Von AWS verwaltete Richtlinien für AWS Identity and Access Management und Access Analyzer

Eine von AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von AWS erstellt und verwaltet wird. Von AWS verwaltete Richtlinien stellen Berechtigungen für viele häufige Anwendungsfälle bereit, damit Sie beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen.

Beachten Sie, dass von AWS verwaltete Richtlinien möglicherweise nicht die geringsten Berechtigungen für Ihre spezifischen Anwendungsfälle gewähren, da sie für alle AWS-Kunden verfügbar sind. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind.

Die Berechtigungen, die in den von AWS verwalteten Richtlinien definiert sind, können nicht geändert werden. Wenn AWS-Berechtigungen aktualisiert, die in einer von AWS verwalteten Richtlinie definiert werden, wirkt sich das Update auf alle Prinzipalidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert am wahrscheinlichsten eine von AWS verwaltete Richtlinie, wenn ein neuer AWS-Service gestartet wird oder neue API-Operationen für bestehende Dienste verfügbar werden.

Weitere Informationen finden Sie unter Von AWS verwaltete Richtlinien im IAM-Benutzerhandbuch.

IAMReadOnlyAccess

Verwenden der IAMReadOnlyAccess verwalteten Richtlinie, um schreibgeschützten Zugriff auf IAM-Ressourcen zu gewähren. Diese Richtlinie gewährt die Berechtigung zum Abrufen und Auflisten aller IAM-Ressourcen. Sie ermöglicht das Anzeigen von Details und Aktivitätsberichten für Benutzer, Gruppen, Rollen, Richtlinien, Identitätsanbieter und MFA-Geräte. Sie umfasst nicht die Möglichkeit, Ressourcen zu erstellen oder zu löschen oder auf IAM Access Analyzer Ressourcen zuzugreifen. Zeigen Sie die Richtlinie für die vollständige Liste der Datenbank-Services und Aktionen an, die von dieser Richtlinie unterstützt werden.

IAMUserChangePassword

Verwenden Sie diese IAMUserChangePassword-IAM-Richtlinie, um Benutzern das Ändern ihres eigenen Konsolen-Passworts zu ermöglichen.

Sie konfigurieren Ihre IAM-Kontoeinstellungen und die Passwortrichtlinie, damit IAM-Benutzer ihr IAM-Kontopasswort ändern können. Wenn Sie diese Aktion zulassen, fügt IAM jedem Benutzer die Richtlinie an.

Informationen zur JSON-Richtlinie finden Sie unter IamUserChangePassword im Referenzhandbuch für verwaltete AWS-Richtlinien.

IAMAccessAnalyzerFullAccess

Verwenden Sie die verwaltete IAMAccessAnalyzerFullAccess-AWS-Richtlinie, um Ihren Administratoren den Zugriff auf IAM Access Analyzer zu ermöglichen.

Berechtigungsgruppierungen

Diese Richtlinie ist in Anweisungen gruppiert, die auf den bereitgestellten Berechtigungen basieren.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "access-analyzer:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "access-analyzer.amazonaws.com"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:ListAccounts",
        "organizations:ListAccountsForParent",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:ListChildren",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListOrganizationalUnitsForParent",
        "organizations:ListParents",
        "organizations:ListRoots"
      ],
      "Resource": "*"
    }
  ]
}

IAMAccessAnalyzerReadOnlyAccess

Verwenden Sie die verwaltete Richtlinie IAMAccessAnalyzerReadOnlyAccess AWS, um den Nur-Lese-Zugriff auf IAM Access Analyzer zu erlauben.

So lassen Sie auch schreibgeschützten Zugriff auf IAM Access Analyzer für AWS Organizations, erstellen Sie eine vom Kunden verwaltete Richtlinie, die die Aktionen Beschreiben und Auflisten in der verwalteten IAMAccessAnalyzerFullAccess-AWS-Richtlinie.

Service Level-Berechtigungen

Diese Richtlinie gewährt schreibgeschützten Zugriff auf IAM Access Analyzer. In dieser Richtlinie sind keine anderen Dienstberechtigungen enthalten.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "IAMAccessAnalyzerReadOnlyAccess",
      "Effect": "Allow",
      "Action": [
        "access-analyzer:CheckAccessNotGranted",
        "access-analyzer:CheckNoNewAccess",
        "access-analyzer:Get*",
        "access-analyzer:List*",
        "access-analyzer:ValidatePolicy"
      ],
      "Resource": "*"
    }
  ]
}

AccessAnalyzerServiceRolePolicy

Sie können AccessAnalyzerServiceRolePolicy nicht an Ihre IAM-Entitäten anfügen. Diese Richtlinie ist mit einer dienstverknüpften Rolle verbunden, die es IAM Access Analyzer ermöglicht, Aktionen in Ihrem Namen durchzuführen. Weitere Informationen finden Sie unter Verwenden von serviceverknüpften Rollen für AWS Identity and Access Management und Access Analyzer.

Berechtigungsgruppierungen

Diese Richtlinie ermöglicht den Zugriff auf IAM Access Analyzer, um Ressourcen-Metadaten von mehreren zu analysieren AWS-Services.

Informationen zur JSON-Richtlinie finden Sie unter AccessAnalyzerServiceRolePolicy im Referenzhandbuch für verwaltete AWS-Richtlinien.

IAMAuditRootUserCredentials

Verwenden Sie die verwaltete AWS-Richtlinie IAMAuditRootUserCredentials, um die Berechtigungen einzuschränken, wenn Sie eine privilegierte Aufgabe in ein AWS Organizations-Mitgliedskonto ausführen, um den Status der Root-Benutzer-Anmeldeinformationen eines Mitgliedskontos zu prüfen. Sie können einzelne Informationen zu den Anmeldeinformationen von Root-Benutzern auflisten oder abrufen, beispielsweise:

Sie können IAMAuditRootUserCredentials nicht an Ihre IAM-Entitäten anhängen. Diese Richtlinie ist an AssumeRoot angefügt, um privilegierte Aufgaben in einem Mitgliedskonto in Ihrer Organisation auszuführen. Weitere Informationen finden Sie unter Root-Zugriff für Mitgliedskonten zentral verwalten.

JSON

{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices",
            "iam:GetAccountSummary",
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"  
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyAuditingCredentialsOnNonRootUserResource",
         "Action": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices" ,
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"     
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      } 
   ]
}

Berechtigungsgruppierungen

Diese Richtlinie ist in Anweisungen gruppiert, die auf den bereitgestellten Berechtigungen basieren.

IAMCreateRootUserPassword

Verwenden Sie die verwaltete AWS-Richtlinie IAMCreateRootUserPassword, um den Umfang der Berechtigungen einzuschränken, wenn Sie eine privilegierte Aufgabe in einem AWS Organizations-Mitgliedskonto ausführen, um die Passwortwiederherstellung für ein Mitgliedskonto ohne Root-Benutzer-Anmeldeinformationen zu ermöglichen.

Sie können IAMCreateRootUserPassword nicht an Ihre IAM-Entitäten anhängen. Diese Richtlinie ist an AssumeRoot angefügt, um privilegierte Aufgaben in einem Mitgliedskonto in Ihrer Organisation auszuführen. Weitere Informationen finden Sie unter Root-Zugriff für Mitgliedskonten zentral verwalten.

JSON

{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyCreatingPasswordOnNonRootUserResource",
         "Action": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"   
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      }
   ]
}

Berechtigungsgruppierungen

Diese Richtlinie ist in Anweisungen gruppiert, die auf den bereitgestellten Berechtigungen basieren.

IAMDeleteRootUserCredentials

Verwenden Sie die verwaltete AWS-Richtlinie IAMDeleteRootUserCredentials , um den Umfang der Berechtigungen einzuschränken, wenn Sie eine privilegierte Aufgabe in einem AWS Organizations-Mitgliedskonto ausführen, um die Root-Benutzer-Anmeldeinformationen einschließlich Passwort, Zugriffsschlüsseln und Signaturzertifikaten zu entfernen und MFA zu deaktivieren. Für diese privilegierte Aktion sind zusätzliche Berechtigungen erforderlich, sodass Sie die zuletzt verwendeten Anmeldeinformationen anzeigen, die zuletzt verwendeten Informationen für den Root-Benutzer des Mitgliedskontos überprüfen und die Berechtigungen für alle zu löschenden Root-Benutzer-Anmeldeinformationen auflisten können.

Sie können IAMDeleteRootUserCredentials nicht an Ihre IAM-Entitäten anhängen. Diese Richtlinie ist an AssumeRoot angefügt, um privilegierte Aufgaben in einem Mitgliedskonto in Ihrer Organisation auszuführen. Weitere Informationen finden Sie unter Root-Zugriff für Mitgliedskonten zentral verwalten.

JSON

{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Sid": "DenyAllOtherActionsOnAnyResource",
			"Effect": "Deny",
			"NotAction": [
				"iam:DeleteAccessKey",
				"iam:DeleteSigningCertificate",
				"iam:DeleteLoginProfile",
				"iam:DeactivateMFADevice",
				"iam:ListAccessKeys",
				"iam:ListSigningCertificates",
				"iam:GetLoginProfile",
				"iam:ListMFADevices",
				"iam:GetUser",
				"iam:GetAccessKeyLastUsed"
			],
						  
			"Resource": "*"
		},
		{
			"Sid": "DenyDeletingRootUserCredentialsOnNonRootUserResource",
			"Effect": "Deny",
			"Action": [
				"iam:DeleteAccessKey",
				"iam:DeleteSigningCertificate",
				"iam:DeleteLoginProfile",
				"iam:DeactivateMFADevice",
				"iam:ListAccessKeys",
				"iam:ListSigningCertificates",
				"iam:GetLoginProfile",
				"iam:ListMFADevices",
				"iam:GetUser",
				"iam:GetAccessKeyLastUsed"
			],
						  
			"NotResource": "arn:aws:iam::*:root"
		}
	]
}

Berechtigungsgruppierungen

Diese Richtlinie ist in Anweisungen gruppiert, die auf den bereitgestellten Berechtigungen basieren.

S3UnlockBucketPolicy

Verwenden Sie die verwaltete AWS-Richtlinie S3UnlockBucketPolicy, um den Umfang der Berechtigungen einzuschränken, wenn Sie eine privilegierte Aufgabe in einem AWS Organizations-Mitgliedskonto ausführen, um eine falsch konfigurierte Bucket-Richtlinie zu entfernen, die allen Prinzipalen den Zugriff auf einen Amazon-S3-Bucket verweigert.

Sie können S3UnlockBucketPolicy nicht an Ihre IAM-Entitäten anhängen. Diese Richtlinie ist an AssumeRoot angefügt, um privilegierte Aufgaben in einem Mitgliedskonto in Ihrer Organisation auszuführen. Weitere Informationen finden Sie unter Root-Zugriff für Mitgliedskonten zentral verwalten.

JSON

{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyManagingBucketPolicyForNonRootCallers",
         "Action": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*",
         "Condition" : {
            "ArnNotLike" : {
               "aws:PrincipalArn" : "arn:aws:iam::*:root"
            }
         }
      }
   ]
}

Berechtigungsgruppierungen

Diese Richtlinie ist in Anweisungen gruppiert, die auf den bereitgestellten Berechtigungen basieren.

SQSUnlockQueuePolicy

Verwenden Sie die verwaltete AWS-Richtlinie SQSUnlockQueuePolicy, um den Umfang der Berechtigungen einzuschränken, wenn Sie eine privilegierte Aufgabe in einem AWS Organizations-Mitgliedskonto ausführen, um eine ressourcenbasierte Richtlinie von Amazon Simple Queue Service zu löschen, die allen Prinzipalen den Zugriff auf eine Amazon-SQS-Warteschlange verweigert.

Sie können SQSUnlockQueuePolicy nicht an Ihre IAM-Entitäten anhängen. Diese Richtlinie ist an AssumeRoot angefügt, um privilegierte Aufgaben in einem Mitgliedskonto in Ihrer Organisation auszuführen. Weitere Informationen finden Sie unter Root-Zugriff für Mitgliedskonten zentral verwalten.

Berechtigungsgruppierungen

Diese Richtlinie ist in Anweisungen gruppiert, die auf den bereitgestellten Berechtigungen basieren.

IAM-Access-Analyzer-Updates für verwaltete AWS-Richtlinien

Zeigen Sie Details zu Aktualisierungen von IAM- und AWS-verwalteten Richtlinien an, seit Beginn der Verfolgung dieser Änderungen durch den Service. Um automatische Warnungen über Änderungen an dieser Seite zu erhalten, abonnieren Sie den RSS-Feed auf der IAM und Dokumentverlauf-Seite des IAM Access Analyzer.