View a markdown version of this page

Usar tags com buckets de vetores do S3 - Amazon Simple Storage Service
Maneiras comuns de usar tags com buckets de vetores

Usar tags com buckets de vetores do S3

Uma tag da AWS é um par de chave-valor que contém metadados sobre recursos, neste caso buckets de vetores do Amazon S3. Você pode marcar buckets de vetores do S3 ao criá-los ou gerenciar tags em buckets de vetores existentes. Para ter informações gerais sobre tags, consulte Atribuir tags para alocação de custos ou controle de acesso por atributo (ABAC).

nota

Não há cobrança adicional para usar tags em buckets de vetores além das taxas de solicitação padrão da API do S3. Para obter mais informações, consulte Preço do Amazon S3.

Maneiras comuns de usar tags com buckets de vetores

Use tags em buckets de vetores do S3 para:

ABAC para buckets de vetores do S3

Os buckets de vetores do Amazon S3 permitem utilizar o controle de acesso por atributo (ABAC) usando tags. Use chaves de condição baseadas em tags em políticas de bucket de vetores do S3, de suas organizações na AWS e do IAM. Para empresas, o ABAC no Amazon S3 permite a autorização em várias contas da AWS.

Nas suas políticas do IAM, você pode controlar o acesso aos buckets de vetores do S3 com base nas tags do bucket de vetores usando as seguintes chaves de condição globais:

aws:ResourceTag/key-name

Use essa chave para comparar o par chave-valor da etiqueta especificado na política com o par chave-valor anexado ao recurso. Por exemplo, é possível exigir que o acesso a um recurso seja permitido somente se o recurso tiver a chave de tag Dept anexada com o valor Marketing. Para obter mais informações, consulte Controle de acesso aos recursos do AWS.

aws:RequestTag/key-name

Use essa chave para comparar o par de chave/valor da tag que foi passado na solicitação com o par de tags especificado na política. Por exemplo, é possível verificar se a solicitação inclui a chave de tag Dept e se ela tem o valor Accounting. Para ter mais informações, consulte Controlar o acesso durante solicitações da AWS. Você pode usar essa chave de condição para restringir quais pares de chave-valor de tag podem ser transmitidos durante as operações de API TagResource e CreateVectorBucket.

aws:TagKeys

Use essa chave para comparar as chaves de tag em uma solicitação com as chaves especificadas na política. Ao usar políticas para controlar o acesso usando etiquetas, recomendamos o uso da chave de condição aws:TagKeys para definir quais chaves de etiquetas serão permitidas. Para ver exemplos de política e ter mais informações, consulte Controlar o acesso com base em chaves de tag. É possível criar um bucket de vetores do S3 com tags. Para permitir a marcação durante a operação de API CreateVectorBucket, você deve criar uma política que inclua as ações s3vectors:TagResource e s3vectors:CreateVectorBucket. Em seguida, você pode usar a chave de condição aws:TagKeys para impor o uso de tags específicas na solicitação CreateVectorBucket.

s3vectors:VectorBucketTag/tag-key

Use essa chave de condição para conceder permissões a dados específicos em buckets de vetores por meio de tags. Essa chave de condição atua nas tags atribuídas ao bucket de vetores para todas as ações do S3 Vectors. Mesmo quando você cria um índice com tags, essa chave de condição atua nas tags aplicadas ao bucket de vetores que contém esse índice. Por exemplo, é possível exigir que o acesso a um bucket seja permitido somente se o bucket tiver a chave de tag Dept anexada com o valor Marketing. Ao acessar índices, essa condição faz referência às tags associadas ao bucket de vetores que contém esse índice, enquanto aws:ResourceTag/tag-key fará referência às tags do próprio índice.

Exemplos de política de ABAC para buckets de vetores

Veja os exemplos de política de ABAC a seguir para buckets de vetores do Amazon S3.

1.1 Política do IAM para criar ou modificar buckets de vetores com tags específicas

Nessa política do IAM, usuários ou perfis com essa política só podem criar buckets de vetores do S3 se marcarem o bucket de vetores com a chave de tag project e o valor de tag Trinity na solicitação de criação do bucket de vetores. Eles também podem adicionar ou modificar tags em buckets de vetores existentes do S3, desde que a solicitação TagResource inclua o par de chave-valor de tag project:Trinity. Essa política não concede permissões de leitura, gravação ou exclusão nos buckets de vetores ou nos respectivos objetos.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "CreateVectorBucketWithTags",
      "Effect": "Allow",
      "Action": [
        "s3vectors:CreateVectorBucket",
        "s3vectors:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 Política de bucket de vetores para restringir operações no bucket de vetores por meio de tags

Nessa política de bucket de vetores, as entidades principais do IAM (usuários e perfis) poderão executar operações usando a ação PutVectorBucketPolicy no bucket de vetores somente se o valor da tag project do bucket de vetores corresponder ao valor da tag project da entidade principal.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowObjectOperations",
      "Effect": "Allow",
      "Principal": {
        "AWS": "111122223333"
      },
      "Action": "s3vectors:PutVectorBucketPolicy",
      "Resource": "arn:aws::s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        }
      }
    }
  ]
}

1.3 Política do IAM para modificar tags em recursos existentes, mantendo a governança de marcação

Nessa política do IAM, as entidades principais do IAM (usuários e perfis) poderão modificar tags em um bucket de vetores somente se o valor da tag project do bucket de vetores corresponder ao valor da tag project da entidade principal. Somente as quatro tags (project, environment, owner e cost-center) especificadas nas chaves de condição aws:TagKeys são permitidas para esses buckets de vetores. Isso ajuda a impor a governança de tags, evita modificações não autorizadas nas tags e mantém o esquema de marcação consistente em todos os buckets de vetores.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3vectors:TagResource"
      ],
      "Resource": "arn:aws::s3vectors:us-west-2:111122223333:bucket/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4: usar a chave de condição s3vectors:VectorBucketTag

Nessa política do IAM, a instrução de condição permitirá acesso às operações do bucket de vetores e do índice de vetores somente se o bucket de vetores tiver a chave de tag Environment e o valor de tag Production.

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowAccessToTaggedBucket",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "arn:aws::s3vectors:us-west-2:111122223333:bucket/*",
      "Condition": {
        "StringEquals": {
          "s3vectors:VectorBucketTag/Environment": "Production"
        }
      }
    }
  ]
}