在 Amazon FSx 上使用标签 - Amazon FSx for Windows File Server
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

在 Amazon FSx 上使用标签

您可以使用标签来控制对 Amazon FSx 资源的访问权限并实现基于属性的访问权限控制(ABAC)。用户需要具有在创建期间对 Amazon FSx 资源应用标签的权限。

在创建过程中授予标记资源的权限

某些资源创建 Amazon FSx API 操作允许您在创建资源时指定标签。您可以使用资源标签来实现基于属性的访问控制(ABAC)。有关更多信息,请参阅《IAM 用户指南》中的什么是适用于 Amazon 的 ABAC?

为使用户能够在创建时为资源添加标签,他们必须具有使用创建该资源的操作(如 fsx:CreateFileSystemfsx:CreateBackup)的权限。如果在资源创建操作中指定了标签,则 Amazon 会对 fsx:TagResource 操作执行额外的授权,以验证用户是否具备创建标签的权限。因此,用户还必须具有使用 fsx:TagResource 操作的显式权限。

下面的示例策略允许用户创建文件系统并在特定 Amazon Web Services 账户 中向其应用标签。

{ "Statement": [ { "Effect": "Allow", "Action": [ "fsx:CreateFileSystem", "fsx:TagResource" ], "Resource": "arn:aws:fsx:region:account-id:file-system/*" } ] }

同样,下面的策略允许用户在特定文件系统上创建备份,并在创建备份的过程中向备份应用任何标签。

{ "Statement": [ { "Effect": "Allow", "Action": [ "fsx:CreateBackup" ], "Resource": "arn:aws:fsx:region:account-id:file-system/file-system-id*" }, { "Effect": "Allow", "Action": [ "fsx:TagResource" ], "Resource": "arn:aws:fsx:region:account-id:backup/*" } ] }

仅当用户在资源创建操作中应用了标签时,系统才会评估 fsx:TagResource 操作。因此,如果未在此请求中指定任何标签,则拥有创建资源权限 (假定没有标记条件) 的用户无需具备使用 fsx:TagResource 操作的权限。但是,如果用户不具备使用 fsx:TagResource 操作的权限而又试图创建带标签的资源,则请求将失败。

有关标记 Amazon FSx 资源的更多信息,请参阅为 Amazon FSx 资源贴标签。有关如何使用标签控制对 FSx 资源的访问权限的更多信息,请参阅使用标签控制对 Amazon FSx 资源的访问权限

使用标签控制对 Amazon FSx 资源的访问权限

要控制对 Amazon FSx 资源和操作的访问权限,您可以根据标签使用 Amazon Identity and Access Management(IAM)policy。您可以使用两种方法提供控制:

  1. 根据这些资源上的标签控制对 Amazon FSx 资源的访问权限。

  2. 控制可以在 IAM 请求条件中传递的标签。

有关如何使用标签控制对 Amazon 资源的访问权限的信息,请参阅《IAM 用户指南》中的使用标签控制访问权限。有关在创建时标记 Amazon FSx 资源的更多信息,请参阅在创建过程中授予标记资源的权限。有关标记资源的更多信息,请参阅为 Amazon FSx 资源贴标签

根据资源上的标签控制访问权限

要控制用户或角色可以对 Amazon FSx 资源执行的操作,您可以使用资源上的标签。例如,您可能希望根据文件系统资源上的标签的键/值对允许或拒绝对该资源执行特定的 API 操作。

例 策略 – 提供特定标签时在其上创建文件系统

只有当用户使用特定标签键值对标记文件系统时,此策略才允许用户创建文件系统,在本示例中为 key=Department, value=Finance

{ "Effect": "Allow", "Action": [ "fsx:CreateFileSystem", "fsx:TagResource" ], "Resource": "arn:aws:fsx:region:account-id:file-system/*", "Condition": { "StringEquals": { "aws:RequestTag/Department": "Finance" } } }
例 策略 – 仅在带有特定标签的 Amazon FSx 文件系统上创建备份

此策略允许用户仅在标有键值对 key=Department, value=Finance 的文件系统上创建备份,并且将使用该 Deparment=Finance 标签创建备份。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "fsx:CreateBackup" ], "Resource": "arn:aws:fsx:region:account-id:file-system/*", "Condition": { "StringEquals": { "aws:ResourceTag/Department": "Finance" } } }, { "Effect": "Allow", "Action": [ "fsx:TagResource", "fsx:CreateBackup" ], "Resource": "arn:aws:fsx:region:account-id:backup/*", "Condition": { "StringEquals": { "aws:RequestTag/Department": "Finance" } } } ] }
例 策略 – 通过带有特定标签的备份创建带有特定标签的文件系统

此策略允许用户仅通过带有 Department=Finance 标签的备份创建带有 Department=Finance 标签的文件系统。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "fsx:CreateFileSystemFromBackup", "fsx:TagResource" ], "Resource": "arn:aws:fsx:region:account-id:backup/*", "Condition": { "StringEquals": { "aws:ResourceTag/Department": "Finance" } } } ] }
例 策略 – 删除带有特定标签的文件系统

此策略允许用户删除带有 Department=Finance 标签的文件系统。如果他们创建了最终备份,则必须使用 Department=Finance 标记。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "fsx:DeleteFileSystem" ], "Resource": "arn:aws:fsx:region:account-id:file-system/*", "Condition": { "StringEquals": { "aws:ResourceTag/Department": "Finance" } } }, { "Effect": "Allow", "Action": [ "fsx:TagResource" ], "Resource": "arn:aws:fsx:region:account-id:backup/*", "Condition": { "StringEquals": { "aws:RequestTag/Department": "Finance" } } } ] }