Concessione dell'autorizzazione all'applicazione di tagAWS DataSync alle risorse durante la creazione

Alcune operazioni API AWS DataSync per la creazione di risorse ti consentono di specificare tag quando crei le risorse. È possibile utilizzare i tag delle risorse per implementare il controllo degli accessi basato sugli attributi (ABAC). Per ulteriori informazioni, consulta Che cos'è ABAC perAWS? nella Guida per l'utente IAM.

Per consentire agli utenti di applicare tag alle risorse durante la creazione, essi devono disporre delle autorizzazioni per utilizzare l'operazione che crea la risorsa (comedatasync:CreateAgent odatasync:CreateTask). Se i tag vengono specificati nell'operazione di creazione delle risorse, gli utenti devono disporre anche delle autorizzazioni esplicite per utilizzare l'datasync:TagResourceoperazione.

L'operazione datasync:TagResource viene valutata solo se i tag vengono applicati durante l'operazione di creazione delle risorse. Pertanto, un utente con le autorizzazioni per la creazione di una risorsa (presupponendo che non siano presenti condizioni di tagging) non necessità delle autorizzazioni per utilizzare l'datasync:TagResourceoperazione se nella richiesta non viene specificato alcun tag.

Tuttavia, se l'utente tenta di creare una risorsa con tag, la richiesta ha esito negativo se non dispone delle autorizzazioni per utilizzare l'datasync:TagResourceoperazione.

Dichiarazioni di policy IAM di esempio

Utilizza le seguenti dichiarazioni di policy IAM di esempio per concedereTagResource le autorizzazioni agli utenti che creanoDataSync risorse.

La seguente dichiarazione consente agli utenti di etichettare unDataSync agente quando lo creano.

{
  "Version": "2012-10-17",
  "Statement": [
    {
       "Effect": "Allow",
       "Action": "datasync:TagResource",
       "Resource": "arn:aws:datasync:region:account-id:agent/*"
    }
  ]
}

La seguente dichiarazione consente agli utenti di etichettare unaDataSync posizione quando la creano.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "datasync:TagResource",
            "Resource": "arn:aws:datasync:region:account-id:location/*"
        }
    ]
}

La seguente dichiarazione consente agli utenti di etichettare un'DataSyncattività quando la creano.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "datasync:TagResource",
            "Resource": "arn:aws:datasync:region:account-id:task/*"
        }
    ]
}