搭配 S3 向量儲存貯體使用標籤

AWS 標籤是金鑰值對，可保留資源的中繼資料，在此情況下為 Amazon S3 向量儲存貯體。您可以在建立 S3 向量儲存貯體或管理現有向量儲存貯體上的標籤時標記 S3 向量儲存貯體。如需有關標籤的一般資訊，請參閱 成本分配或屬性型存取控制 (ABAC) 的標記。

注意

在超過標準 S3 API 請求率的向量儲存貯體上使用標籤不會產生額外費用。如需詳細資訊，請參閱 Simple Storage Service (Amazon S3) 定價。

搭配向量儲存貯體使用標籤的常見方式

在 S3 向量儲存貯體上使用標籤：

• 屬性型存取控制 (ABAC) – 擴展存取許可，並根據 S3 向量儲存貯體的標籤授予存取權。如需詳細資訊，請參閱使用屬性型存取控制 (ABAC) 的標籤。

S3 向量儲存貯體的 ABAC

Amazon S3 向量儲存貯體支援使用標籤的屬性型存取控制 (ABAC)。在您的 AWS 組織、IAM 和 S3 向量儲存貯體政策中使用標籤型條件金鑰。對於企業，ABAC inAmazon S3 支援跨多個 AWS 帳戶進行授權。

在您的 IAM 政策中，您可以使用下列全域條件金鑰，根據向量儲存貯體的標籤來控制對 S3 向量儲存貯體的存取：

aws:ResourceTag/key-name

使用此鍵來將您在政策中所指定的標籤鍵值對與連接到資源的鍵值對進行比較。例如，您可以要求只在資源擁有連接標籤鍵 Dept 和值 Marketing 時才允許資源的存取。如需詳細資訊，請參閱控制對 AWS 資源的存取。

aws:RequestTag/key-name

使用此鍵來將請求中傳遞的標籤鍵/值對與您在政策中所指定的標籤對進行比較。例如，您可以檢查請求是否包含標籤鍵 Dept 並且其具有值 Accounting。如需詳細資訊，請參閱在AWS 請求期間控制存取。您可以使用此條件索引鍵，限制在 TagResource 和 CreateVectorBucket API 操作期間可以傳遞哪些標籤鍵值對。

aws:TagKeys

使用此鍵來將請求中的標籤鍵與您在政策中所指定的鍵進行比較。當使用政策來控制使用標籤的存取時，建議您使用 aws:TagKeys 條件鍵來定義允許的標籤鍵。如需範例政策和詳細資訊，請參閱根據標籤金鑰控制存取權限。您可以使用標籤建立 S3 向量儲存貯體。若要在 CreateVectorBucket API 操作期間允許標記，您必須建立同時包含 s3vectors:TagResource 和 s3vectors:CreateVectorBucket 動作的政策。然後，您可以使用 aws:TagKeys 條件索引鍵，以強制在 CreateVectorBucket 請求中使用特定的標籤。

s3vectors:VectorBucketTag/tag-key

使用此條件索引鍵，使用標籤將許可授予向量儲存貯體中的特定資料。此條件索引鍵會針對所有 S3 Vectors 動作，作用於指派給向量儲存貯體的標籤。即使您使用標籤建立索引，此條件索引鍵仍會作用於套用至包含該索引之向量儲存貯體的標籤。例如，您可以要求只有在儲存貯體具有附加標籤索引鍵Dept且值為 時，才允許存取儲存貯體Marketing。存取索引時，此條件會參考與包含該索引的向量儲存貯體相關聯的標籤，而 aws:ResourceTag/tag-key則會參考索引本身的標籤。

向量儲存貯體的範例 ABAC 政策

請參閱下列適用於 Amazon S3 向量儲存貯體的範例 ABAC 政策。

1.1 - 建立或修改具有特定標籤之向量儲存貯體的 IAM 政策

在此 IAM 政策中，具有此政策的使用者或角色只有在向量儲存貯體在向量儲存貯體建立請求Trinity中使用標籤索引鍵project和標籤值標記向量儲存貯體時，才能建立 S3 向量儲存貯體。只要TagResource請求包含標籤鍵/值對 ，他們也可以在現有的 S3 向量儲存貯體上新增或修改標籤project:Trinity。此政策不會授予向量儲存貯體或其物件的讀取、寫入或刪除許可。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "CreateVectorBucketWithTags",
      "Effect": "Allow",
      "Action": [
        "s3vectors:CreateVectorBucket",
        "s3vectors:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/project": [
            "Trinity"
          ]
        }
      }
    }
  ]
}

1.2 - 使用標籤限制向量儲存貯體操作的向量儲存貯體政策

在此向量儲存貯體政策中，只有在向量儲存貯體標籤的值project符合主體project標籤的值時，IAM 主體 （使用者和角色） 才能在向量儲存貯體上使用 PutVectorBucketPolicy動作來執行操作。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowObjectOperations",
      "Effect": "Allow",
      "Principal": {
        "AWS": "111122223333"
      },
      "Action": "s3vectors:PutVectorBucketPolicy",
      "Resource": "arn:aws::s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        }
      }
    }
  ]
}

1.3 - 修改現有資源上的標籤以維護標記控管的 IAM 政策

在此 IAM 政策中，只有在向量儲存貯體標籤的值符合主體project標籤的值時，IAM 主體 （使用者或角色） 才能修改向量儲存貯體上的project標籤。這些向量儲存貯體僅允許aws:TagKeys條件索引鍵中cost-center指定的四個標籤 project environmentowner、、 和 。這有助於強制執行標籤控管、防止未經授權的標籤修改，並使標記結構描述在向量儲存貯體之間保持一致。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "EnforceTaggingRulesOnModification",
      "Effect": "Allow",
      "Action": [
        "s3vectors:TagResource"
      ],
      "Resource": "arn:aws::s3vectors:us-west-2:111122223333:bucket/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/project": "${aws:PrincipalTag/project}"
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "project",
            "environment",
            "owner",
            "cost-center"
          ]
        }
      }
    }
  ]
}

1.4 - 使用 s3vectors:VectorBucketTag 條件金鑰

在此 IAM 政策中，只有在向量儲存貯體具有標籤索引鍵和標籤值 時，條件陳述式才允許存取向量儲存貯體Environment和向量索引的操作Production。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "AllowAccessToTaggedBucket",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "arn:aws::s3vectors:us-west-2:111122223333:bucket/*",
      "Condition": {
        "StringEquals": {
          "s3vectors:VectorBucketTag/Environment": "Production"
        }
      }
    }
  ]
}