Como restringir o acesso ao AWS SSM por tag EC2

Question

https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awssystemsmanager.html#awssystemsmanager-policy-keys

Não consigo encontrar uma resposta que esclareça isso para mim

Estou olhando para este exemplo:https://docs.aws.amazon.com/systems-manager/latest/userguide/getting-started-restrict-access-examples.html

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:instance/*"
            ],
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/Finance": [
                        "WebServers"
                    ]
                }
            }
        }
    ]
}

qual é a diferença entre aws:TagKeys, ssm:resourceTag/tag-key, aws:ResourceTag/${TagKey}

o que é ssm:resourceTag? é diferente de aws:ResourceTag/${TagKey}? É uma etiqueta especial aplicada pelo gerente de sistemas? não uso o gerenciador de sistemas para aplicar tags às instâncias ec2, apenas as marquei manualmente. Como posso restringir o acesso do gerenciador de sessões às minhas instâncias ec2 por meio de tags que apliquei manualmente a elas?

Answer 1

Como o documento diz sua tag de instância EC2, e eu tentei isso, funciona, aliás, talvez você deva permitir que o agente SSM escave informações de instância no SSM, onde você poderá ver informações de instância, como tag de instância no AWS Systems Manager - > Gerenciador de frota -> ID da instância: XXX.

Como eu estava trabalhando para filtrar o acesso de uso por tags de instância, depois de habilitar o inventário no SSM então funcionou.