Como soluciono problemas com SCPs que usam restrições baseadas em tags do IAM?

Breve descrição

As restrições baseadas em tags do IAM podem falhar quando o serviço da AWS que você especificou em seu SCP não é compatível com o Controle de acesso por atributo (ABAC). Ou a ação da API não é compatível com condições baseadas em tags.

Resolução

Confirme se o serviço da AWS e a API são compatíveis com restrições baseadas em tags

Para verificar se o serviço da AWS é compatível com o ABAC, consulte Serviços compatíveis com o IAM. Se o suporte ao ABAC do serviço for Parcial, somente alguns recursos dentro do serviço são compatíveis com as restrições baseadas em tags. Antes de aplicar tags em seu SCP, consulte o Guia do usuário da AWS do seu serviço para conhecer os recursos que são compatíveis com o ABAC.

Para descobrir as ações da API que são compatíveis com condições baseadas em tags, identifique as chaves de condição que é possível usar.

As chaves de condição comuns que com as quais as ações da API são compatíveis incluem aws:RequestTag, aws:ResourceTag e aws:TagKeys.

Atualize o SCP para usar somente as chaves de condição compatíveis

Atualize seu SCP para incluir os serviços da AWS e ações de API compatíveis que oferecem suporte às chaves de condição. Além disso, na seção Recurso, especifique recursos em vez de um curinga (*).

Por exemplo, o seguinte trecho de SCP restringe a criação de instâncias do Amazon Elastic Compute Cloud (Amazon EC2) que não têm uma tag específica:

{
   "Effect": "Deny",
   "Action": [  
       "Ec2:RunInstances"  
   ],
   "Resource": [  
       "arn:aws:ec2:*:*:instance/*"  
   ],
   "Condition": {
       "StringNotEquals": {
           "aws:RequestTag/Name": "John"
}