EC2 タグによる AWS SSM アクセスを制限する方法

Question

https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awssystemsmanager.html#awssystemsmanager-policy-keys

私にとってこれを明確にする答えが見つからない

次の例を見てください:https://docs.aws.amazon.com/systems-manager/latest/userguide/getting-started-restrict-access-examples.html

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:instance/*"
            ],
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/Finance": [
                        "WebServers"
                    ]
                }
            }
        }
    ]
}

aws:TagKeys、ssm:resourceTag/tag-key、aws:ResourceTag/${TagKey} の違いは何ですか?

ssm:resourceTag とは何ですか? aws:ResourceTag/${TagKey} と違いますか? システム マネージャーによって適用される特別なタグですか? ec2 インスタンスにタグを適用するためにシステム マネージャーは使用せず、手動でタグ付けします。手動で適用したタグを介して ec2 インスタンスへのセッション マネージャー アクセスを制限するにはどうすればよいですか?

Answer 1

ドキュメントには EC2 インスタンス タグと記載されており、これを試したところ、うまくいきました。ちなみに、SSM エージェントを有効にしてインスタンス情報を SSM に取り込むと、AWS Systems Manager -> Fleet Manager -> インスタンス ID: XXX 内でインスタンス タグなどのインスタンス情報を確認できるようになります。

インスタンス タグによる使用アクセスをフィルター処理する作業を行っていたため、SSM でインベントリを有効にすると機能します。