Amazon FSx에서 태그 사용

태그를 사용하여 Amazon FSx 리소스에 대한 액세스를 제어하고 속성 기반 액세스 제어(ABAC)를 구현할 수 있습니다. 생성 중에 Amazon FSx 리소스에 태그를 적용하려면 사용자에게 특정 권한이 있어야 합니다.

생성 시 리소스 태그 지정에 대한 권한 부여

일부 리소스 생성 Amazon FSx API 작업에서는 리소스를 생성할 때 태그를 지정할 수 있습니다. 리소스 태그를 사용하여 속성 기반 액세스 제어(ABAC)를 구현할 수도 있습니다. 자세한 내용은 IAM 사용 설명서의 AWS의 ABAC란?을 참조하세요.

사용자가 생성 시 리소스에 태그를 지정할 수 있으려면 리소스를 생성하는 작업을 사용할 권한이 있어야 합니다(예: fsx:CreateFileSystem 또는 fsx:CreateBackup). 리소스 생성 작업에서 태그가 지정되면 Amazon은 fsx:TagResource 작업에서 추가 권한 부여를 수행해 사용자에게 태그를 생성할 권한이 있는지 확인합니다. 따라서 사용자는 fsx:TagResource 작업을 사용할 명시적 권한도 가지고 있어야 합니다.

다음 예는 사용자가 특정 시스템에서 파일 시스템을 생성하고 파일 시스템을 생성하는 동안 파일 시스템에 태그를 적용할 수 있도록 허용하는 정책을 보여줍니다. AWS 계정

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "fsx:CreateFileSystem",
         "fsx:TagResource"         
      ],
      "Resource": "arn:aws:fsx:region:account-id:file-system/*"
    }
  ]
}

마찬가지로 다음 정책은 사용자가 특정 파일 시스템에 백업을 생성하고 백업 생성 도중 백업에 임의의 태그를 적용하는 것을 허용합니다.

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "fsx:CreateBackup"
      ],
      "Resource": "arn:aws:fsx:region:account-id:file-system/file-system-id*"
    },
    {
      "Effect": "Allow",
      "Action": [
         "fsx:TagResource"
      ],
      "Resource": "arn:aws:fsx:region:account-id:backup/*"
    }
  ]
}

fsx:TagResource 작업은 리소스 생성 작업 도중 태그가 적용되는 경우에만 평가됩니다. 따라서 리소스를 생성할 권한이 있는 사용자(태그 지정 조건은 없다고 가정)는 요청에서 태그가 지정되지 않은 경우, fsx:TagResource 작업을 사용할 권한이 필요하지 않습니다. 하지만 사용자가 태그를 사용하여 리소스 생성을 시도하는 경우, 사용자에게 fsx:TagResource 작업을 사용할 권한이 없다면 요청은 실패합니다.

Amazon FSx 리소스 태그 지정에 대한 자세한 내용은 Amazon FSx 리소스 태그 지정 섹션을 참조하세요. 태그를 사용하여 FSx 리소스에 대한 액세스를 제어하는 방법에 대한 자세한 내용은 태그를 사용하여 Amazon FSx 리소스에 대한 액세스 제어 섹션을 참조하세요.

태그를 사용하여 Amazon FSx 리소스에 대한 액세스 제어

Amazon FSx 리소스 및 작업에 대한 액세스를 제어하기 위해 태그를 기반으로 하는 (IAM) AWS Identity and Access Management 정책을 사용할 수 있습니다. 두 가지 방법으로 제어할 수 있습니다.

1. Amazon FSx 리소스의 태그를 기반으로 해당 리소스에 대한 액세스를 제어합니다.

2. IAM 요청 조건에 어떤 태그가 전달될 수 있는지를 제어합니다.

태그를 사용하여 AWS 리소스에 대한 액세스를 제어하는 방법에 대한 자세한 내용은 IAM 사용 설명서의 태그를 사용한 액세스 제어를 참조하십시오. 생성 시 Amazon FSx 리소스 태그 지정에 대한 자세한 내용은 생성 시 리소스 태그 지정에 대한 권한 부여 섹션을 참조하세요. 리소스 태그 지정에 대한 자세한 내용은 Amazon FSx 리소스 태그 지정 섹션을 참조하세요.

리소스의 태그를 기반으로 액세스 제어

사용자나 역할이 Amazon FSx 리소스에서 어떤 작업을 수행할 수 있는지 제어하기 위해 해당 리소스의 태그를 사용할 수 있습니다. 예를 들어, 리소스에 있는 태그의 키-값 페어를 기반으로 해당 리소스에서 특정 API 작업을 허용하거나 거부할 수 있습니다.

예 정책 - 특정 태그를 제공하는 경우에 파일 시스템 생성

이 정책을 통해 사용자가 특정 태그 키-값 페어(이 예제에서는 key=Department, value=Finance)로 태그를 지정하는 경우에만 파일 시스템을 생성할 수 있습니다.

{
    "Effect": "Allow",
    "Action": [
        "fsx:CreateFileSystem",
        "fsx:TagResource"
    ],
    "Resource": "arn:aws:fsx:region:account-id:file-system/*",
    "Condition": {
        "StringEquals": {
            "aws:RequestTag/Department": "Finance"
        }
    }
}

예 정책 - 특정 태그가 있는 Amazon FSx 파일 시스템의 백업만 생성

이 정책을 통해 사용자는 key=Department, value=Finance 키 값 쌍으로 태그가 지정된 파일 시스템의 백업만 생성할 수 있으며, 백업은 Deparment=Finance 태그를 사용하여 생성됩니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:CreateBackup"
            ],
            "Resource": "arn:aws:fsx:region:account-id:file-system/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "fsx:TagResource",
                "fsx:CreateBackup"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/Department": "Finance"
                }
            }
        }
     
    ]
}

예 정책 - 특정 태그가 있는 백업에서 특정 태그가 포함된 파일 시스템 생성

이 정책을 통해 사용자는 Department=Finance 태그가 지정된 백업에서만 Department=Finance 태그가 지정된 파일 시스템을 생성할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:CreateFileSystemFromBackup",
                "fsx:TagResource"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        }
    ]
}

예 정책 - 특정 태그가 있는 파일 시스템 삭제

이 정책을 통해 사용자는 Department=Finance 태그가 지정된 파일 시스템만 삭제할 수 있습니다. 최종 백업을 생성하는 경우 Department=Finance 태그를 지정해야 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:DeleteFileSystem"
            ],
            "Resource": "arn:aws:fsx:region:account-id:file-system/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "fsx:TagResource"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/Department": "Finance"
                }
            }
        }
    ]
}