EFS EFS에서 태그 사용

태그를 사용하여 Amazon EFS 리소스에 대한 액세스를 제어하고 ABAC (속성 기반 액세스 제어) 를 구현할 수 있습니다. 자세한 내용은 다음을 참조하세요.

• 리소스에 태그 지정 EFS

• 리소스에 대한 태그를 기반으로 액세스 제어

• 용 ABAC란AWS 무엇입니까? IAM 사용 설명서에서

참고

Amazon EFS 복제에서는 속성 기반 액세스 제어 (ABAC) 에 태그를 사용할 수 없습니다.

생성 중에 Amazon EFS 리소스에 태그를 적용하려면 사용자에게 특정AWS Identity and Access Management (IAM) 권한이 있어야 합니다.

생성 시 리소스 태깅에 대한 권한 부여

다음 Amazon EFS API 생성 작업에서는 리소스를 생성할 때 태그를 지정할 수 있습니다.

• CreateAccessPoint

• CreateFileSystem

사용자가 생성 시 리소스를 생성할 때 태그를 지정할 수 있도록elasticfilesystem:CreateAccessPoint 또는 와 같이 리소스를 생성하는 작업을 사용할 권한이 있어야elasticfilesystem:CreateFileSystem 합니다. 리소스 생성 작업에서 태그가 지정되면 작업에서 추가 권한 부여를AWS 수행해 사용자에게 태그를 생성할 권한이 있는지 확인합니다.elasticfilesystem:TagResource 따라서 사용자는 elasticfilesystem:TagResource 작업을 사용할 명시적 권한도 가지고 있어야 합니다.

elasticfilesystem:TagResource 작업에 대한 IAM 정책 정의에서 Condition 조건 키와 함께 elasticfilesystem:CreateAction 요소를 사용하여 리소스를 만드는 작업에 태그 지정 권한을 부여합니다.

예 정책: 생성 시에만 파일 시스템에 태그를 추가할 수 있도록 허용

다음 예제 정책에서는 사용자가 생성 중에만 파일 시스템을 생성하고 파일 시스템에 태그를 적용할 수 있도록 허용합니다. 사용자는 기존 리소스에 태그를 지정할 수 없습니다(elasticfilesystem:TagResource 작업을 직접 호출할 수 없습니다).

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "elasticfilesystem:CreateFileSystem"
      ],
      "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*"
    },
    {
      "Effect": "Allow",
      "Action": [
         "elasticfilesystem:TagResource"
      ],
      "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*",
      "Condition": {
         "StringEquals": {
             "elasticfilesystem:CreateAction": "CreateFileSystem"
          }
       }
    }
  ]
}

태그를 사용한 Amazon EFS 리소스에 대한 액세스 제어

Amazon EFS 리소스 및 작업에 대한 액세스를 제어하려면 태그 기반 IAM 정책을 사용할 수 있습니다. 다음 두 가지 방법으로 이 제어를 제공할 수 있습니다.

• 리소스에 대한 태그를 기반으로 Amazon EFS 리소스에 대한 액세스를 제어할 수 있습니다.

• IAM 요청 조건에서 어떤 태그가 전달될 수 있는지를 제어할 수 있습니다.

태그를 사용하여AWS 리소스에 대한 액세스를 제어하는 방법에 대한 자세한 내용은 IAM 사용 설명서의 태그를 사용한 액세스 제어를 참조하십시오.

리소스에 대한 태그를 기반으로 액세스 제어

Amazon EFS 리소스에서 사용자 또는 역할이 수행할 수 있는 작업을 제어하려면 리소스의 태그를 사용할 수 있습니다. 예를 들어 리소스에 있는 태그의 키-값 쌍을 기반으로 파일 시스템 리소스에서 특정 API 작업을 허용하거나 거부할 수 있습니다.

예 정책: 특정 태그가 사용될 때만 파일 시스템을 생성합니다.

다음 예제 정책에서는 사용자가 특정 태그 키-값 쌍으로 태그를 지정하는 경우에만 파일 시스템을 생성할 수 있습니다 (이 예에서는key=Department,)value=Finance.

{
    "Effect": "Allow",
    "Action": [
        "elasticfilesystem:CreateFileSystem",
        "elasticfilesystem:TagResource"
    ],
    "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*",
    "Condition": {
        "StringEquals": {
            "aws:RequestTag/Department": "Finance"
        }
    }
}

예 정책: 특정 태그가 있는 파일 시스템 삭제

다음 예제 정책에서는 사용자가 로 태그가 지정되면 파일 시스템만 삭제하도록 허용합니다Department=Finance.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:DeleteFileSystem"
            ],
            "Resource": "arn:aws:elasticfilesystem:region:account-id:file-system/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        }
    ]
}