Ho aggiunto tag alle mie risorse AWS, ma la policy IAM non funziona. Quali servizi AWS supportano i tag basati sull'autorizzazione?

Breve descrizione

Le policy IAM possono utilizzare la chiave di condizione globale aws:ResourceTag per controllare l'accesso in base alla chiave e al valore del tag della risorsa. Non tutti i servizi AWS supportano l'autorizzazione dei tag. Alcune risorse AWS, come le funzioni AWS Lambda e le code Amazon Simple Queue Service (Amazon SQS), possono essere taggate. Tuttavia questi tag non possono essere utilizzati in una policy IAM per controllare l'accesso alle risorse. Per un elenco dei servizi AWS che supportano l'autorizzazione basata su tag, consulta Servizi AWS che funzionano con IAM.

Risoluzione

Se un servizio AWS non supporta l'autorizzazione basata su tag, controlla le operazioni, le risorse e le chiavi di condizione del servizio per vedere le autorizzazioni a livello di risorsa e le chiavi di condizione supportate nelle policy IAM. Alcuni servizi AWS, come Panoramica sulla gestione dell'accesso in Amazon SQS e Policy IAM basate sull'identità per AWS Lambda, dispongono di documentazione che contiene esempi di policy IAM.

Alcune operazioni Lambda, come DeleteFunction e PublishVersion, possono essere limitate a una specifica funzione Lambda utilizzando autorizzazioni a livello di risorsa. Allegare questo esempio di policy IAM a un utente IAM permette queste operazioni Lambda, ma solo su una singola funzione Lambda.
Nota: modifica la policy IAM per includere il tuo ARN della funzione Lambda.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowActionsOnSpecificFunction",
      "Effect": "Allow",
      "Action": [
        "lambda:DeleteFunction",
        "lambda:PublishVersion"
      ],
      "Resource": "arn:aws:lambda:us-west-2:123456789012:function:my-function"
    }
  ]
}

Informazioni correlate

Come si può limitare l'accesso a una sessione di ruolo IAM specifica utilizzando una policy basata sull'identità IAM?

Come si può creare una policy IAM per restrizioni basate su tag con le chiavi di condizione PrincipalTag, ResourceTag, RequestTag e TagKeys?