如何在创建S3桶时强制使用标记？

Question

我想防止用户创建一个S3桶时，没有标签与键‘项目’。遵循政策是行不通的。它在任何情况下都会阻止创造。

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "DenyCreationWithoutProjectTag",
        "Effect": "Deny",
        "Action": "s3:CreateBucket",
        "Resource": "*",
        "Condition": {
            "StringNotLike": {
                "aws:RequestTag/project": "*"
            }
        }
    }
]}

Tag Enforcement for EC2 - AWS和Enforce tagging for AWS resources

帮不上忙。

Answer 1

转到AWS组织中的策略并选择标记策略。如果以前没有启用它，一定要启用它。那就制定这样的政策。您可以为此使用给定的json编辑器。

{ 
  "tags": { 
    "Project": { 
      "tag_key": { 
        "@@assign": "Project" 
      }, 
      "enforced_for": { 
        "@@assign": [ 
          "s3:bucket" 
        ] 
      } 
    } 
  } 
} 

在这里，我为Project创建了一个标记策略。创建标记策略后，确保将其附加到目标OU/Account。

在此之后，再次转到策略并选择(SCP)，如果它不可用，请确保启用它。在那里，创建一个新的SCPs策略并添加以下策略。

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Sid": "DenyS3CreationSCP1", 
      "Effect": "Deny", 
      "Action": [ 
        "s3:CreateBucket" 
      ], 
      "Resource": "*", 
      "Condition": { 
        "Null": { 
          "aws:RequestTag/Project": "true" 
        } 
      } 
    } 
  ] 
} 

在这里，我创建了SCP来执行以前的标记策略。创建SCP后，请确保将其附加到目标OU/帐户。