View a markdown version of this page

Erste Schritte mit AWS Support Autorisierung - AWS Support
VoraussetzungenSchritt 1: Erstellen Sie eine AWS KMS SignaturschlüsselSchritt 2: IAM-Berechtigungen einrichtenSchritt 3: Erstellen Sie Ihre erste UnterstützungserlaubnisSchritt 4: Prüfen Sie die Support-Genehmigungsanfragen von AWS SupportNächste Schritte

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erste Schritte mit AWS Support Autorisierung

Dieses Tutorial führt Sie durch die Einrichtung AWS Support Autorisierung und Erstellung Ihrer ersten Support-Genehmigung. Sie führen die folgenden Schritte aus:

Die Fertigstellung dieses Tutorials dauert ungefähr 10 Minuten.

  1. Erstellen Sie eine AWS KMS Signaturschlüssel

  2. Einrichten von IAM-Berechtigungen

  3. Erstellen Sie Ihre erste Support-Genehmigung

  4. Prüfen Sie die Anfragen zur Support-Genehmigung von AWS Support

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Sie über Folgendes verfügen:

  • Ein aktiver AWS Konto

  • Berechtigungen zum Erstellen AWS KMS Schlüssel in Ihrem Konto

  • Berechtigungen zum Erstellen von IAM-Richtlinien und zum Anhängen dieser an Benutzer oder Rollen

Schritt 1: Erstellen Sie eine AWS KMS Signaturschlüssel

AWS Support Die Autorisierung erfordert eine AWS KMS Schlüssel mit Schlüsselspezifikation ECC_NIST_P384 und Verwendung der Schlüssel SIGN_VERIFY. Der Schlüssel muss sich in derselben Region wie Ihre Unterstützungserlaubnis befinden.

Anmerkung

Wenn Sie bereits eine haben AWS KMS Schlüssel mit Schlüsselspezifikation ECC_NIST_P384 und Verwendung der Schlüssel SIGN_VERIFY In derselben Region können Sie diesen Schritt überspringen und diesen Schlüssel verwenden.

Führen Sie den folgenden Befehl aus, um den Schlüssel zu erstellen AWS CLI-Befehl:

aws kms create-key \
    --key-usage SIGN_VERIFY \
    --key-spec ECC_NIST_P384 \
    --description "SupportAuthZ signing key" \
    --tags TagKey=supportauthz:managed,TagValue=true \
    --region us-east-1

Notieren Sie sich den Schlüssel-ARN aus der Ausgabe. Sie verwenden diesen Wert, wenn Sie Support-Genehmigungen erstellen.

Geben Sie die erforderlichen an AWS Support Erläuterungen zu den Autorisierungsrichtlinien finden Sie in der create-key anrufen. Die erforderlichen Anweisungen finden Sie unter Konfigurieren AWS KMS Schlüssel für AWS Support Autorisierung.

Beispiel Beispielausgabe
{
    "KeyMetadata": {
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Arn": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "KeySpec": "ECC_NIST_P384",
        "KeyUsage": "SIGN_VERIFY"
    }
}

Schritt 2: IAM-Berechtigungen einrichten

Hängen Sie eine IAM-Richtlinie an, die Berechtigungen gewährt für AWS Support API-Operationen zur Autorisierung. Die folgende Beispielrichtlinie gewährt Zugriff auf alle AWS Support Autorisierungsaktionen.

Die supportauthz:RegisterKey Mit der Aktion können Sie verknüpfen AWS KMS Schlüssel mit Support-Genehmigungen. Diese Aktion, für die nur Berechtigungen gelten, muss in Ihrer IAM-Richtlinie enthalten sein für AWS Support Autorisierung zum Funktionieren.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "supportauthz:CreateSupportPermit",
                "supportauthz:RegisterKey",
                "supportauthz:DeleteSupportPermit",
                "supportauthz:GetSupportPermit",
                "supportauthz:ListSupportPermits",
                "supportauthz:ListSupportPermitRequests",
                "supportauthz:RejectSupportPermitRequest",
                "supportauthz:GetAction",
                "supportauthz:ListActions"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "supportauthz.us-east-1.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "supportauthz.us-east-1.amazonaws.com",
                    "kms:RetiringServicePrincipal": "us-east-1.supportauthz.amazonaws.com",
                    "kms:GranteeServicePrincipal": "us-east-1.supportauthz.amazonaws.com"
                },
                "ForAllValues:StringEquals": {
                    "kms:GrantOperations": [
                        "DescribeKey",
                        "GetPublicKey",
                        "Sign"
                    ]
                }
            }
        }
    ]
}

Informationen zum Anhängen dieser Richtlinie an einen IAM-Benutzer oder eine IAM-Rolle finden Sie unter Hinzufügen und Entfernen von IAM-Identitätsberechtigungen in der AWS Identity and Access Management Benutzerleitfaden.

Schritt 3: Erstellen Sie Ihre erste Unterstützungserlaubnis

Erstellen Sie eine Support-Genehmigung, die autorisiert AWS Support um auf Informationen über Ihre Dienste für bestimmte Ressourcen zuzugreifen.

Console

  1. Melden Sie sich an der AWS Support Center Console an.

  2. Wählen Sie im Navigationsbereich Autorisierung unterstützen.

  3. In der Zugriff gewährt Abschnitt, wählen Sie Zugriff vorkonfigurieren.

  4. Für Art des Zugriffs, wählen Sie eine der folgenden Optionen:

    • Alle unterstützten Ressourcen in dieser Region — Gewährt umfassenden Zugriff auf Ihr gesamtes Konto in der ausgewählten Region.

    • Wählen Sie die Ressource ARN — Beschränkt den Zugriff auf eine bestimmte Ressource, die Sie anhand des ARN identifizieren.

  5. (Optional) Für Einzelheiten, geben Sie ein Name und Beschreibung für die Unterstützungserlaubnis.

  6. Für Dauer des Zugriffs, wählen Sie eine der folgenden Optionen:

    • Kein Ablauf — Der Zugang bleibt aktiv, bis Sie ihn widerrufen.

    • Benutzerdefinierte Dauer — Legen Sie ein bestimmtes Zeitfenster fest, in dem die Support-Genehmigung gültig ist.

  7. Für Aktionen, wähle die Aktionen aus, die AWS Support darf ausführen:

    • Wählen Sie den Alle Aktionen Kontrollkästchen, um alle verfügbaren Aktionen für die abgedeckten Ressourcen zuzulassen. Dadurch wird das Limit von 10 Aktionen aufgehoben.

    • Um bestimmte Aktionen auszuwählen, deaktivieren Sie das Alle Aktionen Kontrollkästchen. Wählen Sie einen Dienst aus dem Dienste Liste und wählen Sie dann bis zu 10 einzelne Aktionen aus der Aktionstabelle aus.

  8. Für Schlüssel zum Signieren, wähle eine AWS KMS Schlüssel aus der Dropdownliste. Um einen neuen Schlüssel zu erstellen, wählen Sie KMS-Signaturschlüssel erstellen.

  9. Wählen Sie Absenden aus.

AWS CLI

Führen Sie den folgenden Befehl aus, um eine zeitlich begrenzte Support-Genehmigung für eine bestimmte Ressource zu erstellen:

aws supportauthz create-support-permit \
    --name "MyFirstPermit" \
    --signing-key-info '{"kmsKey": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"}' \
    --permit '{
        "actions": {"allActions": {}},
        "resources": {"resources": ["arn:aws:rds:us-east-1:111122223333:cluster:my-aurora-cluster"]},
        "conditions": [
            {"allowAfter": "2026-06-01T00:00:00Z"},
            {"allowBefore": "2026-07-01T00:00:00Z"}
        ]
    }'

Diese Support-Genehmigung autorisiert AWS Support um im Juni 2026 alle verfügbaren Aktionen auf dem angegebenen Amazon Aurora-Cluster durchzuführen.

Schritt 4: Prüfen Sie die Support-Genehmigungsanfragen von AWS Support

Wann AWS Support benötigt Zugriff auf Informationen über Ihre Dienste und es liegt keine entsprechende Support-Genehmigung vor, AWS Support reicht eine Anfrage für eine Support-Genehmigung ein. Sie können ausstehende Anfragen anzeigen und sie genehmigen oder ablehnen.

Console

  1. Melden Sie sich an der AWS Support Center Console an.

  2. Wählen Sie im Navigationsbereich Autorisierung unterstützen.

  3. In der Ausstehende Zugriffsanfragen Abschnitt, überprüfen Sie die Liste der Anfragen. Zu jeder Anfrage werden der zugehörige Support-Fall, der Service, der ARN der Support-Genehmigungsanforderung, der Status und das Zugriffsdatum der Anfrage angezeigt.

  4. (Optional) Um Anfragen zu filtern, verwenden Sie das Status und Bedienung Dropdownfilter oder suchen Sie im Suchfeld nach Ressourcen.

  5. Um eine Anfrage zu genehmigen oder abzulehnen, wählen Sie Den Zugriff auf den Support verwalten.

AWS CLI

Führen Sie den folgenden Befehl aus, um ausstehende Anfragen aufzulisten:

aws supportauthz list-support-permit-requests
Beispiel Beispielausgabe
{
    "supportPermitRequests": [
        {
            "arn": "arn:aws:supportauthz:us-east-1:111122223333:supportpermitrequest/req-1234abcd",
            "status": "PENDING",
            "supportCaseDisplayId": "case-12345678",
            "requestedActions": ["rds:ReadClusterData"],
            "requestedResources": ["arn:aws:rds:us-east-1:111122223333:cluster:my-aurora-cluster"],
            "createdAt": "2026-06-01T12:00:00Z"
        }
    ]
}

Um diese Anfrage zu genehmigen, erstellen Sie eine Support-Genehmigung, die den angeforderten Umfang abdeckt:

aws supportauthz create-support-permit \
    --name "ApproveCase12345678" \
    --signing-key-info '{"kmsKey": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"}' \
    --support-case-display-id "case-12345678" \
    --permit '{
        "actions": {"actions": ["rds:ReadClusterData"]},
        "resources": {"resources": ["arn:aws:rds:us-east-1:111122223333:cluster:my-aurora-cluster"]},
        "conditions": [
            {"allowBefore": "2026-06-15T00:00:00Z"}
        ]
    }'

Führen Sie den folgenden Befehl aus, um eine Anfrage abzulehnen. Dadurch wird benachrichtigt AWS Support dass Sie die Anfrage nicht annehmen möchten. Das Ablehnen einer Anfrage hindert Sie nicht daran, später eine Support-Genehmigung für dieselben Aktionen und Ressourcen zu erstellen.

aws supportauthz reject-support-permit-request \
    --request-arn "arn:aws:supportauthz:us-east-1:111122223333:supportpermitrequest/request-id"

Prüfen Sie jede Anfrage und entscheiden Sie, ob Sie sie genehmigen oder ablehnen möchten:

  • Um zu genehmigen: Erstellen Sie eine Support-Genehmigung, die den angeforderten Umfang abdeckt. Schließen Sie die ein supportCaseDisplayId Parameter, um die Support-Genehmigung automatisch zu deaktivieren, wenn der Fall geschlossen wird.

  • Zum Ablehnen: Rufen Sie an RejectSupportPermitRequest zu benachrichtigen AWS Support dass Sie die Anfrage nicht annehmen möchten. Das Ablehnen einer Anfrage hindert Sie nicht daran, später eine Support-Genehmigung für dieselben Aktionen und Ressourcen zu erstellen.

Nächste Schritte

Nachdem Sie dieses Tutorial abgeschlossen haben, lesen Sie die folgenden Themen: