Markieren von von Kunden verwaltete Richtlinien

Sie können IAM-Tag-Schlüsselwertpaare verwenden, um Ihren vom Kunden verwalteten Richtlinien benutzerdefinierte Attribute hinzuzufügen. Wenn Sie beispielsweise eine Richtlinie mit Abteilungsinformationen markieren, können Sie den Tag-Schlüssel Department und den Tag-Wert eng hinzufügen. Oder Sie möchten Richtlinien markieren, um anzugeben, dass sie für eine bestimmte Umgebung bestimmt sind, z. B. Environment = lab. Sie können Tags verwenden, um den Zugriff auf Ressourcen zu steuern oder zu kontrollieren, welche Tags mit einer Ressource verknüpft werden können. Weitere Informationen über die Verwendung von Tags zur Zugriffskontrolle finden Sie unter Steuerung des Zugriffs auf und für IAM-Benutzer und IAM-Rollen mithilfe von Tags.

Sie können Tags auch verwenden AWS STS , um benutzerdefinierte Attribute hinzuzufügen, wenn Sie eine Rolle übernehmen oder einen Benutzer zusammenführen. Weitere Informationen finden Sie unter Sitzungs-Tags eintragen AWS STS.

Erforderliche Berechtigungen zum Markieren von vom Kunden verwalteten Richtlinien

Sie müssen Berechtigungen konfigurieren, damit eine IAM-Entität (Benutzer oder Rollen) vom Kunden verwaltete Richtlinien markieren kann. Sie können eine oder alle der folgenden IAM-Tag-Aktionen in einer IAM-Richtlinien angeben:

• iam:ListPolicyTags

• iam:TagPolicy

• iam:UntagPolicy

So gestatten Sie einer IAM-Entität (Benutzer oder Rolle), ein Tag einer vom Kunden verwalteten Richtlinie hinzuzufügen, aufzulisten oder zu entfernen

Fügen Sie die folgende Anweisung der Berechtigungsrichtlinie für die IAM-Entität hinzu, die Tags verwalten soll. Verwenden Sie Ihre Kontonummer und <policyname> ersetzen Sie sie durch den Namen der Richtlinie, deren Stichwörter verwaltet werden müssen. Informationen zum Erstellen einer Richtlinie mit diesem Beispiel-JSON-Richtliniendokument finden Sie unter Erstellen von Richtlinien mit dem JSON-Editor.

{
    "Effect": "Allow",
    "Action": [
        "iam:ListPolicyTags",
        "iam:TagPolicy",
        "iam:UntagPolicy"
    ],
    "Resource": "arn:aws:iam::<account-number>:policy/<policyname>"
}

So gestatten Sie einer IAM-Entität (Benutzer oder Rolle), ein Tag einer speziellen vom Kunden verwalteten Richtlinie hinzuzufügen

Fügen Sie die folgende Anweisung der Berechtigungsrichtlinie für die IAM-Entität hinzu, die Tags für eine bestimmte Richtlinie hinzufügen, jedoch nicht entfernen soll.

Anmerkung

Die iam:TagPolicy-Aktion erfordert, dass Sie auch die iam:ListPolicyTags-Aktion einbeziehen.

Um diese Richtlinie zu verwenden, <policyname> ersetzen Sie sie durch den Namen der Richtlinie, deren Stichwörter verwaltet werden müssen. Informationen zum Erstellen einer Richtlinie mit diesem Beispiel-JSON-Richtliniendokument finden Sie unter Erstellen von Richtlinien mit dem JSON-Editor.

{
    "Effect": "Allow",
    "Action": [
        "iam:ListPolicyTags",
        "iam:TagPolicy"
    ],
    "Resource": "arn:aws:iam::<account-number>:policy/<policyname>"
}

Alternativ können Sie eine AWS verwaltete Richtlinie verwenden, IAMFullAccess um beispielsweise vollen Zugriff auf IAM zu gewähren.

Verwalten von Tags für vom Kunden verwaltete IAM-Richtlinien (Konsole)

Sie können Tags für von IAM-Kunden verwaltete Richtlinien über die AWS-Managementkonsole verwalten.

Verwalten von Tags für von kundenverwalteten Richtlinien (Konsole)

1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam/

2. Wählen Sie im Navigationsbereich der Konsole Richtlinien aus und wählen Sie dann den Namen der kundenverwalteten Richtlinie aus, die Sie bearbeiten möchten.

3. Wählen Sie die Registerkarte Tags und dann Manage tags (Tags verwalten) aus.

4. Fügen Sie Tags hinzu oder entfernen Sie sie, um den Satz von Tags abzuschließen. Wählen Sie dann Save changes (Änderungen speichern).

Verwaltung von Stichwörtern in vom Kunden verwalteten IAM-Richtlinien (AWS CLI oder AWS API)

Sie können Tags für von IAM-Kunden verwaltete Richtlinien auflisten, anfügen oder entfernen. Sie können die AWS CLI oder die AWS API verwenden, um Tags für vom Kunden verwaltete IAM-Richtlinien zu verwalten.

Um die Tags aufzulisten, die derzeit einer vom Kunden verwalteten IAM-Richtlinie zugeordnet sind (AWS CLI oder AWS API)

• AWS CLI: aws iam list-policy-tags

• AWS API: ListPolicyTags

Um Tags an eine vom Kunden verwaltete IAM-Richtlinie anzuhängen (AWS CLI oder AWS API)

• AWS CLI: aws iam tag-policy

• AWS API: TagPolicy

Um Tags aus einer vom Kunden verwalteten IAM-Richtlinie zu entfernen (AWS CLI oder AWS API)

• AWS CLI: aws iam untag-policy

• AWS API: UntagPolicy

Informationen zum Anhängen von Tags an Ressourcen für andere AWS Dienste finden Sie in der Dokumentation für diese Dienste.

Weitere Informationen über die Verwendung von Tags, um präzisere Berechtigungen mit IAM-Berechtigungsrichtlinien festzulegen, finden Sie unter IAM-Richtlinienelemente: Variablen und Tags.