在创建向 iam 用户授予使用 ec2 资源的权限的 iam

在创建向 IAM 用户授予使用 EC2 资源的权限的 IAM policy 时，可以在该策略的 Condition 元素中包含标签信息，以根据标签控制访问权限。这称为基于属性的访问控制 (ABAC)。ABAC 可以让您更好地控制用户可以修改、使用或删除哪些 EC2 资源。有关更多信息，请参阅什么是适用于 AWS 的 ABAC？

例如，您可以创建一个策略，允许用户终止实例，但在实例具有 environment=production 标签时拒绝此操作。为此，您可以使用 aws:ResourceTag 条件键来基于附加到资源的标签允许或拒绝对资源的访问。

请注意，Describe 操作不支持资源级权限，因此，您必须在不带条件的单独语句中指定它们。

如果您基于标签允许或拒绝用户访问资源，则必须考虑显式拒绝用户对相同资源添加或删除这些标签的能力。否则，用户可能通过修改资源标签来绕过您的限制并获得资源访问权限。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

如果不耽误您的时间，请告诉我们做得好的地方，让我们做得更好。

感谢您告诉我们本页内容还需要完善。很抱歉让您失望了。

如果不耽误您的时间，请告诉我们如何改进文档。