Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS -Ressourcengruppen Beispiele für identitätsbasierte Richtlinien

Standardmäßig sind IAM-Prinzipale wie Rollen und Benutzer nicht berechtigt, Ressourcen für Ressourcengruppen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mithilfe der AWS-Managementkonsole AWS CLI, oder AWS API ausführen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die den Principals die Berechtigung gewähren, bestimmte API-Operationen mit den angegebenen Ressourcen durchzuführen, die sie benötigen. Der Administrator muss diese Richtlinien dann an die Principals anhängen, die diese Berechtigungen benötigen.

Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter Erstellen von Richtlinien auf der JSON-Registerkarte im IAM-Benutzerhandbuch.

Best Practices für Richtlinien

Identity-based Richtlinien legen fest, ob jemand Ressourcen für Ressourcengruppen in Ihrem Konto erstellen, darauf zugreifen oder diese löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Wenn du identitätsbasierte Richtlinien erstellst oder bearbeitest, befolge diese Richtlinien und Empfehlungen:

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Best Practices für die Sicherheit in IAM im IAM-Benutzerhandbuch.

Verwenden der Resource Groups-Konsole und der API

Um auf die AWS -Ressourcengruppen und Tag Editor-Konsole und die API zuzugreifen, müssen Sie über ein Mindestmaß an Berechtigungen verfügen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Ressourcen der Ressourcengruppen in Ihrem AWS Konto aufzulisten und anzuzeigen. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die restriktiver ist als die erforderlichen Mindestberechtigungen, funktionieren die Konsole und die API-Befehle für Prinzipale (IAM-Rollen oder Benutzer) mit dieser Richtlinie nicht wie vorgesehen.

Um sicherzustellen, dass diese Entitäten weiterhin Ressourcengruppen verwenden können, fügen Sie den Entitäten die folgende Richtlinie (oder eine Richtlinie, die die in der folgenden Richtlinie aufgeführten Berechtigungen enthält) an. Weitere Informationen finden Sie unter Hinzufügen von Berechtigungen zu einem Benutzer im IAM-Benutzerhandbuch:

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "resource-groups:*",
        "cloudformation:DescribeStacks",
        "cloudformation:ListStackResources",
        "tag:GetResources",
        "tag:TagResources",
        "tag:UntagResources",
        "tag:getTagKeys",
        "tag:getTagValues",
        "resource-explorer:List*"
      ],
      "Resource": "*"
    }
  ]
}

Weitere Informationen zum Gewähren des Zugriffs auf Ressourcengruppen finden Sie Erteilen von Berechtigungen für die Verwendung AWS -Ressourcengruppen und Tag Editor in diesem Handbuch.

Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer

In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie beinhaltet Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der AWS CLI AWS OR-API.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Gruppen anhand von Stichwörtern anzeigen

Sie können Bedingungen in Ihrer identitätsbasierten Richtlinie verwenden, um den Zugriff auf Ressourcen von Ressourcengruppen anhand von Stichwörtern zu steuern. Dieses Beispiel zeigt, wie Sie eine Richtlinie erstellen können, die das Anzeigen einer Ressource, in diesem Beispiel einer Ressourcengruppe, ermöglicht. Die Erlaubnis wird jedoch nur erteilt, wenn das Gruppen-Tag den gleichen Wert project hat wie das project Tag, das dem aufrufenden Principal zugeordnet ist.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "resource-groups:GetGroup",
            "Resource": "arn:aws:resource-groups:us-east-1:111122223333:group/group_name",
            "Condition": {
                "StringEquals": {"aws:ResourceTag/project": "${aws:PrincipalTag/project}"}
            }
        }
    ]
}

Sie können diese Richtlinie an die Hauptbenutzer in Ihrem Konto anhängen. Wenn ein Principal mit dem Tag-Schlüssel project und dem Tag-Wert alpha versucht, eine Ressourcengruppe anzuzeigen, muss die Gruppe ebenfalls markiert project=alpha werden. Andernfalls wird dem Benutzer der Zugriff verweigert. Der Tag-Schlüssel project der Bedingung stimmt sowohl mit Project als auch mit project überein, da die Namen von Bedingungsschlüsseln nicht zwischen Groß- und Kleinschreibung unterscheiden. Weitere Informationen finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung im IAM-Benutzerhandbuch.