本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 将标签与 IAM 策略结合使用
<a name="tags-iam"></a>

在您的 IAM 策略中，使用资源标签来控制用户访问和权限。例如，策略可以支持用户仅创建带有特定标签的资源。策略还可以限制用户创建或修改具有特定标签的资源。

**注意**  
如果您使用标签来允许或拒绝用户对资源的访问，则应拒绝用户对相同资源添加或删除这些标签的能力。否则，用户会通过修改资源标签来绕过您的限制并获得资源的访问权限。

可以在策略语句的 `Condition` 元素（也称为 `Condition` 块）中使用以下条件上下文键和值。

`aws:ResourceTag/{{tag-key}}: {{tag-value}}`  
允许或拒绝带特定标签的资源上的操作。

`aws:RequestTag/{{tag-key}}: {{tag-value}}`  
要求在创建或修改可标记的资源时使用（或不使用）特定标签。

`aws:TagKeys: [{{tag-key}}, ...]`  
要求在创建或修改可标记的资源时使用（或不使用）一组特定的标签键。

**注意**  
IAM policy 中的条件上下文键和值仅适用于将可标记的资源作为必需参数的操作。例如，您可以为设置基于标签的条件访问权限。[ListAssets](https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_ListAssets.html)您无法将基于标签的条件访问设置为开启，[PutLoggingOptions](https://docs.aws.amazon.com/iot-sitewise/latest/APIReference/API_PutLoggingOptions.html)因为请求中未引用任何可标记的资源。

有关更多信息，请参阅 IAM *用户指南*中的[使用 AWS 资源标签控制资源访问权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_tags.html)和 [IAM JSON 策略参考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html)。

**使用标签的 IAM 策略示例**
+ [根据标签查看 AWS IoT SiteWise 资产](security_iam_id-based-policy-examples.md#security_iam_id-based-policy-examples-view-asset-tags)