Exemple 2 : Autoriser le balisage d'un flux à l'aide d'aws : RequestTag

À l'aide de la clé de aws:RequestTag/tag-key condition, vous pouvez comparer la paire clé-valeur de balise transmise dans votre demande avec la paire de balises spécifiée dans la politique IAM. Par exemple, vous pouvez autoriser le balisage d'un flux uniquement si la demande inclut une balise spécifique.

Utilisation de AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

1. Créez une politique intégrée et ajoutez-la à un rôle, comme illustré dans l'exemple suivant.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "dynamodb:TagResource"
         ],
         "Resource": "arn:aws:dynamodb:*:*:table/*/stream/*",
         "Condition": {
           "StringEquals": {
             "aws:RequestTag/CostCenter": "12345"
           }
         }
       }
     ]
   }

2. Marquez le flux avec la paire clé-valeur de balise requise.

   aws dynamodb tag-resource \
     --resource-arn arn:aws:dynamodb:us-east-1:123456789012:table/myMusicTable/stream/2024-01-01T00:00:00.000 \
     --tags Key=CostCenter,Value=12345

Comportement avec et sans Streams ABAC

Sans Streams ABAC

Si Streams ABAC n'est pas activé pour vous Compte AWS, les conditions de balise de la politique intégrée et de la demande ne correspondent pas. L'TagResourceaction renvoie unAccessDeniedException.

Avec Streams ABAC

Si Streams ABAC est activé pour vous Compte AWS, la demande de tag est terminée avec succès. Étant donné que la paire clé-valeur de balise "CostCenter": "12345" est présente dans la TagResource demande, la politique en ligne autorise l'action.