Beispiele für ressourcenbasierte Richtlinien für Amazon EFSAmazon EFS

In diesem Abschnitt finden Sie Beispiele für Dateisystemrichtlinien, die Berechtigungen für verschiedene EFS Amazon-Aktionen gewähren oder verweigern. EFSDie Dateisystemrichtlinien von Amazon haben ein Limit von 20.000 Zeichen. Hinweise zu den Elementen einer ressourcenbasierten Richtlinie finden Sie unter Ressourcenbasierte Richtlinien innerhalb von Amazon EFS.

Wichtig

Wenn Sie einem einzelnen IAM Benutzer oder einer Rolle in einer Dateisystemrichtlinie die Erlaubnis erteilen, dürfen Sie diesen Benutzer oder diese Rolle nicht löschen oder neu erstellen, solange die Richtlinie im Dateisystem gültig ist. Wenn dies der Fall ist, wird dieser Benutzer oder diese Rolle effektiv für das Dateisystem gesperrt und kann nicht darauf zugreifen. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter Einen Prinzipal angeben.

Informationen zum Erstellen von Richtlinien für ein Dateisystem finden Sie unter Erstellen von Dateisystemrichtlinien.

Beispiel: Erteilen Sie Lese- und Schreibzugriff für eine bestimmte AWS Rolle

In diesem Beispiel weist die EFS Dateisystemrichtlinie die folgenden Merkmale auf:

• Der Effekt ist Allow.

• Der Prinzipal ist auf die Testing_Role im AWS-Konto gesetzt.

• Die Aktion ist auf ClientMount (Lesen) und ClientWrite eingestellt.

• Die Bedingung für die Erteilung von Berechtigungen ist auf AccessedViaMountTarget gesetzt.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/Testing_Role"
            },
            "Action": [
                "elasticfilesystem:ClientWrite",
                "elasticfilesystem:ClientMount"
            ],
            "Resource": "arn:aws:elasticfilesystem:us-east-2:111122223333:file-system/fs-1234abcd",
            "Condition": {
                "Bool": {
                    "elasticfilesystem:AccessedViaMountTarget": "true"
                }
            }
        }
    ]
}

Beispiel: Erteilen von schreibgeschütztem Zugriff

Die folgende Dateisystemrichtlinie gewährt ClientMount der Rolle nur oder nur Leseberechtigungen. EfsReadOnly IAM

{
    "Id": "read-only-example-policy02",
    "Statement": [
        {
            "Sid": "efs-statement-example02",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/EfsReadOnly"
            },
            "Action": [
                "elasticfilesystem:ClientMount"
            ],
            "Resource": "arn:aws:elasticfilesystem:us-east-2:111122223333:file-system/fs-12345678"            
        }
    ]
}

Informationen zum Einrichten zusätzlicher Dateisystemrichtlinien, einschließlich der Verweigerung des Root-Zugriffs für alle IAM Prinzipale, mit Ausnahme einer bestimmten Management-Workstation, finden Sie unter. Aktivieren Sie Root-Squashing mithilfe der IAM Autorisierung für Clients NFS

Beispiel: Zugriff auf einen Access Point gewähren EFS

Sie verwenden eine EFS Zugriffsrichtlinie, um einem NFS Client einen anwendungsspezifischen Einblick in gemeinsam genutzte dateibasierte Datensätze in einem Dateisystem zu bieten. EFS Sie gewähren die Zugangspunktberechtigungen auf dem Dateisystem mithilfe einer Dateisystemrichtlinie.

In diesem Beispiel für eine Dateirichtlinie wird ein Bedingungselement verwendet, um einem bestimmten Zugriffspunkt, der durch seinen ARN vollständigen Zugriff auf das Dateisystem gekennzeichnet ist, zu gewähren.

Weitere Hinweise zur Verwendung von EFS Access Points finden Sie unterArbeiten mit Amazon EFS Access Points.

{
    "Id": "access-point-example03",
    "Statement": [
        {
            "Sid": "access-point-statement-example03",
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::555555555555:role/EfsAccessPointFullAccess"},
            "Action": "elasticfilesystem:Client*",
            "Resource": "arn:aws:elasticfilesystem:us-east-2:111122223333:file-system/fs-12345678",
            "Condition": { 
                "StringEquals": {
                    "elasticfilesystem:AccessPointArn":"arn:aws:elasticfilesystem:us-east-2:555555555555:access-point/fsap-12345678" } 
            }            
        }
    ]
}