Menggunakan Kontrol Akses Berbasis Tanda

ECR CreateRepository APITindakan Amazon memungkinkan Anda menentukan tag saat membuat repositori. Untuk informasi selengkapnya, lihat Menandai repositori pribadi di Amazon ECR.

Untuk mengizinkan pengguna menandai repositori pada pembuatan, mereka harus memiliki izin untuk menggunakan tindakan yang membuat sumber daya (misalnya, ecr:CreateRepository). Jika tanda ditentukan dalam aksi pembuatan sumber daya, Amazon melakukan otorisasi tambahan pada tindakan ecr:CreateRepository untuk memverifikasi apakah pengguna memiliki izin untuk membuat tanda.

Anda dapat menggunakan kontrol akses berbasis tag melalui IAM kebijakan. Berikut ini adalah beberapa contohnya.

Kebijakan berikut hanya akan mengizinkan pengguna untuk membuat atau menandai repositori sebagai. key=environment,value=dev

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateTaggedRepository",
            "Effect": "Allow",
            "Action": [
                "ecr:CreateRepository"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/environment": "dev"
                }
            }
        },
        {
            "Sid": "AllowTagRepository",
            "Effect": "Allow",
            "Action": [
                "ecr:TagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/environment": "dev"
                }
            }
        }
    ]
}

Kebijakan berikut akan memungkinkan pengguna mengakses semua repositori kecuali mereka ditandai sebagai. key=environment,value=prod

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ecr:*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "ecr:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ecr:ResourceTag/environment": "prod"
                }
            }
        }
    ]
}