Steuern Sie den Lightsail-Ressourcenzugriff mit Tags

Sie können Tags in Amazon Lightsail verwenden, um den Zugriff auf Ressourcen, den Zugriff auf Anfragen und den Zugriff auf Tag-Schlüssel zu kontrollieren. In diesem Handbuch erfahren Sie, wie Sie eine AWS Identity and Access Management (IAM-) Richtlinie erstellen, die ein Schlüssel-Wert-Tag angibt, das zum Erstellen oder Löschen von Lightsail-Ressourcen erforderlich ist, und wie Sie die Richtlinie Benutzern oder Gruppen zuordnen, die diese Anfragen stellen müssen.

Anmerkung

Weitere Informationen zu Tags in Lightsail, zu den Ressourcen, die mit Tags versehen werden können, und zu den Einschränkungen finden Sie unter Tags.

Schritt 1: Erstellen einer IAM-Richtlinie

Erstellen Sie zunächst die folgenden IAM-Richtlinien in der IAM-Konsole. Informationen zum Erstellen einer IAM-Richtlinie finden Sie unter Erstellen von IAM-Richtlinien in der IAM-Dokumentation.

Die folgende Richtlinie verhindert, dass Benutzer neue Lightsail-Ressourcen erstellen, es sei denn, in der Erstellungsanforderung wurden ein Schlüsseltag allow und ein Wert von true definiert. Diese Richtlinie beschränkt außerdem das Löschen von Ressourcen, es sei denn, sie haben den Schlüssel-Wert-Tag allow/true.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lightsail:Create*",
                "lightsail:TagResource",
                "lightsail:UntagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/allow": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "lightsail:Delete*",
                "lightsail:TagResource",
                "lightsail:UntagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/allow": "true"
                }
            }
        }
    ]
}
    

Die folgende Richtlinie hindert Benutzer daran, den Tag für Ressourcen zu ändern, die einen anderen Schlüssel-Wert-Tag als allow/false haben.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "lightsail:TagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:ResourceTag/allow": "false"
                }
            }
        }
    ]
}
    

Schritt 2: Anhängen der Richtlinie an Benutzer oder Gruppen

Nachdem Sie die IAM-Richtlinien erstellt haben, fügen Sie sie den Benutzern oder Gruppen hinzu, die Lightsail-Ressourcen mithilfe des Schlüssel-Werte-Paares erstellen müssen. Weitere Informationen zum Anhängen von IAM-Richtlinien an Benutzer oder Gruppen finden Sie unter Hinzufügen und Entfernen von IAM-Richtlinien in der IAM-Dokumentation.