Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo di tag con punti di accesso S3 per i bucket di directory

Un AWS tag è una coppia chiave-valore che contiene i metadati sulle risorse, in questo caso Amazon S3 Access Points per i bucket di directory. Puoi etichettare i punti di accesso quando li crei o gestire i tag sui punti di accesso esistenti. Per informazioni generali sui tag, consultaEtichettatura per l'allocazione dei costi o il controllo degli accessi basato sugli attributi (ABAC).

Metodi comuni per utilizzare i tag con punti di accesso per i bucket di directory

Il controllo degli accessi basato sugli attributi (ABAC) consente di scalare le autorizzazioni di accesso e concedere l'accesso ai punti di accesso per i bucket di directory in base ai relativi tag. Per ulteriori informazioni su ABAC in Amazon S3, consulta Utilizzo dei tag per ABAC.

ABAC per punti di accesso S3

Gli access point Amazon S3 supportano il controllo degli accessi basato sugli attributi (ABAC) tramite tag. Utilizza le chiavi di condizione basate su tag nelle policy AWS aziendali, IAM e Access Points. Per le aziende, ABAC in Amazon S3 supporta l'autorizzazione su più AWS account.

Nelle tue policy IAM, puoi controllare l'accesso ai punti di accesso per i bucket di directory in base ai tag del bucket utilizzando le seguenti chiavi di condizione globali:

Esempi di politiche ABAC per i punti di accesso per i bucket di directory

Vedi il seguente esempio di politiche ABAC per i punti di accesso per i bucket di directory.

1.1 - Politica IAM per creare o modificare punti di accesso con tag specifici

In questa policy IAM, gli utenti o i ruoli con questa policy possono creare punti di accesso solo se etichettano i punti di accesso con la chiave del tag project e il valore del tag Trinity nella richiesta di creazione del punto di accesso. Possono anche aggiungere o modificare tag sui punti di accesso esistenti per i bucket di directory, purché la TagResource richiesta includa la coppia chiave-valore del tag. project:Trinity

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateAccessPointWithTags",
      "Effect": "Allow",
      "Action": [
        "s3express:CreateAccessPoint",
        "s3express:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 - Politica degli Access Point per limitare le operazioni sul bucket utilizzando i tag

In questa policy sull'Access Point, i responsabili IAM (utenti e ruoli) possono eseguire operazioni utilizzando l'CreateSessionazione sul punto di accesso solo se il valore del project tag del punto di accesso corrisponde al valore del tag del project principale.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowObjectOperations",
      "Effect": "Allow",
      "Principal": {
        "AWS": "111122223333"
      },
      "Action": "s3express:CreateSession",
      "Resource": "arn:aws::s3express:region:111122223333:access-point/my-access-point",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        }
      }
    }
  ]
}

1.3 - Politica IAM per modificare i tag sulle risorse esistenti mantenendo la governance dei tag

In questa policy IAM, i responsabili IAM (utenti o ruoli) possono modificare i tag su un punto di accesso solo se il valore del project tag del punto di accesso corrisponde al valore del tag del principale. project Solo i quattro tag project e quelli cost-center specificati nelle chiavi di aws:TagKeys condizione sono consentiti per questi punti di accesso. environment owner Questo aiuta a far rispettare la governance dei tag, previene le modifiche non autorizzate dei tag e mantiene lo schema di tagging coerente su tutti i punti di accesso.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3express:TagResource"
      ],
      "Resource": "arn:aws::s3express:region:111122223333:accesspoint/my-access-point",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4 - Utilizzo di s3express: chiave di condizione AccessPointTag

In questa policy IAM, l'istruzione condition consente l'accesso ai dati del bucket solo se il punto di accesso utilizzato per accedere al bucket ha la chiave Environment del tag e il valore del tag. Production

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAccessToSpecificAccessPoint",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "arn:aws::s3express:region:111122223333:accesspoint/my-access-point",
      "Condition": {
        "StringEquals": {
          "s3express:AccessPointTag/Environment": "Production"
        }
      }
    }
  ]
}

Lavorare con i tag per i punti di accesso per i bucket di directory

Puoi aggiungere o gestire tag per i punti di accesso per i bucket di directory utilizzando la console Amazon S3, AWS l'interfaccia a riga di comando (CLI), AWS SDKs o utilizzando APIs TagResourceS3:, e. UntagResourceListTagsForResource Per ulteriori informazioni, consultare: