在 Amazon FSx 上使用标签 - FSx for ONTAP
在创建过程中，为资源添加标签使用标签控制访问权限
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 Amazon FSx 上使用标签

您可以使用标签来控制对 Amazon FSx 资源的访问权限并实现基于属性的访问权限控制（ABAC）。要在创建期间对 Amazon FSx 资源应用标签，用户必须具有某些 Amazon Identity and Access Management （IAM）权限。

在创建过程中授予标记资源的权限

您通过一些资源创建 Amazon FSx API 操作在创建资源时指定标签。您可以使用这些资源标签来实现基于属性的访问权限控制（ABAC）。有关更多信息，请参阅 ABAC 有什么用 Amazon？ 在 IAM 用户指南中。

为使用户在创建时为资源添加标签，他们必须具有使用创建该资源的操作（如 fsx:CreateFileSystem、fsx:CreateStorageVirtualMachine 或 fsx:CreateVolume）的权限。如果在资源创建操作中指定了标签，则 IAM 会对 fsx:TagResource 操作执行额外的授权，以验证用户是否具备创建标签的权限。因此，用户还必须具有使用 fsx:TagResource 操作的显式权限。

以下示例策略允许用户创建文件系统和存储虚拟机 (SVM)，并在特定 Amazon Web Services 账户环境中创建期间对它们应用标签。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "fsx:CreateFileSystem",
         "fsx:CreateStorageVirtualMachine",
         "fsx:TagResource"       
      ],
      "Resource": [
         "arn:aws:fsx:region:account-id:file-system/*",
         "arn:aws:fsx:region:account-id:file-system/*/storage-virtual-machine/*"
      ]
    }
  ]
}

同样，下面的策略允许用户在特定文件系统上创建备份，并在创建备份的过程中向备份应用任何标签。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "fsx:CreateBackup"
      ],
      "Resource": "arn:aws:fsx:region:account-id:file-system/file-system-id*"
    },
    {
      "Effect": "Allow",
      "Action": [
         "fsx:TagResource"
      ],
      "Resource": "arn:aws:fsx:region:account-id:backup/*"
    }
  ]
}

仅当用户在资源创建时应用了标签的情况下，系统才会评估 fsx:TagResource 操作。因此，如果未在此请求中指定任何标签，则拥有创建资源权限（假定没有标记条件）的用户无需具备使用 fsx:TagResource 操作的权限。但是，如果用户不具备使用 fsx:TagResource 操作的权限而又试图创建带标签的资源，则请求将失败。

有关标记 Amazon FSx 资源的更多信息，请参阅标记 Amazon FSx 资源。有关如何使用标签控制对 Amazon FSx 资源的访问权限的更多信息，请参阅 使用标签控制对 Amazon FSx 资源的访问权限。

使用标签控制对 Amazon FSx 资源的访问权限

要控制对 Amazon FSx 资源和操作的访问权限，您可以根据标签使用 IAM policy。您可以使用两种方法提供此类控制：

  • 您可以根据这些资源上的标签控制对 Amazon FSx 资源的访问权限。

  • 您可以控制在 IAM 请求条件中传递哪些标签。

有关如何使用标签控制 Amazon 资源访问的信息，请参阅 IAM 用户指南中的使用标签控制访问权限。有关在创建时标记 Amazon FSx 资源的更多信息，请参阅在创建过程中授予标记资源的权限。有关标记资源的更多信息，请参阅标记 Amazon FSx 资源。

根据资源上的标签控制访问权限

要控制用户或角色可以对 Amazon FSx 资源执行的操作，您可以使用资源上的标签。例如，您可能希望根据文件系统资源上的标签的键/值对允许或拒绝对该资源执行特定的 API 操作。

例 策略示例 – 仅在使用特定标签时创建文件系统

只有当用户使用特定标签键值对标记文件系统时，此策略才允许用户创建文件系统，在本示例中为 key=Department，value=Finance。

{
    "Effect": "Allow",
    "Action": [
        "fsx:CreateFileSystem",
        "fsx:TagResource"
    ],
    "Resource": "arn:aws:fsx:region:account-id:file-system/*",
    "Condition": {
        "StringEquals": {
            "aws:RequestTag/Department": "Finance"
        }
    }
}
例 策略示例 — 仅为带有特定标签的 NetApp ONTAP 卷创建 Amazon FSx 的备份

此策略仅允许用户为带有 key=Department, value=Finance 键值对标签的 FSx for ONTAP 卷创建备份。使用标签 Department=Finance 创建备份。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:CreateBackup"
            ],
            "Resource": "arn:aws:fsx:region:account-id:volume/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "fsx:TagResource",
                "fsx:CreateBackup"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/Department": "Finance"
                }
            }
        }
     
    ]
}
例 策略示例 – 通过带有特定标签的备份创建带有特定标签的卷

此策略允许用户仅通过带有 Department=Finance 标签的备份创建带有 Department=Finance 标签的卷。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:CreateVolumeFromBackup",
                "fsx:TagResource"
            ],
            "Resource": "arn:aws:fsx:region:account-id:volume/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/Department": "Finance"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "fsx:CreateVolumeFromBackup"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        }
    ]
}
例 策略示例 – 删除带有特定标签的文件系统

此策略允许用户删除带有 Department=Finance 标签的文件系统。如果他们创建了最终备份，则必须使用 Department=Finance 标记。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:DeleteFileSystem"
            ],
            "Resource": "arn:aws:fsx:region:account-id:file-system/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "fsx:TagResource"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/Department": "Finance"
                }
            }
        }
    ]
}
例 示例策略 – 删除带有特定标签的卷

此策略允许用户仅删除带有 Department=Finance 标签的卷。如果他们创建了最终备份，则必须使用 Department=Finance 标记。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "fsx:DeleteVolume"
            ],
            "Resource": "arn:aws:fsx:region:account-id:volume/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Department": "Finance"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "fsx:TagResource"
            ],
            "Resource": "arn:aws:fsx:region:account-id:backup/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/Department": "Finance"
                }
            }
        }
    ]
}