Usar tags com buckets de diretório do S3

Uma tag da AWS é um par de chave-valor que contém metadados sobre recursos, neste caso buckets de diretório do Amazon S3. Você pode marcar buckets de diretório do S3 ao criá-los ou gerenciar tags em buckets de diretório existentes. Não há cobrança adicional para usar tags em buckets de diretório além das taxas de solicitação padrão da API do S3. Para obter mais informações, consulte Preço do Amazon S3.

Como as tags funcionam

Os buckets de diretório do Amazon S3 permitem dois tipos de tag:

Tags definidas pelo usuário

Uma tag definida pelo usuário é um par de chave-valor de tag que você usa para rotular seus recursos. As tags definidas pelo usuário consistem em uma chave obrigatória e um valor opcional. Estes são os principais componentes de uma tag definida pelo usuário:

A chave da tag

A chave de tags é o nome obrigatório da tag. Por exemplo, project é a chave da tag no seguinte par de chave-valor de tag:

A chave da tag é uma string que diferencia maiúsculas e minúsculas e deve conter de 1 a 128 caracteres Unicode.

O valor da tag

O valor da tag é uma string opcional. Por exemplo, Trinity é o valor da tag neste par de chave-valor de tag:

O valor da tag é uma string que diferencia maiúsculas e minúsculas e pode conter de 0 a 256 caracteres Unicode.

Para obter detalhes sobre os caracteres permitidos em tags definidas pelo usuário e outras restrições, consulte User-Defined Tag Restrictions no Guia do usuário do Gerenciamento de Faturamento e Custos da AWS.

O conjunto de tags

Cada bucket de diretório do S3 tem um conjunto de tags que contém todos os pares de chave e valor de tag atribuídos a esse bucket. Um conjunto de tags pode conter até cinquenta tags ou estar vazio.

Embora cada chave deva ser exclusiva em um conjunto de tags, você pode usar o mesmo valor várias vezes. Por exemplo, você pode ter o mesmo valor, Trinity, para as duas chaves de tag abaixo:

Em um bucket, quando você adiciona uma tag que tem a mesma chave de uma tag existente, o novo valor substitui o antigo.

AWSA não aplica nenhum significado semântico às suas tags. Interpretamos as tags estritamente como sequências de caracteres.

Para adicionar, listar, modificar ou excluir tags, você pode usar o console do Amazon S3, a AWS Command Line Interface (AWS CLI) ou a API do Amazon S3.

Maneiras comuns de usar tags

Use tags em buckets de diretório do S3 para:

Usar tags para alocação de custos

Acompanhe seus custos de armazenamento do Amazon S3 aplicando tags aos buckets de diretório do S3 e ativando essas tags para alocação de custos.

Para começar a rastrear os custos:

A AWS usa as tags ativadas para organizar os custos de seus recursos em várias ferramentas gerenciamento de faturamento e custos, como:

Usar tags para controle de acesso por atributo (ABAC)

O controle de acesso por atributo (ABAC) é uma estratégia de autorização que define permissões com base em atributos (isto é, tags). Você pode anexar tags a entidades do AWS Identity and Access Management (IAM) (usuários ou perfis) e a recursos da AWS, como buckets de diretório do Amazon S3. Posteriormente, você controla as permissões para esses recursos usando condições baseadas em tags em políticas de controle de acesso para permitir ou negar operações quando essas condições forem atendidas.

ABAC para buckets de diretório do S3

Os buckets de diretório do Amazon S3 permitem o controle de acesso por atributo (ABAC) por meio de tags. Use chaves de condição baseadas em tags em políticas de bucket de diretório do S3, de suas organizações na AWS e do IAM. Para empresas, o ABAC no Amazon S3 permite a autorização em várias contas da AWS.

Nas suas políticas do IAM, você pode controlar o acesso aos buckets de diretório do S3 com base nas tags do bucket usando as seguintes chaves de condição globais:

Exemplo de política

Veja os exemplos de política de ABAC a seguir para buckets de diretório do Amazon S3.

1.1 Política do IAM para criar ou modificar buckets com tags específicas

Nessa política do IAM, usuários ou perfis com essa política só podem criar buckets de diretório do S3 se marcarem o bucket com a chave de tag project e o valor de tag Trinity na solicitação de criação do bucket. Eles também podem adicionar ou modificar tags em buckets de diretório existentes do S3, desde que a solicitação TagResource inclua o par de chave-valor de tag project:Trinity. Essa política não concede permissões de leitura, gravação ou exclusão nos buckets ou nos respectivos objetos.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateBucketWithTags",
      "Effect": "Allow",
      "Action": [
        "s3express:CreateBucket",
        "s3express:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 Política de bucket para restringir operações no bucket por meio de tags

Nessa política de bucket, as entidades principais do IAM (usuários e perfis) podem executar operações usando a ação CreateSession no bucket somente se o valor da tag project do bucket corresponder ao valor da tag project da entidade principal.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowObjectOperations",
      "Effect": "Allow",
      "Principal": {
        "AWS": "111122223333"
      },
      "Action": "s3express:CreateSession",
      "Resource": "arn:aws:s3express:us-west-2:111122223333:bucket/amzn-s3-demo-bucket--usw2-az1--x-s3",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        }
      }
    }
  ]
}

1.3 Política do IAM para modificar tags em recursos existentes, mantendo a governança de marcação

Nessa política do IAM, as entidades principais do IAM (usuários e perfis) podem modificar tags em um bucket somente se o valor da tag project do bucket corresponder ao valor da tag project da entidade principal. Somente as quatro tags (project, environment, owner e cost-center) especificadas nas chaves de condição aws:TagKeys são permitidas para esses buckets de diretório. Isso ajuda a impor a governança de tags, evita modificações não autorizadas nas tags e mantém o esquema de marcação consistente em todos os seus buckets.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3express:TagResource"
      ],
      "Resource": "arn:aws:s3express:*:*:bucket/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4 Uso da chave de condição s3express:BucketTag

Nessa política do IAM, a instrução de condição permite acesso aos dados do bucket somente se o bucket tiver a chave de tag Environment e o valor de tag Production.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAccessToSpecificAccessPoint",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "arn:aws:s3express:*:*:accesspoint/*",
      "Condition": {
        "StringEquals": {
          "s3express:BucketTag/Environment": "Production"
        }
      }
    }
  ]
}

Como trabalhar com tags

Você pode adicionar ou gerenciar tags para buckets de diretório do S3 usando o console do Amazon S3, a AWS Command Line Interface (CLI) e os SDKs da AWS ou as APIs TagResource, UntagResource e ListTagsForResource do S3. Para obter mais informações, consulte: