Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
IAM: Buat pengguna baru hanya dengan tag tertentu
Contoh ini menunjukkan bagaimana Anda dapat membuat kebijakan berbasis identitas yang memungkinkan pembuatan pengguna IAM tetapi hanya dengan satu atau kedua kunci dan tag. Department
JobFunction
Kunci tanda Department
harus memiliki nilai tanda Development
atau QualityAssurance
. Kunci tanda JobFunction
harus memiliki nilia tanda Employee
. Anda dapat menggunakan kebijakan ini untuk mewajibkan bahwa pengguna baru memiliki fungsi dan departemen tugas tertentu. Kebijakan ini memberikan izin yang diperlukan untuk menyelesaikan tindakan ini secara terprogram dari API atau. AWS AWS CLI Untuk menggunakan kebijakan ini, ganti teks placeholder yang dicetak miring
dalam kebijakan contoh dengan informasi Anda sendiri. Lalu, ikuti petunjuk di buat kebijakan atau ubah kebijakan.
Kondisi pertama dalam pernyataan itu menggunakan StringEqualsIfExists
operator kondisi. Jika tanda dengan kunci Department
atau JobFunction
ada dalam permintaan, tanda tersebut harus memiliki nilai yang ditentukan. Jika tidak ada kunci yang muncul, maka kondisi ini akan dievaluasi sebagai benar. Satu-satunya cara bahwa kondisi itu dievaluasi sebagai salah adalah bila satu dari kunci kondisi yang ditentukan muncul dalam permintaan, tetapi memiliki nilai berbeda dari yang diizinkan. Untuk informasi selengkapnya tentang penggunaan IfExists
, lihat ... IfExists operator kondisi.
Kondisi kedua menggunakan operator kondisi ForAllValues:StringEquals
. Kondisi akan mengembalikan benar bila ada kecocokan di antara setiap kunci tanda khusus yang ditentukan dalam permintaan, dan setidaknya satu nilai dalam kebijakan. Artinya, semua tanda dalam permintaan harus ada dalam daftar ini. Namun, permintaan tersebut hanya dapat memasukkan satu tanda ke dalam daftar. Misalnya, Anda dapat membuat pengguna IAM hanya dengan Department=QualityAssurance
tag. Namun, Anda tidak dapat membuat pengguna IAM dengan JobFunction=employee
tag dan Project=core
tag. Untuk informasi selengkapnya tentang penggunaan ForAllValues
, lihat Kunci konteks multivaluasi.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "TagUsersWithOnlyTheseTags", "Effect": "Allow", "Action": [ "iam:CreateUser", "iam:TagUser" ], "Resource": "*", "Condition": { "StringEqualsIfExists": { "aws:RequestTag/
Department
": [ "Development
", "QualityAssurance
" ], "aws:RequestTag/JobFunction
": "Employee
" }, "ForAllValues:StringEquals": { "aws:TagKeys": [ "Department
", "JobFunction
" ] } } } ] }