Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Leitlinien zur Bewertung der politischen Maßnahmen
AWS bewertet Ihre eingereichten Richtlinien anhand einer Reihe von Richtlinien. Die gleichen Bewertungsrichtlinien gelten sowohl für Richtlinienvorlagen als auch für Genehmigungsgrenzen, wobei gegebenenfalls geringfügige Unterschiede vermerkt werden.
Zu Bewertungszwecken werden die Dienste in verschiedene Gruppen unterteilt. Die wichtigste Unterscheidung gilt für sicherheitsrelevante Dienste, die Zugriff, Anmeldeinformationen und Schlüssel verwalten. Richtlinien, die den Zugriff auf diese Dienste gewähren, müssen eng auf die zu erledigende Arbeit ausgerichtet sein. Security-sensitive Zu den Diensten gehören: AWS Identity and Access Management (IAM), AWS Key Management Service (KMS), AWS Resource Access Manager (RAM), AWS IAM Identity Center, AWS Organizations und Secrets Manager. AWS
Ein zweiter Unterschied sind Dienste, die über Kontogrenzen hinweg auf Daten zugreifen können. Die Richtlinien für diese Dienste müssen Schutzmaßnahmen enthalten, um unbeabsichtigten kontoübergreifenden Zugriff zu verhindern.
Allgemeine Validierungen
Alle Grundsatzerklärungen müssen diesen Richtlinien entsprechen:
Alle Aussagen müssen die Felder Effekt, Aktion (oder NotAction), Ressource und Bedingung in dieser Reihenfolge enthalten
Alle Aktionen innerhalb einer einzelnen Anweisung müssen alphabetisch aufgelistet werden
Alle in der Richtlinie enthaltenen ARNs müssen der Syntax entsprechen, die in der öffentlichen Dokumentation für die entsprechenden Dienste definiert ist
NotAction Felder können nur in Deny-Anweisungen verwendet werden
Aktionen in Allow-Anweisungen müssen einen Servicecode enthalten. Generische Platzhalter („*“) sind nicht zulässig
Security-sensitive Serviceeinschränkungen
Die folgenden Einschränkungen gelten für die oben genannten sicherheitsrelevanten Dienste:
Aktionen in Allow-Anweisungen müssen spezifischer sein als [service] :*
Aktionen in Allow-Anweisungen für Vorlagen für temporäre Zugriffsrichtlinien dürfen keine Platzhalter enthalten
Vertrauliche Aktionen wie iam: PassRole oder iam: erfordern einen zusätzlichen GeltungsbereichCreateServiceLinkedRole, z. B. bestimmte Ressourcen oder bedingte Prüfungen. Zu diesen Aktionen gehören:
IAM-Rollenübergabe
Aktionen zur Änderung von IAM-Rollen
Maßnahmen zur Änderung der IAM-Richtlinie
AWS KMS-Schreib- oder kryptografische Operationen
AWS Operationen zum Schreiben oder Teilen von RAM
AWS Secrets Manager-Operationen zum Abrufen oder Ändern von Geheimnissen oder zum Ändern von Ressourcenrichtlinien
Bei anderen Aktionen wird möglicherweise eine Platzhalterressource verwendet, z. B. iam: oder iam: ListUsers GetPolicy
Aktionen, die Anmeldeinformationen verwalten, wie z. B. iam:, werden blockiert CreateAccessKey
IAM-specific Einschränkungen
Für IAM:
Für IAM-Rollen und -Richtlinien sind nur begrenzte Schreibvorgänge zulässig. Sie können keine Berechtigungen für andere IAM-Ressourcen wie Benutzer, Gruppen und Zertifikate anfordern.
Aktionen zum Anhängen von Richtlinien oder zur integrierten Richtlinienverwaltung sind auf Rollen mit einer Berechtigungsgrenze beschränkt. Die Berechtigungsgrenzen müssen vom Partner bereitgestellt werden oder auf einer Liste zulässiger AWS verwalteter Richtlinien stehen. AWS Verwaltete Richtlinien sind möglicherweise zulässig, wenn sie keine besonders privilegierten oder administrativen Berechtigungen gewähren. Beispielsweise könnten AWS verwaltete Richtlinien für bestimmte Aufgabenbereiche oder die SecurityAudit Richtlinie akzeptabel sein. AWS wird jede AWS verwaltete Richtlinie während des Onboarding-Prozesses von Fall zu Fall überprüfen.
Die Richtlinienverwaltung ist nur für Richtlinien mit einem partnerspezifischen Pfad zulässig: arn:aws:iam: :@ {}: .com/ [feature] * AccountId policy/partner_domain
Tags dürfen nur bei der Erstellung von Ressourcen und nur für Rollen und Richtlinien angewendet werden
iam: PassRole Prüfungen müssen mit einem bestimmten Namen oder Pfadpräfix übereinstimmen
AWS STS-spezifische Einschränkungen
Für AWS STS:
sts: AssumeRole muss auf einen bestimmten Rollen-ARN, ein Rollen-ARN-Präfix beschränkt oder auf eine Gruppe von Konten oder Organisationseinheiten beschränkt sein ID/organizational
Einschränkungen für IAM Identity Center
Für AWS IAM Identity Center sind die folgenden Aktionen blockiert:
Alle Aktionen, die sich mit der Rechteverwaltung befassen (z. B. sso:AttachCustomerManagedPolicyReferenceToPermissionSet)
Benutzer-, Gruppen- und Mitgliedschaftsänderungen für AWS Identity Store
Verwaltung von Stichwörtern
AWS Einschränkungen für Organisationen
Für AWS Organisationen sind nur Leseaktionen zulässig.
Zusätzliche dienstspezifische Validierungen
Aktionen, die Geheimnisse oder Anmeldeinformationen abrufen, wie Glue: GetConnection oder Redshift:GetClusterCredentials, müssen Bedingungen erfüllen, die entweder vollständigen ARNs, ARN-Präfixen oder Tags entsprechen
Für Amazon Redshift: GetClusterCredentials ist redshift: nur für einen bestimmten Datenbanknamen zulässig, und redshift: GetClusterCredentialsWithIAM ist nur für einen bestimmten Arbeitsgruppennamen zulässig
Anmerkung
Bei der Verwaltung der IAM-Ressourcen im Konto empfehlen wir, einen Pfad zu verwenden, der Ihren Namen angibt, z. B. arn:aws:iam: :111122223333:. role/partner com/rolename. Dies hilft Ihnen dabei, die mit Ihrer Integration verbundenen Ressourcen von der Konkurrenz abzuheben und Kunden die Erkennung, Prüfung und Analyse zu erleichtern.
Cross-account Anforderungen für den Zugriff
Kontoauszüge, die potenziell einen kontoübergreifenden Zugriff ermöglichen, müssen mindestens eine der folgenden Angaben enthalten:
Eine Bedingung, die das Konto oder die Organisation für die Ressource angibt (z. B. aws: ResourceOrgId entspricht einem oder mehreren erwarteten Werten)
Ein Ressourcenfeld, das ein bestimmtes Konto enthält (z. B. arn:aws:sqs: *:111122223333: *)
Ein Ressourcenfeld, das ein Konto ohne Platzhalter und einen vollständigen Ressourcennamen enthält (z. B. arn:aws:s3: ::full-bucket-name)
Anmerkung
Cross-account Zugriff ist eine sensible Funktion, die eine klare geschäftliche Begründung erfordert. AWS wird während des Onboarding-Prozesses sorgfältig prüfen, ob ein kontoübergreifender Zugriff erforderlich ist.
