AWS Security > IAM > IAM Identity Center > 基于属性的访问控制（ABAC）

基于属性的访问控制（ABAC）

基于属性的访问控制(Attribute-based access control - ABAC) 是一种基于属性定义权限的授权策略。在 AWS 中，这些属性称为标签。在 AWS 中使用标签可帮助简化在 AWS 中创建细粒度权限的过程，并确保员工只能访问具有匹配标签的 AWS 资源。

场景

在AWS组织中，有一组来自不同团队（finance和marketing）的业务用户。在 AWS Identity Center 中，可以使用相同的权限集，然后选择部门名称属性，以对每种类型的用户（financeUser 或 marketingUser）进行细粒度访问控制。当 FinanceUser 和 marketingUser 登录其 AWS 账户时，IAM Identity Center 会在 AWS 会话中发送其团队名称属性，因此只有当 FinanceUser 和 marketingUser 的部门名称属性与项目资源上的部门名称标签匹配时，financeUser 和 marketingUser 才能访问 AWS 项目资源。如果 FinanceUser 将来转移到 marketingUser 的团队，只需在公司目录中更新其团队名称属性即可修改他们的访问权限，无需在 AWS 中更新任何权限。

创建用户和组

在IAM Identity Center中添加用户：

为abac创建用户

在添加用户页面中，提供用户名，例如financeUser，其他字段如下：

在下面的Job-related information中，设置Department为Finance：

单击下一步并跳过将用户添加到组，最后点击创建用户

将出现一个弹出窗口，其中包含一次性密码。使用复制按钮复制信息

重复上面步骤，创建 marketingUser(注意也将它的Department设置为Marketing)。

创建Group

创建组：

提供组名称，例如BusinessUsers，选择FinanceUser和marketingUser，点击创建：

创建Permission Set

创建新的Permission Set：

在选择权限集类型页面中，选择custom permission set:

展开内联策略, 将以下权限策略复制并粘贴到文本区域中:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [ "ec2:Describe*"],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": ["ec2:StartInstances","ec2:StopInstances"],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                 "ec2:ResourceTag/Department": "${aws:PrincipalTag/Department}"
                }
        }
        }
    ]
}