Berechtigung zum Markieren von Amazon RDS-Ressourcen während der Erstellung erteilen

Einige RDS-API-Vorgänge erlauben es Ihnen, bei der Erstellung der Ressource Tags anzugeben. Sie können Resource-Tags (Markierungen) verwenden, um eine attributbasierte Steuerung (ABAC) zu implementieren. Weitere Informationen finden Sie unter Wozu dient ABAC? AWS und Steuern des Zugriffs auf AWS Ressourcen mithilfe von Tags.

Damit Benutzer Ressourcen bei der Erstellung kennzeichnen können, benötigen sie die Berechtigungen zum Verwenden der Aktion, die die Ressource wie rds:CreateDBInstance erstellt. Wenn Tags in der Erstellungsaktion angegeben werden, führt RDS eine zusätzliche Autorisierung für die Aktion rds:AddTagsToResource aus, um die Berechtigungen der Benutzer zum Erstellen von Tags zu überprüfen. Daher benötigen die Benutzer außerdem die expliziten Berechtigungen zum Verwenden der rds:AddTagsToResource-Aktion.

In der IAM-Richtliniendefinition für die rds:AddTagsToResource-Aktion können Sie mit dem Bedingungsschlüssel aws:RequestTag Tags in einer Anforderung zum Kennzeichnen einer Ressource anfordern.

Mithilfe der folgenden Richtlinie können Benutzer beispielsweise DB-Instances erstellen und Tags während der DB-Instance-Erstellung anwenden, jedoch nur mit bestimmten Tag-Schlüsseln (environment oder project):

JSON

{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
       {
           "Effect": "Allow",
           "Action": [
               "rds:CreateDBInstance"
           ],
           "Resource": "*"
       },
       {
           "Effect": "Allow",
           "Action": [
               "rds:AddTagsToResource"
           ],
           "Resource": "*",
           "Condition": {
               "StringEquals": {
                   "aws:RequestTag/environment": ["production", "development"],
                   "aws:RequestTag/project": ["dataanalytics", "webapp"]
               },
               "ForAllValues:StringEquals": {
                   "aws:TagKeys": ["environment", "project"]
               }
           }
       }
   ]
}

Diese Richtlinie lehnt jede Anforderung zum Erstellen einer DB-Instance ab, die andere Tags als environment oder project enthält oder keines dieser Tags angibt. Darüber hinaus müssen Benutzer Werte für die Tags angeben, die den zulässigen Werten in der Richtlinie entsprechen.

Mit der folgenden Richtlinie können Benutzer DB-Cluster erstellen und dabei beliebige Tags anwenden, mit Ausnahme des Tags environment=prod:

JSON

{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
       {
           "Effect": "Allow",
           "Action": [
               "rds:CreateDBCluster"
           ],
           "Resource": "*"
       },
       {
           "Effect": "Allow",
           "Action": [
               "rds:AddTagsToResource"
           ],
           "Resource": "*",
           "Condition": {
               "StringNotEquals": {
                   "aws:RequestTag/environment": "prod"
               }
           }
       }
   ]
}

Unterstützte RDS-API-Aktionen für das Tagging bei der Erstellung

Die folgenden RDS-API-Aktionen unterstützen Tagging beim Erstellen einer Ressource. Für diese Aktionen können Sie beim Erstellen der Ressource Tags angeben:

• CreateBlueGreenDeployment

• CreateCustomDBEngineVersion

• CreateDBCluster

• CreateDBClusterEndpoint

• CreateDBClusterParameterGroup

• CreateDBClusterSnapshot

• CreateDBInstance

• CreateDBInstanceReadReplica

• CreateDBParameterGroup

• CreateDBProxy

• CreateDBProxyEndpoint

• CreateDBSecurityGroup

• CreateDBShardGroup

• CreateDBSnapshot

• CreateDBSubnetGroup

• CreateEventSubscription

• CreateGlobalCluster

• CreateIntegration

• CreateOptionGroup

• CreateTenantDatabase

• CopyDBClusterParameterGroup

• CopyDBClusterSnapshot

• CopyDBParameterGroup

• CopyDBSnapshot

• CopyOptionGroup

• RestoreDBClusterFromS3

• RestoreDBClusterFromSnapshot

• RestoreDBClusterToPointInTime

• RestoreDBInstanceFromDBSnapshot

• RestoreDBInstanceFromS3

• RestoreDBInstanceToPointInTime

• PurchaseReservedDBInstancesOffering

Wenn Sie die API AWS CLI oder verwenden, um eine Ressource mit Tags zu erstellen, wird der Tags Parameter verwendet, um während der Erstellung Tags auf Ressourcen anzuwenden.

Wenn das Tagging bei diesen API-Aktionen fehlschlägt, wird die Ressource nicht erstellt und die Anforderung schlägt mit einem Fehler fehl. Dadurch wird sichergestellt, dass Ressourcen entweder mit Tags oder gar nicht erstellt werden, was wiederum verhindert, dass Ressourcen ohne die vorgesehenen Tags erstellt werden.