Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# So funktioniert Data Transfer Terminal mit IAM
Bevor Sie IAM zur Verwaltung des Zugriffs auf das Data Transfer Terminal verwenden, sollten Sie sich darüber informieren, welche IAM-Funktionen für die Verwendung mit Data Transfer Terminal verfügbar sind.
| IAM-Feature | Unterstützung für das Data Transfer Terminal |
| --- | --- |
| [Identitätsbasierte Richtlinien](#security-iam-service-with-iam-id-based-policies) | Ja |
| [Ressourcenbasierte Richtlinien](#security-iam-service-with-iam-resource-based-policies) | Nein |
| [Richtlinienaktionen](#security-iam-service-with-iam-id-based-policies-actions) | Ja |
| [Richtlinienressourcen](#security-iam-service-with-iam-id-based-policies-resources) | Ja |
| [Bedingungsschlüssel für die Richtlinie](#security-iam-service-with-iam-id-based-policies-conditionkeys) | Ja |
| [ACLs](#security-iam-service-with-iam-acls) | Nein |
| [ABAC (Tags in Richtlinien)](#security-iam-service-with-iam-tags) | Nein |
| [Temporäre Anmeldeinformationen](#security-iam-service-with-iam-roles-tempcreds) | Ja |
| [Hauptberechtigungen](#security-iam-service-with-iam-principal-permissions) | Nein |
| [Servicerollen](#security-iam-service-with-iam-roles-service) | Nein |
| [Serviceverknüpfte Rollen](#security-iam-service-with-iam-roles-service-linked) | Nein |
Einen allgemeinen Überblick darüber, wie Data Transfer Terminal und andere AWS Dienste mit den meisten IAM-Funktionen funktionieren, finden Sie im [IAM-Benutzerhandbuch unter AWS Dienste, die mit *IAM* funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).
## Identitätsbasierte Richtlinien für Data Transfer Terminal
**Unterstützt Richtlinien auf Identitätsbasis:** Ja
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Sie können den Prinzipal nicht in einer identitätsbasierten Richtlinie angeben, da er für den Benutzer oder die Rolle gilt, der er zugeordnet ist. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*.
### Beispiele für identitätsbasierte Richtlinien für Data Transfer Terminal
Beispiele für identitätsbasierte Richtlinien von Data Transfer Terminal finden Sie unter Beispiele für [identitätsbasierte Richtlinien](security-iam-id-based-policy-examples.md) für Data Transfer Terminal. AWS
## Ressourcenbasierte Richtlinien im Data Transfer Terminal
**Unterstützt ressourcenbasierte Richtlinien:** Nein
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-*Rollen-Vertrauensrichtlinien* und Amazon-S3-*Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder Dienste gehören. AWS
Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Durch das Hinzufügen eines kontoübergreifenden Auftraggebers zu einer ressourcenbasierten Richtlinie ist nur die halbe Vertrauensbeziehung eingerichtet. Wenn sich der Prinzipal und die Ressource in unterschiedlichen AWS Konten befinden, muss ein IAM-Administrator des vertrauenswürdigen Kontos auch der Prinzipalentität (Benutzer oder Rolle) die Berechtigung zum Zugriff auf die Ressource erteilen. Sie erteilen Berechtigungen, indem Sie der juristischen Stelle eine identitätsbasierte Richtlinie anfügen. Wenn jedoch eine ressourcenbasierte Richtlinie Zugriff auf einen Prinzipal in demselben Konto gewährt, ist keine zusätzliche identitätsbasierte Richtlinie erforderlich. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Richtlinienaktionen für das Datenübertragungsterminal
**Unterstützt Richtlinienaktionen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Richtlinienaktionen haben normalerweise denselben Namen wie der zugehörige AWS API-Vorgang. Es gibt einige Ausnahmen, z. B. *Aktionen, die nur mit Genehmigung durchgeführt werden können* und für die es keine entsprechende API-Operation gibt. Es gibt auch einige Operationen, für die mehrere Aktionen in einer Richtlinie erforderlich sind. Diese zusätzlichen Aktionen werden als *abhängige Aktionen* bezeichnet.
Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen.
Eine Liste der Data Transfer Terminal-Aktionen finden Sie unter [Von AWS Data Transfer Terminal definierte Aktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_your_service.html#your_service-actions-as-permissions) in der *Serviceautorisierungsreferenz*.
Bei Richtlinienaktionen im Data Transfer Terminal wird vor der Aktion das folgende Präfix verwendet:
```
datatransferterminal
```
Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata:
```
"Action": [
"datatransferterminal:action1",
"datatransferterminal:action2"
]
```
Beispiele für identitätsbasierte Richtlinien von Data Transfer Terminal finden Sie unter [Beispiele für identitätsbasierte Richtlinien für AWS](security-iam-id-based-policy-examples.md) Data Transfer Terminal.
## Richtlinienressourcen für das Datenübertragungsterminal
**Unterstützt Richtlinienressourcen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Anweisungen müssen entweder ein – `Resource`oder ein `NotResource`-Element enthalten. Als bewährte Methode geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Sie können dies für Aktionen tun, die einen bestimmten Ressourcentyp unterstützen, der als *Berechtigungen auf Ressourcenebene* bezeichnet wird.
Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, z. B. Auflistungsoperationen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt.
```
"Resource": "*"
```
Eine Liste der Datentransfer-Terminal-Ressourcentypen und der zugehörigen ARNs Typen finden Sie unter [Von AWS Data Transfer Terminal definierte Ressourcen](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_your_service.html#your_service-resources-for-iam-policies) in der *Serviceautorisierungsreferenz*. Informationen zu den Aktionen, mit denen Sie den ARN jeder Ressource angeben können, finden Sie unter [Vom AWS Data Transfer Terminal definierte Aktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_your_service.html#your_service-actions-as-permissions).
Beispiele für identitätsbasierte Richtlinien von Data Transfer Terminal finden Sie unter [Beispiele für identitätsbasierte Richtlinien für AWS](security-iam-id-based-policy-examples.md) Data Transfer Terminal.
## Schlüssel zur Richtlinienbedingung für das Datenübertragungsterminal
**Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das `Condition` Element (oder `Condition`block) lets you specify conditions in which a statement is in effect. The `Condition` Element) ist optional. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt.
Wenn Sie mehrere `Condition`-Elemente in einer Anweisung oder mehrere Schlüssel in einem einzelnen `Condition`-Element angeben, wertet AWS diese mittels einer logischen `AND`-Operation aus. Wenn Sie mehrere Werte für einen einzelnen Bedingungsschlüssel angeben, AWS wertet die Bedingung mithilfe einer logischen `OR` Operation aus. Alle Bedingungen müssen erfüllt sein, bevor die Berechtigungen für die Anweisung erteilt werden.
Sie können bei der Angabe von Bedingungen auch Platzhaltervariablen verwenden. Beispielsweise können Sie einem IAM-Benutzer die Berechtigung für den Zugriff auf eine Ressource nur dann gewähren, wenn sie mit dessen IAM-Benutzernamen gekennzeichnet ist. Weitere Informationen finden Sie unter [IAM-Richtlinienelemente: Variablen und Tags](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_variables.html) im *IAM-Benutzerhandbuch*.
AWS unterstützt globale Bedingungsschlüssel und dienstspezifische Bedingungsschlüssel. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*.
Eine Liste der Bedingungsschlüssel für das Data Transfer Terminal finden Sie unter [Bedingungsschlüssel für das AWS Data Transfer Terminal](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_your_service.html#your_service-policy-keys) in der *Service Authorization Reference.* Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [Von AWS Data Transfer Terminal definierte Aktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_your_service.html#your_service-actions-as-permissions).
Beispiele für identitätsbasierte Richtlinien von Data Transfer Terminal finden Sie unter [Beispiele für identitätsbasierte Richtlinien für AWS](security-iam-id-based-policy-examples.md) Data Transfer Terminal.
## ACLs im Datenübertragungsterminal
**Unterstützt ACLs:** Nein
Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat.
## ABAC mit Datenübertragungsterminal
**Unterstützt ABAC (Tags in Richtlinien):** Nein
Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen basierend auf Attributen definiert werden. In AWS werden diese Attribute als *Tags* bezeichnet. Sie können Tags an IAM-Entitäten (Benutzer oder Rollen) und an viele AWS Ressourcen anhängen. Das Markieren von Entitäten und Ressourcen ist der erste Schritt von ABAC. Anschließend entwerfen Sie ABAC-Richtlinien, um Operationen zuzulassen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt, auf die er zugreifen möchte.
ABAC ist in Umgebungen hilfreich, die schnell wachsen, und unterstützt Sie in Situationen, in denen die Richtlinienverwaltung mühsam wird.
Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie Tag-Informationen im [Bedingungselement](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) einer Richtlinie mithilfe des `aws:ResourceTag/[replaceable]` Schlüsselnamens an. ` `, , or aws:TagKeys condition keys.` Wenn ein Dienst alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, ist der Wert für den Dienst **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**. *Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) im IAM-Benutzerhandbuch*. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe [Attributbasierte Zugriffskontrolle (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) verwenden im *IAM-Benutzerhandbuch*.
### Verwenden temporärer Anmeldeinformationen mit dem Data Transfer Terminal
**Unterstützt temporäre Anmeldeinformationen:** Ja
Einige AWS Dienste funktionieren nicht, wenn Sie sich mit temporären Anmeldeinformationen anmelden. Weitere Informationen, einschließlich der AWS Dienste, die mit temporären Anmeldeinformationen funktionieren, finden Sie im [*IAM-Benutzerhandbuch unter AWS Dienste, die mit IAM* funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).
Sie verwenden temporäre Anmeldeinformationen, wenn Sie sich mit einer anderen Methode als einem Benutzernamen und einem Passwort bei der AWS Management Console anmelden. Wenn Sie beispielsweise AWS über den Single Sign-On (SSO) -Link Ihres Unternehmens darauf zugreifen, werden bei diesem Vorgang automatisch temporäre Anmeldeinformationen erstellt. Sie erstellen auch automatisch temporäre Anmeldeinformationen, wenn Sie sich als Benutzer bei der Konsole anmelden und dann die Rollen wechseln. Weitere Informationen zum Wechseln von Rollen finden Sie unter [Wechseln von einer Benutzerrolle zu einer IAM-Rolle (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) im *IAM-Benutzerhandbuch*.
Sie können mithilfe der AWS CLI oder AWS API manuell temporäre Anmeldeinformationen erstellen. Sie können diese temporären Anmeldeinformationen dann für den Zugriff verwenden AWS. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Sicherheitsanmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html).
### Serviceübergreifende Prinzipalberechtigungen für Data Transfer Terminal
**Unterstützt Forward Access Sessions (FAS):** Nein
Wenn Sie einen IAM-Benutzer oder eine IAM-Rolle verwenden, um Aktionen auszuführen AWS, gelten Sie als Principal. Bei einigen Services könnte es Aktionen geben, die dann eine andere Aktion in einem anderen Service initiieren. FAS verwendet die Berechtigungen des Prinzipals, der einen AWS Dienst aufruft, in Kombination mit dem anfordernden AWS Dienst, um Anfragen an nachgelagerte Dienste zu stellen. FAS-Anfragen werden nur gestellt, wenn ein Dienst eine Anfrage erhält, für deren Abschluss Interaktionen mit anderen AWS Diensten oder Ressourcen erforderlich sind. In diesem Fall müssen Sie über Berechtigungen zum Ausführen beider Aktionen verfügen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html).
### Dienstrollen für das Datenübertragungsterminal
**Unterstützt Servicerollen:** Nein
Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erstellen einer Rolle zum Delegieren von Berechtigungen für einen AWS Dienst](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html).
**Warnung**
Durch das Ändern der Berechtigungen für eine Servicerolle kann die Funktionalität des Data Transfer Terminal beeinträchtigt werden. Bearbeiten Sie Servicerollen nur, wenn Data Transfer Terminal Sie dazu anleitet.
### Dienstbezogene Rollen für Data Transfer Terminal
**Unterstützt serviceverknüpfte Rollen:** Ja
Eine dienstgebundene Rolle ist eine Art von Servicerolle, die mit einem AWS Dienst verknüpft ist. Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Mit Diensten verknüpfte Rollen werden in Ihrem AWS Konto angezeigt und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.
Details zum Erstellen oder Verwalten von serviceverknüpften Rollen finden Sie unter [AWS -Services, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Tabelle nach einem Service mit einem `Yes` in der Spalte **Service-linked role** (Serviceverknüpfte Rolle). Wählen Sie den Link **Yes** (Ja) aus, um die Dokumentation für die serviceverknüpfte Rolle für diesen Service anzuzeigen.
# Beispiele für identitätsbasierte Richtlinien für Data Transfer Terminal AWS
Standardmäßig sind Benutzer und Rollen nicht berechtigt, Data Transfer Terminal-Ressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mithilfe der AWS Managementkonsole, der AWS Befehlszeilenschnittstelle (AWS CLI) oder der AWS API ausführen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen. Der Administrator kann dann die IAM-Richtlinien zu Rollen hinzufügen, und Benutzer können die Rollen annehmen.
Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*.
Einzelheiten zu Aktionen und Ressourcentypen, die von definiert wurden, einschließlich des Formats von ARNs für die einzelnen Ressourcentypen, finden Sie unter [Aktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_your_service.html) in der *Service Authorization Reference*.
**Topics**
+ [Best Practices für Richtlinien](#security-iam-service-with-iam-policy-best-practices)
+ [Verwenden der Data Transfer Terminal-Konsole](#security-iam-id-based-policy-examples-console)
+ [Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#security-iam-id-based-policy-examples-view-own-permissions)
## Best Practices für Richtlinien
Identitätsbasierte Richtlinien legen fest, ob jemand Datenübertragungsterminal-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Diese Aktionen können mit Kosten für Ihr Konto verbunden sein. AWS Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen:
+ **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die * AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem Konto verfügbar. AWS Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*.
+ **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese über einen bestimmten AWS Dienst verwendet werden, z. AWS CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*.
+ **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem AWS Konto erfordert, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*.
Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*.
## Verwenden der Data Transfer Terminal-Konsole
Um auf die AWS Data Transfer Terminal-Konsole zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Data Transfer Terminal-Ressourcen in Ihrem AWS Konto aufzulisten und einzusehen. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die restriktiver ist als die erforderlichen Mindestberechtigungen, funktioniert die Konsole für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie nicht wie vorgesehen.
Sie müssen Benutzern, die nur die AWS CLI oder die AWS API aufrufen, keine Mindestberechtigungen für die Konsole gewähren. Erlauben Sie stattdessen nur den Zugriff auf die Aktionen, die dem API-Vorgang entsprechen, den sie ausführen möchten.
Um sicherzustellen, dass Benutzer und Rollen die Data Transfer Terminal-Konsole weiterhin verwenden können, fügen Sie den Entitäten auch das Data Transfer Terminal ` ConsoleAccess ` oder die ` ReadOnly ` AWS verwaltete Richtlinie hinzu. Weitere Informationen finden Sie unter [Hinzufügen von Berechtigungen zu einem Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) im *IAM-Benutzerhandbuch*.
## Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer
In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der AWS CLI oder AWS API.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
# Fehlerbehebung bei Identität und Zugriff auf das AWS Datenübertragungsterminal
Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit Data Transfer Terminal und IAM auftreten können.
**Topics**
+ [Ich bin nicht berechtigt, eine Aktion im Data Transfer Terminal auszuführen](#security-iam-troubleshoot-no-permissions)
+ [Ich möchte Personen außerhalb meines AWS Kontos den Zugriff auf meine Data Transfer Terminal-Ressourcen ermöglichen](#security-iam-troubleshoot-cross-account-access)
## Ich bin nicht berechtigt, eine Aktion im Data Transfer Terminal auszuführen
Wenn Sie Reservierungen in der AWS Data Transfer Terminal-Konsole nicht anzeigen oder planen können, verfügen Sie möglicherweise nicht über die erforderlichen Berechtigungen. Wenden Sie sich an Ihren Kontoadministrator, um eine IAM-Identitätsrichtlinie zu konfigurieren, die Ihnen Zugriff und entsprechende Berechtigungen gewährt.
## Ich möchte Personen außerhalb meines AWS Kontos den Zugriff auf meine Data Transfer Terminal-Ressourcen ermöglichen
Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren.
Weitere Informationen dazu finden Sie hier:
+ Informationen darüber, ob Data Transfer Terminal diese Funktionen unterstützt, finden Sie unter [So funktioniert Data Transfer Terminal mit IAM](security-iam-service-with-iam.md).
+ *Informationen dazu, wie Sie den Zugriff auf Ihre Ressourcen mit Ihren AWS Konten gewähren können, finden Sie im IAM-Benutzerhandbuch unter [Gewähren des Zugriffs für einen IAM-Benutzer in einem anderen AWS Konto, das Sie besitzen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html).*
+ Informationen dazu, wie Sie AWS Konten von Drittanbietern Zugriff auf Ihre Ressourcen gewähren, finden Sie im *IAM-Benutzerhandbuch* [unter Zugriff auf AWS Konten, die Dritten gehören](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html).
+ Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*.
+ Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
# API-Referenzen für Datenübertragungsterminals: Aktionen und Ressourcen
Beim Erstellen von AWS Identity and Access Management (IAM) -Richtlinien kann Ihnen diese Seite helfen, die Beziehung zwischen den API-Vorgängen des AWS Data Transfer Terminal, den entsprechenden Aktionen, für die Sie Berechtigungen erteilen können, und den AWS Ressourcen, für die Sie die Berechtigungen erteilen können, zu verstehen.
Im Allgemeinen gehen Sie wie folgt vor, um Data Transfer Terminal-Berechtigungen zu Ihrer Richtlinie hinzuzufügen:
+ Geben Sie eine Aktion im `Action` Element an. Der Wert beinhaltet ein `datatransferterminal:` Präfix und den Namen der API-Operation. Beispiel, `datatransferterminal:CreateTask`.
+ Geben Sie eine AWS Ressource an, die sich auf die Aktion im `Resource` Element bezieht.
Sie können AWS Bedingungsschlüssel auch in Ihren Data Transfer Terminal-Richtlinien verwenden. Eine vollständige Liste der AWS Schlüssel finden Sie unter [Verfügbare Schlüssel](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#AvailableKeys) im *IAM-Benutzerhandbuch*.
**API-Operationen des Datenübertragungsterminals und entsprechende Aktionen**
CreateTransferTeam
+ **Aktion:** `datatransferterminal:CreateTransferTeam`
**Ressource:** `None`
GetTransferTeam
+ **Aktion:** `datatransferterminal:GetTransferTeam`
**Ressource:** `:$[replaceable]` Konto `:transfer-team/$[replaceable]` TransferTeamId ````für die `arn:aws::$[replaceable]` `:datatransferterminal:$[replaceable]` Partitionsregion
UpdateTransferTeam
+ **Aktion:** `datatransferterminal:UpdateTransferTeam`
**Ressource: Konto für die `arn:aws::$[replaceable]` Partitionsregion ````**`:datatransferterminal:$[replaceable]``:$[replaceable]``:transfer-team/$[replaceable]`TransferTeamId
DeleteTransferTeam
+ **Aktion:** `datatransferterminal:DeleteTransferTeam`
**Ressource: Konto für die `arn:aws::$[replaceable]` Partitionsregion ````**`:datatransferterminal:$[replaceable]``:$[replaceable]``:transfer-team/$[replaceable]`TransferTeamId
ListTransferTeams
+ **Aktion:** `datatransferterminal:ListTransferTeams`
**Ressource:** `None`
RegisterPerson
+ **Aktion:** `datatransferterminal:RegisterPerson`
**Ressource: Konto für die `arn:aws::$[replaceable]` Partitionsregion ````**`:datatransferterminal:$[replaceable]``:$[replaceable]``:transfer-team/$[replaceable]`TransferTeamId
GetPerson
+ **Aktion:** `datatransferterminal:GetPerson`
**Ressource: Konto für die `arn:aws::$[replaceable]` Partitionsregion ````**`:datatransferterminal:$[replaceable]``:$[replaceable]``:transfer-team/$[replaceable]`TransferTeamId`/person/$[replaceable]`PersonId
**Abhängige Aktion:** `datatransferterminal:GetTransferTeam`
**Abhängige Ressource:** `:$[replaceable]` Konto `:transfer-team/$[replaceable]` TransferTeamId ````für die `arn:aws::$[replaceable]` `:datatransferterminal:$[replaceable]` Partitionsregion
DeregisterPerson
+ **Aktion:** `datatransferterminal:DeregisterPerson`
**Ressource: Konto ````**für die `arn:aws::$[replaceable]` Partitionsregion `:datatransferterminal:$[replaceable]` `:$[replaceable]` `:transfer-team/$[replaceable]` TransferTeamId `/person/$[replaceable]` PersonId
**Abhängige Aktion:** `datatransferterminal:GetTransferTeam`
**Abhängige Ressource:** `:$[replaceable]` Konto `:transfer-team/$[replaceable]` TransferTeamId ````für die `arn:aws::$[replaceable]` `:datatransferterminal:$[replaceable]` Partitionsregion
ListPersons
+ **Aktion:** `datatransferterminal:ListPersons`
**Ressource: Konto ````**für die `arn:aws::$[replaceable]` Partitionsregion `:datatransferterminal:$[replaceable]` `:$[replaceable]` `:transfer-team/$[replaceable]` TransferTeamId
CreateReservation
+ **Aktion:** `datatransferterminal:CreateReservation`
**Ressource: Konto für die `arn:aws::$[replaceable]` Partitionsregion ````**`:datatransferterminal:$[replaceable]``:$[replaceable]``:transfer-team/$[replaceable]`TransferTeamId
**Abhängige Aktion:** `datatransferterminal:GetTransferTeam`
**Abhängige Ressource:** `:$[replaceable]` Konto `:transfer-team/$[replaceable]` TransferTeamId ````für die `arn:aws::$[replaceable]` `:datatransferterminal:$[replaceable]` Partitionsregion
**Abhängige Aktion:** `datatransferterminal:GetPerson`
**Abhängige Ressource:** `:$[replaceable]` Konto `:transfer-team/$[replaceable]` TransferTeamId `/person/$[replaceable]` PersonId ````für die `arn:aws::$[replaceable]` `:datatransferterminal:$[replaceable]` Partitionsregion
**Abhängige Aktion:** `datatransferterminal:GetFacility`
**Abhängige Ressource:** `arn:aws::$[replaceable]` Partition `:datatransferterminal:::facility/$[replaceable]` FacilityId ````
GetReservation
+ **Aktion:** `datatransferterminal:GetReservation`
**Ressource: Konto ````**für die `arn:aws::$[replaceable]` Partitionsregion `:datatransferterminal:$[replaceable]` `:$[replaceable]` `:transfer-team/$[replaceable]` TransferTeamId `/reservation/$[replaceable]` ReservationId
**Abhängige Aktion:** `datatransferterminal:GetTransferTeam`
**Abhängige Ressource:** `:$[replaceable]` Konto `:transfer-team/$[replaceable]` TransferTeamId ````für die `arn:aws::$[replaceable]` `:datatransferterminal:$[replaceable]` Partitionsregion
UpdateReservation
+ **Aktion:** `datatransferterminal:UpdateReservation`
**Ressource: Konto ````**für die `arn:aws::$[replaceable]` Partitionsregion `:datatransferterminal:$[replaceable]` `:$[replaceable]` `:transfer-team/$[replaceable]` TransferTeamId `/reservation/$[replaceable]` ReservationId
**Abhängige Aktion:** `datatransferterminal:GetTransferTeam`
**Abhängige Ressource:** `:$[replaceable]` Konto `:transfer-team/$[replaceable]` TransferTeamId ````für die `arn:aws::$[replaceable]` `:datatransferterminal:$[replaceable]` Partitionsregion
**Abhängige Aktion:** `datatransferterminal:GetPerson`
**Abhängige Ressource:** `:$[replaceable]` Konto `:transfer-team/$[replaceable]` TransferTeamId `/person/$[replaceable]` PersonId ````für die `arn:aws::$[replaceable]` `:datatransferterminal:$[replaceable]` Partitionsregion
DeleteReservation
+ **Aktion:** `datatransferterminal:DeleteReservation`
**Ressource: Konto ````**für die `arn:aws::$[replaceable]` Partitionsregion `:datatransferterminal:$[replaceable]` `:$[replaceable]` `:transfer-team/$[replaceable]` TransferTeamId `/person/$[replaceable]` PersonId
**Abhängige Aktion:** `datatransferterminal:GetTransferTeam`
**Abhängige Ressource:** `:$[replaceable]` Konto `:transfer-team/$[replaceable]` TransferTeamId ````für die `arn:aws::$[replaceable]` `:datatransferterminal:$[replaceable]` Partitionsregion
ListReservations
+ **Aktion:** `datatransferterminal:ListReservations`
**Ressource: Konto ````**für die `arn:aws::$[replaceable]` Partitionsregion `:datatransferterminal:$[replaceable]` `:$[replaceable]` `:transfer-team/$[replaceable]` TransferTeamId
ListFacilities
+ **Aktion:** `datatransferterminal:ListFacilities`
**Ressource:** `None`
GetFacility
+ **Aktion:** `datatransferterminal:GetFacility`
**Ressource**: Partition `````arn:aws::$[replaceable]``:datatransferterminal:::facility/$[replaceable]`FacilityId
GetFacilityAvailability
+ **Aktion:** `datatransferterminal:GetFacilityAvailability`
**Ressource: Partition** `arn:aws::$[replaceable]` `:datatransferterminal:::facility/$[replaceable]` FacilityId `/availability`
**Abhängige Aktion:** `datatransferterminal:GetFacility`
**Abhängige Ressource:** `arn:aws::$[replaceable]` Partition `:datatransferterminal:::facility/$[replaceable]` FacilityId `/availability`