View a markdown version of this page

IAM-Benutzer für Workloads erstellen, die keine IAM-Rollen verwenden können - AWS Identitäts- und Zugriffsverwaltung
So erstellen Sie einen IAM-Benutzer für Workloads, die keine IAM-Rollen verwenden können

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

IAM-Benutzer für Workloads erstellen, die keine IAM-Rollen verwenden können

Wichtig

Als bewährte Methode empfehlen wir, von Ihren menschlichen Benutzern zu verlangen, dass sie beim Zugriff AWS temporäre Anmeldeinformationen verwenden.

Alternativ können Sie Ihre Benutzeridentitäten, einschließlich Ihres Administratorbenutzers, mit AWS IAM Identity Center verwalten. Wir empfehlen die Verwendung von IAM Identity Center, um den Zugriff auf Ihre Konten und die Berechtigungen innerhalb dieser Konten zu verwalten. Wenn Sie einen externen Identitätsanbieter verwenden, können Sie die Zugriffsberechtigungen für Benutzeridentitäten auch im IAM Identity Center konfigurieren.

Wenn Ihr Anwendungsfall IAM-Benutzer mit programmgesteuertem Zugriff und langfristigen Anmeldeinformationen erfordert, empfehlen wir Ihnen, Verfahren zum Aktualisieren von Zugriffsschlüsseln bei Bedarf einzurichten. Weitere Informationen finden Sie unter Zugriffsschlüssel aktualisieren.

Um jedoch einige Konto- und Service-Verwaltungsaufgaben durchzuführen, müssen Sie sich mit den Anmeldeinformationen des Root-Benutzers anmelden. Informationen zum Anzeigen der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter Aufgaben, die Stammbenutzer-Anmeldeinformationen erfordern.

So erstellen Sie einen IAM-Benutzer für Workloads, die keine IAM-Rollen verwenden können

Mindestberechtigungen

Für die folgenden Schritte sind mindestens folgende IAM-Berechtigungen erforderlich:

  • iam:AddUserToGroup

  • iam:AttachGroupPolicy

  • iam:CreateAccessKey

  • iam:CreateGroup

  • iam:CreateServiceSpecificCredential

  • iam:CreateUser

  • iam:GetAccessKeyLastUsed

  • iam:GetAccountPasswordPolicy

  • iam:GetAccountSummary

  • iam:GetGroup

  • iam:GetLoginProfile

  • iam:GetPolicy

  • iam:GetRole

  • iam:GetUser

  • iam:ListAccessKeys

  • iam:ListAttachedGroupPolicies

  • iam:ListAttachedUserPolicies

  • iam:ListGroupPolicies

  • iam:ListGroups

  • iam:ListGroupsForUser

  • iam:ListInstanceProfilesForRole

  • iam:ListMFADevices

  • iam:ListPolicies

  • iam:ListRoles

  • iam:ListRoleTags

  • iam:ListSSHPublicKeys

  • iam:ListServiceSpecificCredentials

  • iam:ListSigningCertificates

  • iam:ListUserPolicies

  • iam:ListUserTags

  • iam:ListUsers

  • iam:UploadSSHPublicKey

  • iam:UploadSigningCertificate

Mehr anzeigenWeniger anzeigen
Console

  1. Folgen Sie dem für Ihren Benutzertyp geeigneten Anmeldevorgang, wie im Thema So melden Sie sich AWS im AWS Sign-In Benutzerhandbuch an.

  2. Geben Sie auf der Startseite der IAM-Konsole im linken Navigationsbereich Ihre Abfrage in das Textfeld IAM suchen ein.

  3. Wählen Sie im Navigationsbereich Benutzer und dann Benutzer erstellen aus.

  4. Gehen Sie auf der Seite Benutzerdetails angeben wie folgt vor:

    1. Geben Sie WorkloadName als Benutzername ein. Ersetzen Sie WorkloadName durch den Namen des Workloads, der das Konto verwenden wird.

    2. Wählen Sie Weiter aus.

  5. (Optional) Gehen Sie auf der Seite Berechtigungen festlegen wie folgt vor:

    1. Wählen Sie Add user to group.

    2. Wählen Sie Create group (Gruppe erstellen).

    3. Geben Sie im Dialogfeld Benutzergruppe erstellen unter Benutzergruppenname einen Namen ein, der die Verwendung der Workloads in der Gruppe darstellt. Verwenden Sie für dieses Beispiel den Namen Automation.

    4. Aktivieren Sie unter Berechtigungsrichtlinien das Kontrollkästchen für die PowerUserAccess verwaltete Richtlinie.

      Tipp

      Geben Sie Power in das Suchfeld für Berechtigungsrichtlinien ein, um die verwaltete Richtlinie schnell zu finden.

    5. Wählen Sie Create user group (Benutzergruppe erstellen).

    6. Aktivieren Sie auf der Seite mit der Liste der IAM-Gruppen das Kontrollkästchen für Ihre neue Benutzergruppe. Wählen Sie Aktualisieren, wenn die neue Gruppe nicht in der Liste angezeigt wird.

    7. Wählen Sie Weiter aus.

  6. (Optional) Fügen Sie im Abschnitt Tags Metadaten zum Benutzer hinzu, indem Sie Tags als Schlüssel-Wert-Paare anfügen. Weitere Informationen finden Sie unter Tags für AWS Identity and Access Management Ressourcen.

  7. Überprüfen Sie die Mitgliedschaften für Benutzergruppen für den neuen Benutzer. Wenn Sie bereit sind, fortzufahren, wählen Sie Create user (Benutzer erstellen) aus.

  8. Eine Statusmeldung informiert Sie darüber, dass der Benutzer erfolgreich erstellt wurde. Wählen Sie Benutzer anzeigen, um zur Seite mit den Benutzerdetails zu gelangen

  9. Wählen Sie die Registerkarte Sicherheits-Anmeldeinformationen aus. Erstellen Sie dann die für den Workload erforderlichen Anmeldeinformationen.

    • Zugriffsschlüssel – Wählen Sie Zugriffsschlüssel erstellen aus, um Zugriffsschlüssel für den Benutzer zu generieren und herunterzuladen.

      Wichtig

      Dies ist Ihre einzige Möglichkeit, die geheimen Zugriffsschlüssel einzusehen oder herunterzuladen, und Sie müssen diese Informationen Ihren Benutzern zur Verfügung stellen, bevor sie die AWS API verwenden können. Speichern Sie die neue Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel des Benutzers an einem sicheren Speicherort. Sie haben nach diesem Schritt keinen Zugriff mehr auf die geheimen Zugriffsschlüssel.

    • Öffentliche SSH-Schlüssel für AWS CodeCommit — Wählen Sie öffentlichen SSH-Schlüssel hochladen aus, um einen öffentlichen SSH-Schlüssel hochzuladen, sodass der Benutzer über SSH mit CodeCommit Repositorys kommunizieren kann.

    • HTTPS-Git-Anmeldeinformationen für AWS CodeCommit — Wählen Sie Anmeldeinformationen generieren aus, um einen eindeutigen Satz von Benutzeranmeldeinformationen zur Verwendung mit Git-Repositorys zu generieren. Wählen Sie Anmeldeinformationen herunterladen aus, um den Benutzernamen und das Passwort in einer CSV-Datei zu speichern. Dies ist der einzige Zeitpunkt, zu dem Informationen verfügbar sind. Wenn Sie das Passwort vergessen oder verlieren, müssen Sie es zurücksetzen.

    • Anmeldeinformationen für Amazon Keyspaces (für Apache Cassandra) – Wählen Sie Anmeldeinformationen generieren aus, um servicespezifische Benutzer-Anmeldeinformationen zur Verwendung mit Amazon Keyspaces zu generieren. Wählen Sie Anmeldeinformationen herunterladen aus, um den Benutzernamen und das Passwort in einer CSV-Datei zu speichern. Dies ist der einzige Zeitpunkt, zu dem Informationen verfügbar sind. Wenn Sie das Passwort vergessen oder verlieren, müssen Sie es zurücksetzen.

      Wichtig

      Service-specific Anmeldeinformationen sind langfristige Anmeldeinformationen, die einem bestimmten IAM-Benutzer zugeordnet sind und nur für den Dienst verwendet werden können, für den sie erstellt wurden. Verwenden Sie die Authentifizierung mit dem AWS SigV4-Authentifizierungs-Plugin für Amazon Keyspaces, um IAM-Rollen oder föderierten Identitäten mithilfe temporärer Anmeldeinformationen Zugriff auf alle Ihre AWS Ressourcen zu gewähren. Weitere Informationen finden Sie unter Verwendung temporärer Anmeldeinformationen zum Herstellen einer Verbindung mit Amazon Keyspaces (für Apache Cassandra) mithilfe einer IAM-Rolle und des SigV4-Plugins im Entwicklerhandbuch zu Amazon Keyspaces (für Apache Cassandra).

    • X.509 Signaturzertifikate — Wählen Sie X.509 Zertifikat erstellen aus, wenn Sie sichere SOAP-protocol Anfragen stellen müssen und sich in einer Region befinden, die von nicht unterstützt wird. AWS Certificate Manager Für die Bereitstellung und Verwaltung von Serverzertifikaten empfehlen wir ACM zu verwenden. Weitere Informationen zu ACM finden Sie im AWS Certificate Manager -Leitfaden.

Sie haben einen Benutzer mit programmatischem Zugriff erstellt und ihn mit der PowerUserAccess Job-Funktion konfiguriert. Die Berechtigungsrichtlinie dieses Benutzers gewährt vollen Zugriff auf alle Dienste außer IAM und. AWS Organizations

Sie können dasselbe Verfahren verwenden, um zusätzlichen Workloads programmatischen Zugriff auf Ihre AWS-Konto Ressourcen zu gewähren, falls die Workloads keine IAM-Rollen übernehmen können. Bei diesem Verfahren wurde die PowerUserAccess verwaltete Richtlinie verwendet, um Berechtigungen zuzuweisen. Um die bewährte Methode der geringsten Berechtigungen zu befolgen, sollten Sie die Verwendung einer restriktiveren Richtlinie in Betracht ziehen oder eine benutzerdefinierte Richtlinie erstellen, die den Zugriff nur auf die für das Programm erforderlichen Ressourcen beschränkt. Weitere Informationen zur Verwendung von Richtlinien, die Benutzerberechtigungen auf bestimmte AWS Ressourcen einschränken, finden Sie unter Zugriffsmanagement für AWS Ressourcen undBeispiele für identitätsbasierte Richtlinien in IAM. Weitere Informationen zum Hinzufügen von zusätzlichen Benutzern zur Gruppe nach ihrer Erstellung finden Sie unter Bearbeiten von Benutzern in IAM-Gruppen.

AWS CLI

  1. Erstellen Sie einen Benutzer mit dem Namen Automation.

    
              aws iam create-user \
                  --user-name Automation

  2. Erstellen Sie eine IAM-Benutzergruppe mit dem NamenAutomationGroup, hängen Sie die AWS verwaltete Richtlinie PowerUserAccess an die Gruppe an und fügen Sie dann den Automation Benutzer der Gruppe hinzu.

    Anmerkung

    Bei einer von AWS verwalteten Richtlinie handelt es sich um eine eigenständige Richtlinie, die von AWS erstellt und verwaltet wird. Jede Richtlinie verfügt über einen eigenen Amazon-Ressourcennamen (ARN), der den Richtliniennamen enthält. Beispiel: arn:aws:iam::aws:policy/IAMReadOnlyAccess ist eine AWS verwaltete Richtlinie. Weitere Informationen zu ARNs finden Sie unter IAM-ARNs. Eine Liste der AWS verwalteten Richtlinien für AWS-Services finden Sie unter AWS Verwaltete Richtlinien.

    • aws iam create-group 

      
                  aws iam create-group \
                      --group-name AutomationGroup

    • aws iam attach-group-policy

      
                  aws iam attach-group-policy \
                      --policy-arn arn:aws:iam::aws:policy/PowerUserAccess \
                      --group-name AutomationGroup

    • aws iam add-user-to-group 

      
                 aws iam add-user-to-group \
                     --user-name Automation \
                     --group-name AutomationGroup

    • Führen Sie den Befehl aws iam get-group aus, um die AutomationGroup und ihre Mitglieder aufzulisten.

      
                aws iam get-group \
                     --group-name AutomationGroup

  3. Erstellen Sie die für den Workload erforderlichen Sicherheits-Anmeldeinformationen.

    • Zugriffsschlüssel zum Testen erstellen – aws iam create-access-key

      
                       aws iam create-access-key \
                           --user-name Automation

      Die Ausgabe dieses Befehls zeigt den geheimen Zugriffsschlüssel und die Zugriffsschlüssel-ID an. Notieren Sie diese Informationen und speichern Sie sie an einem sicheren Ort. Bei Verlust dieser Anmeldeinformationen, können sie nicht wiederhergestellt werden und Sie müssen einen neuen Zugriffsschlüssel erstellen.

      Wichtig

      Bei diesen IAM-Benutzer-Zugriffsschlüsseln handelt es sich um langfristige Anmeldeinformationen, die ein Sicherheitsrisiko für Ihr Konto darstellen. Nachdem Sie die Tests abgeschlossen haben, empfehlen wir Ihnen, diese Zugriffsschlüssel zu löschen. Wenn Sie Szenarien haben, in denen Sie Zugriffsschlüssel in Betracht ziehen, prüfen Sie, ob Sie MFA für Ihren Workload-IAM-Benutzer aktivieren und aws sts get-session-token verwenden können, um temporäre Anmeldeinformationen für die Sitzung zu erhalten, anstatt IAM-Zugriffsschlüssel zu verwenden.

    • Laden Sie öffentliche SSH-Schlüssel hoch für AWS CodeCommit — aws iam upload-ssh-public-key

      Das folgende Beispiel geht davon aus, dass Sie Ihre öffentlichen SSH-Schlüssel in der Datei sshkey.pub gespeichert haben.

      
                       aws upload-ssh-public-key \
                           --user-name Automation \
                           --ssh-public-key-body file://sshkey.pub

    • Laden Sie ein Signaturzertifikat hoch — aws iam upload-Signaturzertifikat X.509 https://docs.aws.amazon.com/cli/latest/reference/iam/upload-signing-certificate.html

      Laden Sie ein X.509 Zertifikat hoch, wenn Sie sichere SOAP-protocol Anfragen stellen müssen und sich in einer Region befinden, die von nicht unterstützt wird. AWS Certificate Manager Für die Bereitstellung und Verwaltung von Serverzertifikaten empfehlen wir ACM zu verwenden. Weitere Informationen zu ACM finden Sie im AWS Certificate Manager -Leitfaden.

      Im folgenden Beispiel wird davon ausgegangen, dass Ihr X.509 Signaturzertifikat in der Datei gespeichert istcertificate.pem.

      
                      aws iam upload-signing-certificate \
                      --user-name Automation \
                      --certificate-body file://certificate.pem

Sie können dasselbe Verfahren verwenden, um zusätzlichen Workloads programmatischen Zugriff auf Ihre AWS-Konto Ressourcen zu gewähren, falls die Workloads keine IAM-Rollen übernehmen können. Bei diesem Verfahren wurde die PowerUserAccess verwaltete Richtlinie verwendet, um Berechtigungen zuzuweisen. Um die bewährte Methode der geringsten Berechtigungen zu befolgen, sollten Sie die Verwendung einer restriktiveren Richtlinie in Betracht ziehen oder eine benutzerdefinierte Richtlinie erstellen, die den Zugriff nur auf die für das Programm erforderlichen Ressourcen beschränkt. Weitere Informationen zur Verwendung von Richtlinien, die Benutzerberechtigungen auf bestimmte AWS Ressourcen einschränken, finden Sie unter Zugriffsmanagement für AWS Ressourcen undBeispiele für identitätsbasierte Richtlinien in IAM. Weitere Informationen zum Hinzufügen von zusätzlichen Benutzern zur Gruppe nach ihrer Erstellung finden Sie unter Bearbeiten von Benutzern in IAM-Gruppen.