Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Sicherheit in AWS -Ressourcengruppen
Cloud-Sicherheit AWS hat höchste Priorität. Als AWS Kunde profitieren Sie von einer Rechenzentrums- und Netzwerkarchitektur, die darauf ausgelegt sind, die Anforderungen der sicherheitssensibelsten Unternehmen zu erfüllen.
Sicherheit ist eine gemeinsame Verantwortung von Ihnen AWS und Ihnen. Das [Modell der geteilten Verantwortung](https://aws.amazon.com/compliance/shared-responsibility-model/) beschreibt dies als Sicherheit *der* Cloud und Sicherheit *in* der Cloud:
+ **Sicherheit der Cloud** — AWS ist verantwortlich für den Schutz der Infrastruktur, die AWS Dienste in der AWS Cloud ausführt. AWS bietet Ihnen auch Dienste, die Sie sicher nutzen können. Auditoren von Drittanbietern testen und überprüfen die Effektivität unserer Sicherheitsmaßnahmen im Rahmen der [AWS -Compliance-Programme](https://aws.amazon.com/compliance/programs/) regelmäßig. Weitere Informationen zu den Compliance-Programmen für AWS -Ressourcengruppen finden Sie unter [Durch das Compliance-Programm abgedeckte AWS -Services](https://aws.amazon.com/compliance/services-in-scope/).
+ **Sicherheit in der Cloud** — Ihre Verantwortung richtet sich nach dem AWS Dienst, den Sie nutzen. Sie sind auch für andere Faktoren verantwortlich, etwa für die Vertraulichkeit Ihrer Daten, für die Anforderungen Ihres Unternehmens und für die geltenden Gesetze und Vorschriften.
Diese Dokumentation hilft Ihnen zu verstehen, wie Sie das Modell der gemeinsamen Verantwortung bei der Verwendung von Resource Groups anwenden können. In den folgenden Themen erfahren Sie, wie Sie Resource Groups konfigurieren, um Ihre Sicherheits- und Compliance-Ziele zu erreichen. Sie lernen auch, wie Sie andere AWS Dienste verwenden können, mit denen Sie Ihre Ressourcen in Resource Groups überwachen und sichern können.
**Topics**
+ [Datenschutz in AWS -Ressourcengruppen](security_data-protection.md)
+ [Identitäts- und Zugriffsmanagement für AWS -Ressourcengruppen](security-iam.md)
+ [Protokollierung und Überwachung in Resource Groups](security_logging-monitoring.md)
+ [Konformitätsprüfung für Resource Groups](security_compliance.md)
+ [Resilienz in Resource Groups](security_resilience.md)
+ [Infrastruktursicherheit in Resource Groups](security_infrastructure.md)
+ [Zugriff AWS -Ressourcengruppen über einen Schnittstellenendpunkt (AWS PrivateLink)](vpc-interface-endpoints.md)
+ [Bewährte Sicherheitsmethoden für Resource Groups](security_best-practices.md)
# Datenschutz in AWS -Ressourcengruppen
Das [Modell der AWS gemeinsamen Verantwortung](https://aws.amazon.com/compliance/shared-responsibility-model/) und geteilter Verantwortung gilt für den Datenschutz in AWS -Ressourcengruppen. Wie in diesem Modell beschrieben, AWS ist verantwortlich für den Schutz der globalen Infrastruktur, auf der alle Systeme laufen AWS Cloud. Sie sind dafür verantwortlich, die Kontrolle über Ihre in dieser Infrastruktur gehosteten Inhalte zu behalten. Sie sind auch für die Sicherheitskonfiguration und die Verwaltungsaufgaben für die von Ihnen verwendeten AWS-Services verantwortlich. Weitere Informationen zum Datenschutz finden Sie unter [Häufig gestellte Fragen zum Datenschutz](https://aws.amazon.com/compliance/data-privacy-faq/). Informationen zum Datenschutz in Europa finden Sie im Blog-Beitrag [AWS -Modell der geteilten Verantwortung und in der DSGVO](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) im *AWS -Sicherheitsblog*.
Aus Datenschutzgründen empfehlen wir, dass Sie AWS-Konto Anmeldeinformationen schützen und einzelne Benutzer mit AWS IAM Identity Center oder AWS Identity and Access Management (IAM) einrichten. So erhält jeder Benutzer nur die Berechtigungen, die zum Durchführen seiner Aufgaben erforderlich sind. Außerdem empfehlen wir, die Daten mit folgenden Methoden schützen:
+ Verwenden Sie für jedes Konto die Multi-Faktor-Authentifizierung (MFA).
+ Wird verwendet SSL/TLS , um mit AWS Ressourcen zu kommunizieren. Wir benötigen TLS 1.2 und empfehlen TLS 1.3.
+ Richten Sie die API und die Protokollierung von Benutzeraktivitäten mit ein AWS CloudTrail. Informationen zur Verwendung von CloudTrail Pfaden zur Erfassung von AWS Aktivitäten finden Sie unter [Arbeiten mit CloudTrail Pfaden](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html) im *AWS CloudTrail Benutzerhandbuch*.
+ Verwenden Sie AWS Verschlüsselungslösungen zusammen mit allen darin enthaltenen Standardsicherheitskontrollen AWS-Services.
+ Verwenden Sie erweiterte verwaltete Sicherheitsservices wie Amazon Macie, die dabei helfen, in Amazon S3 gespeicherte persönliche Daten zu erkennen und zu schützen.
+ Wenn Sie für den Zugriff AWS über eine Befehlszeilenschnittstelle oder eine API FIPS 140-3-validierte kryptografische Module benötigen, verwenden Sie einen FIPS-Endpunkt. Weitere Informationen über verfügbare FIPS-Endpunkte finden Sie unter [Federal Information Processing Standard (FIPS) 140-3](https://aws.amazon.com/compliance/fips/).
Wir empfehlen dringend, in Freitextfeldern, z. B. im Feld **Name**, keine vertraulichen oder sensiblen Informationen wie die E-Mail-Adressen Ihrer Kunden einzugeben. Dies gilt auch, wenn Sie mit Resource Groups oder anderen AWS-Services über die Konsole AWS CLI, API oder arbeiten AWS SDKs. Alle Daten, die Sie in Tags oder Freitextfelder eingeben, die für Namen verwendet werden, können für Abrechnungs- oder Diagnoseprotokolle verwendet werden. Wenn Sie eine URL für einen externen Server bereitstellen, empfehlen wir dringend, keine Anmeldeinformationen zur Validierung Ihrer Anforderung an den betreffenden Server in die URL einzuschließen.
## Datenverschlüsselung
AWS -Ressourcengruppen Hat im Vergleich zu anderen AWS Diensten nur eine minimale Angriffsfläche, da es keine Möglichkeit bietet, AWS Ressourcen zu ändern, hinzuzufügen oder zu löschen, es sei denn, es handelt sich um Gruppen. Resource Groups sammelt die folgenden dienstspezifischen Informationen von Ihnen.
+ Gruppennamen (nicht verschlüsselt, nicht privat)
+ Gruppenbeschreibungen (nicht verschlüsselt, aber privat)
+ Mitgliederressourcen in Gruppen (diese werden in Protokollen gespeichert, die nicht verschlüsselt sind)
### Verschlüsselung im Ruhezustand
Es gibt keine zusätzlichen Möglichkeiten, Dienst- oder Netzwerkverkehr zu isolieren, die für Resource Groups spezifisch sind. Verwenden Sie gegebenenfalls AWS-spezifische Isolierung. Sie können die Resource Groups API und die Konsole in einer VPC verwenden, um den Datenschutz und die Infrastruktursicherheit zu maximieren.
### Verschlüsselung während der Übertragung
AWS -Ressourcengruppen Daten werden bei der Übertragung in die interne Datenbank des Dienstes zur Sicherung verschlüsselt. Dies ist nicht vom Benutzer konfigurierbar.
### Schlüsselverwaltung
AWS -Ressourcengruppen ist derzeit nicht integriert AWS Key Management Service und unterstützt es nicht AWS KMS keys.
## Richtlinie für den Datenverkehr zwischen Netzwerken
AWS -Ressourcengruppen verwendet HTTPS für alle Übertragungen zwischen Resource Groups Groups-Benutzern und AWS. Resource Groups verwendet Transport Layer Security (TLS) 1.2, unterstützt aber auch TLS 1.0 und 1.1.
# Identitäts- und Zugriffsmanagement für AWS -Ressourcengruppen
AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren kontrollieren, wer *authentifiziert* (angemeldet) und *autorisiert* werden kann (über Berechtigungen verfügt), Ressourcen von Resource Groups zu verwenden. IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können.
**Topics**
+ [Zielgruppe](#security_iam_audience_arg-te)
+ [Authentifizierung mit Identitäten](#security_iam_authentication_arg-te)
+ [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage-arg-te)
+ [So funktioniert Resource Groups mit IAM](security_iam_service-with-iam.md)
+ [AWS verwaltete Richtlinien für AWS -Ressourcengruppen](security_iam_awsmanpol.md)
+ [Verwenden von serviceverknüpften Rollen für Resource Groups](security_iam_service-linked-roles.md)
+ [AWS -Ressourcengruppen Beispiele für identitätsbasierte Politik](security_iam_id-based-policy-examples.md)
+ [Fehlerbehebung bei AWS -Ressourcengruppen Identität und Zugriff](security_iam_troubleshoot.md)
## Zielgruppe
Wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von Ihrer Rolle ab:
+ **Servicebenutzer** – Fordern Sie von Ihrem Administrator Berechtigungen an, wenn Sie nicht auf Features zugreifen können (siehe [Fehlerbehebung bei AWS -Ressourcengruppen Identität und Zugriff](security_iam_troubleshoot.md)).
+ **Serviceadministrator** – Bestimmen Sie den Benutzerzugriff und stellen Sie Berechtigungsanfragen (siehe [So funktioniert Resource Groups mit IAM](security_iam_service-with-iam.md)).
+ **IAM-Administrator** – Schreiben Sie Richtlinien zur Zugriffsverwaltung (siehe [AWS -Ressourcengruppen Beispiele für identitätsbasierte Politik](security_iam_id-based-policy-examples.md)).
## Authentifizierung mit Identitäten
Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos
Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *.
AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*.
### AWS-Konto Root-Benutzer
Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*.
### IAM-Benutzer und -Gruppen
Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer für den Zugriff AWS mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) verwenden müssen.
Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*.
### IAM-Rollen
Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) AWS CLI oder einen AWS API-Vorgang aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*.
IAM-Rollen sind nützlich für den Verbundbenutzer-Zugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, serviceübergreifenden Zugriff und Anwendungen, die auf Amazon EC2 laufen. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Verwalten des Zugriffs mit Richtlinien
Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*.
Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf.
Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird.
### Identitätsbasierte Richtlinien
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*.
### Ressourcenbasierte Richtlinien
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html).
Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden.
### Zugriffskontrolllisten () ACLs
Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat.
Amazon S3 und Amazon VPC sind Beispiele für Dienste, die Unterstützung ACLs bieten. AWS WAF Weitere Informationen finden Sie unter [Übersicht über ACLs die Zugriffskontrollliste (ACL)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html) im *Amazon Simple Storage Service Developer Guide*.
### Weitere Richtlinientypen
AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden:
+ **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*.
+ **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*.
+ **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html).
+ **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*.
### Mehrere Richtlinientypen
Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die daraus resultierenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*.
# So funktioniert Resource Groups mit IAM
Bevor Sie IAM verwenden, um den Zugriff auf Resource Groups zu verwalten, sollten Sie wissen, welche IAM-Funktionen für Resource Groups verfügbar sind. Einen allgemeinen Überblick darüber, wie Resource Groups und andere AWS Dienste mit IAM funktionieren, finden Sie unter [AWS Services That Work with IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) im *IAM-Benutzerhandbuch*.
**Topics**
+ [Identitätsbasierte Richtlinien für Resource Groups](#security_iam_service-with-iam-id-based-policies-arg-te)
+ [Ressourcenbasierte Richtlinien](#security_iam_resource-based-policies)
+ [Autorisierung basierend auf Ressourcengruppen-Tags](#security_iam_tags)
+ [Resource Groups (IAM-Rollen)](#security_iam_roles)
## Identitätsbasierte Richtlinien für Resource Groups
Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Resource Groups unterstützt bestimmte Aktionen, Ressourcen und Bedingungsschlüssel. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com//IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*.
### Aktionen
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen.
Richtlinienaktionen in Resource Groups verwenden vor der Aktion das folgende Präfix:`resource-groups:`. Tag-Editor-Aktionen werden vollständig in der Konsole ausgeführt, haben jedoch das Präfix `resource-explorer` in den Protokolleinträgen.
Um beispielsweise jemandem die Erlaubnis zu erteilen, eine Ressourcengruppengruppe mit dem `CreateGroup` API-Vorgang Resource Groups zu erstellen, nehmen Sie die `resource-groups:CreateGroup` Aktion in seine Richtlinie auf. Richtlinienanweisungen müssen entweder ein – `Action`oder ein `NotAction`-Element enthalten. Resource Groups definiert eigene Aktionen, die Aufgaben beschreiben, die Sie mit diesem Dienst ausführen können.
Um mehrere Resource Groups und Tag-Editor-Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie wie folgt durch Kommas:
```
"Action": [
"resource-groups:action1",
"resource-groups:action2",
"resource-explorer:action3"
```
Sie können auch Platzhalter verwenden, um mehrere Aktionen anzugeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort `List` beginnen, einschließlich der folgenden Aktion:
```
"Action": "resource-groups:List*"
```
Eine Liste der Ressourcengruppen-Aktionen finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für AWS -Ressourcengruppen](https://docs.aws.amazon.com//IAM/latest/UserGuide/list_awsresourcegroups.html) im *IAM-Benutzerhandbuch*.
### Ressourcen
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt.
```
"Resource": "*"
```
Die einzige Ressource für Resource Groups ist eine *Gruppe*. Die Gruppenressource hat einen ARN im folgenden Format:
```
arn:${Partition}:resource-groups:${Region}:${Account}:group/${GroupName}
```
Weitere Informationen zum Format von ARNs finden Sie unter [Amazon Resource Names (ARNs) und AWS Service Namespaces](https://docs.aws.amazon.com//general/latest/gr/aws-arns-and-namespaces.html).
Um beispielsweise die `my-test-group` Ressourcengruppe in Ihrer Anweisung anzugeben, verwenden Sie den folgenden ARN:
```
"Resource": "arn:aws:resource-groups:us-east-1:123456789012:group/my-test-group"
```
Um alle Gruppen anzugeben, die zu einem bestimmten Konto gehören, verwenden Sie den Platzhalter (\$1):
```
"Resource": "arn:aws:resource-groups:us-east-1:123456789012:group/*"
```
Einige Ressourcengruppen-Aktionen, z. B. zum Erstellen von Ressourcen, können nicht für eine bestimmte Ressource ausgeführt werden. In diesen Fällen müssen Sie den Platzhalter (\$1) verwenden.
```
"Resource": "*"
```
Einige API-Aktionen für Resource Groups können mehrere Ressourcen umfassen. `DeleteGroup`Löscht beispielsweise Gruppen, sodass ein aufrufender Principal über die Berechtigung verfügen muss, eine bestimmte Gruppe oder alle Gruppen zu löschen. Um mehrere Ressourcen in einer einzigen Anweisung anzugeben, trennen Sie sie ARNs durch Kommas.
```
"Resource": [
"resource1",
"resource2"
]
```
Eine Liste der Resource Groups und ihrer Ressourcentypen sowie Informationen darüber ARNs, mit welchen Aktionen Sie den ARN jeder Ressource angeben können, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für AWS -Ressourcengruppen](https://docs.aws.amazon.com//IAM/latest/UserGuide/list_awsresourcegroups.html) im *IAM-Benutzerhandbuch*.
### Bedingungsschlüssel
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*.
Resource Groups definiert ihren eigenen Satz von Bedingungsschlüsseln und unterstützt auch die Verwendung einiger globaler Bedingungsschlüssel. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [AWS Globale Bedingungskontextschlüssel](https://docs.aws.amazon.com//IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*.
Eine Liste der Bedingungsschlüssel für Resource Groups und Informationen darüber, mit welchen Aktionen und Ressourcen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für AWS -Ressourcengruppen](https://docs.aws.amazon.com//IAM/latest/UserGuide/list_awsresourcegroups.html) im *IAM-Benutzerhandbuch*.
### Beispiele
Beispiele für identitätsbasierte Richtlinien für Resource Groups finden Sie unter. [AWS -Ressourcengruppen Beispiele für identitätsbasierte Politik](security_iam_id-based-policy-examples.md)
## Ressourcenbasierte Richtlinien
Resource Groups unterstützt keine ressourcenbasierten Richtlinien.
## Autorisierung basierend auf Ressourcengruppen-Tags
Sie können Tags an Gruppen in Resource Groups anhängen oder Tags in einer Anfrage an Resource Groups übergeben. Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com//IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden. Sie können Tags auf eine Gruppe anwenden, wenn Sie die Gruppe erstellen oder aktualisieren. Weitere Informationen zum Markieren einer Gruppe in Resource Groups finden Sie unter [Erstellen von abfragebasierten Gruppen in AWS -Ressourcengruppen](gettingstarted-query.md) und [Gruppen aktualisieren in AWS -Ressourcengruppen](updating-resource-groups.md) in diesem Handbuch.
Ein Beispiel für eine identitätsbasierte Richtlinie zur Einschränkung des Zugriffs auf eine Ressource auf der Grundlage der Markierungen dieser Ressource finden Sie unter [Gruppen auf der Grundlage von Stichwörtern anzeigen](security_iam_id-based-policy-examples.md#security_iam_policy-examples-view-tags).
## Resource Groups (IAM-Rollen)
Eine [IAM-Rolle](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles.html) ist eine Entität in Ihrem AWS Konto, die über bestimmte Berechtigungen verfügt. Resource Groups hat oder verwendet keine Servicerollen.
### Temporäre Anmeldeinformationen mit Resource Groups verwenden
In Resource Groups können Sie temporäre Anmeldeinformationen verwenden, um sich beim Verbund anzumelden, eine IAM-Rolle anzunehmen oder eine kontoübergreifende Rolle anzunehmen. Sie erhalten temporäre Sicherheitsanmeldedaten, indem Sie AWS STS API-Operationen wie [AssumeRole](https://docs.aws.amazon.com//STS/latest/APIReference/API_AssumeRole.html)oder aufrufen. [GetFederationToken](https://docs.aws.amazon.com//STS/latest/APIReference/API_GetFederationToken.html)
### Service-verknüpfte Rollen
Mit [dienstbezogenen Rollen](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) können AWS Dienste auf Ressourcen in anderen Diensten zugreifen, um eine Aktion in Ihrem Namen auszuführen.
Resource Groups hat oder verwendet keine dienstbezogenen Rollen.
### Servicerollen
Dieses Feature ermöglicht einem Service das Annehmen einer [Servicerolle](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role) in Ihrem Namen.
Resource Groups hat oder verwendet keine Servicerollen.
# AWS verwaltete Richtlinien für AWS -Ressourcengruppen
Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet wird AWS. AWS Verwaltete Richtlinien dienen dazu, Berechtigungen für viele gängige Anwendungsfälle bereitzustellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen.
Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie allen AWS Kunden zur Verfügung stehen. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie [vom Kunden verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind.
Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS-Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden.
Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) im *IAM-Benutzerhandbuch*.
**AWS-verwaltete Richtlinien für Resource Groups**
+ [ResourceGroupsServiceRolePolicy](#security-iam-awsmanpol-ResourceGroupsServiceRolePolicy)
+ [ ResourceGroupsTaggingAPITagUntagSupportedResources](#security-iam-awsmanpol-ResourceGroupsTaggingAPITagUntagSupportedResources)
+ [ResourceGroupsTaggingAPITagUntagSupportedResources](#security-iam-awsmanpol-ResourceGroupsTaggingAPITagUntagSupportedResources.title)
## AWS verwaltete Richtlinie: ResourceGroupsServiceRolePolicy
Sie können selbst keine Verbindungen `ResourceGroupsServiceRolePolicy` zu IAM-Entitäten herstellen. Diese Richtlinie kann nur einer dienstbezogenen Rolle zugewiesen werden, die es Resource Groups ermöglicht, Aktionen in Ihrem Namen durchzuführen. Weitere Informationen finden Sie unter [Verwenden von serviceverknüpften Rollen für Resource Groups](security_iam_service-linked-roles.md).
Diese Richtlinie gewährt Resource Groups die erforderlichen Berechtigungen, um Informationen über die Ressourcen in Ihren Ressourcengruppen und alle CloudFormation Stapel, zu denen diese Ressourcen gehören, abzurufen. Auf diese Weise können Resource Groups CloudWatch Ereignisse für die Funktion Gruppenlebenszyklusereignisse generieren.
Die neueste Version dieser AWS verwalteten Richtlinie finden Sie `[ResourceGroupsServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/ResourceGroupsServiceRolePolicy)` in der IAM-Konsole.
## AWS verwaltete Richtlinie: ResourceGroupsandTagEditorFullAccess
Wenn Sie einer Prinzipalentität eine Richtlinie zuordnen, erteilen Sie der Entität die in der Richtlinie definierten Berechtigungen. AWS Mit verwalteten Richtlinien können Sie Benutzern, Gruppen und Rollen einfacher entsprechende Berechtigungen zuweisen, als wenn Sie die Richtlinien selbst schreiben müssten.
Diese Richtlinie gewährt die Berechtigungen, die für den vollen Zugriff auf Resource Groups und Tag-Editor-Funktionen erforderlich sind.
Die neueste Version dieser AWS verwalteten Richtlinie finden Sie `[ResourceGroupsandTagEditorFullAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/ResourceGroupsandTagEditorFullAccess)` in der IAM-Konsole.
Weitere Informationen zu dieser Richtlinie finden Sie [ ResourceGroupsandTagEditorFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/ResourceGroupsandTagEditorFullAccess.html)im *Referenzhandbuch für AWS verwaltete Richtlinien.*
## AWS verwaltete Richtlinie: ResourceGroupsandTagEditorReadOnlyAccess
Wenn Sie einer Prinzipalentität eine Richtlinie zuordnen, erteilen Sie der Entität die in der Richtlinie definierten Berechtigungen. AWS Mit verwalteten Richtlinien können Sie Benutzern, Gruppen und Rollen einfacher entsprechende Berechtigungen zuweisen, als wenn Sie die Richtlinien selbst schreiben müssten.
Diese Richtlinie gewährt die Berechtigungen, die für den Nur-Lese-Zugriff auf Resource Groups und die Tag-Editor-Funktionalität erforderlich sind.
Die neueste Version dieser AWS verwalteten Richtlinie finden Sie `[ResourceGroupsandTagEditorReadOnlyAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/ResourceGroupsandTagEditorReadOnlyAccess)` in der IAM-Konsole.
Weitere Informationen zu dieser Richtlinie finden Sie [ ResourceGroupsandTagEditorReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/ResourceGroupsandTagEditorReadOnlyAccess.html)im *Referenzhandbuch für AWS verwaltete Richtlinien.*
## AWS verwaltete Richtlinie: ResourceGroupsTagging APITag UntagSupportedResources
Wenn Sie einer Prinzipalentität eine Richtlinie zuordnen, erteilen Sie der Entität die in der Richtlinie definierten Berechtigungen. AWS Mit verwalteten Richtlinien können Sie Benutzern, Gruppen und Rollen einfacher entsprechende Berechtigungen zuweisen, als wenn Sie die Richtlinien selbst schreiben müssten.
Diese Richtlinie gewährt die erforderlichen Berechtigungen, um alle von der AWS -Ressourcengruppen Tagging-API unterstützten Ressourcentypen **mit Ausnahme** von`AWS::ApiGateway`, `AWS::CloudFormation``AWS::CodeBuild`, und zu kennzeichnen und aufzuheben. `AWS::ServiceCatalog` Für das Markieren und Entkennzeichnen dieser ausgeschlossenen Ressourcentypen sind zusätzliche, dienstspezifische Berechtigungen erforderlich, die andere Aktionen als das Markieren und Entkennzeichnen ermöglichen. In der folgenden Liste wird beschrieben, welche Berechtigungen erforderlich sind, um die von der Richtlinie ausgeschlossenen Ressourcentypen zu kennzeichnen und die Markierung aufzuheben:
+ Für die `AWS::ApiGateway` Ressourcentypen ist die `apigateway:Patch` Berechtigung für die API-Gateway-Ressource erforderlich, und für die untergeordnete Tag-Ressource sind die `apigateway:Delete` Berechtigungen `apigateway:Put``apigateway:Get`,, erforderlich.
+ Für die `AWS::CloudFormation` Ressourcentypen sind die `cloudformation:UpdateStackSet` Berechtigungen `cloudformation:UpdateStack` und erforderlich.
+ Für die `AWS::CodeBuild` Ressourcentypen ist die `codebuild:UpdateProject` Genehmigung erforderlich.
+ Für die `AWS::ServiceCatalog` Ressourcentypen sind die `servicecatalog:UpdateProduct` Berechtigungen `servicecatalog:TagResource` `servicecatalog:UntagResource``servicecatalog:UpdatePortfolio`,, und erforderlich.
Diese Richtlinie gewährt auch die erforderlichen Berechtigungen, um alle markierten oder zuvor markierten Ressourcen über die Resource Groups Tagging API abzurufen.
Die neueste Version dieser AWS verwalteten Richtlinie finden Sie `[ ResourceGroupsTaggingAPITagUntagSupportedResources](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/ResourceGroupsTaggingAPITagUntagSupportedResources)` in der IAM-Konsole.
Weitere Informationen zu dieser Richtlinie finden Sie [ ResourceGroupsTaggingAPITagUntagSupportedResources](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/ResourceGroupsTaggingAPITagUntagSupportedResources.html)im *Referenzhandbuch für AWS verwaltete Richtlinien.*
## Aktualisierungen AWS verwalteter Richtlinien für Resource Groups
Sehen Sie sich Details zu Aktualisierungen der AWS verwalteten Richtlinien für Resource Groups an, seit dieser Dienst begonnen hat, diese Änderungen zu verfolgen. Abonnieren Sie den RSS-Feed auf der Seite [Resource Groups Document History](doc-history.md), um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.
| Änderungen | Beschreibung | Date |
| --- | --- | --- |
| Aktualisierte Richtlinie — [ResourceGroupsTaggingAPITagUntagSupportedResources](#security-iam-awsmanpol-ResourceGroupsTaggingAPITagUntagSupportedResources.title) | Resource Groups hat diese Richtlinie aktualisiert und umfasst nun auch Berechtigungen für acht neue Services, darunter Amazon Application Recovery Controller (ARC) und Amazon VPC Lattice. Die folgenden Berechtigungen wurden der Richtlinie hinzugefügt: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/ARG/latest/userguide/security_iam_awsmanpol.html) | 20. Dezember 2024 |
| Neue Richtlinie — [ResourceGroupsTaggingAPITagUntagSupportedResources](#security-iam-awsmanpol-ResourceGroupsTaggingAPITagUntagSupportedResources.title) | Resource Groups haben eine neue Richtlinie hinzugefügt, um die erforderlichen Berechtigungen zum Markieren und Aufheben von Tags für alle von der AWS -Ressourcengruppen Tagging-API unterstützten Ressourcentypen bereitzustellen. | 11. Oktober 2024 |
| Aktualisierung der Richtlinie — [ResourceGroupsandTagEditorFullAccess](#security-iam-awsmanpol-ResourceGroupsandTagEditorFullAccess.title) | Resource Groups haben eine Richtlinie aktualisiert, um zusätzliche AWS CloudFormation Berechtigungen aufzunehmen. | 10. August 2023 |
| Aktualisierung der Richtlinie — [ResourceGroupsandTagEditorReadOnlyAccess](#security-iam-awsmanpol-ResourceGroupsandTagEditorReadOnlyAccess.title) | Resource Groups haben eine Richtlinie aktualisiert, um zusätzliche AWS CloudFormation Berechtigungen aufzunehmen. | 10. August 2023 |
| Neue Richtlinie — [ResourceGroupsServiceRolePolicy](#security-iam-awsmanpol-ResourceGroupsServiceRolePolicy.title) | Resource Groups hat eine neue Richtlinie hinzugefügt, um ihre dienstbezogene Rolle zu unterstützen. | 17. November 2022 |
| Resource Groups haben begonnen, Änderungen zu verfolgen | Resource Groups begann, Änderungen an ihren AWS verwalteten Richtlinien zu verfolgen. | 17. November 2022 |
# Verwenden von serviceverknüpften Rollen für Resource Groups
AWS -Ressourcengruppen verwendet AWS Identity and Access Management (IAM) [serviceverknüpfte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) Rollen. Eine serviceverknüpfte Rolle ist ein einzigartiger Typ von IAM-Rolle, die direkt mit Resource Groups verknüpft ist. Dienstbezogene Rollen sind von Resource Groups vordefiniert und enthalten alle Berechtigungen, die der Dienst benötigt, um andere in AWS-Services Ihrem Namen anzurufen.
Eine dienstverknüpfte Rolle erleichtert die Einrichtung von Resource Groups, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. Resource Groups definiert die Berechtigungen seiner dienstbezogenen Rollen und legt für jede Rolle Vertrauensrichtlinien fest, die sicherstellen, dass nur der Resource Groups Groups-Dienst seine Rollen übernehmen kann. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.
Informationen zu anderen Diensten, die dienstverknüpfte Rollen unterstützen, finden Sie unter [AWS Dienste, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Spalte **Dienstverknüpfte** Rollen nach den Diensten, für die **Ja** steht. Wählen Sie über einen Link **Ja** aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.
## Dienstbezogene Rollenberechtigungen für Resource Groups
Resource Groups verwendet die folgende dienstbezogene Rolle, um Ereignisse im Gruppenlebenszyklus zu unterstützen. Wählen Sie den Link im Rollennamen, um die Rolle in der IAM-Konsole anzuzeigen, nachdem Sie sie erstellt haben.
+ `[AWSServiceRoleForResourceGroups](https://console.aws.amazon.com/iamv2/home#/roles/details/AWSServiceRoleForResourceGroups)`
Resource Groups verwendet die Berechtigungen in dieser Rolle, um AWS-Services die Eigentümer Ihrer Ressourcen abzufragen, um die Gruppenmitgliedschaft aufzulösen und die Gruppe beizubehalten up-to-date. Es ermöglicht Resource Groups, servicebezogene Ereignisse an den EventBridge Amazon-Service zu senden.
Die Rolle, die mit dem `AWSServiceRoleForResourceGroups` Service verknüpft ist, vertraut darauf, dass ***nur*** der folgende Service die Rolle übernimmt:
+ `resourcegroups.amazonaws.com`
Die mit der Rolle verknüpften Berechtigungen stammen aus der folgenden AWS verwalteten Richtlinie. Wählen Sie den Link im Richtliniennamen, um die Richtlinie in der IAM-Konsole anzuzeigen.
+ `AWS verwaltete Richtlinien für AWS -Ressourcengruppen`
## Die serviceverknüpfte Rolle für Resource Groups erstellen
**Wichtig**
Diese dienstbezogene Rolle kann in Ihrem Konto angezeigt werden, wenn Sie eine Aktion in einem anderen Dienst ausführen, für den die von dieser Rolle unterstützten Funktionen erforderlich sind. Weitere Informationen finden Sie unter [Eine neue Rolle ist in meinem AWS-Konto erschienen](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot_roles.html#troubleshoot_roles_new-role-appeared).
Um die dienstbezogene Rolle zu erstellen, [aktivieren Sie die Funktion für Ereignisse im Gruppenlebenszyklus](monitor-groups-turn-on.md).
## Bearbeiten einer serviceverknüpften Rolle für Resource Groups
Mit Resource Groups können Sie die AWSService RoleForResourceGroups dienstverknüpfte Rolle nicht bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach der Erstellung einer serviceverknüpften Rolle nicht bearbeitet werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter [Bearbeiten einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) im *IAM-Benutzerhandbuch*.
## Löschen einer serviceverknüpften Rolle für Resource Groups
Sie können die mit dem Dienst verknüpfte Rolle erst löschen, nachdem Sie die Funktion für Gruppenlebenszyklusereignisse deaktiviert haben.
**Wichtig**
AWS verhindert, dass Sie die dienstverknüpfte Rolle entfernen, bis Sie zuerst die [Funktion für Gruppenlebenszyklusereignisse deaktivieren, mit der](monitor-groups-turn-off.md) sie erstellt wurde.
Es wird empfohlen, die dienstverknüpfte Rolle nicht zu löschen, solange Sie über Ressourcengruppen verfügen. AWS-Konto Der Resource Groups Groups-Dienst kann nicht mit anderen interagieren AWS-Services , um Ihre Gruppen zu verwalten, wenn Sie diese Rolle löschen.
### Manuelles Löschen der serviceverknüpften Rolle
Verwenden Sie die IAM-Konsole, die oder die AWS API AWS CLI, um die AWSService RoleForResourceGroups serviceverknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter [Löschen einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) im *IAM-Benutzerhandbuch*.
------
#### [ Console ]
**So löschen Sie die dienstverknüpfte Rolle Resource Groups**
1. Öffnen Sie die [IAM-Konsole auf der Seite Rollen](https://console.aws.amazon.com/iam/home#/roles).
1. Suchen Sie nach der benannten AWSService RoleForResourceGroups Rolle und aktivieren Sie das Kontrollkästchen neben der Rolle.
1. Wählen Sie **Löschen** aus.
1. Bestätigen Sie Ihre Absicht, die Rolle zu löschen, indem Sie den Namen der Rolle in das Feld eingeben und dann **Löschen** wählen.
Die Rolle verschwindet aus Ihrer Rollenliste in der IAM-Konsole.
------
#### [ AWS CLI ]
**So löschen Sie die dienstverknüpfte Rolle Resource Groups**
Um die Rolle zu löschen, geben Sie den folgenden Befehl mit genau den angegebenen Parametern ein. Ersetzen Sie keinen der Werte.
```
$ aws iam delete-service-linked-role \
--role-name AWSServiceRoleForResourceGroups
{
"DeletionTaskId": "task/aws-service-role/resource-groups.amazonaws.com/AWSServiceRoleForResourceGroups/34e58943-e9a5-4220-9856-fc565EXAMPLE"
}
```
Der Befehl gibt eine Aufgaben-ID zurück. Das eigentliche Löschen der Rolle erfolgt asynchron. Sie können den Status des Rollenlöschens überprüfen, indem Sie die angegebene Task-ID an den folgenden AWS CLI Befehl übergeben.
```
$ aws iam get-service-linked-role-deletion-status \
--deletion-task-id "task/aws-service-role/resource-groups.amazonaws.com/AWSServiceRoleForResourceGroups/34e58943-e9a5-4220-9856-fc565EXAMPLE"
{
"Status": "SUCCEEDED"
}
```
------
## Unterstützte Regionen für serviceverknüpfte Rollen in Resource Groups
Resource Groups unterstützt die Verwendung von dienstbezogenen Rollen überall AWS-Regionen dort, wo der Dienst verfügbar ist. Weitere Informationen finden Sie unter [AWS Regionen und Endpunkte](https://docs.aws.amazon.com/general/latest/gr/rande.html).
# AWS -Ressourcengruppen Beispiele für identitätsbasierte Politik
Standardmäßig sind IAM-Prinzipale, wie Rollen und Benutzer, nicht berechtigt, Ressourcen für Resource Groups zu erstellen oder zu ändern. Sie können auch keine Aufgaben mithilfe der API AWS-Managementkonsole AWS CLI, oder AWS ausführen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die den Principals die Erlaubnis gewähren, bestimmte API-Operationen auf den angegebenen Ressourcen auszuführen, die sie benötigen. Der Administrator muss diese Richtlinien dann den Prinzipalen zuordnen, für die diese Berechtigungen erforderlich sind.
Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von Richtlinien auf der JSON-Registerkarte](https://docs.aws.amazon.com//IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) im *IAM-Benutzerhandbuch*.
**Topics**
+ [Best Practices für Richtlinien](#security_iam_policy-best-practices)
+ [Verwenden der Resource Groups Groups-Konsole und der API](#security_iam_policy-examples-console)
+ [Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#security_iam_policy-examples-own-permissions)
+ [Gruppen auf der Grundlage von Stichwörtern anzeigen](#security_iam_policy-examples-view-tags)
## Best Practices für Richtlinien
Identitätsbasierte Richtlinien legen fest, ob jemand Ressourcen von Resource Groups in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen:
+ **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*.
+ **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*.
+ **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*.
Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*.
## Verwenden der Resource Groups Groups-Konsole und der API
Um auf die Konsole AWS -Ressourcengruppen und die Tag-Editor-Konsole und die API zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Ressourcen der Resource Groups in Ihrem AWS Konto aufzulisten und anzuzeigen. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die restriktiver ist als die erforderlichen Mindestberechtigungen, funktionieren die Konsolen- und API-Befehle für Prinzipale (IAM-Rollen oder Benutzer) mit dieser Richtlinie nicht wie vorgesehen.
Um sicherzustellen, dass diese Entitäten weiterhin Resource Groups verwenden können, fügen Sie den Entitäten die folgende Richtlinie (oder eine Richtlinie, die die in der folgenden Richtlinie aufgeführten Berechtigungen enthält) hinzu. Weitere Informationen finden Sie unter [Hinzufügen von Berechtigungen](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) zu einem Benutzer im* IAM-Benutzerhandbuch*:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"resource-groups:*",
"cloudformation:DescribeStacks",
"cloudformation:ListStackResources",
"tag:GetResources",
"tag:TagResources",
"tag:UntagResources",
"tag:getTagKeys",
"tag:getTagValues",
"resource-explorer:List*"
],
"Resource": "*"
}
]
}
```
------
Weitere Informationen zur Gewährung von Zugriff auf Resource Groups finden Sie [Erteilen von Berechtigungen für die Verwendung des AWS -Ressourcengruppen Tag-Editors](gettingstarted-prereqs-permissions-howto.md) in diesem Handbuch.
## Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer
In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der API AWS CLI oder AWS .
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## Gruppen auf der Grundlage von Stichwörtern anzeigen
Sie können Bedingungen in Ihrer identitätsbasierten Richtlinie verwenden, um den Zugriff auf Ressourcen von Resource Groups anhand von Tags zu steuern. Dieses Beispiel zeigt, wie Sie eine Richtlinie erstellen könnten, die das Anzeigen einer Ressource, in diesem Beispiel einer Ressourcengruppe, ermöglicht. Die Berechtigung wird jedoch nur erteilt, wenn das Gruppen-Tag denselben Wert `project` hat wie das `project` Tag, das dem aufrufenden Prinzipal zugewiesen ist.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "resource-groups:GetGroup",
"Resource": "arn:aws:resource-groups:us-east-1:111122223333:group/group_name",
"Condition": {
"StringEquals": {"aws:ResourceTag/project": "${aws:PrincipalTag/project}"}
}
}
]
}
```
------
Sie können diese Richtlinie den Prinzipalen in Ihrem Konto zuordnen. Wenn ein Prinzipal mit dem Tag-Schlüssel `project` und dem Tag-Wert `alpha` versucht, eine Ressourcengruppe aufzurufen, muss die Gruppe ebenfalls markiert `project=alpha` werden. Andernfalls wird dem Benutzer der Zugriff verweigert. Der Tag-Schlüssel `project` der Bedingung stimmt sowohl mit `Project` als auch mit `project` überein, da die Namen von Bedingungsschlüsseln nicht zwischen Groß- und Kleinschreibung unterscheiden. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com//IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
# Fehlerbehebung bei AWS -Ressourcengruppen Identität und Zugriff
Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit Resource Groups und IAM auftreten können.
**Topics**
+ [Ich bin nicht berechtigt, eine Aktion in Resource Groups durchzuführen](#security_iam_troubleshoot-permissions-arg-te)
+ [Ich bin nicht berechtigt, iam auszuführen: PassRole](#security_troubleshoot-passrole)
+ [Ich möchte Personen außerhalb meines AWS Kontos den Zugriff auf meine Resource Groups ermöglichen](#security_troubleshoot-cross-account)
## Ich bin nicht berechtigt, eine Aktion in Resource Groups durchzuführen
Wenn Ihnen AWS-Managementkonsole mitgeteilt wird, dass Sie nicht berechtigt sind, eine Aktion durchzuführen, müssen Sie sich an Ihren Administrator wenden, um Unterstützung zu erhalten. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.
Der folgende Beispielfehler tritt auf, wenn der Benutzer `mateojackson` versucht, die Konsole zu verwenden, um Details zu einer Gruppe anzuzeigen, aber nicht `resource-groups:ListGroups` dazu berechtigt ist.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: resource-groups:ListGroups on resource: arn:aws:resource-groups::us-west-2:123456789012:group/my-test-group
```
In diesem Fall bittet Mateo seinen Administrator um die Aktualisierung seiner Richtlinien, um unter Verwendung der Aktion `my-test-group` auf die Ressource `resource-groups:ListGroups` zugreifen zu können.
## Ich bin nicht berechtigt, iam auszuführen: PassRole
Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht berechtigt sind, die `iam:PassRole` Aktion auszuführen, müssen Ihre Richtlinien aktualisiert werden, damit Sie eine Rolle an Resource Groups übergeben können.
Einige AWS-Services ermöglichen es Ihnen, eine bestehende Rolle an diesen Dienst zu übergeben, anstatt eine neue Servicerolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst.
Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen `marymajor` versucht, die Konsole zu verwenden, um eine Aktion in Resource Groups auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion `iam:PassRole` ausführen zu können.
Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.
## Ich möchte Personen außerhalb meines AWS Kontos den Zugriff auf meine Resource Groups ermöglichen
Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren.
Weitere Informationen dazu finden Sie hier:
+ Informationen darüber, ob Resource Groups diese Funktionen unterstützt, finden Sie unter[So funktioniert Resource Groups mit IAM](security_iam_service-with-iam.md).
+ *Informationen dazu, wie Sie Zugriff auf Ihre Ressourcen gewähren können, AWS-Konten die Ihnen gehören, finden Sie im [IAM-Benutzerhandbuch unter Bereitstellen von Zugriff für einen IAM-Benutzer in einem anderen AWS-Konto , den Sie besitzen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html).*
+ Informationen dazu, wie Sie Dritten Zugriff auf Ihre Ressourcen gewähren können AWS-Konten, finden Sie [AWS-Konten im *IAM-Benutzerhandbuch* unter Gewähren des Zugriffs für Dritte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html).
+ Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*.
+ Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
# Protokollierung und Überwachung in Resource Groups
Alle AWS -Ressourcengruppen Aktionen sind angemeldet AWS CloudTrail.
## AWS -Ressourcengruppen API-Aufrufe protokollieren mit AWS CloudTrail
AWS -Ressourcengruppen und Tag Editor sind in einen Dienst integriert AWS CloudTrail, der eine Aufzeichnung der Aktionen eines Benutzers, einer Rolle oder eines AWS Dienstes in Resource Groups oder im Tag-Editor bereitstellt. CloudTrail erfasst alle API-Aufrufe für Resource Groups als Ereignisse, einschließlich Aufrufe von der Resource Groups- oder Tag-Editor-Konsole und von Codeaufrufen an die Resource Groups APIs. Wenn Sie einen Trail erstellen, können Sie die kontinuierliche Übermittlung von CloudTrail Ereignissen an einen Amazon S3 S3-Bucket aktivieren, einschließlich Ereignissen für Resource Groups. Wenn Sie keinen Trail konfigurieren, können Sie die neuesten Ereignisse trotzdem in der CloudTrail Konsole im **Ereignisverlauf** anzeigen. Anhand der von CloudTrail gesammelten Informationen können Sie die Anfrage an Resource Groups, die IP-Adresse, von der aus die Anfrage gestellt wurde, wer die Anfrage gestellt hat, wann sie gestellt wurde, und weitere Details ermitteln.
Weitere Informationen CloudTrail dazu finden Sie im [AWS CloudTrail Benutzerhandbuch](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/).
### Informationen zu Resource Groups in CloudTrail
CloudTrail ist in Ihrem AWS Konto aktiviert, wenn Sie das Konto erstellen. Wenn Aktivitäten in Resource Groups oder in der Tag Editor-Konsole auftreten, wird diese Aktivität zusammen mit anderen CloudTrail AWS Dienstereignissen im **Ereignisverlauf in einem Ereignis** aufgezeichnet. Sie können aktuelle Ereignisse in Ihrem AWS Konto ansehen, suchen und herunterladen. Weitere Informationen finden Sie unter [Ereignisse mit CloudTrail Ereignisverlauf anzeigen](https://docs.aws.amazon.com//awscloudtrail/latest/userguide/view-cloudtrail-events.html).
Für eine fortlaufende Aufzeichnung von Ereignissen in Ihrem AWS Konto, einschließlich Ereignissen für Resource Groups, erstellen Sie einen Trail. Ein Trail ermöglicht CloudTrail die Übermittlung von Protokolldateien an einen Amazon S3 S3-Bucket. Wenn Sie einen Trail in der Konsole anlegen, gilt dieser für alle -Regionen. Der Trail protokolliert Ereignisse aus allen Regionen der AWS Partition und übermittelt die Protokolldateien an den von Ihnen angegebenen Amazon S3 S3-Bucket. Darüber hinaus können Sie andere AWS -Services konfigurieren, um die in den CloudTrail-Protokollen erfassten Ereignisdaten weiter zu analysieren und entsprechend zu agieren. Weitere Informationen finden Sie unter:
+ [Übersicht zum Erstellen eines Trails](https://docs.aws.amazon.com//awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [Von CloudTrail unterstützte Services und Integrationen](https://docs.aws.amazon.com//awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html)
+ [Konfiguration von Amazon SNS SNS-Benachrichtigungen für CloudTrail](https://docs.aws.amazon.com//awscloudtrail/latest/userguide/getting_notifications_top_level.html)
+ [Empfangen von CloudTrail Protokolldateien aus mehreren Regionen](https://docs.aws.amazon.com//awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html) und [Empfangen von CloudTrail Protokolldateien von mehreren Konten](https://docs.aws.amazon.com//awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
Alle Aktionen der Resource Groups werden von der [AWS -Ressourcengruppen API-Referenz](https://docs.aws.amazon.com//ARG/latest/APIReference/) protokolliert CloudTrail und sind in dieser dokumentiert. Aktionen von Resource Groups in CloudTrail werden als Ereignisse mit dem API-Endpunkt `resource-groups.amazonaws.com` als Quelle angezeigt. Beispielsweise generieren Aufrufe der `UpdateGroupQuery` Aktionen `CreateGroup``GetGroup`, und Einträge in den CloudTrail Protokolldateien. Tag-Editor-Aktionen in der Konsole werden von protokolliert und als Ereignisse angezeigt CloudTrail, deren Quelle der interne API-Endpunkt `resource-explorer` ist.
Jeder Ereignis- oder Protokolleintrag enthält Informationen zu dem Benutzer, der die Anforderung generiert hat. Die Identitätsinformationen unterstützen Sie bei der Ermittlung der folgenden Punkte:
+ Gibt an, ob die Anforderung mit Root- oder IAM-Benutzer-Anmeldeinformationen ausgeführt wurde.
+ Gibt an, ob die Anforderung mit temporären Sicherheitsanmeldeinformationen für eine Rolle oder einen Verbundbenutzer gesendet wurde.
+ Ob die Anfrage von einem anderen AWS Dienst gestellt wurde.
Weitere Informationen hierzu finden Sie unter dem [CloudTrail-Element `userIdentity`](https://docs.aws.amazon.com//awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html).
### Grundlegendes zu Protokolldateieinträgen für Resource Groups
Ein Trail ist eine Konfiguration, die die Übertragung von Ereignissen als Protokolldateien an einen von Ihnen angegebenen Amazon S3 S3-Bucket ermöglicht. CloudTrail Protokolldateien enthalten einen oder mehrere Protokolleinträge. Ein Ereignis stellt eine einzelne Anfrage aus einer beliebigen Quelle dar und enthält unter anderem Informationen über die angeforderte Aktion, das Datum und die Uhrzeit der Aktion sowie über die Anfrageparameter. CloudTrail -Protokolldateien sind kein geordnetes Stacktrace der öffentlichen API-Aufrufe und erscheinen daher nicht in einer bestimmten Reihenfolge.
Das folgende Beispiel zeigt einen CloudTrail Protokolleintrag, der die Aktion demonstriert`CreateGroup`.
```
{"eventVersion":"1.05",
"userIdentity":{
"type":"AssumedRole",
"principalId":"ID number:AWSResourceGroupsUser",
"arn":"arn:aws:sts::831000000000:assumed-role/Admin/AWSResourceGroupsUser",
"accountId":"831000000000","accessKeyId":"ID number",
"sessionContext":{
"attributes":{
"mfaAuthenticated":"false",
"creationDate":"2018-06-05T22:03:47Z"
},
"sessionIssuer":{
"type":"Role",
"principalId":"ID number",
"arn":"arn:aws:iam::831000000000:role/Admin",
"accountId":"831000000000",
"userName":"Admin"
}
}
},
"eventTime":"2018-06-05T22:18:23Z",
"eventSource":"resource-groups.amazonaws.com",
"eventName":"CreateGroup",
"awsRegion":"us-west-2",
"sourceIPAddress":"100.25.190.51",
"userAgent":"console.amazonaws.com",
"requestParameters":{
"Description": "EC2 instances that we are using for application staging.",
"Name": "Staging",
"ResourceQuery": {
"Query": "string",
"Type": "TAG_FILTERS_1_0"
},
"Tags": {
"Key":"Phase",
"Value":"Stage"
}
},
"responseElements":{
"Group": {
"Description":"EC2 instances that we are using for application staging.",
"groupArn":"arn:aws:resource-groups:us-west-2:831000000000:group/Staging",
"Name":"Staging"
},
"resourceQuery": {
"Query":"string",
"Type":"TAG_FILTERS_1_0"
}
},
"requestID":"de7z64z9-d394-12ug-8081-7zz0386fbcb6",
"eventID":"8z7z18dz-6z90-47bz-87cf-e8346428zzz3",
"eventType":"AwsApiCall",
"recipientAccountId":"831000000000"
}
```
# Konformitätsprüfung für Resource Groups
Informationen darüber, ob AWS-Service ein [AWS-Services in den Geltungsbereich bestimmter Compliance-Programme fällt, finden Sie unter Umfang nach Compliance-Programm AWS-Services unter](https://aws.amazon.com/compliance/services-in-scope/) . Wählen Sie dort das Compliance-Programm aus, an dem Sie interessiert sind. Allgemeine Informationen finden Sie unter [AWS Compliance-Programme AWS](https://aws.amazon.com/compliance/programs/) .
Sie können Prüfberichte von Drittanbietern unter herunterladen AWS Artifact. Weitere Informationen finden Sie unter [Berichte herunterladen unter ](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html).
Ihre Verantwortung für die Einhaltung der Vorschriften bei der Nutzung AWS-Services hängt von der Vertraulichkeit Ihrer Daten, den Compliance-Zielen Ihres Unternehmens und den geltenden Gesetzen und Vorschriften ab. Weitere Informationen zu Ihrer Verantwortung für die Einhaltung der Vorschriften bei der Nutzung AWS-Services finden Sie in der [AWS Sicherheitsdokumentation](https://docs.aws.amazon.com/security/).
# Resilienz in Resource Groups
AWS -Ressourcengruppen führt automatisierte Backups für interne Serviceressourcen durch. Diese Backups sind nicht vom Benutzer konfigurierbar. Backups werden sowohl im Ruhezustand als auch bei der Übertragung verschlüsselt. Resource Groups speichert Kundendaten in Amazon DynamoDB.
Die AWS globale Infrastruktur basiert auf Availability AWS-Regionen Zones. AWS-Regionen bieten mehrere physisch getrennte und isolierte Availability Zones, die über Netzwerke mit niedriger Latenz, hohem Durchsatz und hoher Redundanz miteinander verbunden sind. Mithilfe von Availability Zones können Sie Anwendungen und Datenbanken erstellen und ausführen, die automatisch Failover zwischen Availability Zones ausführen, ohne dass es zu Unterbrechungen kommt. Availability Zones sind besser hoch verfügbar, fehlertoleranter und skalierbarer als herkömmliche Infrastrukturen mit einem oder mehreren Rechenzentren.
Selbst ein vollständiger Verlust von Benutzerressourcengruppen würde nicht zu einem Verlust von Kundendaten führen, da die meisten Kundendaten über AWS Availability Zones hinweg repliziert werden (). AZs Wenn Sie versehentlich Gruppen löschen, wenden Sie sich an das [AWS Support Center](https://console.aws.amazon.com/support/home#/).
Weitere Informationen zu Availability Zones AWS-Regionen und Availability Zones finden Sie unter [AWS Globale Infrastruktur](https://aws.amazon.com/about-aws/global-infrastructure/).
# Infrastruktursicherheit in Resource Groups
Es gibt keine zusätzlichen Möglichkeiten, den von Resource Groups bereitgestellten Dienst- oder Netzwerkverkehr zu isolieren. Verwenden Sie gegebenenfalls eine AWS-spezifische Isolierung. Sie können die Resource Groups API und die Konsole in einer VPC verwenden, um den Datenschutz und die Infrastruktursicherheit zu maximieren.
Als verwalteter Dienst AWS -Ressourcengruppen ist er durch AWS globale Netzwerksicherheit geschützt. Informationen zu AWS Sicherheitsdiensten und zum AWS Schutz der Infrastruktur finden Sie unter [AWS Cloud-Sicherheit](https://aws.amazon.com/security/). Informationen zum Entwerfen Ihrer AWS Umgebung unter Verwendung der bewährten Methoden für die Infrastruktursicherheit finden Sie unter [Infrastructure Protection](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html) in *Security Pillar AWS Well‐Architected Framework*.
Sie verwenden AWS veröffentlichte API-Aufrufe, um über das Netzwerk auf Resource Groups zuzugreifen. Kunden müssen Folgendes unterstützen:
+ Transport Layer Security (TLS). Wir benötigen TLS 1.2 und empfehlen TLS 1.3.
+ Verschlüsselungs-Suiten mit Perfect Forward Secrecy (PFS) wie DHE (Ephemeral Diffie-Hellman) oder ECDHE (Elliptic Curve Ephemeral Diffie-Hellman). Die meisten modernen Systeme wie Java 7 und höher unterstützen diese Modi.
Resource Groups unterstützt keine ressourcenbasierten Richtlinien.
# Zugriff AWS -Ressourcengruppen über einen Schnittstellenendpunkt (AWS PrivateLink)
Sie können AWS PrivateLink damit eine private Verbindung zwischen Ihrer VPC und AWS -Ressourcengruppen herstellen. Sie können auf Resource Groups zugreifen, als ob sie sich in Ihrer VPC befinden würden, ohne ein Internet-Gateway, ein NAT-Gerät, eine VPN-Verbindung oder Direct Connect eine Verbindung verwenden zu müssen. Instances in Ihrer VPC benötigen keine öffentlichen IP-Adressen, um auf Resource Groups zuzugreifen.
Sie stellen diese private Verbindung her, indem Sie einen *Schnittstellen-Endpunkt* erstellen, der von AWS PrivateLink unterstützt wird. Wir erstellen eine Endpunkt-Netzwerkschnittstelle in jedem Subnetz, das Sie für den Schnittstellen-Endpunkt aktivieren. Dabei handelt es sich um vom Anforderer verwaltete Netzwerkschnittstellen, die als Einstiegspunkt für Datenverkehr dienen, der für Resource Groups bestimmt ist.
*Weitere Informationen finden Sie AWS PrivateLink im Handbuch unter [Access AWS-Services through](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html).AWS PrivateLink *
## Überlegungen zu Resource Groups
Bevor Sie einen Schnittstellenendpunkt für Resource Groups einrichten, lesen Sie die [Überlegungen](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints) im *AWS PrivateLink Handbuch*.
Resource Groups unterstützt Aufrufe aller API-Aktionen über den Schnittstellenendpunkt.
## Erstellen Sie einen Schnittstellenendpunkt für Resource Groups
Sie können einen Schnittstellenendpunkt für Resource Groups entweder mit der Amazon VPC-Konsole oder mit AWS Command Line Interface (AWS CLI) erstellen. Weitere Informationen finden Sie unter [Erstellen eines Schnittstellenendpunkts](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws) im *AWS PrivateLink -Leitfaden*.
Erstellen Sie einen Schnittstellenendpunkt für Resource Groups mit dem folgenden Dienstnamen:
```
com.amazonaws.region.resource-groups
```
Wenn Sie privates DNS für den Schnittstellenendpunkt aktivieren, können Sie API-Anfragen an Resource Groups stellen, indem Sie den standardmäßigen regionalen DNS-Namen verwenden. Beispiel, `resource-groups.us-east-1.amazonaws.com`.
## Erstellen einer Endpunktrichtlinie für Ihren Schnittstellen-Endpunkt
Eine Endpunktrichtlinie ist eine IAM-Ressource, die Sie an einen Schnittstellen-Endpunkt anfügen können. Die standardmäßige Endpunktrichtlinie ermöglicht vollen Zugriff auf Resource Groups über den Schnittstellenendpunkt. Um den Zugriff auf Resource Groups von Ihrer VPC aus zu kontrollieren, fügen Sie dem Schnittstellenendpunkt eine benutzerdefinierte Endpunktrichtlinie hinzu.
Eine Endpunktrichtlinie gibt die folgenden Informationen an:
+ Die Prinzipale, die Aktionen ausführen können (AWS-Konten, IAM-Benutzer und IAM-Rollen).
+ Aktionen, die ausgeführt werden können
+ Die Ressourcen, auf denen die Aktionen ausgeführt werden können.
Weitere Informationen finden Sie unter [Steuern des Zugriffs auf Services mit Endpunktrichtlinien](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html) im *AWS PrivateLink -Leitfaden*.
**Beispiel: VPC-Endpunktrichtlinie für Ressourcengruppenaktionen**
Im Folgenden finden Sie ein Beispiel für eine benutzerdefinierte Endpunktrichtlinie. Wenn Sie diese Richtlinie an Ihren Schnittstellenendpunkt anhängen, gewährt sie allen Prinzipalen auf allen Ressourcen Zugriff auf die aufgelisteten Ressourcengruppenaktionen.
```
{
"Statement": [
{
"Principal": "*",
"Effect": "Allow",
"Action": [
"resource-groups:CreateGroup",
"resource-groups:GetAccountSettings",
"resource-groups:GetGroupQuery"
],
"Resource":"*"
}
]
}
```
# Bewährte Sicherheitsmethoden für Resource Groups
Die folgenden bewährten Methoden sind allgemeine Richtlinien und keine vollständige Sicherheitslösung. Da diese bewährten Methoden für Ihre Umgebung möglicherweise nicht angemessen oder ausreichend sind, sollten Sie sie als hilfreiche Überlegungen und nicht als bindend ansehen.
+ **Verwenden Sie das Prinzip der geringsten Rechte**, um Gruppen Zugriff zu gewähren. Resource Groups unterstützt Berechtigungen auf Ressourcenebene. Gewähren Sie bestimmten Gruppen nur dann Zugriff, wenn dies für bestimmte Benutzer erforderlich ist. Vermeiden Sie die Verwendung von Sternchen in Richtlinienerklärungen, die allen Benutzern oder allen Gruppen Berechtigungen zuweisen. Weitere Informationen zu den geringsten Rechten finden Sie unter [Grant Least Privilege](https://docs.aws.amazon.com//IAM/latest/UserGuide/best-practices.html#grant-least-privilege) im *IAM-Benutzerhandbuch*.
+ **Halten Sie private Informationen von öffentlichen Feldern fern.** Der Name einer Gruppe wird als Dienstmetadaten behandelt. Gruppennamen sind nicht verschlüsselt. Fügen Sie keine vertraulichen Informationen in Gruppennamen ein. Gruppenbeschreibungen sind privat.
Verwenden Sie keine privaten oder vertraulichen Informationen in Tag-Schlüsseln oder Tag-Werten.
+ **Verwenden Sie gegebenenfalls eine Autorisierung auf der Grundlage von Tagging**. Resource Groups unterstützt die Autorisierung auf der Grundlage von Tags. Sie können Gruppen taggen und anschließend Richtlinien aktualisieren, die an Ihre IAM-Prinzipale angehängt sind, z. B. Benutzer und Rollen, um deren Zugriffsebene auf der Grundlage der Tags festzulegen, die auf eine Gruppe angewendet werden. Weitere Informationen zur Verwendung der Autorisierung auf der Grundlage von Tags finden Sie im [*IAM-Benutzerhandbuch* unter Steuern des Zugriffs auf AWS Ressourcen mithilfe von Ressourcen-Tags](https://docs.aws.amazon.com//IAM/latest/UserGuide/access_tags.html).
Viele AWS Dienste unterstützen die Autorisierung auf der Grundlage von Tags für ihre Ressourcen. Beachten Sie, dass die Tag-basierte Autorisierung möglicherweise für Mitgliedsressourcen in einer Gruppe konfiguriert ist. Wenn der Zugriff auf die Ressourcen einer Gruppe durch Tags eingeschränkt ist, können nicht autorisierte Benutzer oder Gruppen möglicherweise keine Aktionen oder Automatisierungen an diesen Ressourcen durchführen. Wenn beispielsweise eine EC2 Amazon-Instance in einer Ihrer Gruppen mit einem Tag-Schlüssel `Confidentiality` und einem Tag-Wert von gekennzeichnet ist und Sie nicht berechtigt sind`High`, Befehle für markierte Ressourcen auszuführen`Confidentiality:High`, schlagen Aktionen oder Automatisierungen fehl, die Sie auf der EC2 Instance ausführen, auch wenn Aktionen für andere Ressourcen in der Ressourcengruppe erfolgreich sind. Weitere Informationen darüber, welche Dienste die Tag-basierte Autorisierung für ihre Ressourcen unterstützen, finden Sie unter [AWS Services That Work with IAM im *IAM-Benutzerhandbuch*](https://docs.aws.amazon.com//IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).
[Weitere Informationen zur Entwicklung einer Tagging-Strategie für Ihre AWS Ressourcen finden Sie unter Tagging-Strategien.AWS](https://aws.amazon.com/answers/account-management/aws-tagging-strategies/)