Controlla l'accesso alle risorse di Lightsail con i tag

Puoi utilizzare i tag in Amazon Lightsail per controllare l'accesso alle risorse, controllare l'accesso alle richieste e controllare l'accesso alle chiavi dei tag. In questa guida, imparerai come creare una policy AWS Identity and Access Management (IAM) che specifichi un tag chiave-valore necessario per creare o eliminare le risorse Lightsail e come allegare la policy agli utenti o ai gruppi che devono effettuare tali richieste.

Nota

Per saperne di più sui tag in Lightsail, su quali risorse possono essere taggate e sulle restrizioni, consulta Tag.

Fase 1: Creazione di una policy IAM

Prima di tutto, crea le policy IAM seguenti nella console IAM. Per informazioni sulla creazione di una policy IAM, consulta Creazione di policy IAM nella documentazione di IAM.

La seguente politica impedisce agli utenti di creare nuove risorse Lightsail a meno che nella richiesta allow di creazione non venga definito un tag chiave e un valore true di. Questa policy, inoltre, impedisce agli utenti di eliminare risorse a meno che non abbiano il tag chiave-valore allow/true.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lightsail:Create*",
                "lightsail:TagResource",
                "lightsail:UntagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/allow": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "lightsail:Delete*",
                "lightsail:TagResource",
                "lightsail:UntagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/allow": "true"
                }
            }
        }
    ]
}
    

La policy seguente impedisce agli utenti di modificare il tag per le risorse che hanno un tag chiave-valore diverso da allow/false.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "lightsail:TagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:ResourceTag/allow": "false"
                }
            }
        }
    ]
}
    

Fase 2: assegnare la policy a utenti o gruppi

Dopo aver creato la policy IAM, collegala agli utenti o gruppi che devono creare risorse Lightsail utilizzando la coppia chiave-valore. Per ulteriori informazioni su come collegare policy IAM a utenti o gruppi, consulta Aggiunta e rimozione delle policy IAM nella documentazione IAM.