使用资源标签控制对 AWS 资源的访问

您可以使用标签以控制对支持标记的 AWS 资源的访问。您还可以标记 IAM 用户和角色以控制他们可以访问哪些内容。要了解如何标记 IAM 用户和角色，请参阅标记 IAM 用户和角色。对于创建策略，以允许具有委托人标签的 IAM 角色访问具有匹配标签的资源并测试该策略，有关教程，请参阅教程：将标签用于 AWS 中的基于属性的访问控制。可以使用以下部分中的信息以控制对其他 AWS 服务的访问，而无需标记 IAM 用户或角色。

在使用标签控制对 AWS 资源的访问之前，您必须了解 AWS 如何授予访问权限。AWS 由一组资源组成。Amazon EC2 实例是一种资源。Amazon S3 存储桶是一种资源。您可以使用 AWS API、AWS CLI 或 AWS 管理控制台执行操作，例如，在 Amazon S3 中创建存储桶。在执行操作时，您将发送该操作的请求。您的请求指定操作、资源、委托人实体（用户或角色）、委托人账户 以及所需的任何请求信息。所有这些信息提供了上下文。

然后，AWS 检查是否对您（委托人实体）进行身份验证（登录）和授权（具有权限），以便对指定的资源执行指定的操作。在授权期间，AWS 检查应用于请求上下文的所有策略。大多数策略作为 JSON 文档存储在 AWS 中，并指定委托人实体的权限。有关策略类型和用法的更多信息，请参阅策略和权限。

只有在策略允许请求的每个部分时，AWS 才会授权该请求。要查看示意图和详细了解 IAM 基础设施，请参阅了解 IAM 的工作方式。有关 IAM 如何确定是否允许请求的详细信息，请参阅策略评估逻辑。

标签可能使此过程变得复杂，因为标签可以附加到资源，也可以从请求传入支持标签的服务。要基于标签控制访问，您需要在策略的条件元素中提供标签信息。要了解 AWS 服务是否支持使用标签控制访问，请参阅使用 IAM 的 AWS 服务并查找在根据标签进行授权列中具有是的服务。选择服务名称以查看该服务的授权和访问控制文档。

然后，您可以创建一个 IAM 策略，以根据资源的标签允许或拒绝访问资源。在该策略中，您可以使用标签条件键以控制对任何以下内容的访问：

资源 – 基于 AWS 服务资源上的标签控制对这些资源的访问。为此，请使用 ResourceTag/key-name 条件键根据附加到资源的标签确定是否允许访问资源。
请求 – 控制可以在请求中传递哪些标签。为此，请使用 aws:RequestTag/key-name 条件键指定可以在请求中传递哪些标签键值对以标记或取消标记 AWS 资源。
授权过程的任何部分 – 使用 aws:TagKeys 条件键以控制是否可以在资源或请求中使用特定的标签键。

您可以通过可视化方式创建 IAM 策略，也可以使用 JSON，或通过导入现有托管策略来创建。有关详细信息，请参阅创建 IAM 策略。

控制对 AWS 资源的访问

您可以使用 IAM 策略中的条件根据 AWS 资源上的标签控制对该资源的访问。您可以使用全局 aws:ResourceTag/tag-key 条件键或服务特定的键（如 iam:ResourceTag/tag-key）执行该操作。某些服务（例如 IAM）仅支持此键的服务特定版本，而不支持全局版本。

注意

不要在策略中将 ResourceTag 条件键与 iam:PassRole 操作一起使用。您无法在 IAM 角色上使用标签以控制可以传递该角色的用户的访问权限。有关将角色传递给服务所需的权限的更多信息，请参阅向用户授予权限以将角色传递给 AWS 服务。

此示例显示您可以如何创建策略以允许启动或停止 Amazon EC2 实例。只有在实例标签 Owner 具有该用户的用户名值时，才允许执行这些操作。此策略还授予在控制台上完成此操作所需的必要权限。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringEquals": {"ec2:ResourceTag/Owner": "${aws:username}"}
            }
        },
        {
            "Effect": "Allow",
            "Action": "ec2:DescribeInstances",
            "Resource": "*"
        }
    ]
}

您可以将此策略附加到您账户中的 IAM 用户。如果名为 richard-roe 的用户尝试启动 Amazon EC2 实例，则实例必须标记为 Owner=richard-roe 或 owner=richard-roe。否则，他将被拒绝访问。标签键 Owner 同时匹配 owner 和 Owner，因为条件键名称不区分大小写。有关更多信息，请参阅IAM JSON 策略元素： Condition。

在 AWS 请求期间控制访问

您可以在 IAM 策略中使用条件以控制可以在标记 AWS 资源的请求中传递哪些标签键值对。

此示例显示您可以如何创建策略以允许使用 Amazon EC2 CreateTags 操作将标签附加到实例上。只有在标签包含 environment 键和 preprod 或 production 值时，才能附加标签。如果需要，您可以将 ForAllValues 修饰符与 aws:TagKeys 条件键一起使用，以指示仅允许在请求中使用 environment 键。这将阻止用户包括其他键，例如意外使用 Environment 而不是 environment。


{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "ec2:CreateTags",
        "Resource": "arn:aws:ec2:*:*:instance/*",
        "Condition": {
            "StringEquals": {
                "aws:RequestTag/environment": [
                    "preprod",
                    "production"
                ]
            },
            "ForAllValues:StringEquals": {"aws:TagKeys": "environment"}
        }
    }
}

根据标签键控制访问

您可以在 IAM 策略中使用条件来控制是否可以在资源或请求中使用特定标签键。

作为最佳实践，当您使用策略来通过标签控制访问时，应该使用 aws:TagKeys 条件键。支持标签的 AWS 服务可能允许您创建多个只有大小写不同的标签键名称，例如使用 stack=production 和 Stack=test 标记 Amazon EC2 实例。在策略条件中，键名称不区分大小写。这意味着，如果您在策略的条件元素中指定 "ec2:ResourceTag/TagKey1": "Value1"，则条件将匹配名为 TagKey1 或 tagkey1 的资源标签键，但不会同时匹配两者。要防止只有键的大小写形式不同的重复标签，请使用 aws:TagKeys 条件来定义用户可以应用的标签键。

此示例显示您可以如何创建策略允许创建和标记 Secrets Manager 密钥，但只能使用标签键 environment 或 cost-center。


{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "secretsmanager:CreateSecret",
            "secretsmanager:TagResource"
        ],
        "Resource": "*",
        "Condition": {
            "ForAllValues:StringEquals": {
                "aws:TagKeys": [
                    "environment",
                    "cost-center"
                ]
            }
        }
    }
}

Javascript 在您的浏览器中被禁用或不可用。

要使用 AWS 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

使用 IAM 标签控制访问

示例策略