AWS Storage Gateway
用户指南 (API 版本 2013-06-30)
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

使用标签控制对网关和资源的访问

要控制对网关资源和操作的访问,您可以根据标签使用 AWS Identity and Access Management (IAM) 策略。您可以使用两种方法提供控制:

  1. 根据网关资源上的标签控制对这些资源的访问。

  2. 控制可以在 IAM 请求条件中传递的标签。

有关如何使用标签控制访问的信息,请参阅使用标签控制访问

根据资源上的的标签控制访问

要控制用户或角色可以对网关资源执行的操作,您可以使用网关资源上的标签。例如,您可能希望根据文件网关资源上的标签的键/值对允许或拒绝对该资源执行特定的 API 操作。

以下示例允许用户或角色对所有资源执行 ListTagsForResourceListFileSharesDescribeNFSFileShares 操作。仅当资源上的标签将其键设置为 allowListAndDescribe 并将值设置为 yes 时,该策略才适用。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "storagegateway:ListTagsForResource", "storagegateway:ListFileShares", "storagegateway:DescribeNFSFileShares" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceTag/allowListAndDescribe": "yes" } } }, { "Effect": "Allow", "Action": [ "storagegateway:*" ], "Resource": "arn:aws:storagegateway:region:account-id:*/*" } ] }

根据 IAM 请求中的标签控制访问

要控制 IAM 用户可以对网关资源执行的操作,您可以根据标签在 IAM 策略中使用条件。例如,您可以编写一个策略,以根据 IAM 用户在创建资源时提供的标签允许或拒绝执行特定的 API 操作。

在以下示例中,只有在用户在创建网关时提供的标签的键值对为 DepartmentFinance 时,第一条语句才允许用户创建网关。在使用该 API 操作时,您可以将该标签添加到激活请求中。

只有在网关上的标签的键值对与 DepartmentFinance 匹配时,第二条语句才允许用户在网关上创建网络文件系统 (NFS) 或服务器消息块 (SMB) 文件共享。此外,用户还必须将标签添加到文件共享中,并且标签的键/值对必须为 DepartmentFinance。在创建文件共享时,您可以将标签添加到文件共享中。没有权限执行 AddTagsToResourceRemoveTagsFromResource 操作,因此,用户无法对网关或文件共享执行这些操作。

{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":[ "storagegateway:ActivateGateway" ], "Resource":"*", "Condition":{ "StringEquals":{ "aws:RequestTag/Department":"Finance" } } }, { "Effect":"Allow", "Action":[ "storagegateway:CreateNFSFileShare", "storagegateway:CreateSMBFileShare" ], "Resource":"*", "Condition":{ "StringEquals":{ "aws:ResourceTag/Department":"Finance", "aws:RequestTag/Department":"Finance" } } } ] }