Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utilisation de balises avec des compartiments S3 à usage général

Une AWS balise est une paire clé-valeur qui contient des métadonnées relatives aux ressources, en l'occurrence des compartiments à usage général Amazon S3. Vous pouvez baliser des compartiments S3 lorsque vous les créez ou gérer des balises sur des compartiments existants. Pour plus d’informations sur les balises, consultez Balisage pour la répartition des coûts ou le contrôle d’accès par attributs (ABAC).

Méthodes courantes d'utilisation des balises avec des compartiments

Utilisez des balises sur vos compartiments S3 pour :

ABAC pour godets à usage général S3

Les compartiments à usage général Amazon S3 prennent en charge le contrôle d'accès basé sur les attributs (ABAC) à l'aide de balises. Utilisez des clés de condition basées sur des balises dans les politiques de votre AWS organisation, IAM et S3 bucket. Pour les entreprises, ABAC dans Amazon S3 prend en charge l'autorisation sur plusieurs AWS comptes.

Dans vos politiques IAM, vous pouvez contrôler l'accès aux compartiments S3 en fonction des balises du compartiment à l'aide des clés de condition globales suivantes :

Exemples de politiques ABAC pour les compartiments

Consultez les exemples de politiques ABAC suivants pour les compartiments Amazon S3.

1.1 - Politique IAM permettant de créer ou de modifier des compartiments avec des balises spécifiques

Dans cette politique IAM, les utilisateurs ou les rôles dotés de cette politique ne peuvent créer des compartiments S3 que s'ils étiquettent le compartiment avec la clé project et la valeur du tag Trinity dans la demande de création de compartiment. Ils peuvent également ajouter ou modifier des balises dans des compartiments S3 existants tant que la TagResource demande inclut la paire clé-valeur de balise. project:Trinity Cette politique n’accorde aucune autorisation de lecture, d’écriture ou de suppression sur les compartiments ou leurs objets.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateBucketWithTags",
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 - Politique de bucket pour restreindre les opérations

Dans cette politique de compartiment, les principaux IAM (utilisateurs et rôles) sont refusés s3:ListBucket et les s3:PutObject actions sur le compartiment sont interdites uniquement si la valeur de la project balise du compartiment correspond à la valeur de la project balise du principal. s3:GetObject

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyObjectOperations",
            "Effect": "Deny",
            "Principal": "*",
            "Action": ["s3:ListBucket",
                       "s3:GetObject",
                       "s3:PutObject"],
            "Resource": "arn:aws:s3:::aws-s3-demo/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
                }
            }
        }
    ]
}

1.3 - Politique IAM pour modifier les balises sur les ressources existantes

Dans cette politique IAM, les principaux IAM (utilisateurs ou rôles) peuvent modifier les balises d’un compartiment uniquement si la valeur de la balise project du compartiment correspond à la valeur de la balise project du principal. Seules les quatre balisesproject, environmentowner, et cost-center spécifiées dans les clés de aws:TagKeys condition sont autorisées pour ces compartiments. Cela permet de renforcer la gouvernance des balises, d’empêcher les modifications non autorisées des balises et de garantir la cohérence du schéma de balisage sur l’ensemble de vos compartiments.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3:TagResource",
        "s3:CreateBucket"
      ],
      "Resource": "*",
      "Condition": {
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4 - Utilisation de la touche de BucketTag condition s3 :

Dans cette politique IAM, l'instruction de condition autorise l'accès aux données du aws-s3-demo bucket uniquement si le bucket possède la clé Environment et la valeur Production de la balise.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAccessViaSpecificBucket",
      "Effect": "Allow",
      "Action": "*",
      "Resource": ["arn:aws:s3:::aws-s3-demo","arn:aws:s3:::aws-s3-demo/*"],
      "Condition": {
        "StringEquals": {
          "s3:BucketTag/Environment": "Production"
        }
      }
    }
  ]
}

Gestion des balises des compartiments à usage général

Vous pouvez ajouter ou gérer des balises pour les compartiments S3 à l'aide de la console Amazon S3, de l'interface de ligne de AWS commande (CLI), AWS des kits SDK ou à l'aide des API S3 : TagResource UntagResource, et. ListTagsForResource Pour en savoir plus, consultez :