Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erwartete Netzwerke

Mit AWS-Managementkonsole Private Access können Sie erzwingen, dass Benutzer AWS-Managementkonsole nur über zugelassene Netzwerke wie Ihre VPCs oder über lokale Rechenzentren, die über oder verbunden sind, auf diese zugreifen. Direct Connect AWS Site-to-Site VPN Dadurch wird der Zugriff von unerwarteten Standorten aus verhindert, selbst wenn Benutzer über gültige Anmeldeinformationen verfügen.

Um diese Netzwerkkontrollen durchzusetzen, verwenden Sie drei Arten von Richtlinien:

Diese Richtlinien ergänzen sich und funktionieren zusammen. Identitätsbasierte IAM-Richtlinien und ressourcenbasierte Richtlinien gelten für alle Zugriffsmethoden, einschließlich AWS CLI und SDKs, und steuern AWS-Managementkonsole, auf welche Ressourcen ein Principal nach der Authentifizierung zugreifen kann. AWS-Anmeldung RBPs und RCPs gelten nur für die Konsolenanmeldung selbst — sie können unbefugte Anmeldeversuche verhindern, schränken jedoch nicht die Ressourcen ein, auf die eine authentifizierte Sitzung zugreifen kann.

Beschränken Sie den Servicezugriff mithilfe von aws: SourceVpc

Sie können den Servicezugriff mithilfe des aws:SourceVpc Bedingungsschlüssels nach Netzwerk einschränken. Es funktioniert sowohl mit identitätsbasierten IAM-Richtlinien (verknüpft mit Benutzern, Benutzergruppen oder Rollen) als auch mit ressourcenbasierten Richtlinien (verknüpft mit AWS Ressourcen wie Amazon S3 S3-Buckets oder Schlüsseln). AWS KMS Für AWS-Managementkonsole Private Access aws:SourceVpc ist dies der empfohlene Bedingungsschlüssel für die Beschränkung des Servicezugriffs über das Netzwerk. Das folgende Beispiel zeigt eine identitätsbasierte Richtlinie, die den Zugriff auf Amazon Simple Storage Service verweigert, sofern die Anfrage nicht von Ihrer angegebenen VPC stammt.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "S3:*",
            "Resource": "*",
            "Condition": {
                "StringNotEqualsIfExists": {
                    "aws:SourceVpc": "vpc-12345678"
                },
                "Bool": {
                    "aws:ViaAwsService": "false"
                }
            }
        }
    ]
}

Wie AWS-Managementkonsole Private Access funktioniert mit aws: SourceVpce

In diesem Abschnitt werden die verschiedenen Netzwerkpfade beschrieben, über die die von Ihnen generierten Anfragen weitergeleitet AWS-Managementkonsole werden können AWS-Services. AWS Servicekonsolen verwenden eine Mischung aus direkten Browseranfragen und Anfragen, an die die AWS-Managementkonsole Webserver weiterleiten. AWS-Services Diese Implementierungen können ohne vorherige Ankündigung geändert werden. Wenn Ihre Sicherheitsanforderungen den Zugriff AWS-Services auf VPC-Endpunkte beinhalten, empfehlen wir Ihnen, VPC-Endpunkte für alle Dienste zu konfigurieren, die Sie von VPC aus verwenden möchten, unabhängig davon, ob sie direkt von oder über Private Access aus CLI/IDE genutzt werden sollen. AWS-Managementkonsole Darüber hinaus empfehlen wir, in Ihren Richtlinien die aws:SourceVpc IAM-Bedingung anstelle bestimmter aws:SourceVpce Werte für die Private Access-Funktion zu verwenden. AWS-Managementkonsole

Nachdem sich ein Benutzer bei angemeldet hat AWS-Managementkonsole, stellt er Anfragen AWS-Services über eine Kombination aus direkten Browseranfragen und Anfragen, die von AWS-Managementkonsole Webservern an Server weitergeleitet werden. AWS Anfragen zu CloudWatch Grafikdaten werden beispielsweise direkt vom Browser aus gestellt. Einige Anfragen an die AWS Servicekonsole, wie Amazon S3, werden dagegen vom Webserver per Proxy an Amazon S3 weitergeleitet.

Bei direkten Browseranfragen ändert die Verwendung von AWS-Managementkonsole Private Access nichts. Wie zuvor erreicht die Anfrage den Services über den Netzwerkpfad, den die VPC für monitoring.region.amazonaws.com konfiguriert hat. Wenn die VPC mit einem VPC-Endpunkt für konfiguriert istcom.amazonaws.region.monitoring, wird die Anfrage CloudWatch über diesen CloudWatch VPC-Endpunkt erreicht. Wenn es keinen VPC-Endpunkt für gibt CloudWatch, erreicht CloudWatch die Anfrage ihren öffentlichen Endpunkt über ein Internet Gateway auf der VPC. Anfragen, die über den CloudWatch VPC-Endpunkt CloudWatch eingehen, haben die IAM-Bedingungen aws:SourceVpc und werden auf ihre jeweiligen Werte aws:SourceVpce gesetzt. Diejenigen, die CloudWatch den öffentlichen Endpunkt erreichen, werden auf die Quell-IP-Adresse der Anfrage aws:SourceIp eingestellt. Weitere Informationen über diese IAM-Bedingungsschlüssel finden Sie unter Globale Bedingungsschlüssel im IAM-Benutzerhandbuch.

Für Anfragen, die vom AWS-Managementkonsole Webserver weitergeleitet werden, wie z. B. die Anfrage, die die Amazon S3 S3-Konsole stellt, um Ihre Buckets aufzulisten, wenn Sie die Amazon S3 S3-Konsole aufrufen, ist der Netzwerkpfad anders. Diese Anfragen werden nicht von Ihrer VPC, sondern vom AWS-Managementkonsole Webserver initiiert und verwenden daher nicht den Amazon S3 S3-VPC-Endpunkt, den Sie möglicherweise konfiguriert haben. Wenn Sie AWS-Managementkonsole Private Access jedoch mit unterstützten Diensten verwenden, enthalten diese Anfragen (z. B. an Amazon S3) den aws:SourceVpc Bedingungsschlüssel in ihrem Anforderungskontext. Der aws:SourceVpc-Bedingungsschlüssel wird auf die VPC-ID gesetzt, auf der Ihre AWS-Managementkonsole -Private Access-Endpunkte für Anmeldung und Konsole bereitgestellt werden. Die aws:SourceVpce Bedingung wird auf die jeweilige VPC-Endpunkt-ID der Konsole gesetzt.

Beschränken Sie den Konsolenzugriff mit AWS-Anmeldung Richtlinien

AWS-Anmeldung Ressourcenbasierte Richtlinien (RBPs) gelten für Einzelpersonen. AWS-Konten Richtlinien zur Ressourcenkontrolle (RCPs) gelten unternehmensweit durchgehend. AWS Organizations Beide verweigern die Konsolenanmeldung, wenn die Anfrage nicht von Ihren angegebenen IP-Bereichen oder VPCs stammt.

Informationen zur Konfiguration von AWS-Anmeldung RBPs und RCPs finden Sie im Benutzerhandbuch unter Steuern des Konsolenzugriffs mit ressourcenbasierten Richtlinien und Ressourcensteuerungsrichtlinien.AWS-Anmeldung