ejemplo: Restringir la región testigo en clústeres multirregionales
La siguiente política utiliza la clave de condición dsql:WitnessRegion para restringir la creación de clústeres multirregionales a los casos en los que la región testigo sea el oeste de EE. UU. (Oregón). Sin esta condición, puede especificar cualquier región como la región testigo.
La primera instrucción aplica la condición dsql:WitnessRegion a las acciones que la admiten (dsql:CreateCluster y dsql:PutWitnessRegion). La segunda instrucción concede dsql:PutMultiRegionProperties y dsql:AddPeerCluster sin la condición porque la clave de condición dsql:WitnessRegion solo se aplica a dsql:CreateCluster y dsql:PutWitnessRegion.
Ejemplo: Requerir etiquetas al crear clústeres
La siguiente política utiliza las claves de condición aws:RequestTag y aws:TagKeys para requerir una etiqueta Environment al crear clústeres.
Esta política utiliza dos claves de condición juntas. La condición aws:RequestTag/Environment requiere que la etiqueta Environment tenga uno de los valores permitidos. La condición aws:TagKeys con el operador de conjunto ForAllValues garantiza que la solicitud incluya solo las claves de etiqueta Environment y Owner.
Ejemplo: Restringir la inyección de errores a clústeres específicos
La siguiente política utiliza las claves de condición dsql:FisActionId y dsql:FisTargetArns para restringir la inyección de errores AWS FIS a una acción y un clúster de destino específicos.
La condición dsql:FisActionId restringe las acciones de inyección de errores que puede realizar. La condición dsql:FisTargetArns utiliza el operador de conjunto ForAllValues y el operador ArnLike. Juntos, garantizan que todos los ARN de clúster de la solicitud coincidan con el patrón permitido. Esto bloquea cualquier solicitud que incluya ARN de clúster fuera del ámbito previsto.
