View a markdown version of this page

Menggunakan tag dengan bucket direktori S3 - Amazon Simple Storage Service
Cara umum untuk menggunakan tag dengan bucket direktoriMengelola tag untuk bucket direktori

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan tag dengan bucket direktori S3

AWS Tag adalah pasangan nilai kunci yang menyimpan metadata tentang sumber daya, dalam hal ini bucket direktori Amazon S3. Anda dapat menandai bucket direktori S3 saat Anda membuatnya atau mengelola tag pada bucket direktori yang ada. Untuk informasi umum tentang tag, lihatPenandaan untuk alokasi biaya atau kontrol akses berbasis atribut (ABAC).

catatan

Tidak ada biaya tambahan untuk menggunakan tag pada bucket direktori di luar tarif permintaan API S3 standar. Untuk informasi selengkapnya, lihat Harga Amazon S3.

Cara umum untuk menggunakan tag dengan bucket direktori

Gunakan tag pada bucket direktori S3 Anda untuk:

  1. Alokasi biaya — Lacak biaya penyimpanan berdasarkan tag bucket AWS Manajemen Penagihan dan Biaya. Untuk informasi selengkapnya, lihat Menggunakan tag untuk alokasi biaya.

  2. Attribute-based kontrol akses (ABAC) — Menskalakan izin akses dan berikan akses ke bucket direktori S3 berdasarkan tag mereka. Untuk informasi selengkapnya, lihat Menggunakan tag untuk ABAC.

catatan

Anda dapat menggunakan tanda yang sama untuk alokasi biaya dan kontrol akses.

ABAC untuk bucket direktori S3

Bucket direktori Amazon S3 mendukung kontrol akses berbasis atribut (ABAC) menggunakan tag. Gunakan kunci kondisi berbasis tag di kebijakan bucket direktori AWS organisasi, IAM, dan S3 Anda. Untuk perusahaan, ABAC di Amazon S3 mendukung otorisasi di beberapa AWS akun.

Dalam kebijakan IAM, Anda dapat mengontrol akses ke bucket direktori S3 berdasarkan tag bucket dengan menggunakan kunci kondisi global berikut:

  • aws:ResourceTag/key-name

    • Gunakan kunci ini untuk membandingkan pasangan kunci-nilai tag yang Anda tentukan dalam kebijakan dengan pasangan kunci-nilai yang dilampirkan ke sumber daya. Misalnya, Anda dapat meminta agar akses ke sumber daya hanya diperbolehkan jika sumber daya memiliki kunci tanda yang dilampirkan Dept dengan nilai Marketing. Untuk informasi selengkapnya, lihat Meng ontrol akses ke AWS sumber daya.

  • aws:RequestTag/key-name

    • Gunakan kunci ini untuk membandingkan pasangan nilai kunci tanda yang diteruskan dalam permintaan dengan pasangan tanda yang Anda sebutkan dalam kebijakan. Misalnya, Anda dapat memeriksa apakah permintaan tersebut menyertakan kunci tanda Dept dan memiliki nilai Accounting. Untuk informasi selengkapnya, lihat Mengontrol akses selama AWS permintaan. Anda dapat menggunakan kunci kondisi ini untuk membatasi pasangan kunci-nilai tag mana yang dapat dilewatkan selama operasi TagResource dan CreateBucket API.

  • aws:TagKeys

    • Gunakan kunci ini untuk membandingkan kunci tanda dalam permintaan dengan kunci yang Anda sebutkan dalam kebijakan. Sebaiknya jika Anda menggunakan kebijakan untuk mengontrol akses menggunakan tag, gunakan kunci aws:TagKeys kondisi untuk menentukan kunci tag apa yang diizinkan. Misalnya kebijakan dan informasi selengkapnya, lihat Mengontrol akses berdasarkan kunci tag. Anda dapat membuat bucket direktori S3 dengan tag. Untuk mengizinkan penand CreateBucket aan selama operasi API, Anda harus membuat kebijakan yang mencakup s3express:CreateBucket tindakan s3express:TagResource dan. Anda kemudian dapat menggunakan kunci aws:TagKeys kondisi untuk menerapkan menggunakan tag tertentu dalam CreateBucket permintaan.

  • s3express:BucketTag/tag-key

    • Gunakan kunci kondisi ini untuk memberikan izin ke data tertentu dalam bucket direktori menggunakan tag. Saat mengakses bucket direktori dengan menggunakan titik akses, kunci kondisi ini mereferensikan tag pada bucket direktori baik saat mengotorisasi terhadap titik akses dan bucket direktori, sementara itu aws:ResourceTag/tag-key akan mereferensikan tag hanya dari sumber daya yang diotorisasi.

Contoh kebijakan ABAC untuk bucket direktori

Lihat contoh kebijakan ABAC berikut untuk bucket direktori Amazon S3.

1.1 - Kebijakan IAM untuk membuat atau memodifikasi bucket dengan tag tertentu

Dalam kebijakan IAM ini, pengguna atau peran dengan kebijakan ini hanya dapat membuat bucket direktori S3 jika mereka menandai bucket dengan kunci tag project dan nilai tag Trinity dalam permintaan pembuatan bucket. Mereka juga dapat menambahkan atau memodifikasi tag pada bucket direktori S3 yang ada selama TagResource permintaan menyertakan pasangan nilai kunci tag. project:Trinity Kebijakan ini tidak memberikan izin baca, tulis, atau hapus pada bucket atau objeknya. 

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateBucketWithTags",
      "Effect": "Allow",
      "Action": [
        "s3express:CreateBucket",
        "s3express:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 - Kebijakan bucket untuk membatasi operasi pada bucket menggunakan tag

Dalam kebijakan bucket ini, prinsipal IAM (pengguna dan peran) dapat melakukan operasi menggunakan CreateSession tindakan pada bucket hanya jika nilai project tag bucket cocok dengan nilai tag kepala project sekolah.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowObjectOperations",
      "Effect": "Allow",
      "Principal": {
        "AWS": "111122223333"
      },
      "Action": "s3express:CreateSession",
      "Resource": "arn:aws::s3express:us-west-2:111122223333:bucket/amzn-s3-demo-bucket--usw2-az1--x-s3",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        }
      }
    }
  ]
}

1.3 - Kebijakan IAM untuk memodifikasi tag pada sumber daya yang ada dengan mempertahankan tata kelola penandaan

Dalam kebijakan IAM ini, prinsipal IAM (pengguna atau peran) dapat memodifikasi tag pada bucket hanya jika nilai project tag bucket cocok dengan nilai tag kepala sekolah. project Hanya empat tagproject,, environmentowner, dan yang cost-center ditentukan dalam kunci aws:TagKeys kondisi yang diizinkan untuk bucket direktori ini. Ini membantu menegakkan tata kelola tag, mencegah modifikasi tag yang tidak sah, dan menjaga skema penandaan tetap konsisten di seluruh bucket Anda.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3express:TagResource"
      ],
      "Resource": "arn:aws::s3express:us-west-2:111122223333:bucket/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4 - Menggunakan s3express: kunci kondisi BucketTag

Dalam kebijakan IAM ini, pernyataan kondisi mengizinkan akses ke data bucket hanya jika bucket memiliki kunci tag Environment dan nilai Production tag. 

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAccessToSpecificAccessPoint",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "arn:aws::s3express:us-west-2:111122223333:accesspoint/*",
      "Condition": {
        "StringEquals": {
          "s3express:BucketTag/Environment": "Production"
        }
      }
    }
  ]
}

Mengelola tag untuk bucket direktori

Anda dapat menambahkan atau mengelola tag untuk bucket direktori S3 menggunakan Amazon S3 Console, AWS Command Line Interface (CLI), AWS SDK, atau menggunakan API S3: TagResource, UntagResource, dan. ListTagsForResource Untuk informasi selengkapnya, lihat:

Topik