AWS中的多个标签值

问题描述

是否可以在aws:PrincipalTag中为IAM策略设置多个值？

目前，我在其JWT中为具有project属性的联合用户 根据这个值，我可以访问s3存储桶中的特定``文件夹''。

对于具有以下值的JWT：

"https://aws.amazon.com/tags": {
    "principal_tags": {
        "project": [
            "foo"
        ]
    }
}

和我的AWS政策

{
    "Version": "2012-10-17","Statement": [
        {
            "Sid": "TagBasedAccess","Effect": "Allow","Action": "s3:*","Resource": "arn:aws:s3:::myawesomebucket","Condition": {
                "StringLike": {
                    "s3:prefix": "${aws:PrincipalTag/project}/*"
                }
            }
        }
    ]
}

成功授予用户访问arn:aws:s3:::myawesomebucket/foo/的权限。

现在我将使它适用于project属性中的多个值（可以访问多个s3“文件夹”）。但我不知道如何执行此操作。

编辑：

在AWS文档（AWS doc）中：

您可以通过自定义在单个标记中包含多个值 分隔器。在此示例中，您可以附加team = Engineering:QA 标记张。 在此示例中，使用团队控制对工程师的访问 标记，您必须创建一个策略，该策略应允许 可能包含Engineering，包括Engineering:QA

但他们没有说如何执行此操作...

解决方法

有一个与此问题相关的 AWS 文档： https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_multi-value-conditions.html#reference_policies_multi-key-or-value-conditions

直接引用文档：

要将您的条件与具有多个键值的请求上下文进行比较，您必须使用 ForAllValues 或 ForAnyValue 集合运算符。这些限定符向条件运算符添加了设置操作功能，以便您可以针对多个条件值测试多个请求值。此外，如果您在策略中包含带有通配符或变量的多值键，则还必须使用 StringLike 条件运算符。

有关详细信息，请参阅原始文档。例如，您可能想知道条件运算符和条件块在这种情况下是如何工作的。