Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo dei tag con i bucket di directory S3

Un AWS tag è una coppia chiave-valore che contiene i metadati relativi alle risorse, in questo caso i bucket di directory Amazon S3. Puoi taggare i bucket di directory S3 quando li crei o gestire i tag sui bucket di directory esistenti. Non sono previsti costi aggiuntivi per l'utilizzo dei tag nei bucket di directory oltre alle tariffe standard di richiesta dell'API S3. Per ulteriori informazioni, consulta Prezzi di Amazon S3.

Come funzionano i tag

I bucket di directory Amazon S3 supportano due tipi di tag:

Tag definiti dall'utente

Un tag definito dall'utente è una coppia chiave-valore di tag che viene utilizzata per etichettare le risorse. I tag definiti dall'utente sono costituiti da una chiave obbligatoria e da un valore opzionale. Questi sono i componenti principali di un tag definito dall'utente:

La chiave del tag

La chiave di tag corrisponde al nome obbligatorio del tag. Ad esempio, project è la chiave del tag nella seguente coppia chiave-valore del tag:

La chiave tag è una stringa con distinzione tra maiuscole e minuscole che deve contenere tra 1 e 128 caratteri Unicode.

Il valore del tag

Il valore del tag è una stringa opzionale. Ad esempio, Trinity è il valore del tag in questa coppia chiave-valore del tag:

Il valore del tag è una stringa con distinzione tra maiuscole e minuscole che può contenere tra 0 e 256 caratteri Unicode.

Per i dettagli sui caratteri consentiti nei tag definiti dall'utente e altre restrizioni, consulta Restrizioni sui tag definiti dall'utente nella Guida per l'utente.AWS Billing and Cost Management

Il set di tag

Ogni bucket di directory S3 ha un set di tag che contiene tutte le coppie di tag, chiavi e valori assegnate a quel bucket. Un set di tag può contenere fino a 50 tag definiti dall'utente oppure può essere vuoto.

Sebbene ogni chiave debba essere unica in un set di tag, è possibile utilizzare lo stesso valore più volte. Ad esempio, puoi avere lo stesso valore per Trinity le seguenti due chiavi di tag:

All'interno di un bucket, quando aggiungi un tag con la stessa chiave di un tag esistente, il nuovo valore sovrascrive il vecchio valore.

AWS non applica alcun significato semantico ai tag. I tag sono interpretati prettamente come stringhe di caratteri.

Per aggiungere, elencare, modificare o eliminare tag, puoi utilizzare la console Amazon S3, l'interfaccia a riga di AWS comando (AWS CLI) o l'API Amazon S3.

Metodi comuni di utilizzo dei tag

Usa i tag nei bucket di directory S3 per:

Utilizzo dei tag per l'allocazione dei costi

Tieni traccia dei costi di storage di Amazon S3 applicando tag ai bucket di directory S3 e attivando questi tag per l'allocazione dei costi.

Per iniziare a tracciare i costi:

AWS utilizza i tag attivati per organizzare i costi delle risorse in vari strumenti di fatturazione e gestione dei costi, come:

Utilizzo dei tag per il controllo degli accessi basato sugli attributi (ABAC)

Il controllo degli accessi basato sugli attributi (ABAC) è una strategia di autorizzazione che definisce le autorizzazioni in base agli attributi, ad esempio ai tag. Puoi allegare tag a entità AWS Identity and Access Management (IAM) (utenti o ruoli) e a AWS risorse, come i bucket di directory Amazon S3. Quindi, puoi controllare le autorizzazioni a queste risorse utilizzando condizioni basate su tag nelle politiche di controllo degli accessi per consentire o negare le operazioni quando tali condizioni sono soddisfatte.

bucket di directory ABAC per S3

I bucket di directory Amazon S3 supportano il controllo degli accessi basato sugli attributi (ABAC) tramite tag. Utilizza le chiavi di condizione basate su tag nelle policy delle tue AWS organizzazioni, di IAM e di S3 Directory Bucket. Per le aziende, ABAC in Amazon S3 supporta l'autorizzazione su più AWS account.

Nelle tue politiche IAM, puoi controllare l'accesso ai bucket di directory S3 in base ai tag del bucket utilizzando le seguenti chiavi di condizione globali:

Policy di esempio

Vedi i seguenti esempi di politiche ABAC per i bucket di directory Amazon S3.

1.1 - Politica IAM per creare o modificare bucket con tag specifici

In questa policy IAM, gli utenti o i ruoli con questa policy possono creare bucket di directory S3 solo se etichettano il bucket con la chiave del tag project e il valore del tag Trinity nella richiesta di creazione del bucket. Possono anche aggiungere o modificare tag sui bucket di directory S3 esistenti, purché la TagResource richiesta includa la coppia chiave-valore del tag. project:Trinity Questa politica non concede autorizzazioni di lettura, scrittura o eliminazione sui bucket o sui relativi oggetti.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateBucketWithTags",
      "Effect": "Allow",
      "Action": [
        "s3express:CreateBucket",
        "s3express:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 - Politica del bucket per limitare le operazioni sul bucket utilizzando i tag

In questa policy sui bucket, i responsabili IAM (utenti e ruoli) possono eseguire operazioni utilizzando l'CreateSessionazione sul bucket solo se il valore del tag del bucket corrisponde al valore del project tag del bucket. project

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowObjectOperations",
      "Effect": "Allow",
      "Principal": {
        "AWS": "111122223333"
      },
      "Action": "s3express:CreateSession",
      "Resource": "arn:aws:s3express:us-west-2:111122223333:bucket/amzn-s3-demo-bucket--usw2-az1--x-s3",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        }
      }
    }
  ]
}

1.3 - Politica IAM per modificare i tag sulle risorse esistenti mantenendo la governance dei tag

In questa policy IAM, i responsabili IAM (utenti o ruoli) possono modificare i tag su un bucket solo se il valore del tag del bucket corrisponde al valore del project tag del bucket. project Solo i quattro tag project e quelli cost-center specificati nelle chiavi di aws:TagKeys condizione sono consentiti per questi bucket di directory. environment owner Questo aiuta a rafforzare la governance dei tag, impedisce modifiche non autorizzate dei tag e mantiene lo schema di tagging coerente in tutti i bucket.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3express:TagResource"
      ],
      "Resource": "arn:aws:s3express:*:*:bucket/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4 - Utilizzo di s3express: chiave di condizione BucketTag

In questa policy IAM, l'istruzione condition consente l'accesso ai dati del bucket solo se il bucket ha la chiave Environment del tag e il valore del tag. Production

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAccessToSpecificAccessPoint",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "arn:aws:s3express:*:*:accesspoint/*",
      "Condition": {
        "StringEquals": {
          "s3express:BucketTag/Environment": "Production"
        }
      }
    }
  ]
}

Lavorare con i tag

Puoi aggiungere o gestire tag per i bucket di directory S3 utilizzando la console Amazon S3, AWS l'interfaccia a riga di comando (CLI), AWS SDKs o utilizzando S3:, e. APIs TagResourceUntagResourceListTagsForResource Per ulteriori informazioni, consultare: