在建立期間授予標籤 Aurora 資源的許可

有些 RDS API 操作可讓您在建立資源時指定標籤。您可以使用資源標籤來實作以屬性為基礎的控制 (ABAC)。如需詳細資訊，請參閱什麼是 ABAC AWS？ 和 使用標籤控制對 AWS 資源的存取。

使用者若要在建立時標記資源，他們必須具備建立資源動作 (例如 rds:CreateDBCluster) 的使用許可。若標籤於建立動作中指定，RDS 會針對 rds:AddTagsToResource 動作執行其他授權，以確認使用者具備建立標籤的許可。因此，使用者必須同時具備使用 rds:AddTagsToResource 動作的明確許可。

在 rds:AddTagsToResource 動作的 IAM 政策定義中，您可以使用 aws:RequestTag 條件索引鍵要求請求中的標籤來標記資源。

例如，下列政策允許使用者在建立資料庫執行個體期間建立資料庫執行個體並套用標籤，但只能使用特定標籤索引鍵 (environment 或 project)：

JSON

{
   "Version":"2012-10-17",
   "Statement": [
       {
           "Effect": "Allow",
           "Action": [
               "rds:CreateDBInstance"
           ],
           "Resource": "*"
       },
       {
           "Effect": "Allow",
           "Action": [
               "rds:AddTagsToResource"
           ],
           "Resource": "*",
           "Condition": {
               "StringEquals": {
                   "aws:RequestTag/environment": ["production", "development"],
                   "aws:RequestTag/project": ["dataanalytics", "webapp"]
               },
               "ForAllValues:StringEquals": {
                   "aws:TagKeys": ["environment", "project"]
               }
           }
       }
   ]
}

此政策拒絕任何包含 environment 或 project 標籤以外之標籤的建立資料庫執行個體請求，或未指定這些標籤的建立資料庫執行個體請求。此外，使用者必須為符合政策中允許值的標籤指定值。

下列政策可讓使用者建立資料庫叢集，並在建立期間套用 environment=prod 標籤以外的任何標籤：

JSON

{
   "Version":"2012-10-17",
   "Statement": [
       {
           "Effect": "Allow",
           "Action": [
               "rds:CreateDBCluster"
           ],
           "Resource": "*"
       },
       {
           "Effect": "Allow",
           "Action": [
               "rds:AddTagsToResource"
           ],
           "Resource": "*",
           "Condition": {
               "StringNotEquals": {
                   "aws:RequestTag/environment": "prod"
               }
           }
       }
   ]
}

建立時用於標記的支援 RDS API 動作

下列 RDS API 動作支援在建立資源時進行標記。對於這些動作，您可以在建立資源時指定標籤：

• CreateBlueGreenDeployment

• CreateCustomDBEngineVersion

• CreateDBCluster

• CreateDBClusterEndpoint

• CreateDBClusterParameterGroup

• CreateDBClusterSnapshot

• CreateDBInstance

• CreateDBInstanceReadReplica

• CreateDBParameterGroup

• CreateDBProxy

• CreateDBProxyEndpoint

• CreateDBSecurityGroup

• CreateDBShardGroup

• CreateDBSnapshot

• CreateDBSubnetGroup

• CreateEventSubscription

• CreateGlobalCluster

• CreateIntegration

• CreateOptionGroup

• CreateTenantDatabase

• CopyDBClusterParameterGroup

• CopyDBClusterSnapshot

• CopyDBParameterGroup

• CopyDBSnapshot

• CopyOptionGroup

• RestoreDBClusterFromS3

• RestoreDBClusterFromSnapshot

• RestoreDBClusterToPointInTime

• RestoreDBInstanceFromDBSnapshot

• RestoreDBInstanceFromS3

• RestoreDBInstanceToPointInTime

• PurchaseReservedDBInstancesOffering

如果您使用 AWS CLI 或 API 建立具有標籤的資源， Tags 參數會用來在建立期間將標籤套用至資源。

對於這些 API 動作，如果標記失敗，則不會建立資源，且請求會失敗並顯示錯誤。這可確保使用標籤建立資源，或完全不建立資源，以防止在沒有預期標籤的情況下建立資源。