Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Benutzern und Gruppen von AWS verwalteten Microsoft AD Zugriff auf AWS Ressourcen mit IAM-Rollen gewähren AWS Directory Service bietet die Möglichkeit, Ihren AWS Managed Microsoft AD-Benutzern und -Gruppen Zugriff auf AWS Dienste und Ressourcen zu gewähren, z. B. Zugriff auf die Amazon EC2 EC2-Konsole. Ähnlich wie Sie IAM-Benutzern Zugriff auf die Verwaltung von Verzeichnissen gewähren[Identitätsbasierte Richtlinien (IAM-Richtlinien)](IAM_Auth_Access_Overview.md#IAM_Auth_Access_ManagingAccess_IdentityBased), wie unter beschrieben, müssen Sie diesen Benutzern und Gruppen IAM-Rollen und -Richtlinien zuweisen, damit Benutzer in Ihrem Verzeichnis Zugriff auf andere AWS Ressourcen wie Amazon EC2 haben. Weitere Informationen finden Sie unter [IAM-Rollen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) im *IAM-Benutzerhandbuch*. Informationen darüber, wie Sie Benutzern Zugriff auf die gewähren, finden Sie unter AWS-Managementkonsole. [AWS-Managementkonsole Zugriff mit AWS verwalteten Microsoft AD-Anmeldeinformationen aktivieren](ms_ad_management_console_access.md) **Topics** + [ # Eine neue IAM-Rolle erstellen ](create_role.md) + [ # Bearbeiten der Vertrauensbeziehung für eine bestehende IAM-Rolle ](edit_trust.md) + [ # Zuweisen von Benutzern oder Gruppen zu einer vorhandenen IAM-Rolle ](assign_role.md) + [ # Anzeigen von Benutzern und Gruppen, die einer Rolle zugewiesen sind ](view_role_details.md) + [ # Einen Benutzer oder eine Gruppe aus einer IAM-Rolle entfernen ](remove_role_users.md) + [ # Verwenden AWS verwalteter Richtlinien mit Directory Service ](ms_ad_managed_policies.md) # Eine neue IAM-Rolle erstellen Wenn Sie eine neue IAM-Rolle für die Verwendung mit erstellen müssen Directory Service, müssen Sie sie mit der IAM-Konsole erstellen. Sobald die Rolle erstellt wurde, müssen Sie eine Vertrauensbeziehung mit dieser Rolle einrichten, bevor Sie diese Rolle in der Directory Service Konsole sehen können. Weitere Informationen finden Sie unter [Bearbeiten der Vertrauensbeziehung für eine bestehende IAM-Rolle](edit_trust.md). **Anmerkung** Benutzer, die diese Aufgabe durchführen, müssen über die Berechtigung zur Ausführung der folgenden IAM-Aktionen verfügen. Weitere Informationen finden Sie unter [Identitätsbasierte Richtlinien (IAM-Richtlinien)](IAM_Auth_Access_Overview.md#IAM_Auth_Access_ManagingAccess_IdentityBased). ich bin: PassRole ich bin: GetRole ich bin: CreateRole ich bin: PutRolePolicy **Um eine neue Rolle in der IAM-Konsole zu erstellen, gehen Sie wie folgt vor** 1. Wählen Sie im Navigationsbereich der IAM Console **Roles** (Rollen) aus. Weitere Informationen finden Sie unter [Erstellen einer Rolle (AWS-Managementkonsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html) im *IAM-Benutzerhandbuch*. 1. Wählen Sie **Rolle erstellen** aus. 1. Wählen Sie unter **Choose the service that will use this role (Wählen Sie den Service aus, der diese Rolle verwendet)** die Option **Directory Service** und anschließend **Next (Weiter)** aus. 1. Aktivieren Sie das Kontrollkästchen neben der Richtlinie (z. B. **Amazon EC2 FullAccess**), die Sie auf Ihre Verzeichnisbenutzer anwenden möchten, und wählen Sie dann **Weiter**. 1. Fall erforderlich, fügen Sie ein Tag zur Rolle hinzu und klicken Sie dann auf **Next (Weiter)**. 1. Geben Sie einen **Role name (Rollennamen)** und optional eine **Description (Beschreibung)** ein und wählen Sie dann **Create role (Rolle erstellen)** aus. **Beispiel: Eine Rolle für den Zugriff auf AWS-Managementkonsole erstellen** Die folgende Checkliste enthält ein Beispiel für die Aufgaben, die Sie ausführen müssen, um eine neue IAM-Rolle zu erstellen, die bestimmten AWS Managed Microsoft AD-Benutzern Zugriff auf die Amazon EC2 EC2-Konsole gewährt. 1. Erstellen Sie eine Rolle mit der IAM-Konsole mit dem oben beschriebenen Verfahren. Wenn Sie nach einer Richtlinie gefragt werden, wählen Sie **Amazon EC2 FullAccess**. 1. Folgen Sie den Schritten unter [Bearbeiten der Vertrauensbeziehung für eine bestehende IAM-Rolle](edit_trust.md), um die soeben erstellte Rolle zu bearbeiten, und fügen Sie dann dem Richtliniendokument die erforderlichen Vertrauensstellungsinformationen hinzu. Dieser Schritt ist erforderlich, damit die Rolle sofort sichtbar ist, nachdem Sie AWS-Managementkonsole im nächsten Schritt den Zugriff auf die aktiviert haben. 1. Folgen Sie den Anweisungen unter [AWS-Managementkonsole Zugriff mit AWS verwalteten Microsoft AD-Anmeldeinformationen aktivieren](ms_ad_management_console_access.md), um den allgemeinen Zugriff auf die AWS-Managementkonsole zu konfigurieren. 1. Folgen Sie den Anweisungen unter [Zuweisen von Benutzern oder Gruppen zu einer vorhandenen IAM-Rolle](assign_role.md), um der neuen Rolle Benutzer hinzuzufügen, die Vollzugriff auf EC2-Ressourcen benötigen. # Bearbeiten der Vertrauensbeziehung für eine bestehende IAM-Rolle Sie können Ihre vorhandenen IAM-Rollen Ihren Directory Service Benutzern und Gruppen zuweisen. Dazu muss die Rolle jedoch eine Vertrauensbeziehung mit Directory Service haben. Wenn Sie eine Rolle mithilfe des unter beschriebenen Verfahrens erstellen[Eine neue IAM-Rolle erstellen](create_role.md), wird diese Vertrauensstellung automatisch eingerichtet. Directory Service **Anmerkung** Sie müssen diese Vertrauensstellung nur für IAM-Rollen einrichten, die nicht von Directory Service erstellt wurden. **Um eine Vertrauensbeziehung für eine bestehende IAM-Rolle einzurichten, gehen Sie wie folgt vor Directory Service** 1. Öffnen Sie unter [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/) die IAM-Konsole. 1. Wählen Sie im Navigationsbereich der IAM-Konsole unter **Zugriffsverwaltung** die Option **Rollen**. In der Konsole werden die Rollen für Ihr Konto angezeigt. 1. Wählen Sie den Namen der Rolle aus, die Sie ändern möchten, und öffnen Sie die Registerkarte **Vertrauensstellungen** auf der Rollenseite. 1. Wählen Sie **Vertrauensrichtlinie bearbeiten** aus. 1. Fügen Sie unter **Vertrauensrichtlinie bearbeiten** den folgenden Text ein und wählen Sie dann **Richtlinie aktualisieren**. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "ds.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } ``` ------ Sie können dieses Richtliniendokument auch mit der AWS CLI aktualisieren. Weitere Informationen finden Sie unter [update-trust](https://docs.aws.amazon.com/cli/latest/reference/ds/update-trust.html) in der *AWS CLI -Befehlsreferenz*. # Zuweisen von Benutzern oder Gruppen zu einer vorhandenen IAM-Rolle Sie können einem AWS verwalteten Microsoft AD-Benutzer oder einer Gruppe eine bestehende IAM-Rolle zuweisen. Stellen Sie dazu sicher, dass Sie die folgenden Schritte abgeschlossen haben. **Voraussetzungen** + [Erstellen Sie ein AWS verwaltetes Microsoft AD](https://docs.aws.amazon.com//directoryservice/latest/admin-guide/ms_ad_getting_started.html#ms_ad_getting_started_create_directory). + [Erstellen Sie einen IAM-Benutzer](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_users_create.html) oder [eine IAM-Gruppe](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_groups_create.html). + [Erstellen Sie eine Rolle](https://docs.aws.amazon.com//directoryservice/latest/admin-guide/create_role.html), zu der eine Vertrauensbeziehung besteht. Directory Service Für bestehende IAM-Rollen müssen Sie [die Vertrauensbeziehung für eine bestehende Rolle bearbeiten](https://docs.aws.amazon.com//directoryservice/latest/admin-guide/edit_trust.html). **Wichtig** Der Zugriff für AWS verwaltete Microsoft AD-Benutzer in verschachtelten Gruppen in Ihrem Verzeichnis wird nicht unterstützt. Mitglieder übergeordneter Gruppen haben Konsolenzugriff, Mitglieder untergeordneter Gruppen nicht. **So weisen Sie AWS verwaltete Microsoft AD-Benutzer oder -Gruppen einer vorhandenen IAM-Rolle zu** 1. Wählen Sie im Navigationsbereich der [AWS Directory Service -Konsole](https://console.aws.amazon.com/directoryservicev2/) unter **Active Directory** die Option **Verzeichnisse**. 1. Wählen Sie auf der Seite **Directories (Verzeichnisse)** Ihre Verzeichnis-ID aus. 1. Führen Sie auf der Seite **Verzeichnisdetails** einen der folgenden Schritte aus: 1. Wenn Sie unter **Multi-Region-Replikation** keine Regionen angezeigt bekommen, wählen Sie die Registerkarte **Anwendungsverwaltung**. 1. Wenn unter **Multi-Region-Replikation** mehrere Regionen angezeigt werden, wählen Sie die Region aus, in der Sie Ihre Zuweisungen vornehmen möchten, und wählen Sie dann die Registerkarte **Anwendungsverwaltung**. Weitere Informationen finden Sie unter [Primäre Regionen im Vergleich zu zusätzlichen Regionen](multi-region-global-primary-additional.md). 1. Scrollen Sie nach unten zum **AWS-Managementkonsole**Abschnitt und wählen Sie **Aktionen** und **Aktivieren** aus. 1. Wählen Sie im Abschnitt **Zugriff auf die Delegiertenkonsole** den IAM-Rollennamen für die bestehende IAM-Rolle aus, der Sie Benutzer zuweisen möchten. 1. Wählen Sie auf der Seite **Selected role (Rolle auswählen)** unter **Manage users and groups for this role (Benutzer und Gruppen für diese Rolle verwalten) ** die Option **Add (Hinzufügen)** aus. 1. Wählen Sie auf der Seite **Benutzer und Gruppen zu Rollen hinzufügen** unter **SStruktur auswählen** entweder die Struktur AWS Managed Microsoft AD (diese Struktur) oder die On-Premises-Struktur (vertrauenswürdige Struktur) aus, je nachdem, welche Struktur die Konten enthält, die Zugriff auf die AWS-Managementkonsole benötigen. Weitere Informationen zum Konfigurieren einer vertrauenswürdigen Gesamtstruktur finden Sie unter [Tutorial: Erstellen Sie eine Vertrauensbeziehung zwischen Ihrem AWS verwalteten Microsoft AD und Ihrer selbstverwalteten Active Directory-Domäne](ms_ad_tutorial_setup_trust.md). 1. Wählen Sie unter **Specify, which users or groups to add (Angeben, welche Benutzer oder Gruppen hinzugefügt werden sollen)** entweder **Find by user (Nach Benutzer suchen)** oder **Find by group (Nach Gruppe suchen)** aus und geben Sie dann den Namen des Benutzers oder der Gruppe ein. Wählen Sie in der Liste der möglichen Treffer den Benutzer oder die Gruppe aus, den/die Sie hinzufügen möchten. 1. Wählen Sie **Add (Hinzufügen)** aus, um die Zuweisung der Benutzer und Gruppen zu der Rolle abzuschließen. # Anzeigen von Benutzern und Gruppen, die einer Rolle zugewiesen sind Gehen Sie wie folgt vor, um die AWS verwalteten Microsoft AD-Benutzer und -Gruppen anzuzeigen, die einer IAM-Rolle zugewiesen sind. **Voraussetzungen** + [Erstellen Sie ein AWS verwaltetes Microsoft AD](https://docs.aws.amazon.com//directoryservice/latest/admin-guide/ms_ad_getting_started.html#ms_ad_getting_started_create_directory). + [Erstellen Sie einen IAM-Benutzer](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_users_create.html) oder [eine IAM-Gruppe](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_groups_create.html). + [Erstellen Sie eine Rolle](https://docs.aws.amazon.com//directoryservice/latest/admin-guide/create_role.html), zu der eine Vertrauensbeziehung besteht. Directory Service Für bestehende IAM-Rollen müssen Sie [die Vertrauensbeziehung für eine bestehende Rolle bearbeiten](https://docs.aws.amazon.com//directoryservice/latest/admin-guide/edit_trust.html). + [Weisen Sie Ihre Benutzer oder Gruppen einer vorhandenen IAM-Rolle zu](https://docs.aws.amazon.com//directoryservice/latest/admin-guide/assign_role.html). **So zeigen Sie AWS verwaltete Microsoft AD-Benutzer und Gruppen an, die einer IAM-Rolle zugewiesen sind** 1. Wählen Sie im Navigationsbereich der [AWS Directory Service -Konsole](https://console.aws.amazon.com/directoryservicev2/) unter **Active Directory** die Option **Verzeichnisse**. 1. Wählen Sie auf der Seite **Directories (Verzeichnisse)** Ihre Verzeichnis-ID aus. 1. Führen Sie auf der Seite **Verzeichnisdetails** einen der folgenden Schritte aus: 1. Wenn unter **Multi-Region-Replikation** mehrere Regionen angezeigt werden, wählen Sie die Region aus, in der Sie Ihre Zuweisungen einsehen möchten, und wählen Sie dann die Registerkarte **Anwendungsverwaltung**. Weitere Informationen finden Sie unter [Primäre Regionen im Vergleich zu zusätzlichen Regionen](multi-region-global-primary-additional.md). 1. Wenn Sie unter **Multi-Region-Replikation** keine Regionen angezeigt bekommen, wählen Sie die Registerkarte **Anwendungsverwaltung**. 1. Scrollen Sie nach unten zum **AWS-Managementkonsole**Abschnitt. Der **Status** sollte **Aktiviert** sein. Wenn nicht, wählen Sie **Aktionen** und **Aktivieren**. Weitere Informationen finden Sie unter [AWS-Managementkonsole Zugriff mit AWS verwalteten Microsoft AD-Anmeldeinformationen aktivieren](ms_ad_management_console_access.md). **Anmerkung** Sie werden keine Gruppen oder Benutzer sehen, wenn das deaktiviert AWS-Managementkonsole ist. 1. Wählen Sie im Abschnitt **Delegate Console Access** den Hyperlink der IAM-Rolle aus, die Sie anzeigen möchten. Alternativ können Sie Richtlinie in IAM **anzeigen auswählen, um die IAM-Richtlinie in** der IAM-Konsole anzuzeigen. 1. Auf der Seite **Ausgewählte Rolle** können Sie im Abschnitt **Benutzer und Gruppen für diese Rolle verwalten** die Benutzer und Gruppen anzeigen, die der IAM-Rolle zugewiesen sind. # Einen Benutzer oder eine Gruppe aus einer IAM-Rolle entfernen Gehen Sie wie folgt vor, um einen AWS verwalteten Microsoft AD-Benutzer oder eine verwaltete Microsoft AD-Gruppe aus einer IAM-Rolle zu entfernen. **So entfernen Sie einen Benutzer oder eine Gruppe aus einer IAM-Rolle** 1. Wählen Sie im Navigationsbereich der [AWS Directory Service -Konsole](https://console.aws.amazon.com/directoryservicev2/) **Directories** aus. 1. Wählen Sie auf der Seite **Directories (Verzeichnisse)** Ihre Verzeichnis-ID aus. 1. Führen Sie auf der Seite **Verzeichnisdetails** einen der folgenden Schritte aus: 1. Wenn unter **Multi-Region-Replikation** mehrere Regionen angezeigt werden, wählen Sie die Region aus, in der Sie Ihre Zuweisungen entfernen möchten, und wählen Sie dann die Registerkarte **Anwendungsverwaltung**. Weitere Informationen finden Sie unter [Primäre Regionen im Vergleich zu zusätzlichen Regionen](multi-region-global-primary-additional.md). 1. Wenn Sie unter **Multi-Region-Replikation** keine Regionen angezeigt bekommen, wählen Sie die Registerkarte **Anwendungsverwaltung**. 1. Wählen Sie im **AWS-Managementkonsole**Abschnitt die IAM-Rolle aus, aus der Sie Benutzer und Gruppen entfernen möchten. 1. Wählen Sie auf der Seite **Selected role (Ausgewählte Rolle)** unter **Manage users and groups for this role (Benutzer und Gruppen für diese Rolle verwalten)** die Benutzer oder Gruppen aus, aus denen die Rolle entfernt werden soll, und klicken Sie auf **Remove (Entfernen)**. Die Rolle wird von den angegebenen Benutzern und Gruppen entfernt, nicht jedoch aus Ihrem Konto. **Anmerkung** Informationen zum Löschen einer Rolle finden Sie unter [Rollen oder Instanzprofile löschen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html). # Verwenden AWS verwalteter Richtlinien mit Directory Service Directory Service bietet die folgenden AWS verwalteten Richtlinien, um Ihren Benutzern und Gruppen Zugriff auf AWS Dienste und Ressourcen zu gewähren, z. B. Zugriff auf die EC2 Amazon-Konsole. Sie müssen sich an der AWS-Managementkonsole anmelden, bevor Sie diese Richtlinien anzeigen können. + [Schreibgeschützter Zugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/ReadOnlyAccess) + [Power User Access](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/PowerUserAccess) + [Directory Service voller Zugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSDirectoryServiceFullAccess) + [Directory Service Nur-Lese-Zugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSDirectoryServiceReadOnlyAccess) + [AWS Vollzugriff auf Verzeichnisdienstdaten](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSDirectoryServiceDataFullAccess) + [AWS Schreibgeschützter Zugriff auf Verzeichnisdienstdaten](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSDirectoryServiceDataReadOnlyAccess) + [Vollzugriff auf Amazon Cloud Directory](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonCloudDirectoryFullAccess) + [Amazon Cloud Directory: schreibgeschützter Zugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonCloudDirectoryReadOnlyAccess) + [ EC2 Voller Zugriff auf Amazon](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonEC2FullAccess) + [ EC2 Nur-Lese-Zugriff von Amazon](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess) + [Vollzugriff auf Amazon VPC](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonVPCFullAccess) + [Amazon VPC: schreibgeschützter Zugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonVPCReadOnlyAccess) + [Vollzugriff auf Amazon RDS](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonRDSFullAccess) + [Amazon RDS: schreibgeschützter Zugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonRDSReadOnlyAccess) + [Vollzugriff auf Amazon DynamoDB](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonDynamoDBFullAccess) + [Amazon DynamoDB: schreibgeschützter Zugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonDynamoDBReadOnlyAccess) + [Vollzugriff auf Amazon S3](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonS3FullAccess) + [Amazon S3: schreibgeschützter Zugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess) + [AWS CloudTrail voller Zugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSCloudTrailFullAccess) + [AWS CloudTrail Nur-Lese-Zugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AWSCloudTrailReadOnlyAccess) + [ CloudWatch Voller Zugriff auf Amazon](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/CloudWatchFullAccess) + [ CloudWatch Nur-Lese-Zugriff von Amazon](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/CloudWatchReadOnlyAccess) + [Amazon CloudWatch Logs Vollzugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/CloudWatchLogsFullAccess) + [Amazon CloudWatch Logs Nur-Lesezugriff](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/CloudWatchLogsReadOnlyAccess) Weitere Informationen zum Erstellen eigener Richtlinien finden Sie unter [Beispielrichtlinien für die Verwaltung von AWS Ressourcen](https://docs.aws.amazon.com/console/iam/example-policies) im *IAM-Benutzerhandbuch*.