Applicazione di tag ai provider di identità OpenID Connect (OIDC)

Puoi utilizzare le coppie chiave-valore dei tag IAM per aggiungere attributi personalizzati ai provider di identità OpenID Connect (OIDC) IAM. Ad esempio, per identificare un provider di identità OIDC, puoi aggiungere la chiave tag google e il valore tag oidc. Puoi usare i tag per controllare l'accesso alle risorse o per controllare quali tag possono essere collegati a un oggetto. Per ulteriori informazioni sull'uso dei tag per controllare l'accesso, consulta Controllo dell'accesso a e per utenti e ruoli IAM mediante i tag.

Autorizzazioni necessarie per l'aggiunta di tag ai provider di identità OIDC IAM

Per permettere a un'entità IAM (utente o ruolo) di applicare tag ai provider di identità OIDC IAM, devi configurare le autorizzazioni. Puoi specificare una o tutte le seguenti operazioni del tag IAM in una policy IAM:

• iam:ListOpenIDConnectProviderTags

• iam:TagOpenIDConnectProvider

• iam:UntagOpenIDConnectProvider

Come consentire a un'entità IAM (utente o ruolo) di aggiungere, elencare o rimuovere un tag per un provider di identità OIDC IAM

Aggiungi l'istruzione seguente alla policy di autorizzazione per l'entità IAM che deve gestire i tag. Usa il tuo numero di account e sostituisci <OIDC ProviderName > con il nome del provider OIDC i cui tag devono essere gestiti. Per ulteriori informazioni su come creare una policy utilizzando questo esempio di documento di policy JSON, consultare Creazione di policy utilizzando l'editor JSON.

{
    "Effect": "Allow",
    "Action": [
        "iam:ListOpenIDConnectProviderTags",
        "iam:TagOpenIDConnectProvider",
        "iam:UntagOpenIDConnectProvider"
    ],
    "Resource": "arn:aws:iam::<account-number>:oidc-provider/<OIDCProviderName>"
}

Come consentire a un'entità IAM (utente o ruolo) di aggiungere un tag a un provider di identità OIDC IAM specifico

Aggiungi l'istruzione seguente alla policy di autorizzazione per l'entità IAM che deve aggiungere, ma non rimuovere, i tag per un determinato provider di identità.

Nota

L'azione iam:TagOpenIDConnectProvider richiede che tu includa anche l'azione iam:ListOpenIDConnectProviderTags.

Per utilizzare questa politica, sostituisci <OIDC ProviderName > con il nome del provider OIDC i cui tag devono essere gestiti. Per ulteriori informazioni su come creare una policy utilizzando questo esempio di documento di policy JSON, consultare Creazione di policy utilizzando l'editor JSON.

{
    "Effect": "Allow",
    "Action": [
        "iam:ListOpenIDConnectProviderTags",
        "iam:TagOpenIDConnectProvider"
    ],
    "Resource": "arn:aws:iam::<account-number>:oidc-provider/<OIDCProviderName>"
}

In alternativa, puoi utilizzare una policy AWS gestita come IAM FullAccess per fornire l'accesso completo a IAM.

Gestione dei tag nei provider di identità OIDC IAM (console)

Puoi gestire i tag per i provider di identità OIDC IAM dalla AWS Management Console.

Per gestire i tag dei provider di identità OIDC (console)

1. Accedi AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel riquadro di navigazione della console, scegli Identity providers (Provider di identità), quindi scegli il nome del provider di identità che desideri aggiornare.

3. Nella sezione Tag (Tag) scegli Manage tags (Gestisci tag) e completa una delle seguenti azioni:

   • Sceglie Add tag (Aggiungi tag) se il provider di identità OIDC non dispone ancora di tag o per aggiungere un nuovo tag.

   • Modificare le chiavi e i valori dei tag esistenti.

   • Per rimuovere un tag, scegli Remove tag (Rimuovi tag).

4. Selezionare quindi Save changes (Salva modifiche).

Gestione dei tag sui provider di identità IAM OIDC (AWS CLI o AWS API)

Puoi elencare, allegare o rimuovere i tag per i provider di identità OIDC IAM. Puoi utilizzare l' AWS CLI o l' AWS API per gestire i tag per i provider di identità IAM OIDC.

Per elencare i tag attualmente associati a un provider di identità (o API) IAM OIDC AWS CLIAWS

• AWS CLI: aws iam -provider-tags list-open-id-connect

• AWS ListOpenAPI: ID ConnectProviderTags

Per allegare tag a un provider di identità (AWS CLI o AWS API) IAM OIDC

• AWS CLI: aws iam -provider tag-open-id-connect

• AWS API: ID TagOpen ConnectProvider

Per rimuovere i tag da un provider di identità (AWS CLI o AWS API) IAM OIDC

• AWS CLI: aws iam -provider untag-open-id-connect

• AWS API: ID UntagOpen ConnectProvider

Per informazioni su come allegare tag alle risorse per altri AWS servizi, consulta la documentazione relativa a tali servizi.

Per ulteriori informazioni sull'utilizzo di tag per impostare autorizzazioni più granulari con le policy di autorizzazione IAM, consulta Elementi delle policy IAM: variabili e tag.