amazon-web-services - 使用以 aws : in IAM policies 为前缀的标签

Question

我有一个用例，我正在使用 CloudFormation 创建一组资源，例如 EC2 实例和 S3 存储桶。我看到 Cloudformation 向 EC2 实例和 S3 存储桶添加标签，标签格式为

aws:cloudformation:stack-name: <stack-name>

我正在尝试编写一个具有基于标签的权限的 IAM 策略。该策略如下所示:


{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowToDescribeAll",
"Effect": "Allow",
"Action": [
"ec2:*",
"s3:*"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/aws:cloudformation:stack-name": "mystackname"
}
}
},
{
"Sid": "AllPermissions",
"Effect": "Allow",
"Action": [
"ec2:Describe*"
],
"Resource": "*"
}
]
}


现在，当我尝试使用 CLI 执行 S3 put 对象 API 调用时，我看到 AccessDenied 权限。当我尝试终止具有该特定标签的实例时也是如此。我找不到任何特定的 IAM 文档，其中提到我们不能使用以 aws: 为前缀的标签在 IAM 策略中。有人知道问题可能是什么吗？或者是上下文键 aws:ResourceTag是无效的？

Answer 1

TLDR；我搜索了更多文档，发现上下文键 aws:ResourceTag 目前无效/不受支持。在此处找到文档 - https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html ，该文档仅提供 aws:RequestTag 作为有效的上下文键。

要添加特定于服务的上下文键，我必须深入挖掘并找到此文档 - https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonec2.html ，它具有 ec2:ResourceTag/tagKey 上下文键。因此，一旦我将 IAM 策略更改为具有 "ec2:ResourceTag/aws:cloudformation:stack-name": "mystackname"，我就开始看到成功。