Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Identitäts- und Zugriffsmanagement für den AWS Fault Injection Service
AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu kontrollieren. AWS IAM-Administratoren kontrollieren, wer *authentifiziert* (angemeldet) und *autorisiert* werden kann (über Berechtigungen verfügt), um FIS-Ressourcen zu verwenden AWS . IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können.
**Topics**
+ [Zielgruppe](#security_iam_audience)
+ [Authentifizierung mit Identitäten](#security_iam_authentication)
+ [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage)
+ [So funktioniert der AWS Fault Injection Service mit IAM](security_iam_service-with-iam.md)
+ [Beispiele für Richtlinien](security_iam_id-based-policy-examples.md)
+ [Serviceverknüpfte Rollen verwenden](using-service-linked-roles.md)
+ [AWS verwaltete Richtlinien](security-iam-awsmanpol.md)
## Zielgruppe
Die Art und Weise, wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von der Arbeit ab, die Sie in AWS FIS ausführen.
**Dienstbenutzer** — Wenn Sie den AWS FIS-Service für Ihre Arbeit verwenden, stellt Ihnen Ihr Administrator die erforderlichen Anmeldeinformationen und Berechtigungen zur Verfügung. Wenn Sie für Ihre Arbeit mehr AWS FIS-Funktionen verwenden, benötigen Sie möglicherweise zusätzliche Berechtigungen. Wenn Sie die Funktionsweise der Zugriffskontrolle nachvollziehen, wissen Sie bereits, welche Berechtigungen Sie von Ihrem Administrator anfordern müssen.
**Serviceadministrator** — Wenn Sie in Ihrem Unternehmen für die AWS FIS-Ressourcen verantwortlich sind, haben Sie wahrscheinlich vollen Zugriff AWS auf FIS. Es ist Ihre Aufgabe, zu bestimmen, auf welche AWS FIS-Funktionen und -Ressourcen Ihre Servicebenutzer zugreifen sollen. Anschließend müssen Sie Anforderungen an Ihren IAM-Administrator senden, um die Berechtigungen der Servicebenutzer zu ändern. Lesen Sie die Informationen auf dieser Seite, um die Grundkonzepte von IAM nachzuvollziehen.
**IAM-Administrator** — Wenn Sie ein IAM-Administrator sind, möchten Sie vielleicht mehr darüber erfahren, wie Sie Richtlinien zur Verwaltung des Zugriffs auf FIS schreiben können. AWS
## Authentifizierung mit Identitäten
Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos
Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *.
AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*.
### AWS-Konto Root-Benutzer
Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*.
### Verbundidentität
Es hat sich bewährt, dass menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden müssen.
Eine *föderierte Identität* ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Verbundene Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen.
Für die zentrale Zugriffsverwaltung empfehlen wir AWS IAM Identity Center. Weitere Informationen finden Sie unter [Was ist IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) im *AWS IAM Identity Center -Benutzerhandbuch*.
### IAM-Benutzer und -Gruppen
Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zugreifen zu](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) können.
Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*.
### IAM-Rollen
Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) AWS CLI oder einen AWS API-Vorgang aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*.
IAM-Rollen sind nützlich für den Verbundbenutzer-Zugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, serviceübergreifenden Zugriff und Anwendungen, die auf Amazon EC2 laufen. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Verwalten des Zugriffs mit Richtlinien
Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*.
Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf.
Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird.
### Identitätsbasierte Richtlinien
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*.
### Ressourcenbasierte Richtlinien
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html).
Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden.
### Weitere Richtlinientypen
AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden:
+ **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*.
+ **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*.
+ **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html).
+ **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*.
### Mehrere Richtlinientypen
Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die sich daraus ergebenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*.
# So funktioniert der AWS Fault Injection Service mit IAM
Bevor Sie IAM zur Verwaltung des Zugriffs auf AWS FIS verwenden, sollten Sie sich darüber informieren, welche IAM-Funktionen mit FIS verwendet werden können. AWS
**IAM-Funktionen, die Sie mit dem Fault Injection Service verwenden können AWS**
| IAM-Feature | AWS FIS-Unterstützung |
| --- | --- |
| [Identitätsbasierte Richtlinien](#security_iam_service-with-iam-id-based-policies) | Ja |
| [Ressourcenbasierte Richtlinien](#security_iam_service-with-iam-resource-based-policies) | Nein |
| [Richtlinienaktionen](#security_iam_service-with-iam-id-based-policies-actions) | Ja |
| [Richtlinienressourcen](#security_iam_service-with-iam-id-based-policies-resources) | Ja |
| [Richtlinienbedingungsschlüssel (servicespezifisch)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Ja |
| [ACLs](#security_iam_service-with-iam-acls) | Nein |
| [ABAC (Tags in Richtlinien)](#security_iam_service-with-iam-tags) | Ja |
| [Temporäre Anmeldeinformationen](#security_iam_service-with-iam-roles-tempcreds) | Ja |
| [Prinzipalberechtigungen](#security_iam_service-with-iam-principal-permissions) | Ja |
| [Servicerollen](#security_iam_service-with-iam-roles-service) | Ja |
| [Service-verknüpfte Rollen](#security_iam_service-with-iam-roles-service-linked) | Ja |
*Einen allgemeinen Überblick darüber, wie AWS FIS und andere AWS Dienste mit den meisten IAM-Funktionen funktionieren, finden Sie im [AWS IAM-Benutzerhandbuch unter Dienste, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).*
## Identitätsbasierte Richtlinien für FIS AWS
**Unterstützt Richtlinien auf Identitätsbasis:** Ja
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*.
### Beispiele für identitätsbasierte Maßnahmen für FIS AWS
Beispiele für identitätsbasierte AWS FIS-Richtlinien finden Sie unter. [AWS Beispiele für Richtlinien für den Fault Injection Service](security_iam_id-based-policy-examples.md)
## Ressourcenbasierte Richtlinien innerhalb von FIS AWS
**Unterstützt ressourcenbasierte Richtlinien:** Nein
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-*Rollen-Vertrauensrichtlinien* und Amazon-S3-*Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder gehören. AWS-Services
Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Politische Maßnahmen für FIS AWS
**Unterstützt Richtlinienaktionen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen.
Eine Liste der AWS FIS-Aktionen finden Sie unter Vom [AWS Fault Injection Service definierte Aktionen in der Serviceautorisierungsreferenz](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfaultinjectionservice.html#amazonec2-actions-as-permissions)*.*
Richtlinienaktionen in AWS FIS verwenden vor der Aktion das folgende Präfix:
```
fis
```
Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata:
```
"Action": [
"fis:action1",
"fis:action2"
]
```
Sie können auch Platzhalter verwenden, um mehrere Aktionen anzugeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort `List` beginnen, einschließlich der folgenden Aktion:
```
"Action": "fis:List*"
```
## Politische Ressourcen für AWS FIS
**Unterstützt Richtlinienressourcen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt.
```
"Resource": "*"
```
Einige AWS FIS-API-Aktionen unterstützen mehrere Ressourcen. Um mehrere Ressourcen in einer einzigen Anweisung anzugeben, trennen Sie sie ARNs durch Kommas.
```
"Resource": [
"resource1",
"resource2"
]
```
Eine Liste der AWS FIS-Ressourcentypen und ihrer Eigenschaften finden Sie unter Ressourcentypen ARNs, die [durch den AWS Fault Injection Service definiert wurden in der Service](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfaultinjectionservice.html#amazonec2-resources-for-iam-policies) *Authorization Reference*. Informationen darüber, mit welchen Aktionen Sie den ARN jeder Ressource angeben können, finden Sie unter Vom [AWS Fault Injection Service definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfaultinjectionservice.html#amazonec2-actions-as-permissions).
## Schlüssel zur Richtlinienbedingung für AWS FIS
**Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*.
Eine Liste der AWS FIS-Bedingungsschlüssel finden Sie unter [Bedingungsschlüssel für den AWS Fault Injection Service in der Service](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfaultinjectionservice.html#amazonec2-policy-keys) *Authorization Reference*. Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter Vom [AWS Fault Injection Service definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfaultinjectionservice.html#amazonec2-actions-as-permissions).
Beispiele für identitätsbasierte AWS FIS-Richtlinien finden Sie unter. [AWS Beispiele für Richtlinien für den Fault Injection Service](security_iam_id-based-policy-examples.md)
## ACLs AWS in FIS
**Unterstützt ACLs: Nein**
Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat.
## ABAC mit FIS AWS
**Unterstützt ABAC (Tags in Richtlinien):** Ja
Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen basierend auf Attributen, auch als Tags bezeichnet, definiert werden. Sie können Tags an IAM-Entitäten und AWS -Ressourcen anhängen und dann ABAC-Richtlinien entwerfen, um Operationen zu ermöglichen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt.
Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden.
Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**.
*Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) im IAM-Benutzerhandbuch*. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe [Attributbasierte Zugriffskontrolle (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) verwenden im *IAM-Benutzerhandbuch*.
Ein Beispiel für eine identitätsbasierte Richtlinie zur Beschränkung des Zugriffs auf eine Ressource anhand der Tags für diese Ressource finden Sie unter. [Beispiel: Verwenden Sie Tags, um die Ressourcennutzung zu kontrollieren](security_iam_id-based-policy-examples.md#security-iam-policy-examples-tagging)
## Temporäre Anmeldeinformationen mit FIS verwenden AWS
**Unterstützt temporäre Anmeldeinformationen:** Ja
Temporäre Anmeldeinformationen ermöglichen kurzfristigen Zugriff auf AWS Ressourcen und werden automatisch erstellt, wenn Sie den Verbund verwenden oder die Rollen wechseln. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Anmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) und [AWS-Services , die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) im *IAM-Benutzerhandbuch*.
## Serviceübergreifende Prinzipalberechtigungen für AWS FIS
**Unterstützt Forward Access Sessions (FAS):** Ja
Forward Access Sessions (FAS) verwenden die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anforderung, Anfragen an AWS-Service nachgelagerte Dienste zu stellen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html).
## Servicerollen für AWS FIS
**Unterstützt Servicerollen:** Ja
Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*.
## Servicebezogene Rollen für FIS AWS
**Unterstützt serviceverknüpfte Rollen:** Ja
Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.
Einzelheiten zum Erstellen oder Verwalten von dienstbezogenen AWS FIS-Rollen finden Sie unter. [Verwenden Sie serviceverknüpfte Rollen für AWS den Fault Injection Service](using-service-linked-roles.md)
# AWS Beispiele für Richtlinien für den Fault Injection Service
Standardmäßig sind Benutzer und Rollen nicht berechtigt, AWS FIS-Ressourcen zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen.
Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*.
Einzelheiten zu den von AWS FIS definierten Aktionen und Ressourcentypen, einschließlich des Formats der ARNs für die einzelnen Ressourcentypen, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für den AWS Fault Injection Service in der *Serviceautorisierungsreferenz*](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfaultinjectionservice.html).
**Topics**
+ [Best Practices für Richtlinien](#security_iam_service-with-iam-policy-best-practices)
+ [Beispiel: Verwenden Sie die FIS-Konsole AWS](#security-iam-policy-examples-console)
+ [Beispiel: Listet die verfügbaren AWS FIS-Aktionen auf](#security-iam-policy-examples-list-actions)
+ [Beispiel: Erstellen Sie eine Versuchsvorlage für eine bestimmte Aktion](#security-iam-policy-examples-create-template)
+ [Beispiel: Starten Sie ein Experiment](#security-iam-policy-examples-start-experiment)
+ [Beispiel: Verwenden Sie Tags, um die Ressourcennutzung zu kontrollieren](#security-iam-policy-examples-tagging)
+ [Beispiel: Löschen Sie eine Experimentvorlage mit einem bestimmten Tag](#security-iam-policy-examples-delete-tagged-template)
+ [Beispiel: Erteilen der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#security_iam_id-based-policy-examples-view-own-permissions)
+ [Beispiel: Verwenden Sie Bedingungsschlüssel für `ec2:InjectApiError`](#security-iam-policy-examples-ec2)
+ [Beispiel: Verwenden Sie Bedingungsschlüssel für `aws:s3:bucket-pause-replication`](#security-iam-policy-examples-s3)
## Best Practices für Richtlinien
Identitätsbasierte Richtlinien legen fest, ob jemand AWS FIS-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder diese löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen:
+ **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*.
+ **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*.
+ **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*.
Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*.
## Beispiel: Verwenden Sie die FIS-Konsole AWS
Um auf die AWS Fault Injection Service-Konsole zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den AWS FIS-Ressourcen in Ihrem AWS-Konto aufzulisten und einzusehen. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie.
Sie müssen Benutzern, die nur die API AWS CLI oder die AWS API aufrufen, keine Mindestberechtigungen für die Konsole gewähren. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die die Benutzer ausführen möchten.
Die folgende Beispielrichtlinie gewährt die Erlaubnis, alle AWS FIS-Ressourcen mithilfe AWS der FIS-Konsole aufzulisten und anzuzeigen, sie jedoch nicht zu erstellen, zu aktualisieren oder zu löschen. Sie gewährt auch Berechtigungen zum Anzeigen der verfügbaren Ressourcen, die von allen AWS FIS-Aktionen verwendet werden, die Sie in einer Experimentvorlage angeben könnten.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "FISReadOnlyActions",
"Effect": "Allow",
"Action": [
"fis:List*",
"fis:Get*"
],
"Resource": "*"
},
{
"Sid": "AdditionalReadOnlyActions",
"Effect": "Allow",
"Action": [
"ssm:Describe*",
"ssm:Get*",
"ssm:List*",
"ec2:DescribeInstances",
"rds:DescribeDBClusters",
"ecs:DescribeClusters",
"ecs:ListContainerInstances",
"eks:DescribeNodegroup",
"cloudwatch:DescribeAlarms",
"iam:ListRoles"
],
"Resource": "*"
},
{
"Sid": "PermissionsToCreateServiceLinkedRole",
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "fis.amazonaws.com"
}
}
}
]
}
```
------
## Beispiel: Listet die verfügbaren AWS FIS-Aktionen auf
Die folgende Richtlinie erteilt die Erlaubnis, die verfügbaren AWS FIS-Aktionen aufzulisten.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"fis:ListActions"
],
"Resource": "arn:aws:fis:*:*:action/*"
}
]
}
```
------
## Beispiel: Erstellen Sie eine Versuchsvorlage für eine bestimmte Aktion
Die folgende Richtlinie erteilt die Erlaubnis, eine Experimentvorlage für die Aktion zu erstellen`aws:ec2:stop-instances`.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "PolicyExample",
"Effect": "Allow",
"Action": [
"fis:CreateExperimentTemplate"
],
"Resource": [
"arn:aws:fis:*:*:action/aws:ec2:stop-instances",
"arn:aws:fis:*:*:experiment-template/*"
]
},
{
"Sid": "PolicyPassRoleExample",
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": [
"arn:aws:iam::111122223333:role/role-name"
]
}
]
}
```
------
## Beispiel: Starten Sie ein Experiment
Die folgende Richtlinie erteilt die Erlaubnis, ein Experiment mit der angegebenen IAM-Rolle und der angegebenen Experimentvorlage zu starten. Sie ermöglicht es AWS FIS auch, im Namen des Benutzers eine dienstbezogene Rolle zu erstellen. Weitere Informationen finden Sie unter [Verwenden Sie serviceverknüpfte Rollen für AWS den Fault Injection Service](using-service-linked-roles.md).
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "PolicyExample",
"Effect": "Allow",
"Action": [
"fis:StartExperiment"
],
"Resource": [
"arn:aws:fis:*:*:experiment-template/experiment-template-id",
"arn:aws:fis:*:*:experiment/*"
]
},
{
"Sid": "PolicyExampleforServiceLinkedRole",
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "*",
"Condition": {
"StringEquals": {
"iam:AWSServiceName": "fis.amazonaws.com"
}
}
}
]
}
```
------
## Beispiel: Verwenden Sie Tags, um die Ressourcennutzung zu kontrollieren
Die folgende Richtlinie gewährt die Erlaubnis, Experimente anhand von Experimentvorlagen auszuführen, die das Tag enthalten`Purpose=Test`. Sie gewährt keine Erlaubnis, Versuchsvorlagen zu erstellen oder zu ändern oder Experimente mit Vorlagen durchzuführen, die nicht über das angegebene Tag verfügen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "fis:StartExperiment",
"Resource": "arn:aws:fis:*:*:experiment-template/*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Purpose": "Test"
}
}
}
]
}
```
------
## Beispiel: Löschen Sie eine Experimentvorlage mit einem bestimmten Tag
Die folgende Richtlinie gewährt die Erlaubnis, eine Experimentvorlage mit Tag zu löschen`Purpose=Test`.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"fis:DeleteExperimentTemplate"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:ResourceTag/Purpose": "Test"
}
}
}
]
}
```
------
## Beispiel: Erteilen der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer
In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der API AWS CLI oder AWS .
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## Beispiel: Verwenden Sie Bedingungsschlüssel für `ec2:InjectApiError`
In der folgenden Beispielrichtlinie wird der `ec2:FisTargetArns` Bedingungsschlüssel verwendet, um Zielressourcen einzugrenzen. Diese Richtlinie ermöglicht die AWS FIS-Aktionen `aws:ec2:api-insufficient-instance-capacity-error` und`aws:ec2:asg-insufficient-instance-capacity-error`.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "ec2:InjectApiError",
"Resource": "*",
"Condition": {
"StringEquals": {
"ec2:FisActionId": [
"aws:ec2:api-insufficient-instance-capacity-error",
"aws:ec2:asg-insufficient-instance-capacity-error"
]
}
}
},
{
"Effect": "Allow",
"Action": "ec2:InjectApiError",
"Resource": "*",
"Condition": {
"ForAllValues:ArnLike": {
"ec2:FisTargetArns": [
"arn:aws:autoscaling:*:*:autoScalingGroup:uuid:autoScalingGroupName/asg-name"
]
}
}
},
{
"Effect": "Allow",
"Action": "autoscaling:DescribeAutoScalingGroups",
"Resource": "*"
}
]
}
```
------
## Beispiel: Verwenden Sie Bedingungsschlüssel für `aws:s3:bucket-pause-replication`
Die folgende Beispielrichtlinie verwendet den `S3:IsReplicationPauseRequest` Bedingungsschlüssel zum Zulassen `PutReplicationConfiguration` und `GetReplicationConfiguration` nur, wenn er von AWS FIS im Kontext der AWS FIS-Aktion verwendet wird. `aws:s3:bucket-pause-replication`
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"S3:PauseReplication"
],
"Resource": "arn:aws:s3:::mybucket",
"Condition": {
"StringEquals": {
"s3:DestinationRegion": "region"
}
}
},
{
"Effect": "Allow",
"Action": [
"S3:PutReplicationConfiguration",
"S3:GetReplicationConfiguration"
],
"Resource": "arn:aws:s3:::mybucket",
"Condition": {
"BoolIfExists": {
"s3:IsReplicationPauseRequest": "true"
}
}
},
{
"Effect": "Allow",
"Action": [
"S3:ListBucket"
],
"Resource": "arn:aws:s3:::*"
},
{
"Effect": "Allow",
"Action": [
"tag:GetResources"
],
"Resource": "*"
}
]
}
```
------
# Verwenden Sie serviceverknüpfte Rollen für AWS den Fault Injection Service
AWS [Der Fault Injection Service verwendet AWS Identity and Access Management dienstgebundene Rollen (IAM).](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) Eine serviceverknüpfte Rolle ist ein einzigartiger Typ von IAM-Rolle, die direkt mit FIS verknüpft ist. AWS Servicebezogene Rollen sind von AWS FIS vordefiniert und beinhalten alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.
Eine dienstbezogene Rolle erleichtert die Einrichtung von AWS FIS, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen, um die Überwachung und die Ressourcenauswahl für Experimente zu verwalten. AWS FIS definiert die Berechtigungen seiner dienstbezogenen Rollen, und sofern nicht anders definiert, kann nur AWS FIS seine Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.
Zusätzlich zu der dienstbezogenen Rolle müssen Sie auch eine IAM-Rolle angeben, die die Erlaubnis erteilt, die Ressourcen zu ändern, die Sie in einer Experimentvorlage als Ziele angeben. Weitere Informationen finden Sie unter [IAM-Rollen für AWS FIS-Experimente](getting-started-iam-service-role.md).
Sie können eine serviceverknüpfte Rolle nur löschen, nachdem Sie zuvor die zugehörigen Ressourcen gelöscht haben. Dadurch werden Ihre AWS FIS-Ressourcen geschützt, da Sie nicht versehentlich die Zugriffsberechtigung für die Ressourcen entziehen können.
## Dienstbezogene Rollenberechtigungen für FIS AWS
AWS FIS verwendet die dienstbezogene Rolle namens ****AWSServiceRoleForFIS****, um die Überwachung und die Ressourcenauswahl für Experimente zu verwalten.
Die dienstbezogene **AWSServiceRoleForFIS-Rolle** vertraut darauf, dass die folgenden Dienste diese Rolle übernehmen:
+ `fis.amazonaws.com`
**Die serviceverknüpfte **AWSServiceRoleForFIS-Rolle** verwendet die verwaltete Richtlinie Amazon. FISService RolePolicy** Diese Richtlinie ermöglicht es der AWS FIS, die Überwachung und die Auswahl der Ressourcen für Experimente zu verwalten. Weitere Informationen finden Sie unter [Amazon FISService RolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonFISServiceRolePolicy.html) in der *AWS Managed Policy Reference*.
Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Damit die dienstverknüpfte ****AWSServiceRoleForFIS-Rolle**** erfolgreich erstellt werden kann, muss die IAM-Identität, mit der Sie AWS FIS verwenden, über die erforderlichen Berechtigungen verfügen. Um die erforderlichen Berechtigungen zu erteilen, fügen Sie die folgende Richtlinie an die IAM-Identität an.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iam:CreateServiceLinkedRole",
"Resource": "*",
"Condition": {
"StringLike": {
"iam:AWSServiceName": "fis.amazonaws.com"
}
}
}
]
}
```
------
Weitere Informationen finden Sie unter [serviceverknüpfte Rollenberechtigung](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) im *IAM-Benutzerhandbuch*.
## Erstellen Sie eine serviceverknüpfte Rolle für FIS AWS
Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie ein AWS FIS-Experiment in der AWS-Managementkonsole, der oder der AWS API starten AWS CLI, erstellt AWS FIS die serviceverknüpfte Rolle für Sie.
Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie ein FIS-Experiment starten, erstellt AWS FIS die AWS serviceverknüpfte Rolle erneut für Sie.
## Bearbeiten Sie eine serviceverknüpfte Rolle für FIS AWS
AWS FIS erlaubt es Ihnen nicht, die dienstbezogene **AWSServiceRoleForFIS-Rolle** zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter [Bearbeiten einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) im *IAM-Benutzerhandbuch*.
## Löschen Sie eine serviceverknüpfte Rolle für FIS AWS
Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch die Ressourcen für Ihre serviceverknüpften Rolle zunächst bereinigen, bevor Sie sie manuell löschen können.
**Anmerkung**
Wenn der AWS FIS-Dienst die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu bereinigen, schlägt die Bereinigung möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut.
****Um die von der FIS verwendeten AWS FIS-Ressourcen zu bereinigen AWSService RoleFor****
Stellen Sie sicher, dass derzeit keines Ihrer Experimente läuft. Falls nötig, beenden Sie Ihre Experimente. Weitere Informationen finden Sie unter [Stoppen eines Experiments](stop-experiment.md).
**So löschen Sie die -servicegebundene Rolle mit IAM**
Verwenden Sie die IAM-Konsole, die oder die AWS API AWS CLI, um die mit dem **AWSServiceRoleForFIS-Dienst** verknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter [Löschen einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) im *IAM-Benutzerhandbuch*.
## Unterstützte Regionen für dienstverknüpfte FIS-Rollen AWS
AWS FIS unterstützt die Verwendung von dienstbezogenen Rollen in allen Regionen, in denen der Dienst verfügbar ist. Weitere Informationen finden Sie unter [Endpunkte und Kontingente für den AWS Fault Injection-Dienst](https://docs.aws.amazon.com/general/latest/gr/fis.html).
# AWS verwaltete Richtlinien für den AWS Fault Injection Service
Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet AWS wird. AWS Verwaltete Richtlinien sind so konzipiert, dass sie Berechtigungen für viele gängige Anwendungsfälle bereitstellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen.
Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie allen AWS Kunden zur Verfügung stehen. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie [vom Kunden verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind.
Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS-Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden.
Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) im *IAM-Benutzerhandbuch*.
## AWS verwaltete Richtlinie: Amazon FISService RolePolicy
Diese Richtlinie ist mit der dienstleistungsbezogenen Rolle FIS verknüpft, sodass **AWSServiceRoleFor AWS FIS** die Überwachung und die Auswahl der Ressourcen für Experimente verwalten kann. Weitere Informationen finden Sie unter [Verwenden Sie serviceverknüpfte Rollen für AWS den Fault Injection Service](using-service-linked-roles.md).
## AWS verwaltete Richtlinie: Zugriff AWSFault InjectionSimulator EC2
Verwenden Sie diese Richtlinie in einer Experimentierrolle, um AWS FIS die Erlaubnis zu erteilen, Experimente durchzuführen, die die [AWS FIS-Aktionen für Amazon](fis-actions-reference.md#ec2-actions-reference) EC2 verwenden. Weitere Informationen finden Sie unter [IAM-Rollen für AWS FIS-Experimente](getting-started-iam-service-role.md).
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSFaultInjectionSimulatorEC2Zugriff](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSFaultInjectionSimulatorEC2Access.html) in der Referenz für *AWS verwaltete* Richtlinien.
## AWS verwaltete Richtlinie: AWSFault InjectionSimulator ECSAccess
Verwenden Sie diese Richtlinie in einer Experimentierrolle, um AWS FIS die Erlaubnis zu erteilen, Experimente durchzuführen, die die [AWS FIS-Aktionen für Amazon ECS](fis-actions-reference.md#ecs-actions-reference) verwenden. Weitere Informationen finden Sie unter [IAM-Rollen für AWS FIS-Experimente](getting-started-iam-service-role.md).
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSFaultInjectionSimulatorECSAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSFaultInjectionSimulatorECSAccess.html) in der *Referenz zu von AWS verwalteten Richtlinien*.
## AWS verwaltete Richtlinie: AWSFault InjectionSimulator EKSAccess
Verwenden Sie diese Richtlinie in einer Experimentierrolle, um AWS FIS die Erlaubnis zu erteilen, Experimente durchzuführen, die die [AWS FIS-Aktionen für Amazon](fis-actions-reference.md#eks-actions-reference) EKS verwenden. Weitere Informationen finden Sie unter [IAM-Rollen für AWS FIS-Experimente](getting-started-iam-service-role.md).
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSFaultInjectionSimulatorEKSAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSFaultInjectionSimulatorEKSAccess.html) in der *Referenz zu von AWS verwalteten Richtlinien*.
## AWS verwaltete Richtlinie: AWSFault InjectionSimulatorNetworkAccess
Verwenden Sie diese Richtlinie in einer experimentellen Rolle, um der AWS FIS die Erlaubnis zu erteilen, Experimente durchzuführen, bei denen die [AWS FIS-Netzwerkaktionen](fis-actions-reference.md#network-actions-reference) verwendet werden. Weitere Informationen finden Sie unter [IAM-Rollen für AWS FIS-Experimente](getting-started-iam-service-role.md).
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSFaultInjectionSimulatorNetworkAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSFaultInjectionSimulatorNetworkAccess.html) in der *Referenz zu von AWS verwalteten Richtlinien*.
## AWS verwaltete Richtlinie: AWSFault InjectionSimulator RDSAccess
Verwenden Sie diese Richtlinie in einer Experimentierrolle, um AWS FIS die Erlaubnis zu erteilen, Experimente durchzuführen, die die [AWS FIS-Aktionen für Amazon](fis-actions-reference.md#rds-actions-reference) RDS verwenden. Weitere Informationen finden Sie unter [IAM-Rollen für AWS FIS-Experimente](getting-started-iam-service-role.md).
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSFaultInjectionSimulatorRDSAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSFaultInjectionSimulatorRDSAccess.html) in der *Referenz zu von AWS verwalteten Richtlinien*.
## AWS verwaltete Richtlinie: AWSFault InjectionSimulator SSMAccess
Verwenden Sie diese Richtlinie in einer Experimentrolle, um AWS FIS die Erlaubnis zu erteilen, Experimente durchzuführen, die die [AWS FIS-Aktionen für Systems Manager](fis-actions-reference.md#ssm-actions-reference) verwenden. Weitere Informationen finden Sie unter [IAM-Rollen für AWS FIS-Experimente](getting-started-iam-service-role.md).
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSFaultInjectionSimulatorSSMAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSFaultInjectionSimulatorSSMAccess.html) in der *Referenz zu von AWS verwalteten Richtlinien*.
## AWS FIS aktualisiert verwaltete Richtlinien AWS
Hier finden Sie Informationen zu Aktualisierungen der AWS verwalteten Richtlinien für AWS FIS, seit dieser Dienst begonnen hat, diese Änderungen zu verfolgen.
| Änderungen | Beschreibung | Date |
| --- | --- | --- |
| [AWSFaultInjectionSimulatorEC2Zugriff](#AWSFaultInjectionSimulatorEC2Access) — Aktualisierung einer bestehenden Richtlinie | Für die Szenarien „AZ: Application Slowdown“ und „Cross-AZ: Traffic Slowdown“ wurde die erforderliche Berechtigung hinzugefügt. Die Berechtigungen lauten: ec2: DescribeSubnets | 12. November 2025 |
| [AWSFaultInjectionSimulatorECSAccess](#AWSFaultInjectionSimulatorECSAccess) – Aktualisierung auf eine bestehende Richtlinie | Es wurden Berechtigungen hinzugefügt, die für die Szenarien „AZ: Application Slowdown“ und „Cross-AZ: Traffic Slowdown“ erforderlich sind. Die Berechtigungen sind: ecs:DescribeContainerInstances, ec2: und ec2: DescribeSubnets DescribeInstances | 12. November 2025 |
| [AWSFaultInjectionSimulatorECSAccess](#AWSFaultInjectionSimulatorECSAccess) – Aktualisierung auf eine bestehende Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, ECS-Ziele zu lösen. | 25. Januar 2024 |
| [AWSFaultInjectionSimulatorNetworkAccess](#AWSFaultInjectionSimulatorNetworkAccess) – Aktualisierung auf eine bestehende Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, Experimente mit den Aktionen aws:network:route-table-disrupt-cross-region-connectivity und aws:network:transit-gateway-disrupt-cross-region-connectivity durchzuführen. | 25. Januar 2024 |
| [AWSFaultInjectionSimulatorEC2Zugriff](#AWSFaultInjectionSimulatorEC2Access) — Aktualisierung einer bestehenden Richtlinie | Es wurden Berechtigungen hinzugefügt, damit AWS FIS EC2-Instances auflösen kann. | 13. November 2023 |
| [AWSFaultInjectionSimulatorEKSAccess](#AWSFaultInjectionSimulatorEKSAccess) – Aktualisierung auf eine bestehende Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, EKS-Ziele aufzulösen. | 13. November 2023 |
| [AWSFaultInjectionSimulatorRDSAccess](#AWSFaultInjectionSimulatorRDSAccess) – Aktualisierung auf eine bestehende Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, RDS-Ziele aufzulösen. | 13. November 2023 |
| [AWSFaultInjectionSimulatorEC2Zugriff](#AWSFaultInjectionSimulatorEC2Access) — Aktualisierung einer bestehenden Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, SSM-Dokumente auf EC2-Instances auszuführen und EC2-Instances zu beenden. | 02. Juni 2023 |
| [AWSFaultInjectionSimulatorSSMAccess](#AWSFaultInjectionSimulatorSSMAccess) – Aktualisierung auf eine bestehende Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, SSM-Dokumente auf EC2-Instances auszuführen. | 02. Juni 2023 |
| [AWSFaultInjectionSimulatorECSAccess](#AWSFaultInjectionSimulatorECSAccess) – Aktualisierung auf eine bestehende Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, Experimente mit den neuen Aktionen durchzuführen. aws:ecs:task | 01. Juni 2023 |
| [AWSFaultInjectionSimulatorEKSAccess](#AWSFaultInjectionSimulatorEKSAccess) – Aktualisierung auf eine bestehende Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, Experimente mit den neuen aws:eks:pod Aktionen durchzuführen. | 01. Juni 2023 |
| [AWSFaultInjectionSimulatorEC2Zugriff](#AWSFaultInjectionSimulatorEC2Access) — Neue Richtlinie | Es wurde eine Richtlinie hinzugefügt, die es AWS FIS ermöglicht, ein Experiment durchzuführen, das AWS FIS-Aktionen für Amazon EC2 verwendet. | 26. Oktober 2022 |
| [AWSFaultInjectionSimulatorECSAccess](#AWSFaultInjectionSimulatorECSAccess) – Neue Richtlinie | Es wurde eine Richtlinie hinzugefügt, die es AWS FIS ermöglicht, ein Experiment durchzuführen, das AWS FIS-Aktionen für Amazon ECS verwendet. | 26. Oktober 2022 |
| [AWSFaultInjectionSimulatorEKSAccess](#AWSFaultInjectionSimulatorEKSAccess) – Neue Richtlinie | Es wurde eine Richtlinie hinzugefügt, die es AWS FIS ermöglicht, ein Experiment durchzuführen, das AWS FIS-Aktionen für Amazon EKS verwendet. | 26. Oktober 2022 |
| [AWSFaultInjectionSimulatorNetworkAccess](#AWSFaultInjectionSimulatorNetworkAccess) – Neue Richtlinie | Es wurde eine Richtlinie hinzugefügt, die es AWS FIS ermöglicht, ein Experiment durchzuführen, das AWS FIS-Netzwerkaktionen verwendet. | 26. Oktober 2022 |
| [AWSFaultInjectionSimulatorRDSAccess](#AWSFaultInjectionSimulatorRDSAccess) – Neue Richtlinie | Es wurde eine Richtlinie hinzugefügt, die es AWS FIS ermöglicht, ein Experiment durchzuführen, das AWS FIS-Aktionen für Amazon RDS verwendet. | 26. Oktober 2022 |
| [AWSFaultInjectionSimulatorSSMAccess](#AWSFaultInjectionSimulatorSSMAccess) – Neue Richtlinie | Es wurde eine Richtlinie hinzugefügt, die AWS es FIS ermöglicht, ein Experiment durchzuführen, das AWS FIS-Aktionen für Systems Manager verwendet. | 26. Oktober 2022 |
| [Amazon FISService RolePolicy](#security-iam-awsmanpol-AmazonFISServiceRolePolicy) — Aktualisierung einer bestehenden Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, Subnetze zu beschreiben. | 26. Oktober 2022 |
| [Amazon FISService RolePolicy](#security-iam-awsmanpol-AmazonFISServiceRolePolicy) — Aktualisierung einer bestehenden Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, EKS-Cluster zu beschreiben. | 7. Juli 2022 |
| [Amazon FISService RolePolicy](#security-iam-awsmanpol-AmazonFISServiceRolePolicy) — Aktualisierung einer bestehenden Richtlinie | Es wurden Berechtigungen hinzugefügt, damit AWS FIS die Aufgaben in Ihren Clustern auflisten und beschreiben kann. | 7. Februar 2022 |
| [Amazon FISService RolePolicy](#security-iam-awsmanpol-AmazonFISServiceRolePolicy) — Aktualisierung einer bestehenden Richtlinie | Die events:ManagedBy Bedingung für die events:DescribeRule Aktion wurde entfernt. | 6. Januar 2022 |
| [Amazon FISService RolePolicy](#security-iam-awsmanpol-AmazonFISServiceRolePolicy) — Aktualisierung einer bestehenden Richtlinie | Es wurden Berechtigungen hinzugefügt, die es AWS FIS ermöglichen, den Verlauf der CloudWatch Alarme abzurufen, die bei Stopp-Bedingungen verwendet wurden. | 30. Juni 2021 |
| AWS FIS hat begonnen, Änderungen zu verfolgen | AWS FIS begann, Änderungen an ihren AWS verwalteten Richtlinien zu verfolgen | 1. März 2021 |