Aurora リソースの作成時にタグ付けするアクセス許可の付与

一部の RDS API オペレーションでは、リソースの作成時にタグを指定できます。リソースタグを使用して、属性ベースの制御 (ABAC) を実装できます。詳細については、「AWS のABAC とは」および「タグを使用した AWS リソースへのアクセスの制御」を参照してください。

ユーザーがリソースの作成時にタグを付けるには、リソースを作成するアクション (rds:CreateDBCluster など) を使用するためのアクセス許可が必要です。作成アクションでタグが指定されている場合、RDS は rds:AddTagsToResource アクションに対して追加の認可を実行して、ユーザーがタグを作成する認可を持っているかどうかを確認します。そのため、ユーザーにはrds:AddTagsToResource アクションを使用する明示的なアクセス権限が必要です。

rds:AddTagsToResource アクションの IAM ポリシー定義では、aws:RequestTag 条件キーを使用して、リソースにタグを付けるリクエストでタグを要求できます。

例えば、次のポリシーでは、特定のタグキー (environment または project) でのみ、ユーザーが DB インスタンスを作成し、DB インスタンスの作成中にタグを適用することが許可されます。

JSON

{
   "Version":"2012-10-17",
   "Statement": [
       {
           "Effect": "Allow",
           "Action": [
               "rds:CreateDBInstance"
           ],
           "Resource": "*"
       },
       {
           "Effect": "Allow",
           "Action": [
               "rds:AddTagsToResource"
           ],
           "Resource": "*",
           "Condition": {
               "StringEquals": {
                   "aws:RequestTag/environment": ["production", "development"],
                   "aws:RequestTag/project": ["dataanalytics", "webapp"]
               },
               "ForAllValues:StringEquals": {
                   "aws:TagKeys": ["environment", "project"]
               }
           }
       }
   ]
}

このポリシーは、environment または project タグ以外のタグを含む DB インスタンスの作成リクエスト、またはこれらのタグのいずれかを指定しない DB インスタンスの作成リクエストを拒否します。さらに、ユーザーはポリシーで許可されている値と一致するタグの値を指定する必要があります。

次のポリシーでは、ユーザーが DB クラスターを作成し、作成時に environment=prod タグ以外のタグを適用することを許可します。

JSON

{
   "Version":"2012-10-17",
   "Statement": [
       {
           "Effect": "Allow",
           "Action": [
               "rds:CreateDBCluster"
           ],
           "Resource": "*"
       },
       {
           "Effect": "Allow",
           "Action": [
               "rds:AddTagsToResource"
           ],
           "Resource": "*",
           "Condition": {
               "StringNotEquals": {
                   "aws:RequestTag/environment": "prod"
               }
           }
       }
   ]
}

作成時のタグ付けでサポートされている RDS API アクション

次の RDS API アクションでは、リソース作成時のタグの指定がサポートされます。これらのアクションでは、リソースの作成時にタグを指定できます。

• CreateBlueGreenDeployment

• CreateCustomDBEngineVersion

• CreateDBCluster

• CreateDBClusterEndpoint

• CreateDBClusterParameterGroup

• CreateDBClusterSnapshot

• CreateDBInstance

• CreateDBInstanceReadReplica

• CreateDBParameterGroup

• CreateDBProxy

• CreateDBProxyEndpoint

• CreateDBSecurityGroup

• CreateDBShardGroup

• CreateDBSnapshot

• CreateDBSubnetGroup

• CreateEventSubscription

• CreateGlobalCluster

• CreateIntegration

• CreateOptionGroup

• CreateTenantDatabase

• CopyDBClusterParameterGroup

• CopyDBClusterSnapshot

• CopyDBParameterGroup

• CopyDBSnapshot

• CopyOptionGroup

• RestoreDBClusterFromS3

• RestoreDBClusterFromSnapshot

• RestoreDBClusterToPointInTime

• RestoreDBInstanceFromDBSnapshot

• RestoreDBInstanceFromS3

• RestoreDBInstanceToPointInTime

• PurchaseReservedDBInstancesOffering

AWS CLI または API を使用してタグ付きのリソースを作成する場合、Tags パラメータを使用して作成時にリソースにタグを適用します。

これらの API アクションでは、タグ付けが失敗した場合、リソースは作成されず、リクエストはエラーで失敗します。これにより、リソースがタグ付きで作成されるか、まったく作成されないため、意図したタグのないリソースは作成されません。