Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Identity and Access Management für die Bereitschaftsprüfung in ARC
**Anmerkung**
Die Funktion zur Prüfung der Eignung in Amazon Application Recovery Controller (ARC) steht Neukunden ab dem 30. April 2026 nicht mehr zur Verfügung. Bestandskunden können den Service weiterhin wie gewohnt nutzen. Weitere Informationen finden Sie unter [Änderung der Verfügbarkeit der Amazon Application Recovery Controller (ARC) -Bereitschaftsprüfung](https://docs.aws.amazon.com/r53recovery/latest/dg/arc-readiness-availability-change.html).
AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf AWS Ressourcen sicher zu kontrollieren. IAM-Administratoren kontrollieren, wer *authentifiziert* (angemeldet) und *autorisiert* werden kann (über Berechtigungen verfügt), um ARC-Ressourcen zu verwenden. IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können.
**Topics**
+ [Wie funktioniert die Bereitschaftsprüfung mit IAM](security_iam_service-with-iam-readiness.md)
+ [Beispiele für identitätsbasierte Richtlinien](security_iam_id-based-policy-examples-readiness.md)
+ [Service-verknüpfte Rollen](using-service-linked-roles-readiness.md)
+ [AWS verwaltete Richtlinien](security-iam-awsmanpol-readiness.md)
# So funktioniert die Bereitschaftsprüfung in Amazon Application Recovery Controller (ARC) mit IAM
Bevor Sie IAM zur Verwaltung des Zugriffs auf ARC verwenden, sollten Sie sich darüber informieren, welche IAM-Funktionen für die Verwendung mit ARC verfügbar sind.
Bevor Sie IAM verwenden, um den Zugriff auf die Bereitschaftsprüfung in Amazon Application Recovery Controller (ARC) zu verwalten, sollten Sie sich darüber informieren, welche IAM-Funktionen für die Bereitschaftsprüfung verfügbar sind.
**IAM-Funktionen, die Sie mit der Bereitschaftsprüfung in Amazon Application Recovery Controller (ARC) verwenden können**
| IAM-Feature | Unterstützung bei der Prüfung der Bereitschaft |
| --- | --- |
| [Identitätsbasierte Richtlinien](#security_iam_service-with-iam-readiness-id-based-policies) | Ja |
| [Ressourcenbasierte Richtlinien](#security_iam_service-with-iam-readiness-resource-based-policies) | Nein |
| [Richtlinienaktionen](#security_iam_service-with-iam-readiness-id-based-policies-actions) | Ja |
| [Richtlinienressourcen](#security_iam_service-with-iam-readiness-id-based-policies-resources) | Ja |
| [Bedingungsschlüssel für die Richtlinie](#security_iam_service-with-iam-readiness-id-based-policies-conditionkeys) | Ja |
| [ACLs](#security_iam_service-with-iam-readiness-acls) | Nein |
| [ABAC (Tags in Richtlinien)](#security_iam_service-with-iam-readiness-tags) | Ja |
| [Temporäre Anmeldeinformationen](#security_iam_service-with-iam-readiness-roles-tempcreds) | Ja |
| [Prinzipalberechtigungen](#security_iam_service-with-iam-readiness-principal-permissions) | Ja |
| [Servicerollen](#security_iam_service-with-iam-readiness-roles-service) | Nein |
| [Serviceverknüpfte Rollen](#security_iam_service-with-iam-readiness-roles-service-linked) | Ja |
Einen allgemeinen Überblick darüber, wie AWS Dienste mit den meisten IAM-Funktionen funktionieren, finden Sie im [IAM-Benutzerhandbuch unter AWS Dienste, die mit *IAM* funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).
## Identitätsbasierte Richtlinien für die Prüfung der Eignung
**Unterstützt Richtlinien auf Identitätsbasis:** Ja
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*.
Beispiele für identitätsbasierte ARC-Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien in Amazon Application Recovery Controller (ARC)](security_iam_id-based-policy-examples.md)
## Ressourcenbasierte Richtlinien im Rahmen der Eignungsprüfung
**Unterstützt ressourcenbasierte Richtlinien:** Nein
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-Rollen-Vertrauensrichtlinien und Amazon-S3-Bucket-Richtlinien. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern.
## Politische Maßnahmen für die Eignungsprüfung
**Unterstützt Richtlinienaktionen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen.
Eine Liste der ARC-Aktionen für die Bereitschaftsprüfung finden Sie unter [Von Amazon Route 53 Recovery Readiness definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html#amazonroute53recoveryreadiness-actions-as-permissions) in der *Service Authorization Reference*.
Bei den Richtlinienaktionen in ARC für die Bereitschaftsprüfung werden vor der Aktion die folgenden Präfixe verwendet:
```
route53-recovery-readiness
```
Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata: Zum Beispiel das Folgende:
```
"Action": [
"route53-recovery-readiness:action1",
"route53-recovery-readiness:action2"
]
```
Sie können auch Platzhalter verwenden, um mehrere Aktionen anzugeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort `Describe` beginnen, einschließlich der folgenden Aktion:
```
"Action": "route53-recovery-readiness:Describe*"
```
Beispiele für identitätsbasierte ARC-Richtlinien für die Eignungsprüfung finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für die Eignungsprüfung in ARC](security_iam_id-based-policy-examples-readiness.md)
## Richtlinienressourcen für die Prüfung der Eignung
**Unterstützt Richtlinienressourcen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt.
```
"Resource": "*"
```
Eine Liste der ARC-Aktionen für Zonal Shift finden Sie unter [Von Amazon Route 53 Recovery Readiness definierte Aktionen](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html#amazonroute53recoveryreadiness-actions-as-permissions).
Beispiele für identitätsbasierte ARC-Richtlinien zur Bereitschaftsprüfung finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für die Eignungsprüfung in ARC](security_iam_id-based-policy-examples-readiness.md)
## Zustandsschlüssel für Richtlinien für die Prüfung der Bereitschaft
**Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*.
Eine Liste der ARC-Aktionen für die Bereitschaftsprüfung finden Sie unter [Bedingungsschlüssel für Amazon Route 53 Recovery Readiness](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html#amazonroute53recoveryreadiness-policy-keys)
Informationen zu den Aktionen und Ressourcen, die Sie mit einem Bedingungsschlüssel mit Bereitschaftsprüfung verwenden können, finden Sie unter [Von Amazon Route 53 Recovery Readiness definierte Aktionen](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html#amazonroute53recoveryreadiness-actions-as-permissions)
Beispiele für identitätsbasierte ARC-Richtlinien für die Eignungsprüfung finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für die Eignungsprüfung in ARC](security_iam_id-based-policy-examples-readiness.md)
## Zugriffskontrolllisten (ACLs) werden derzeit geprüft
**Unterstützt ACLs:** Nein
Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat.
## Attributbasierte Zugriffskontrolle (ABAC) mit Bereitschaftsprüfung
**Unterstützt ABAC (Tags in Richtlinien):** Teilweise
Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen basierend auf Attributen, auch als Tags bezeichnet, definiert werden. Sie können Tags an IAM-Entitäten und AWS -Ressourcen anhängen und dann ABAC-Richtlinien entwerfen, die Operationen zulassen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt.
Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden.
Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**.
*Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) im IAM-Benutzerhandbuch*. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe [Attributbasierte Zugriffskontrolle (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) verwenden im *IAM-Benutzerhandbuch*.
Recovery Readiness (Bereitschaftsprüfung) unterstützt ABAC.
## Verwendung temporärer Anmeldeinformationen mit Bereitschaftsprüfung
**Unterstützt temporäre Anmeldeinformationen:** Ja
Temporäre Anmeldeinformationen ermöglichen kurzfristigen Zugriff auf AWS Ressourcen und werden automatisch erstellt, wenn Sie einen Verbund verwenden oder die Rollen wechseln. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Anmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) und [AWS-Services , die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) im *IAM-Benutzerhandbuch*.
## Dienstübergreifende Prinzipalberechtigungen für die Prüfung der Eignung
**Unterstützt Forward Access Sessions (FAS):** Ja
Wenn Sie eine IAM-Entität (Benutzer oder Rolle) verwenden, um Aktionen auszuführen AWS, gelten Sie als Principal. Richtlinien erteilen einem Prinzipal-Berechtigungen. Bei einigen Services könnte es Aktionen geben, die dann eine andere Aktion in einem anderen Service auslösen. In diesem Fall müssen Sie über Berechtigungen zum Ausführen beider Aktionen verfügen.
Informationen darüber, ob eine Aktion bei der Bereitschaftsprüfung zusätzliche abhängige Aktionen in einer Richtlinie erfordert, finden Sie unter [Amazon Route 53 Recovery Readiness](https://docs.aws.amazon.com//service-authorization/latest/reference/list_amazonroute53recoveryreadiness.html)
## Servicerollen für die Bereitschaftsprüfung
**Unterstützt Servicerollen:** Nein
Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*.
## Mit Diensten verknüpfte Rollen für die Prüfung der Eignung
**Unterstützt serviceverknüpfte Rollen:** Ja
Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.
Einzelheiten zum Erstellen oder Verwalten von dienstbezogenen ARC-Rollen finden Sie unter. [Verwenden einer serviceverknüpften Rolle für die Bereitschaftsprüfung in ARC](using-service-linked-roles-readiness.md)
Details zum Erstellen oder Verwalten von serviceverknüpften Rollen finden Sie unter [AWS -Services, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Tabelle nach einem Service mit einem `Yes` in der Spalte **Service-linked role** (Serviceverknüpfte Rolle). Wählen Sie den Link **Yes** (Ja) aus, um die Dokumentation für die serviceverknüpfte Rolle für diesen Service anzuzeigen.
# Beispiele für identitätsbasierte Richtlinien für die Eignungsprüfung in ARC
Standardmäßig sind Benutzer und Rollen nicht berechtigt, ARC-Ressourcen zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen.
Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*.
Einzelheiten zu den von ARC definierten Aktionen und Ressourcentypen, einschließlich des Formats ARNs für die einzelnen Ressourcentypen, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Application Recovery Controller (ARC)](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonroute53recoverycontrols.html) in der *Service Authorization Reference*.
**Topics**
+ [Best Practices für Richtlinien](#security_iam_service-with-iam-policy-best-practices-zonal)
+ [Beispiel: Konsolenzugriff mit Bereitschaftsprüfung](#security_iam_id-based-policy-examples-console-readiness)
+ [Beispiele: API-Aktionen zur Bereitschaftsprüfung für die Bereitschaftsprüfung](#security_iam_id-based-policy-examples-api-readiness)
## Best Practices für Richtlinien
Identitätsbasierte Richtlinien legen fest, ob jemand ARC-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Wenn Sie identitätsbasierte Richtlinien erstellen oder bearbeiten, befolgen Sie diese Richtlinien und Empfehlungen:
+ **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*.
+ **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*.
+ **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*.
Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*.
## Beispiel: Konsolenzugriff mit Bereitschaftsprüfung
Um auf die Amazon Application Recovery Controller (ARC) -Konsole zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den ARC-Ressourcen in Ihrem aufzulisten und anzuzeigen AWS-Konto. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie.
Sie müssen Benutzern, die nur die API AWS CLI oder die AWS API aufrufen, keine Mindestberechtigungen für die Konsole gewähren. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die die Benutzer ausführen möchten.
Um sicherzustellen, dass Benutzer und Rollen die Konsole für die Bereitschaftsprüfung weiterhin verwenden können, wenn Sie nur den Zugriff auf bestimmte API-Operationen zulassen, fügen Sie den Entitäten außerdem eine `ReadOnly` AWS verwaltete Richtlinie für die Bereitschaftsprüfung hinzu. Weitere Informationen finden Sie auf der [Seite mit verwalteten Richtlinien zur Bereitschaftsprüfung zur Eignungsprüfung](security-iam-awsmanpol-readiness.md) oder unter [Hinzufügen von Benutzerberechtigungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) im *IAM-Benutzerhandbuch*.
Um einige Aufgaben ausführen zu können, müssen Benutzer über die Berechtigung verfügen, die mit dem Dienst verknüpfte Rolle zu erstellen, die mit der Bereitschaftsprüfung in ARC verknüpft ist. Weitere Informationen hierzu finden Sie unter [Verwenden einer serviceverknüpften Rolle für die Bereitschaftsprüfung in ARC](using-service-linked-roles-readiness.md).
Um Benutzern über die Konsole vollen Zugriff auf die Funktionen zur Eignungsprüfung zu gewähren, fügen Sie dem Benutzer eine Richtlinie wie die folgende hinzu:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"route53-recovery-readiness:CreateCell",
"route53-recovery-readiness:CreateCrossAccountAuthorization",
"route53-recovery-readiness:CreateReadinessCheck",
"route53-recovery-readiness:CreateRecoveryGroup",
"route53-recovery-readiness:CreateResourceSet",
"route53-recovery-readiness:DeleteCell",
"route53-recovery-readiness:DeleteCrossAccountAuthorization",
"route53-recovery-readiness:DeleteReadinessCheck",
"route53-recovery-readiness:DeleteRecoveryGroup",
"route53-recovery-readiness:DeleteResourceSet",
"route53-recovery-readiness:GetArchitectureRecommendations",
"route53-recovery-readiness:GetCell",
"route53-recovery-readiness:GetCellReadinessSummary",
"route53-recovery-readiness:GetReadinessCheck",
"route53-recovery-readiness:GetReadinessCheckResourceStatus",
"route53-recovery-readiness:GetReadinessCheckStatus",
"route53-recovery-readiness:GetRecoveryGroup",
"route53-recovery-readiness:GetRecoveryGroupReadinessSummary",
"route53-recovery-readiness:GetResourceSet",
"route53-recovery-readiness:ListCells",
"route53-recovery-readiness:ListCrossAccountAuthorizations",
"route53-recovery-readiness:ListReadinessChecks",
"route53-recovery-readiness:ListRecoveryGroups",
"route53-recovery-readiness:ListResourceSets",
"route53-recovery-readiness:ListRules",
"route53-recovery-readiness:UpdateCell",
"route53-recovery-readiness:UpdateReadinessCheck",
"route53-recovery-readiness:UpdateRecoveryGroup",
"route53-recovery-readiness:UpdateResourceSet"
],
"Resource": "*"
}
]
}
```
------
## Beispiele: API-Aktionen zur Bereitschaftsprüfung für die Bereitschaftsprüfung
Um sicherzustellen, dass ein Benutzer ARC-API-Aktionen verwenden kann, um mit der ARC-Bereitschaftsprüfung zu arbeiten — beispielsweise um Wiederherstellungsgruppen, Ressourcensätze und Bereitschaftsprüfungen zu erstellen — fügen Sie eine Richtlinie hinzu, die den API-Vorgängen entspricht, mit denen der Benutzer arbeiten muss, wie unten beschrieben.
Um einige Aufgaben ausführen zu können, müssen Benutzer über die Berechtigung verfügen, die mit dem Dienst verknüpfte Rolle zu erstellen, die mit der Bereitschaftsprüfung in ARC verknüpft ist. Weitere Informationen hierzu finden Sie unter [Verwenden einer serviceverknüpften Rolle für die Bereitschaftsprüfung in ARC](using-service-linked-roles-readiness.md).
Um mit API-Operationen für die Prüfung der Eignung zu arbeiten, fügen Sie dem Benutzer eine Richtlinie wie die folgende hinzu:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"route53-recovery-readiness:CreateCell",
"route53-recovery-readiness:CreateCrossAccountAuthorization",
"route53-recovery-readiness:CreateReadinessCheck",
"route53-recovery-readiness:CreateRecoveryGroup",
"route53-recovery-readiness:CreateResourceSet",
"route53-recovery-readiness:DeleteCell",
"route53-recovery-readiness:DeleteCrossAccountAuthorization",
"route53-recovery-readiness:DeleteReadinessCheck",
"route53-recovery-readiness:DeleteRecoveryGroup",
"route53-recovery-readiness:DeleteResourceSet",
"route53-recovery-readiness:GetArchitectureRecommendations",
"route53-recovery-readiness:GetCell",
"route53-recovery-readiness:GetCellReadinessSummary",
"route53-recovery-readiness:GetReadinessCheck",
"route53-recovery-readiness:GetReadinessCheckResourceStatus",
"route53-recovery-readiness:GetReadinessCheckStatus",
"route53-recovery-readiness:GetRecoveryGroup",
"route53-recovery-readiness:GetRecoveryGroupReadinessSummary",
"route53-recovery-readiness:GetResourceSet",
"route53-recovery-readiness:ListCells",
"route53-recovery-readiness:ListCrossAccountAuthorizations",
"route53-recovery-readiness:ListReadinessChecks",
"route53-recovery-readiness:ListRecoveryGroups",
"route53-recovery-readiness:ListResourceSets",
"route53-recovery-readiness:ListRules",
"route53-recovery-readiness:ListTagsForResources",
"route53-recovery-readiness:UpdateCell",
"route53-recovery-readiness:UpdateReadinessCheck",
"route53-recovery-readiness:UpdateRecoveryGroup",
"route53-recovery-readiness:UpdateResourceSet",
"route53-recovery-readiness:TagResource",
"route53-recovery-readiness:UntagResource"
],
"Resource": "*"
}
]
}
```
------
# Verwenden einer serviceverknüpften Rolle für die Bereitschaftsprüfung in ARC
Amazon Application Recovery Controller verwendet AWS Identity and Access Management (IAM) [serviceverknüpfte Rollen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role). Eine serviceverknüpfte Rolle ist ein einzigartiger Typ von IAM-Rolle, die direkt mit einem Service verknüpft ist — in diesem Fall ARC. Servicebezogene Rollen sind von ARC vordefiniert und beinhalten alle Berechtigungen, die der Dienst benötigt, um in Ihrem Namen andere AWS Dienste für bestimmte Zwecke aufzurufen.
Servicebezogene Rollen erleichtern die Einrichtung von ARC, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. ARC definiert die Berechtigungen seiner dienstbezogenen Rollen, und sofern nicht anders definiert, kann nur ARC seine Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauensrichtlinie und die Berechtigungsrichtlinie, und diese Berechtigungsrichtlinie kann keiner anderen juristischen Stelle von IAM zugeordnet werden.
Sie können eine serviceverknüpfte Rolle erst löschen, nachdem die zugehörigen Ressourcen gelöscht wurden. Dadurch werden Ihre ARC-Ressourcen geschützt, da Sie die Zugriffsberechtigung für die Ressourcen nicht versehentlich entziehen können.
**Informationen zu anderen Diensten, die dienstverknüpfte Rollen unterstützen, finden Sie unter [AWS Dienste, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Spalte Dienstverknüpfte Rolle nach den Diensten, für die **Ja steht**.** Wählen Sie über einen Link **Ja** aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.
ARC hat die folgenden dienstbezogenen Rollen, die in diesem Kapitel beschrieben werden:
+ ARC verwendet die dienstgebundene Rolle **Route53**, RecoveryReadinessServiceRolePolicy um auf Ressourcen und Konfigurationen zuzugreifen und die Bereitschaft zu überprüfen.
+ ARC verwendet die servicebezogene Rolle, die **** nach Autoshift-Übungsläufen benannt ist, um vom Kunden bereitgestellte CloudWatch Amazon-Alarme und Health Dashboard Kundenereignisse zu überwachen und Übungsläufe zu starten.
## Dienstbezogene Rollenberechtigungen für Route53 RecoveryReadinessServiceRolePolicy
ARC verwendet eine serviceverknüpfte Rolle namens **Route53**, RecoveryReadinessServiceRolePolicy um auf Ressourcen und Konfigurationen zuzugreifen und die Bereitschaft zu überprüfen. In diesem Abschnitt werden die Berechtigungen für die serviceverknüpfte Rolle sowie Informationen zum Erstellen, Bearbeiten und Löschen der Rolle beschrieben.
### Berechtigungen für dienstverknüpfte Rollen für Route53 RecoveryReadinessServiceRolePolicy
Diese dienstverknüpfte Rolle verwendet die verwaltete Richtlinie. `Route53RecoveryReadinessServiceRolePolicy`
Die RecoveryReadinessServiceRolePolicy dienstverknüpfte **Route53-Rolle** vertraut darauf, dass der folgende Dienst die Rolle übernimmt:
+ `route53-recovery-readiness.amazonaws.com`
*Die Berechtigungen für diese Richtlinie finden Sie unter [Route53 RecoveryReadinessServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/Route53RecoveryReadinessServiceRolePolicy.html) in der Referenz für verwaltete Richtlinien.AWS *
Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter [Serviceverknüpfte Rollenberechtigung](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) im *IAM-Benutzerhandbuch*.
### Die serviceverknüpfte **Route53-Rolle RecoveryReadinessServiceRolePolicy** für ARC erstellen
Sie müssen die serviceverknüpfte **RecoveryReadinessServiceRolePolicyRoute53-Rolle** nicht manuell erstellen. Wenn Sie die erste Bereitschaftsprüfung oder die kontoübergreifende Autorisierung in der AWS-Managementkonsole, der oder der AWS API erstellen AWS CLI, erstellt ARC die serviceverknüpfte Rolle für Sie.
Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie die erste Eignungsprüfung oder die kontoübergreifende Autorisierung erstellen, erstellt ARC erneut die dienstbezogene Rolle für Sie.
### Bearbeitung der RecoveryReadinessServiceRolePolicy serviceverknüpften **Route53-Rolle** für ARC
In ARC können Sie die serviceverknüpfte **RecoveryReadinessServiceRolePolicyRoute53-Rolle** nicht bearbeiten. Nachdem Sie die dienstverknüpfte Rolle erstellt haben, können Sie den Namen der Rolle nicht mehr ändern, da andere Entitäten möglicherweise auf die Rolle verweisen. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter [Bearbeiten einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) im *IAM-Benutzerhandbuch*.
### Löschen der RecoveryReadinessServiceRolePolicy dienstverknüpften **Route53-Rolle** für ARC
Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch die Ressourcen für Ihre serviceverknüpften Rolle zunächst bereinigen, bevor Sie sie manuell löschen können.
**Nachdem Sie Ihre Eignungsüberprüfungen und Ihre kontoübergreifenden Autorisierungen entfernt haben, können Sie die dienstverknüpfte Route53-Rolle löschen. RecoveryReadinessServiceRolePolicy** Weitere Informationen zu Bereitschaftsprüfungen finden Sie unter. [Bereitschaftsprüfung in ARC](recovery-readiness.md) Weitere Informationen zu kontoübergreifenden Autorisierungen finden Sie unter. [Kontoübergreifende Autorisierungen in ARC erstellen](recovery-readiness.cross-account.md)
**Anmerkung**
Wenn der ARC-Dienst die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen der Servicerolle möglicherweise fehl. Warten Sie in diesem Fall einige Minuten und versuchen Sie erneut, die Rolle zu löschen.
**So löschen Sie die serviceverknüpfte Rolle mit IAM**
Verwenden Sie die IAM-Konsole, die oder die AWS API AWS CLI, um die dienstverknüpfte RecoveryReadinessServiceRolePolicy Route53-Rolle zu löschen. Weitere Informationen finden Sie unter [Löschen einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) im *IAM-Benutzerhandbuch*.
## Aktualisierungen der dienstverknüpften ARC-Rolle für die Prüfung der Eignung
Aktualisierungen der AWS verwalteten Richtlinien für die mit dem ARC-Dienst verknüpften Rollen finden Sie in der [Tabelle mit Aktualisierungen AWS verwalteter Richtlinien](security-iam-awsmanpol.md#security-iam-awsmanpol-arc-updates) für ARC. Sie können auch automatische RSS-Benachrichtigungen auf der [Seite mit dem Verlauf der ARC-Dokumente](doc-history.md) abonnieren.
# AWS verwaltete Richtlinien für die Bereitschaftsprüfung in ARC
Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet wird AWS. AWS Verwaltete Richtlinien dienen dazu, Berechtigungen für viele gängige Anwendungsfälle bereitzustellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen.
Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie allen AWS Kunden zur Verfügung stehen. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie [vom Kunden verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind.
Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS-Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden.
Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) im *IAM-Benutzerhandbuch*.
## AWS verwaltete Richtlinie: Route53 RecoveryReadinessServiceRolePolicy
Sie können `Route53RecoveryReadinessServiceRolePolicy` nicht an Ihre IAM-Entitäten anhängen. Diese Richtlinie ist mit einer servicebezogenen Rolle verknüpft, die es Amazon Application Recovery Controller (ARC) ermöglicht, auf AWS Dienste und Ressourcen zuzugreifen, die von ARC verwendet oder verwaltet werden. Weitere Informationen finden Sie unter [Verwenden einer serviceverknüpften Rolle für die Bereitschaftsprüfung in ARC](using-service-linked-roles-readiness.md).
## AWS verwaltete Richtlinie: 53 AmazonRoute RecoveryReadinessFullAccess
Sie können `AmazonRoute53RecoveryReadinessFullAccess` an Ihre IAM-Entitäten anhängen. Diese Richtlinie gewährt vollen Zugriff auf Aktionen für die Arbeit mit Recovery Readiness (Readiness Check) in ARC. Hängen Sie sie IAM-Benutzern und anderen Principals zu, die vollen Zugriff auf Aktionen zur Wiederherstellung benötigen.
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AmazonRoute53 RecoveryReadinessFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryReadinessFullAccess.html) in der Referenz zu *AWS verwalteten Richtlinien*.
## AWS verwaltete Richtlinie: AmazonRoute 53 RecoveryReadinessReadOnlyAccess
Sie können `AmazonRoute53RecoveryReadinessReadOnlyAccess` an Ihre IAM-Entitäten anhängen. Diese Richtlinie gewährt nur Lesezugriff auf Aktionen für die Arbeit mit Recovery Readiness in ARC. Dies ist nützlich für Benutzer, die den Bereitschaftsstatus und die Konfigurationen der Wiederherstellungsgruppen einsehen müssen. Diese Benutzer können keine Ressourcen zur Wiederherstellungsbereitschaft erstellen, aktualisieren oder löschen.
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AmazonRoute53 RecoveryReadinessReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonRoute53RecoveryReadinessReadOnlyAccess.html) in der *Referenz für AWS verwaltete Richtlinien*.
## Aktualisierungen für AWS verwaltete Richtlinien zur Vorbereitung
Einzelheiten zu den Aktualisierungen der AWS verwalteten Richtlinien für die Bereitschaftsprüfung in ARC seit Beginn der Nachverfolgung dieser Änderungen durch diesen Dienst finden Sie unter[Aktualisierungen der AWS verwalteten Richtlinien für Amazon Application Recovery Controller (ARC)](security-iam-awsmanpol.md#security-iam-awsmanpol-arc-updates). Wenn Sie automatische Benachrichtigungen über Änderungen an dieser Seite erhalten möchten, abonnieren Sie den RSS-Feed auf der [Seite ARC-Dokumentenverlauf](doc-history.md).