Menandai peran IAM

Anda dapat menggunakan pasangan nilai kunci tag IAM untuk menambahkan atribut khusus ke peran IAM. Misalnya, untuk menambahkan informasi lokasi ke peran, Anda dapat menambahkan kunci tag location dan nilai tanda us_wa_seattle. Atau Anda bisa menggunakan tiga pasangan kunci nilai tanda lokasi yang terpisah: loc-country = us, loc-state = wa, dan loc-city = seattle. Anda dapat menggunakan tanda untuk mengontrol akses peran ke sumber daya atau untuk mengontrol tanda yang dapat dilampirkan ke peran. Untuk mempelajari selengkapnya tentang penggunaan tanda untuk mengontrol akses, lihat Mengontrol akses ke dan untuk pengguna dan peran IAM menggunakan tag.

Anda juga dapat menggunakan tag AWS STS untuk menambahkan atribut kustom saat Anda mengambil peran atau menyatukan pengguna. Untuk informasi selengkapnya, lihat Melewati tag sesi di AWS STS.

Izin diperlukan untuk menandai peran IAM

Anda harus mengonfigurasi izin untuk mengizinkan peran IAM menandai entitas lain (pengguna atau peran). Anda dapat menentukan satu atau semua tindakan tag IAM berikut dalam kebijakan IAM:

• iam:ListRoleTags

• iam:TagRole

• iam:UntagRole

• iam:ListUserTags

• iam:TagUser

• iam:UntagUser

Untuk mengizinkan peran IAM menambah, mencantumkan, atau menghapus tag untuk pengguna tertentu

Tambahkan pernyataan berikut ke kebijakan izin untuk peran IAM yang perlu mengelola tag. Gunakan nomor akun Anda dan ganti <username> dengan nama pengguna yang tandanya perlu dikelola. Untuk mempelajari cara membuat kebijakan dengan menggunakan contoh dokumen kebijakan JSON ini, lihat Membuat kebijakan menggunakan editor JSON.

{
    "Effect": "Allow",
    "Action": [
        "iam:ListUserTags",
        "iam:TagUser",
        "iam:UntagUser"
    ],
    "Resource": "arn:aws:iam::<account-number>:user/<username>"
}

Untuk mengizinkan peran IAM menambahkan tag ke pengguna tertentu

Tambahkan pernyataan berikut ke kebijakan izin untuk peran IAM yang perlu menambahkan, tetapi tidak menghapus, tag untuk pengguna tertentu.

Untuk menggunakan kebijakan ini, ganti <username> dengan nama pengguna yang tandanya perlu dikelola. Untuk mempelajari cara membuat kebijakan dengan menggunakan contoh dokumen kebijakan JSON ini, lihat Membuat kebijakan menggunakan editor JSON.

{
    "Effect": "Allow",
    "Action": [
        "iam:ListUserTags",
        "iam:TagUser"
    ],
    "Resource": "arn:aws:iam::<account-number>:user/<username>"
}

Untuk mengizinkan peran IAM menambah, mencantumkan, atau menghapus tag untuk peran tertentu

Tambahkan pernyataan berikut ke kebijakan izin untuk peran IAM yang perlu mengelola tag. Ganti <rolename> dengan nama peran yang tandanya perlu dikelola. Untuk mempelajari cara membuat kebijakan dengan menggunakan contoh dokumen kebijakan JSON ini, lihat Membuat kebijakan menggunakan editor JSON.

{
    "Effect": "Allow",
    "Action": [
        "iam:ListRoleTags",
        "iam:TagRole",
        "iam:UntagRole"
    ],
    "Resource": "arn:aws:iam::<account-number>:role/<rolename>"
}

Atau, Anda dapat menggunakan kebijakan AWS terkelola seperti IAM FullAccess untuk menyediakan akses penuh ke IAM.

Mengelola tag pada peran IAM (konsol)

Anda dapat mengelola tag untuk peran IAM dari. AWS Management Console

Untuk mengelola tanda pada peran (konsol)

1. Masuk ke AWS Management Console dan buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Di panel navigasi konsol, pilih Peran lalu pilih nama peran yang ingin Anda edit.

3. Pilih Tag kemudian selesaikan salah satu tindakan berikut:

   • Pilih Tambahkan tag baru jika peran belum memiliki tag.

   • Pilih Kelola tag untuk mengelola kumpulan tag yang ada.

4. Tambahkan atau hapus tag untuk menyelesaikan rangkaian tag. Kemudian, pilih Simpan perubahan.

Mengelola tag pada peran IAM (AWS CLI atau AWS API)

Anda dapat membuat daftar, melampirkan, atau menghapus tag untuk peran IAM. Anda dapat menggunakan AWS CLI atau AWS API untuk mengelola tag untuk peran IAM.

Untuk mencantumkan tag yang saat ini dilampirkan ke peran IAM (AWS CLI atau AWS API)

• AWS CLI: aws iam list-role-tags

• AWS API: ListRoleTags

Untuk melampirkan tag ke peran IAM (AWS CLI atau AWS API)

• AWS CLI: aws iam tag-role

• AWS API: TagRole

Untuk menghapus tag dari peran IAM (AWS CLI atau AWS API)

• AWS CLI: aws iam untag-role

• AWS API: UntagRole

Untuk informasi tentang melampirkan tag ke sumber daya untuk AWS layanan lain, lihat dokumentasi untuk layanan tersebut.

Untuk informasi tentang menggunakan tag untuk mengatur lebih banyak izin granular dengan kebijakan izin, lihat Elemen kebijakan IAM: Variabel dan tanda.