Come posso controllare l'accesso con i tag delle risorse in una policy IAM?

Breve descrizione

Le policy IAM possono utilizzare la chiave di condizione globale aws:ResourceTag/tag-key per controllare l'accesso in base alla chiave e al valore del tag della risorsa. Tuttavia, alcuni servizi AWS che consentono l'utilizzo di tag delle risorse non supportano il controllo degli accessi con tali tag nelle policy IAM. Ad esempio, puoi etichettare le zone ospitate di Amazon Route 53 e i cluster di Amazon DynamoDB Accelerator (DAX), ma non puoi limitare l'accesso a tali risorse con tag. Inoltre, anche quando un servizio supporta l'autorizzazione basata su tag, questa potrebbe applicarsi solo a tipi di risorse specifici o a determinate azioni API all'interno del servizio.

Per verificare se un servizio AWS supporta il controllo degli accessi con tag, consulta Servizi supportati da IAM. Nella tabella dei servizi, cerca i servizi che hanno Sì nella colonna ABAC. Puoi inoltre selezionare il nome del servizio per la documentazione aggiuntiva sull'autorizzazione e il controllo degli accessi per il servizio.

Risoluzione

Se un servizio AWS non supporta l'autorizzazione basata su tag, controlla le autorizzazioni a livello di risorsa e le chiavi di condizione supportate dalle policy IAM per il servizio.

Ad esempio, puoi limitare determinate azioni di Amazon Route 53, come GetHostedZone e DeleteHostedZone, a una specifica zona ospitata di Route 53 con autorizzazioni a livello di risorsa. Includi il nome della risorsa Amazon (ARN) specifico direttamente nella policy IAM. La seguente policy IAM consente tali azioni, ma solo nella zona ospitata di Route 53 specificata.

{
  "Version": "2012-10-17",
  "Statement": [
    {
            "Sid": "AllowActionsOnSpecificHostedZone”,  
            "Effect": "Allow",  
            "Action": [  
                "route53:GetHostedZone",  
                "route53:DeleteHostedZone"  
            ],  
            "Resource": "arn:aws:route53:::hostedzone/Z1R8UBAEXAMPLE"
    }
  ]
}

Nota: sostituisci Z1R8UBAEXAMPLE con l'ID della tua zona ospitata di Route 53.

Per alcuni esempi di policy IAM, consulta Gestione delle Gestione delle identità e degli accessi in Amazon Route 53 e Ruolo di servizio IAM per DAX.

Informazioni correlate

Controllo dell'accesso alle AWS risorse tramite tag

Guidance for Tagging on AWS (Linee guida per l'etichettatura in AWS)

In che modo le chiavi di condizione PrincipalTag, ResourceTag, RequestTag e TagKeys controllano l'accesso nelle policy IAM?