Elastic Compute Service:Kelola izin resource dengan tag

Mengapa menggunakan izin berbasis tag

Berbeda dengan kelompok sumber daya, tag memungkinkan pemberian beberapa label per resource sehingga Anda dapat mengklasifikasikan berdasarkan wilayah, departemen, lingkungan, atau dimensi lainnya.

Kebijakan RAM berbasis tag menawarkan tiga keunggulan:

• Fine-grained control: Batasi cakupan izin hanya pada subset resource tanpa memperluas penugasan peran.

• Fewer policies to maintain: Satu kebijakan bersyarat tag mencakup seluruh kelas resource, sehingga mengurangi jumlah kebijakan seiring pertumbuhan infrastruktur.

• Atribut yang bermakna secara bisnis: Kunci dan nilai tag mencerminkan konvensi penamaan Anda—seperti nama proyek, pusat biaya, atau tahapan penerapan—sehingga kebijakan lebih mudah diaudit.

Praktik terbaik

Tag instans ECS yang memiliki fungsi bisnis yang sama, lalu referensikan tag tersebut dalam kondisi kebijakan RAM untuk menerapkan aturan akses.

Contoh berikut mencegah instans ECS yang ditandai sebagai database agar tidak diberi Alamat IP publik.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ecs:ModifyInstanceNetworkSpec"
      ],
      "Resource": "acs:ecs:*:*:instance/*",
      "Condition": {
        "StringEquals": {
          "acs:ResourceTag/function:database": ["*"]
        },
        "Bool": {
          "ecs:AssociatePublicIpAddress": ["true"]
        }
      }
    }
  ]
}