EC2: タグに基づくインスタンスの開始または停止

この例は、タグのキーバリューのペア Department = Data を持つプリンシパルによってのみ、タグのキーバリューペア Project = DataAnalytics を持つインスタンスの開始または停止を許可する ID ベースのポリシーを作成する方法を示しています。このポリシーでは、AWS API または AWS CLI から、このアクションをプログラムで完了するために必要なアクセス権を許可します。このポリシーを使用するには、サンプルポリシーのイタリック体のプレースホルダーテキストを独自の情報に置き換えます。次に、ポリシーの作成またはポリシーの編集の手順に従います。

ポリシーの条件によって、条件のいずれも true の場合には true が返ります。インスタンスには Project=DataAnalytics タグが必要です。さらに、リクエストを行うIAM プリンシパル (ユーザーまたはロール) には、Department=Data タグが必要です。

注記

ベストプラクティスとして、ユーザーの特定のタグの有無に対応できるように、aws:PrincipalTag 条件キーを持つポリシーを IAM グループにアタッチします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "StartStopIfTags",
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "arn:aws:ec2:region:account-id:instance/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Project": "DataAnalytics",
                    "aws:PrincipalTag/Department": "Data"
                }
            }
        }
    ]
}