Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Identitäts- und Zugriffsmanagement für AWS AppFabric AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren kontrollieren, wer *authentifiziert* (angemeldet) und *autorisiert* werden kann (über Berechtigungen verfügt), um Ressourcen zu verwenden. AppFabric IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können. **Topics** + [Zielgruppe](#security_iam_audience) + [Authentifizierung mit Identitäten](#security_iam_authentication) + [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage) + [Wie AWS AppFabric funktioniert mit IAM](security_iam_service-with-iam.md) + [Beispiele für identitätsbasierte Richtlinien für AWS AppFabric](security_iam_id-based-policy-examples.md) + [Verwenden von serviceverknüpften Rollen für AppFabric](using-service-linked-roles.md) + [AWS verwaltete Richtlinien für AWS AppFabric](security-iam-awsmanpol.md) + [Fehlerbehebung bei AWS AppFabric Identität und Zugriff](security_iam_troubleshoot.md) ## Zielgruppe Wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von Ihrer Rolle ab: + **Servicebenutzer** – Fordern Sie von Ihrem Administrator Berechtigungen an, wenn Sie nicht auf Features zugreifen können (siehe [Fehlerbehebung bei AWS AppFabric Identität und Zugriff](security_iam_troubleshoot.md)). + **Serviceadministrator** – Bestimmen Sie den Benutzerzugriff und stellen Sie Berechtigungsanfragen (siehe [Wie AWS AppFabric funktioniert mit IAM](security_iam_service-with-iam.md)). + **IAM-Administrator** – Schreiben Sie Richtlinien zur Zugriffsverwaltung (siehe [Beispiele für identitätsbasierte Richtlinien für AWS AppFabric](security_iam_id-based-policy-examples.md)). ## Authentifizierung mit Identitäten Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *. AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*. ### AWS-Konto Root-Benutzer Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*. ### Verbundidentität Es hat sich bewährt, dass menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden müssen. Eine *föderierte Identität* ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Verbundene Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen. Für die zentrale Zugriffsverwaltung empfehlen wir AWS IAM Identity Center. Weitere Informationen finden Sie unter [Was ist IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) im *AWS IAM Identity Center -Benutzerhandbuch*. ### IAM-Benutzer und -Gruppen Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zugreifen zu](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) können. Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*. ### IAM-Rollen Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) AWS CLI oder einen AWS API-Vorgang aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*. IAM-Rollen sind nützlich für den Verbundbenutzer-Zugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, serviceübergreifenden Zugriff und Anwendungen, die auf Amazon EC2 laufen. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*. ## Verwalten des Zugriffs mit Richtlinien Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*. Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf. Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird. ### Identitätsbasierte Richtlinien Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*. Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*. ### Ressourcenbasierte Richtlinien Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden. ### Weitere Richtlinientypen AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden: + **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*. + **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*. + **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html). + **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*. ### Mehrere Richtlinientypen Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die sich daraus ergebenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*. # Wie AWS AppFabric funktioniert mit IAM Bevor Sie IAM zur Verwaltung des Zugriffs auf verwenden, sollten Sie sich darüber informieren AppFabric, mit welchen IAM-Funktionen Sie arbeiten können. AppFabric **IAM-Funktionen, die Sie mit verwenden können AWS AppFabric** | IAM-Feature | AppFabric Unterstützung | | --- | --- | | [Identitätsbasierte Richtlinien](#security_iam_service-with-iam-id-based-policies) | Ja | | [Ressourcenbasierte Richtlinien](#security_iam_service-with-iam-resource-based-policies) | Nein | | [Richtlinienaktionen](#security_iam_service-with-iam-id-based-policies-actions) | Ja | | [Richtlinienressourcen](#security_iam_service-with-iam-id-based-policies-resources) | Ja | | [Bedingungsschlüssel für die Richtlinie](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Nein | | [ACLs](#security_iam_service-with-iam-acls) | Nein | | [ABAC (Tags in Richtlinien)](#security_iam_service-with-iam-tags) | Ja | | [Temporäre Anmeldeinformationen](#security_iam_service-with-iam-roles-tempcreds) | Nein | | [Prinzipalberechtigungen](#security_iam_service-with-iam-principal-permissions) | Ja | | [Servicerollen](#security_iam_service-with-iam-roles-service) | Nein | | [Serviceverknüpfte Rollen](#security_iam_service-with-iam-roles-service-linked) | Ja | Einen allgemeinen Überblick darüber, wie AppFabric und wie die meisten IAM-Funktionen AWS-Services funktionieren, finden Sie im [IAM-Benutzerhandbuch unter AWS Dienste, die mit *IAM* funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). ## Identitätsbasierte Richtlinien für AppFabric **Unterstützt Richtlinien auf Identitätsbasis:** Ja Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*. Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*. ### Beispiele für identitätsbasierte Richtlinien für AppFabric Beispiele für AppFabric identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS AppFabric](security_iam_id-based-policy-examples.md) ## Ressourcenbasierte Richtlinien finden Sie in AppFabric **Unterstützt ressourcenbasierte Richtlinien:** Nein Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-*Rollen-Vertrauensrichtlinien* und Amazon-S3-*Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder gehören. AWS-Services Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*. ## Richtlinienaktionen für AppFabric **Unterstützt Richtlinienaktionen:** Ja Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen. Eine Liste der AppFabric Aktionen finden Sie unter [Aktionen definiert von AWS AppFabric](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_appfabric.html#your_service-actions-as-permissions) in der *Serviceautorisierungsreferenz*. Bei Richtlinienaktionen wird vor der Aktion das folgende Präfix AppFabric verwendet: ``` appfabric ``` Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata: ``` "Action": [ "appfabric:action1", "appfabric:action2" ] ``` Sie können mehrere Aktionen mithilfe von Platzhalterzeichen (`*`) angeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort `List` beginnen, einschließlich der folgenden Aktion: ``` "Action": "appfabric:List*" ``` Beispiele für AppFabric identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS AppFabric](security_iam_id-based-policy-examples.md) ## Politische Ressourcen für AppFabric **Unterstützt Richtlinienressourcen:** Ja Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt. ``` "Resource": "*" ``` Eine Liste der AppFabric Ressourcentypen und ihrer ARNs Eigenschaften finden Sie unter [Ressourcentypen definiert von AWS AppFabric](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_appfabric.html#your_service-resources-for-iam-policies) in der *Service Authorization Reference*. Informationen darüber, mit welchen Aktionen Sie den ARN der einzelnen Ressourcen angeben können, finden Sie unter [Aktionen definiert von AWS AppFabric](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_appfabric.html#your_service-actions-as-permissions). Beispiele für AppFabric identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS AppFabric](security_iam_id-based-policy-examples.md) ## Bedingungsschlüssel für Richtlinien für AppFabric **Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Nein Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*. Eine Liste der AppFabric Bedingungsschlüssel finden Sie unter [Bedingungsschlüssel für AWS AppFabric](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_appfabric.html#your_service-policy-keys) in der *Service Authorization Reference.* Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [Aktionen definiert von AWS AppFabric](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_appfabric.html#your_service-actions-as-permissions). Beispiele für AppFabric identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS AppFabric](security_iam_id-based-policy-examples.md) ## ACLs in AppFabric **Unterstützt ACLs:** Nein Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat. ## ABAC mit AppFabric **Unterstützt ABAC (Tags in Richtlinien):** Ja Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen basierend auf Attributen, auch als Tags bezeichnet, definiert werden. Sie können Tags an IAM-Entitäten und AWS -Ressourcen anhängen und dann ABAC-Richtlinien entwerfen, die Operationen zulassen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt. Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden. Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**. *Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) im IAM-Benutzerhandbuch*. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe [Attributbasierte Zugriffskontrolle (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) verwenden im *IAM-Benutzerhandbuch*. ## Verwenden temporärer Anmeldeinformationen mit AppFabric **Unterstützt temporäre Anmeldeinformationen:** Nein Temporäre Anmeldeinformationen ermöglichen kurzfristigen Zugriff auf AWS Ressourcen und werden automatisch erstellt, wenn Sie einen Verbund verwenden oder die Rollen wechseln. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Anmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) und [AWS-Services , die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) im *IAM-Benutzerhandbuch*. ## Serviceübergreifende Prinzipalberechtigungen für AppFabric **Unterstützt Forward Access Sessions (FAS):** Ja Forward Access Sessions (FAS) verwenden die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anforderung, Anfragen an nachgelagerte Dienste AWS-Service zu stellen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html). ## Servicerollen für AppFabric **Unterstützt Servicerollen:** Nein Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*. **Warnung** Durch das Ändern der Berechtigungen für eine Servicerolle kann die AppFabric Funktionalität beeinträchtigt werden. Bearbeiten Sie Servicerollen nur, AppFabric wenn Sie dazu eine Anleitung erhalten. ## Dienstbezogene Rollen für AppFabric **Unterstützt serviceverknüpfte Rollen:** Ja Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten. Einzelheiten zum Erstellen oder Verwalten von AppFabric dienstbezogenen Rollen finden Sie unter. [Verwenden von serviceverknüpften Rollen für AppFabric](using-service-linked-roles.md) # Beispiele für identitätsbasierte Richtlinien für AWS AppFabric Benutzer und Rollen haben standardmäßig nicht die Berechtigung, AppFabric-Ressourcen zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen. Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*. Einzelheiten zu Aktionen und Ressourcentypen, die von definiert wurden AppFabric, einschließlich des Formats von ARNs für die einzelnen Ressourcentypen, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für AWS AppFabric](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_appfabric.html) in der Referenz zur *Serviceautorisierung*. **Contents** + [Best Practices für Richtlinien](#security_iam_service-with-iam-policy-best-practices) + [Verwenden der Konsole AppFabric](#security_iam_id-based-policy-examples-console) + [AppFabric für Beispiele für IAM-Richtlinien im Bereich Sicherheit](#appfabric-for-security-policy-examples) + [Erlauben Sie den Zugriff auf App-Bundles](#security_iam_id-based-policy-examples-allow-app-bundle-access) + [Beschränken Sie den Zugriff auf App-Bundles](#security_iam_id-based-policy-examples-restrict-app-bundle-access) + [Schränkt das Löschen oder Stoppen von Datenerfassungen ein](#security_iam_id-based-policy-examples-restrict-delete-stop-ingestion) + [AppFabric Beispiele für IAM-Richtlinien zur Steigerung der Produktivität](#appfabric-for-productivity-policy-examples) + [Erlauben Sie den Zugriff mit Lesezugriff auf Produktivitätsfunktionen](#security_iam_id-based-policy-examples-productivity-read-only) + [Erlauben Sie vollen Zugriff auf Produktivitätsfunktionen](#security_iam_id-based-policy-examples-productivity-full-access) + [Erlauben Sie den Zugriff zum Erstellen AppClients](#security_iam_id-based-policy-examples-productivity-create-appclient) + [Erlauben Sie den Zugriff, um Details zu erhalten AppClients](#security_iam_id-based-policy-examples-productivity-get-appclient) + [Erlauben Sie den Zugriff auf die Liste AppClients](#security_iam_id-based-policy-examples-productivity-list-appclient) + [Erlauben Sie den Zugriff auf das Update AppClients](#security_iam_id-based-policy-examples-productivity-update-appclient) + [Erlauben Sie den Zugriff zum Löschen AppClients](#security_iam_id-based-policy-examples-productivity-delete-appclient) + [Erlauben Sie den Zugriff, um Anwendungen zu autorisieren](#security_iam_id-based-policy-examples-productivity-token) + [Andere Beispiele für IAM-Richtlinien](#other-iam-policy-examples) + [Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#security_iam_id-based-policy-examples-view-own-permissions) ## Best Practices für Richtlinien Identitätsbasierte Richtlinien legen fest, ob jemand AppFabric Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen: + **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*. + **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*. + **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*. + **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*. + **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*. Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*. ## Verwenden der Konsole AppFabric Hängen Sie die `AWSAppFabricReadOnlyAccess` AWS verwaltete Richtlinie an Ihre IAM-Identitäten an, um ihnen nur Leseberechtigungen für den AppFabric Service zu gewähren, einschließlich der Konsole in der AppFabric. AWS-Managementkonsole Oder Sie können die `AWSAppFabricFullAccess` AWS verwaltete Richtlinie an Ihre IAM-Identitäten anhängen, um ihnen volle Administratorrechte für den Service zu gewähren. AppFabric Weitere Informationen finden Sie unter [AWS verwaltete Richtlinien für AWS AppFabric](security-iam-awsmanpol.md). ## AppFabric für Beispiele für IAM-Richtlinien im Bereich Sicherheit Die folgenden Richtlinienbeispiele beziehen sich auf die vier AppFabric Sicherheitsfunktionen. ### Erlauben Sie den Zugriff auf App-Bundles Das folgende Richtlinienbeispiel gewährt Zugriff auf App-Bundles im AppFabric Dienst. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "appfabric:StartUserAccessTasks", "appfabric:BatchGetUserAccessTasks" ], "Resource": ["arn:aws:appfabric:*:*:appbundle/*"] } ] } ``` ------ ### Beschränken Sie den Zugriff auf App-Bundles Das folgende Richtlinienbeispiel schränkt den Zugriff auf App-Bundles im Dienst ein. AppFabric ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": ["appfabric:*"], "Effect": "Allow", "Resource": "*" }, { "Effect": "Deny", "Action": [ "appfabric:StartUserAccessTasks", "appfabric:BatchGetUserAccessTasks" ], "Resource": ["arn:aws:appfabric:*:*:appbundle/*"] } ] } ``` ------ ### Schränkt das Löschen oder Stoppen von Datenerfassungen ein Das folgende Richtlinienbeispiel schränkt das Löschen oder Stoppen von Datenerfassungen im Service ein. AppFabric ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": ["appfabric:*"], "Effect": "Allow", "Resource": "*" }, { "Effect": "Deny", "Action": [ "appfabric:StopIngestion", "appfabric:DeleteIngestion", "appfabric:DeleteIngestionDestination" ], "Resource": ["arn:aws:appfabric:*:*:appbundle/*"] } ] } ``` ------ ## AppFabric Beispiele für IAM-Richtlinien zur Steigerung der Produktivität | | | --- | | Die Funktion AWS AppFabric zur Steigerung der Produktivität befindet sich in der Vorschauversion und kann sich ändern. | Die folgenden Richtlinienbeispiele gelten AppFabric für die Funktionen zur Steigerung der Produktivität. ### Erlauben Sie den Zugriff mit Lesezugriff auf Produktivitätsfunktionen Das folgende Richtlinienbeispiel gewährt nur Lesezugriff auf die AppFabric Produktivitätsfunktionen. **Wichtig** Beim Hinzufügen dieser Richtlinie im JSON-Richtlinieneditor der IAM-Konsole wird möglicherweise der Fehler „Ungültige Aktion“ angezeigt. Das liegt daran, dass sich die Funktionen aus AppFabric Produktivitätsgründen derzeit in der Vorschauversion befinden. Sie sollten den Fehler ignorieren und mit der Erstellung der Richtlinie fortfahren. ### Erlauben Sie vollen Zugriff auf Produktivitätsfunktionen Das folgende Richtlinienbeispiel gewährt vollen Zugriff auf AppFabric die Produktivitätsfunktionen. **Wichtig** Beim Hinzufügen dieser Richtlinie im JSON-Richtlinieneditor der IAM-Konsole wird möglicherweise der Fehler „Ungültige Aktion“ angezeigt. Das liegt daran, dass sich die Funktionen aus AppFabric Produktivitätsgründen derzeit in der Vorschauversion befinden. Sie sollten den Fehler ignorieren und mit der Erstellung der Richtlinie fortfahren. ### Erlauben Sie den Zugriff zum Erstellen AppClients Das folgende Richtlinienbeispiel gewährt Zugriff auf create AppClients. Weitere Informationen finden Sie unter [Erstellen eines aus AppFabric Produktivitätsgründen AppClient](getting-started-appdeveloper-productivity.md#create_appclient). **Wichtig** Beim Hinzufügen dieser Richtlinie im JSON-Richtlinieneditor der IAM-Konsole wird möglicherweise der Fehler „Ungültige Aktion“ angezeigt. Das liegt daran, dass sich die Funktionen aus AppFabric Produktivitätsgründen derzeit in der Vorschauversion befinden. Sie sollten den Fehler ignorieren und mit der Erstellung der Richtlinie fortfahren. ### Erlauben Sie den Zugriff, um Details zu erhalten AppClients Das folgende Richtlinienbeispiel gewährt Zugriff auf das Abrufen von Details zu AppClients. Weitere Informationen finden Sie unter [Details zu einem abrufen AppClient](manage-appclients.md#get_appclient_details). **Wichtig** Beim Hinzufügen dieser Richtlinie im JSON-Richtlinieneditor der IAM-Konsole wird möglicherweise der Fehler „Ungültige Aktion“ angezeigt. Das liegt daran, dass sich die Funktionen aus AppFabric Produktivitätsgründen derzeit in der Vorschauversion befinden. Sie sollten den Fehler ignorieren und mit der Erstellung der Richtlinie fortfahren. ### Erlauben Sie den Zugriff auf die Liste AppClients Das folgende Richtlinienbeispiel gewährt Zugriff auf die Liste AppClients. Weitere Informationen finden Sie unter [Details zu einem abrufen AppClient](manage-appclients.md#list_appclients). **Wichtig** Beim Hinzufügen dieser Richtlinie im JSON-Richtlinieneditor der IAM-Konsole wird möglicherweise der Fehler „Ungültige Aktion“ angezeigt. Das liegt daran, dass sich die Funktionen aus AppFabric Produktivitätsgründen derzeit in der Vorschauversion befinden. Sie sollten den Fehler ignorieren und mit der Erstellung der Richtlinie fortfahren. ### Erlauben Sie den Zugriff auf das Update AppClients Das folgende Richtlinienbeispiel gewährt Zugriff auf Updates AppClients. Weitere Informationen finden Sie unter [Aktualisieren eines AppClient](manage-appclients.md#update_appclient). **Wichtig** Beim Hinzufügen dieser Richtlinie im JSON-Richtlinieneditor der IAM-Konsole wird möglicherweise der Fehler „Ungültige Aktion“ angezeigt. Das liegt daran, dass sich die Funktionen aus AppFabric Produktivitätsgründen derzeit in der Vorschauversion befinden. Sie sollten den Fehler ignorieren und mit der Erstellung der Richtlinie fortfahren. ### Erlauben Sie den Zugriff zum Löschen AppClients Das folgende Richtlinienbeispiel gewährt Zugriff auf Löschen AppClients. Weitere Informationen finden Sie unter [Aktualisieren eines AppClient](manage-appclients.md#delete_appclient). **Wichtig** Beim Hinzufügen dieser Richtlinie im JSON-Richtlinieneditor der IAM-Konsole wird möglicherweise der Fehler „Ungültige Aktion“ angezeigt. Das liegt daran, dass sich die Funktionen aus AppFabric Produktivitätsgründen derzeit in der Vorschauversion befinden. Sie sollten den Fehler ignorieren und mit der Erstellung der Richtlinie fortfahren. ### Erlauben Sie den Zugriff, um Anwendungen zu autorisieren Das folgende Richtlinienbeispiel gewährt Zugriff zur Autorisierung von Anwendungen mithilfe der Token-API. Weitere Informationen finden Sie unter [Authentifizieren und Autorisieren](getting-started-appdeveloper-productivity.md#authorize_data_access) Ihrer Anwendung. **Wichtig** Beim Hinzufügen dieser Richtlinie im JSON-Richtlinieneditor der IAM-Konsole wird möglicherweise ein Fehler mit einer ungültigen Aktion angezeigt. Das liegt daran, dass sich die Funktionen aus AppFabric Produktivitätsgründen derzeit in der Vorschauversion befinden. Sie sollten den Fehler ignorieren und mit der Erstellung der Richtlinie fortfahren. ## Andere Beispiele für IAM-Richtlinien ### Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der AWS CLI OR-API. AWS ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` # Verwenden von serviceverknüpften Rollen für AppFabric AWS AppFabric verwendet AWS Identity and Access Management (IAM) [serviceverknüpfte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) Rollen. Eine serviceverknüpfte Rolle ist ein einzigartiger Typ von IAM-Rolle, mit der direkt verknüpft ist. AppFabric Mit Diensten verknüpfte Rollen sind vordefiniert AppFabric und enthalten alle Berechtigungen, die der Dienst benötigt, um andere AWS-Services in Ihrem Namen anzurufen. Eine dienstbezogene Rolle AppFabric erleichtert die Einrichtung, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. AppFabric definiert die Berechtigungen ihrer dienstbezogenen Rollen und AppFabric kann, sofern nicht anders definiert, nur ihre Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden. Sie können eine serviceverknüpfte Rolle erst löschen, nachdem ihre verwandten Ressourcen gelöscht wurden. Dadurch werden Ihre AppFabric Ressourcen geschützt, da Sie nicht versehentlich die Zugriffsberechtigung für die Ressourcen entziehen können. **Informationen zu anderen Diensten, die dienstverknüpfte Rollen unterstützen, finden Sie unter [AWS Dienste, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Spalte Dienstverknüpfte Rollen nach den Diensten, für die **Ja steht**.** Wählen Sie über einen Link **Ja** aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen. ## Berechtigungen für dienstverknüpfte Rollen AppFabric AppFabric verwendet die serviceverknüpfte Rolle mit dem Namen `AWSServiceRoleForAppFabric` — Ermöglicht AppFabric das Ablegen von Daten in eine Aufnahmezielressource, z. B. einen Amazon S3 S3-Bucket oder einen Amazon Data Firehose-Lieferstream. Es ermöglicht auch, CloudWatch metrische Daten AppFabric in den Namespace zu stellen. `AWS/AppFabric` Die serviceverknüpfte Rolle `AWSServiceRoleForAppFabric` vertraut darauf, dass die folgenden Services die Rolle annehmen: + `appfabric.amazonaws.com` Die genannte Rollenberechtigungsrichtlinie `AWSAppFabricServiceRolePolicy` AppFabric ermöglicht es, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen: + Aktion: `cloudwatch:PutMetricData` im `AWS/AppFabric` Namespace. Diese Aktion erteilt die Erlaubnis AppFabric , Metrikdaten in den CloudWatch `AWS/AppFabric` Amazon-Namespace zu stellen. Weitere Informationen zu den in verfügbaren AppFabric Metriken finden Sie CloudWatch unter[Überwachung AWS AppFabric mit Amazon CloudWatch](monitoring-cloudwatch.md). + Aktion: `s3:PutObject` in einem Amazon S3 S3-Bucket. Diese Aktion erteilt die Erlaubnis AppFabric , aufgenommene Daten in einen von Ihnen angegebenen Amazon S3 S3-Bucket zu speichern. + Aktion: `firehose:PutRecordBatch` in einem Amazon Data Firehose-Lieferstream. Diese Aktion erteilt die Erlaubnis AppFabric , aufgenommene Daten in einen von Ihnen angegebenen Amazon Data Firehose-Lieferstream einzufügen. Weitere Informationen finden Sie unter [AWS -verwaltete Richtlinien für AppFabric](security-iam-awsmanpol.md). Sie müssen Berechtigungen konfigurieren, damit eine Benutzer, Gruppen oder Rollen eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen können. Weitere Informationen finden Sie unter [serviceverknüpfte Rollenberechtigung](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) im *IAM-Benutzerhandbuch*. ## Erstellen einer serviceverknüpften Rolle für AppFabric Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie ein AppFabric App-Bundle in der AWS-Managementkonsole, der oder der AWS API erstellen AWS CLI, AppFabric wird die serviceverknüpfte Rolle für Sie erstellt. ## Bearbeitung einer serviceverknüpften Rolle für AppFabric AppFabric erlaubt es Ihnen nicht, die `AWSServiceRoleForAppFabric` dienstbezogene Rolle zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach der Erstellung einer serviceverknüpften Rolle nicht bearbeitet werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter [Bearbeiten einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) im *IAM-Benutzerhandbuch*. ## Löschen einer serviceverknüpften Rolle für AppFabric Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch alle Ihre AppFabric App-Bundles löschen, bevor Sie die dienstverknüpfte Rolle löschen können. ### Bereinigen einer serviceverknüpften Rolle Bevor mit IAM eine serviceverknüpfte Rolle löschen können, müssen Sie zunächst alle von der Rolle verwendeten Ressourcen löschen. App-Bundles, in denen Sie erstellen, AppFabric werden von der Rolle verwendet. Weitere Informationen finden Sie unter [Aus AWS AppFabric Sicherheitsgründen löschen](delete-resources.md). **Anmerkung** Wenn der AppFabric Dienst die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut. ### Manuelles Löschen der -serviceverknüpften Rolle Verwenden Sie die IAM-Konsole, die oder die AWS API AWS CLI, um die `AWSServiceRoleForAppFabric` dienstverknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter [Löschen einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) im *IAM-Benutzerhandbuch*. ## Unterstützte Regionen für serviceverknüpfte Rollen AppFabric AppFabric unterstützt die Verwendung von dienstbezogenen Rollen überall dort, AWS-Regionen wo der Dienst verfügbar ist. Weitere Informationen finden Sie unter [AppFabric -Endpunkte und -Kontingente](https://docs.aws.amazon.com/general/latest/gr/appfabric.html) in der *Allgemeine AWS-Referenz*. # AWS verwaltete Richtlinien für AWS AppFabric Um Benutzern, Gruppen und Rollen Berechtigungen hinzuzufügen, ist es einfacher, AWS verwaltete Richtlinien zu verwenden, als Richtlinien selbst zu schreiben. Es erfordert Zeit und Fachwissen, um [von Kunden verwaltete IAM-Richtlinien zu erstellen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html), die Ihrem Team nur die benötigten Berechtigungen bieten. Um schnell loszulegen, können Sie unsere AWS verwalteten Richtlinien verwenden. Diese Richtlinien decken allgemeine Anwendungsfälle ab und sind in Ihrem AWS-Konto verfügbar. Weitere Informationen zu AWS verwalteten Richtlinien finden Sie im *IAM-Benutzerhandbuch* unter [AWS Verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies). AWS-Services verwalten und aktualisieren Sie AWS verwaltete Richtlinien. Sie können die Berechtigungen in AWS verwalteten Richtlinien nicht ändern. Services fügen einer von AWS verwalteten Richtlinien gelegentlich zusätzliche Berechtigungen hinzu, um neue Features zu unterstützen. Diese Art von Update betrifft alle Identitäten (Benutzer, Gruppen und Rollen), an welche die Richtlinie angehängt ist. Services aktualisieren eine von AWS verwaltete Richtlinie am ehesten, ein neues Feature gestartet wird oder neue Vorgänge verfügbar werden. Dienste entfernen keine Berechtigungen aus einer AWS verwalteten Richtlinie, sodass durch Richtlinienaktualisierungen Ihre bestehenden Berechtigungen nicht beeinträchtigt werden. AWS Unterstützt außerdem verwaltete Richtlinien für Jobfunktionen, die sich über mehrere Dienste erstrecken. Die **ReadOnlyAccess** AWS verwaltete Richtlinie bietet beispielsweise nur Lesezugriff auf alle Ressourcen AWS-Services . Wenn ein Dienst eine neue Funktion startet, werden nur Leseberechtigungen für neue Operationen und Ressourcen AWS hinzugefügt. Eine Liste und Beschreibungen der Richtlinien für Auftragsfunktionen finden Sie in [Verwaltete AWS -Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Leitfaden*. ## AWS verwaltete Richtlinie: AWSAppFabricReadOnlyAccess Sie können die `AWSAppFabricReadOnlyAccess`-Richtlinie an Ihre IAM-Identitäten anfügen. Diese Richtlinie gewährt dem Dienst nur Leseberechtigungen. AppFabric **Anmerkung** Die `AWSAppFabricReadOnlyAccess` Richtlinie gewährt keinen schreibgeschützten Zugriff auf die AppFabric Produktivitätsfunktionen. **Details zu Berechtigungen** Diese Richtlinie umfasst die folgenden Berechtigungen: + `appfabric`— Erteilt die Berechtigung zum Abrufen eines App-Bundles, zum Auflisten von App-Bundles, zum Abrufen einer App-Autorisierung, zum Auflisten von App-Autorisierungen, zum Abrufen einer Erfassung, zum Abrufen eines Aufnahmeziels, zum Auflisten von Aufnahmezielen und zum Auflisten von Ressourcen-Tags. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "appfabric:GetAppAuthorization", "appfabric:GetAppBundle", "appfabric:GetIngestion", "appfabric:GetIngestionDestination", "appfabric:ListAppAuthorizations", "appfabric:ListAppBundles", "appfabric:ListIngestionDestinations", "appfabric:ListIngestions", "appfabric:ListTagsForResource" ], "Resource": "*" } ] } ``` ------ ## AWS verwaltete Richtlinie: AWSAppFabricFullAccess Sie können die `AWSAppFabricFullAccess`-Richtlinie an Ihre IAM-Identitäten anfügen. Diese Richtlinie gewährt Administratorberechtigungen für den AppFabric Dienst. **Wichtig** Die `AWSAppFabricFullAccess` Richtlinie gewährt keinen Zugriff auf die AppFabric Produktivitätsfunktionen, da sie sich derzeit in der Vorschauversion befinden. Weitere Informationen zur Gewährung des Zugriffs auf die AppFabric Produktivitätsfunktionen finden Sie unter[AppFabric Beispiele für IAM-Richtlinien zur Steigerung der Produktivität](security_iam_id-based-policy-examples.md#appfabric-for-productivity-policy-examples). **Details zu Berechtigungen** Diese Richtlinie umfasst die folgenden Berechtigungen: + `appfabric`— Erteilt volle Administratorrechte für AppFabric. + `kms`— Erteilt die Erlaubnis, Aliase aufzulisten. + `s3`— Erteilt die Erlaubnis, all Ihre Amazon S3 S3-Buckets aufzulisten und den Bucket-Standort abzurufen. + `firehose`— Erteilt die Erlaubnis, Amazon Data Firehose-Lieferstreams aufzulisten und Lieferdatenströme zu beschreiben. + `iam`— Erteilt die Berechtigung zum Erstellen der `AWSServiceRoleForAppFabric` serviceverknüpften Rolle für. AppFabric Weitere Informationen finden Sie unter [Verwenden von serviceverknüpften Rollen für AppFabric](using-service-linked-roles.md). ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": ["appfabric:*"], "Resource": "*" }, { "Sid": "KMSListAccess", "Effect": "Allow", "Action": ["kms:ListAliases"], "Resource": "*" }, { "Sid": "S3ReadAccess", "Effect": "Allow", "Action": [ "s3:GetBucketLocation", "s3:ListAllMyBuckets" ], "Resource": "*" }, { "Sid": "FirehoseReadAccess", "Effect": "Allow", "Action": [ "firehose:DescribeDeliveryStream", "firehose:ListDeliveryStreams" ], "Resource": "*" }, { "Sid": "AllowUseOfServiceLinkedRole", "Effect": "Allow", "Action": ["iam:CreateServiceLinkedRole"], "Condition": { "StringEquals": {"iam:AWSServiceName": "appfabric.amazonaws.com"} }, "Resource": "arn:aws:iam::*:role/aws-service-role/appfabric.amazonaws.com/AWSServiceRoleForAppFabric" } ] } ``` ------ ## AWS verwaltete Richtlinie: AWSAppFabricServiceRolePolicy Sie können die `AWSAppFabricServiceRolePolicy`-Richtlinie Ihren IAM-Entitäten nicht anfügen. Diese Richtlinie ist mit einer dienstbezogenen Rolle verknüpft, mit der AppFabric Sie Aktionen in Ihrem Namen ausführen können. Weitere Informationen finden Sie unter [Verwenden von serviceverknüpften Rollen für AppFabric](using-service-linked-roles.md). **Details zu Berechtigungen** Diese Richtlinie umfasst die folgenden Berechtigungen: + `cloudwatch`— Erteilt die Erlaubnis AppFabric , Metrikdaten in den CloudWatch `AWS/AppFabric` Amazon-Namespace zu stellen. Weitere Informationen zu den in verfügbaren AppFabric Metriken finden Sie CloudWatch unter[Überwachung AWS AppFabric mit Amazon CloudWatch](monitoring-cloudwatch.md). + `s3`— Erteilt die Erlaubnis AppFabric , aufgenommene Daten in einen von Ihnen angegebenen Amazon S3 S3-Bucket zu speichern. + `firehose`— Erteilt die Erlaubnis AppFabric , aufgenommene Daten in einen von Ihnen angegebenen Amazon Data Firehose-Lieferstream einzufügen. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CloudWatchEmitMetric", "Effect": "Allow", "Action": ["cloudwatch:PutMetricData"], "Resource": "*", "Condition": { "StringEquals": {"cloudwatch:namespace": "AWS/AppFabric"} } }, { "Sid": "S3PutObject", "Effect": "Allow", "Action": ["s3:PutObject"], "Resource": "arn:aws:s3:::*/AWSAppFabric/*", "Condition": { "StringEquals": {"s3:ResourceAccount": "${aws:PrincipalAccount}"} } }, { "Sid": "FirehosePutRecord", "Effect": "Allow", "Action": ["firehose:PutRecordBatch"], "Resource": "arn:aws:firehose:*:*:deliverystream/*", "Condition": { "StringEqualsIgnoreCase": {"aws:ResourceTag/AWSAppFabricManaged": "true"} } } ] } ``` ------ ## AppFabric Aktualisierungen der verwalteten AWS Richtlinien Hier finden Sie Informationen zu Aktualisierungen AWS verwalteter Richtlinien, die AppFabric seit Beginn der Nachverfolgung dieser Änderungen durch diesen Dienst vorgenommen wurden. Um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten, abonnieren Sie den RSS-Feed auf der [Seite AppFabric -Dokumentverlauf](doc-history.md). | Änderungen | Beschreibung | Date | | --- | --- | --- | | [AWSAppFabricReadOnlyAccess](#security-iam-awsmanpol-AWSAppFabricReadOnlyAccess) – Neue Richtlinie | AppFabric hat eine neue Richtlinie hinzugefügt, um dem Dienst nur Leseberechtigungen zu gewähren. AppFabric | 27. Juni 2023 | | [AWSAppFabricFullAccess](#security-iam-awsmanpol-AWSAppFabricFullAccess) – Neue Richtlinie | AppFabric hat eine neue Richtlinie hinzugefügt, um dem Dienst Administratorrechte zu gewähren. AppFabric | 27. Juni 2023 | | [AWSAppFabricServiceRolePolicy](#security-iam-awsmanpol-AWSAppFabricServiceRolePolicy) – Neue Richtlinie | AppFabric hat eine neue Richtlinie für die `AWSServiceRoleForAppFabric` dienstbezogene Rolle hinzugefügt. | 27. Juni 2023 | | AppFabric hat begonnen, Änderungen zu verfolgen | AppFabric hat begonnen, Änderungen für die AWS verwalteten Richtlinien zu verfolgen. | 27. Juni 2023 | # Fehlerbehebung bei AWS AppFabric Identität und Zugriff Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit AppFabric und IAM auftreten können. **Topics** + [Ich bin nicht berechtigt, eine Aktion durchzuführen in AppFabric](#security_iam_troubleshoot-no-permissions) + [Ich bin nicht zur Ausführung von iam:PassRole autorisiert.](#security_iam_troubleshoot-passrole) + [Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine AppFabric Ressourcen ermöglichen](#security_iam_troubleshoot-cross-account-access) ## Ich bin nicht berechtigt, eine Aktion durchzuführen in AppFabric Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht zur Durchführung einer Aktion berechtigt sind, müssen Ihre Richtlinien aktualisiert werden, damit Sie die Aktion durchführen können. Der folgende Beispielfehler tritt auf, wenn der IAM-Benutzer `mateojackson` versucht, über die Konsole Details zu einer fiktiven `my-example-widget`-Ressource anzuzeigen, jedoch nicht über `appfabric:GetWidget`-Berechtigungen verfügt. ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: appfabric:GetWidget on resource: my-example-widget ``` In diesem Fall muss die Richtlinie für den Benutzer `mateojackson` aktualisiert werden, damit er mit der `appfabric:GetWidget`-Aktion auf die `my-example-widget`-Ressource zugreifen kann. Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt. ## Ich bin nicht zur Ausführung von iam:PassRole autorisiert. Wenn Sie die Fehlermeldung erhalten, dass Sie nicht zum Durchführen der `iam:PassRole`-Aktion autorisiert sind, müssen Ihre Richtlinien aktualisiert werden, um eine Rolle an AppFabric übergeben zu können. Einige AWS-Services ermöglichen es Ihnen, eine bestehende Rolle an diesen Dienst zu übergeben, anstatt eine neue Servicerolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst. Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen `marymajor` versucht, die Konsole zu verwenden, um eine Aktion in AppFabric auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst. ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion `iam:PassRole` ausführen zu können. Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt. ## Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine AppFabric Ressourcen ermöglichen Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren. Weitere Informationen dazu finden Sie hier: + Informationen darüber, ob diese Funktionen AppFabric unterstützt werden, finden Sie unter. [Wie AWS AppFabric funktioniert mit IAM](security_iam_service-with-iam.md) + *Informationen dazu, wie Sie Zugriff auf Ihre Ressourcen gewähren können, AWS-Konten die Ihnen gehören, finden Sie im IAM-Benutzerhandbuch unter [Gewähren des Zugriffs auf einen IAM-Benutzer in einem anderen AWS-Konto , den Sie besitzen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html).* + Informationen dazu, wie Sie Dritten Zugriff auf Ihre Ressourcen gewähren können AWS-Konten, finden Sie [AWS-Konten im *IAM-Benutzerhandbuch* unter Gewähren des Zugriffs für Dritte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html). + Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*. + Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.