Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo di tag con Punti di accesso S3 per bucket di directory

Un AWS tag è una coppia chiave-valore che contiene i metadati sulle risorse, in questo caso Amazon S3 Access Points per i bucket di directory. È possibile applicare i tag ai punti di accesso al momento della creazione o gestire i tag dei punti di accesso esistenti. Per informazioni generali sui tag, consulta Tagging per l’allocazione dei costi o il controllo degli accessi basato su attributi (ABAC).

Metodi comuni per utilizzare i tag con i punti di accesso per bucket di directory

Il controllo degli accessi basato su attributi (ABAC) consente di scalare le autorizzazioni di accesso e fornire l’accesso ai punti di accesso per bucket di directory in base ai relativi tag. Per ulteriori informazioni su ABAC in Amazon S3, consulta Utilizzo dei tag per ABAC.

ABAC per Punti di accesso S3

Punti di accesso Amazon S3 supporta il controllo degli accessi basato su attributi (ABAC) tramite tag. Utilizza le chiavi di condizione basate su tag nelle policy delle tue AWS organizzazioni, di IAM e di Access Points. Per le aziende, ABAC in Amazon S3 supporta l'autorizzazione su più AWS account.

Nelle policy IAM, è possibile controllare l’accesso ai punti di accesso per bucket di directory in base ai tag del bucket utilizzando le seguenti chiavi di condizione globali:

Esempi di policy ABAC per i punti di accesso per bucket di directory

Di seguito sono riportati esempi di policy ABAC per i punti di accesso per bucket di directory.

1.1 - Policy IAM per creare o modificare punti di accesso con tag specifici

In questa policy IAM, gli utenti o i ruoli con questa policy possono creare punti di accesso solo se applicano ai punti di accesso i tag con la chiave di tag project e il valore di tag Trinity nella richiesta di creazione dei punti di accesso. Possono anche aggiungere o modificare i tag sui punti di accesso esistenti per i bucket di directory, purché la richiesta TagResource includa la coppia chiave-valore project:Trinity del tag.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "CreateAccessPointWithTags",
      "Effect": "Allow",
      "Action": [
        "s3express:CreateAccessPoint",
        "s3express:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 - Policy del punto di accesso per limitare le operazioni sul bucket con tag

In questa policy del punto di accesso, i principali IAM (utenti e ruoli) possono eseguire operazioni utilizzando l’azione CreateSession sul punto di accesso solo se il valore del tag project del punto di accesso corrisponde al valore del tag project del principale.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowObjectOperations",
      "Effect": "Allow",
      "Principal": {
        "AWS": "111122223333"
      },
      "Action": "s3express:CreateSession",
      "Resource": "arn:aws::s3express:region:111122223333:access-point/my-access-point",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        }
      }
    }
  ]
}

1.3 - Policy IAM per modificare i tag sulle risorse esistenti mantenendo la governance dei tag

In questa policy IAM, i principali IAM (utenti o ruoli) possono modificare i tag su un punto di accesso solo se il valore del tag project del punto di accesso corrisponde al valore del tag project del principale. Solo i quattro tag project, environment, owner e cost-center specificati nelle chiavi di condizione aws:TagKeys sono consentiti per questi punti di accesso. Ciò aiuta a rafforzare la governance dei tag, impedisce modifiche non autorizzate dei tag e mantiene lo schema di tagging coerente tra i punti di accesso.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3express:TagResource"
      ],
      "Resource": "arn:aws::s3express:region:111122223333:accesspoint/my-access-point",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4 - Uso di s3express: chiave condizionale AccessPointTag

In questa policy IAM, l’istruzione di condizione consente l’accesso ai dati del bucket solo se il punto di accesso utilizzato per accedere al bucket ha la chiave di tag Environment e il valore di tag Production.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowAccessToSpecificAccessPoint",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "arn:aws::s3express:region:111122223333:accesspoint/my-access-point",
      "Condition": {
        "StringEquals": {
          "s3express:AccessPointTag/Environment": "Production"
        }
      }
    }
  ]
}

Utilizzo di tag con i punti di accesso per bucket di directory

Puoi aggiungere o gestire tag per i punti di accesso per i bucket di directory utilizzando la console Amazon S3, AWS l'interfaccia a riga di comando (CLI), AWS SDKs o utilizzando APIs TagResourceS3:, e. UntagResourceListTagsForResource Per ulteriori informazioni, consulta: