태그를 사용하여 게이트웨이 및 리소스에 대한 액세스 제어 - AWS Storage Gateway
리소스의 태그를 기반으로 액세스 제어IAM 요청의 태그를 기반으로 액세스 제어

신규 고객은 더 이상 Amazon FSx File Gateway를 사용할 수 없습니다. 기존 FSx File Gateway 고객은 정상적으로 서비스를 계속 이용할 수 있습니다. FSx File Gateway와 유사한 기능에 대해서는 이 블로그 게시물을 참조하세요.

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

태그를 사용하여 게이트웨이 및 리소스에 대한 액세스 제어

게이트웨이 리소스 및 작업에 대한 액세스를 제어하기 위해 태그를 기반으로 AWS Identity and Access Management (IAM) 정책을 사용할 수 있습니다. 두 가지 방법으로 제어할 수 있습니다.

  1. 해당 리소스의 태그를 기반으로 게이트웨이 리소스에 대한 액세스를 제어합니다.

  2. IAM 요청 조건에 어떤 태그가 전달될 수 있는지를 제어합니다.

태그를 사용하여 액세스를 제어하는 자세한 방법은 태그를 사용하여 액세스 제어를 참조하십시오.

리소스의 태그를 기반으로 액세스 제어

사용자나 역할이 게이트웨이 리소스에서 어떤 작업을 수행할 수 있는지를 제어하려면 게이트웨이 리소스의 태그를 사용할 수 있습니다. 예를 들어, 리소스에 있는 태그의 키-값 페어를 기반으로 파일 게이트웨이 리소스에서 특정 API 작업을 허용하거나 거부할 수 있습니다.

다음 예제는 사용자나 역할이 모든 리소스에서 ListTagsForResource, ListFileShares 및 DescribeNFSFileShares 작업을 수행할 수 있도록 허용합니다. 정책은 리소스의 태그에 allowListAndDescribe로 설정된 키와 yes로 설정된 값이 있을 경우에만 적용됩니다.

JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "storagegateway:ListTagsForResource",
                "storagegateway:ListFileShares",
                "storagegateway:DescribeNFSFileShares"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/allowListAndDescribe": "yes"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "storagegateway:*"
            ],
            "Resource": "arn:aws:storagegateway:us-east-1:account-id:*/*"
        }
    ]
}

IAM 요청의 태그를 기반으로 액세스 제어

사용자가 게이트웨이 리소스에서 수행할 수 있는 작업을 제어하기 위해 태그를 기반으로 IAM 정책의 조건을 사용할 수 있습니다. 예를 들어 사용자가 리소스를 생성할 때 제공한 태그를 기반으로 특정 API 작업을 수행할 수 있는 기능을 허용하거나 거부하는 정책을 작성할 수 있습니다.

다음 예제에서 첫 번째 명령문은 게이트웨이를 생성할 때 제공한 키-값 페어가 Department 및 Finance인 경우에만 사용자가 게이트웨이를 생성할 수 있도록 허용합니다. API 작업을 사용할 경우 이 태그를 활성화 요청에 추가합니다.

두 번째 명령문은 게이트웨이의 태그 키-값 페어가 Department 및 Finance와 일치할 경우에만 사용자가 게이트웨이에서 네트워크 파일 시스템(NFS) 또는 서버 메시지 블록(SMB) 공유를 생성할 수 있도록 허용합니다. 또한 사용자는 태그를 파일 공유에 추가해야 하며, 태그의 키-값 페어는 Department 및 Finance여야 합니다. 파일 공유를 생성할 때 파일 공유에 태그를 추가할 수 있습니다. AddTagsToResource 또는 RemoveTagsFromResource 작업에 대한 권한은 없기 때문에 사용자는 게이트웨이나 파일 공유에서 이러한 작업을 수행할 수 없습니다.

JSON
{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "storagegateway:ActivateGateway"
         ],
         "Resource":"*",
         "Condition":{
            "StringEquals":{
               "aws:RequestTag/Department":"Finance"
            }
         }
      },
      {
         "Effect":"Allow",
         "Action":[
            "storagegateway:CreateNFSFileShare",
            "storagegateway:CreateSMBFileShare"
         ],
         "Resource":"*",
         "Condition":{
            "StringEquals":{
               "aws:ResourceTag/Department":"Finance",
               "aws:RequestTag/Department":"Finance"
            }
         }
      }
   ]
}