AWS Cloud9 ist für Neukunden nicht mehr verfügbar. Bestandskunden von AWS Cloud9 können den Service weiterhin wie gewohnt nutzen. Weitere Informationen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Identity and Access Management für AWS Cloud9

AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren kontrollieren, wer authentifiziert (angemeldet) und autorisiert werden kann (über Berechtigungen verfügt), um Ressourcen zu verwenden. AWS Cloud9 IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können.

Zielgruppe

Wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von Ihrer Rolle ab:

Authentifizierung mit Identitäten

Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos

Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zur Anmeldung finden Sie im Benutzerhandbuch unter So melden Sie sich bei Ihrem AWS-Konto anAWS-Anmeldung .

AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter AWS Signature Version 4 für API-Anfragen.

AWS-Konto Root-Benutzer

Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto Root-Benutzer, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir empfehlen dringend, den Root-Benutzer nicht für alltägliche Aufgaben zu verwenden. Informationen zu Aufgaben, für die Root-Benutzeranmeldedaten erforderlich sind, finden Sie im IAM-Benutzerhandbuch unter Aufgaben, für die Root-Benutzeranmeldedaten erforderlich sind.

Verbundidentität

Als bewährte Methode sollten menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden.

Eine föderierte Identität ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem AWS Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Föderierte Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen.

Für eine zentralisierte Zugriffsverwaltung empfehlen wir. AWS IAM Identity Center Weitere Informationen finden Sie unter Was ist IAM Identity Center? im AWS IAM Identity Center -Benutzerhandbuch.

IAM-Benutzer und -Gruppen

Ein IAM-Benutzer ist eine Identität mit spezifischen Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen, temporäre Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen zu verwenden. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zuzugreifen.

Eine IAM-Gruppe spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Benutzergruppen. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Anwendungsfälle für IAM-Benutzer.

IAM roles

Eine IAM-Rolle ist eine Identität mit bestimmten Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie von einem Benutzer zu einer IAM-Rolle (Konsole) wechseln oder indem Sie eine AWS CLI oder AWS API-Operation aufrufen. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Methoden zur Übernahme einer Rolle.

IAM-Rollen sind nützlich für Verbundbenutzerzugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, dienstübergreifenden Zugriff und Anwendungen, die auf Amazon ausgeführt werden. EC2 Weitere Informationen finden Sie unter Kontoübergreifender Ressourcenzugriff in IAM im IAM-Benutzerhandbuch.

Verwalten des Zugriffs mit Richtlinien

Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an Identitäten oder Ressourcen anhängen. AWS Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie im IAM-Benutzerhandbuch unter Überblick über JSON-Richtlinien.

Mithilfe von Richtlinien legen Administratoren fest, wer auf was Zugriff hat, indem sie definieren, welcher Principal Aktionen mit welchen Ressourcen und unter welchen Bedingungen ausführen kann.

Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie Rollen hinzu, die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung des Vorgangs verwendet wird.

Identitätsbasierte Richtlinien

Identitätsbasierte Richtlinien sind Richtliniendokumente für JSON-Berechtigungen, die Sie an eine Identität (Benutzer, Gruppe oder Rolle) anhängen. Diese Richtlinien steuern, welche Aktionen Identitäten auf welchen Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien im IAM-Benutzerhandbuch.

Bei identitätsbasierten Richtlinien kann es sich um Inline-Richtlinien (direkt in eine einzelne Identität eingebettet) oder um verwaltete Richtlinien (eigenständige Richtlinien, die mehreren Identitäten zugeordnet sind) handeln. Informationen zur Auswahl zwischen verwalteten und Inline-Richtlinien finden Sie im IAM-Benutzerhandbuch unter Wählen Sie zwischen verwalteten Richtlinien und Inline-Richtlinien.

Ressourcenbasierte Richtlinien

Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind Vertrauensrichtlinien für IAM-Rollen und Amazon S3 S3-Bucket-Richtlinien. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie einen Prinzipal angeben.

Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden.

Weitere Richtlinientypen

AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden:

Mehrere Richtlinientypen

Wenn mehrere auf eine Anforderung mehrere Richtlinientypen angewendet werden können, sind die entsprechenden Berechtigungen komplizierter. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter Bewertungslogik für Richtlinien im IAM-Benutzerhandbuch.

Wie AWS Cloud9 funktioniert mit IAM

Bevor Sie IAM zur Verwaltung des Zugriffs auf verwenden, sollten Sie sich darüber informieren AWS Cloud9, mit welchen IAM-Funktionen Sie arbeiten können. AWS Cloud9

Einen allgemeinen Überblick darüber, wie AWS Cloud9 und andere AWS Dienste mit den meisten IAM-Funktionen funktionieren, finden Sie im IAM-Benutzerhandbuch unter AWS Dienste, die mit IAM funktionieren.

Identitätsbasierte Richtlinien für AWS Cloud9

Unterstützt Richtlinien auf Identitätsbasis: Ja

Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien im IAM-Benutzerhandbuch.

Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der IAM-Referenz für JSON-Richtlinienelemente im IAM-Benutzerhandbuch.

Beispiele für identitätsbasierte Richtlinien für AWS Cloud9

Beispiele für AWS Cloud9 identitätsbasierte Richtlinien finden Sie unter. Beispiele für identitätsbasierte Richtlinien für AWS Cloud9

Ressourcenbasierte Richtlinien finden Sie in AWS Cloud9

Unterstützt ressourcenbasierte Richtlinien: Nein

Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-Rollen-Vertrauensrichtlinien und Amazon-S3-Bucket-Richtlinien. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie einen Prinzipal angeben. Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder gehören. AWS-Services

Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Weitere Informationen finden Sie unter Kontoübergreifender Ressourcenzugriff in IAM im IAM-Benutzerhandbuch.

AWS Cloud9 unterstützt keine ressourcenbasierten Richtlinien, aber Sie können die Berechtigungen für AWS Cloud9 Umgebungsressourcen für AWS Cloud9 Umgebungsmitglieder dennoch über die API und die AWS Cloud9 IDE steuern. AWS Cloud9

Richtlinienaktionen für AWS Cloud9

Unterstützt Richtlinienaktionen: Ja

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das Element Action einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Schließen Sie Aktionen in eine Richtlinie ein, um Berechtigungen zur Durchführung der zugeordneten Operation zu erteilen.

Eine Liste der AWS Cloud9 Aktionen finden Sie unter Aktionen definiert von AWS Cloud9 in der Serviceautorisierungsreferenz.

Bei Richtlinienaktionen wird vor der Aktion das folgende Präfix AWS Cloud9 verwendet:

account

Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata:

"Action": [
      "account:action1",
      "account:action2"
         ]

Beispiele für AWS Cloud9 identitätsbasierte Richtlinien finden Sie unter. Beispiele für identitätsbasierte Richtlinien für AWS Cloud9

Politische Ressourcen für AWS Cloud9

Unterstützt Richtlinienressourcen: Ja

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das JSON-Richtlinienelement Resource gibt die Objekte an, auf welche die Aktion angewendet wird. Als bewährte Methode geben Sie eine Ressource mit dem zugehörigen Amazon-Ressourcennamen (ARN) an. Verwenden Sie bei Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (*), um anzugeben, dass die Anweisung für alle Ressourcen gilt.

"Resource": "*"

Eine Liste der AWS Cloud9 Ressourcentypen und ihrer ARNs Ressourcen finden Sie unter Ressourcen definiert von AWS Cloud9 in der Service Authorization Reference. Informationen zu den Aktionen, mit denen Sie den ARN einzelner Ressourcen angeben können, finden Sie unter Von AWS Cloud9 definierte Aktionen.

Beispiele für AWS Cloud9 identitätsbasierte Richtlinien finden Sie unter. Beispiele für identitätsbasierte Richtlinien für AWS Cloud9

Bedingungsschlüssel für Richtlinien für AWS Cloud9

Unterstützt servicespezifische Richtlinienbedingungsschlüssel: Ja

Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher Prinzipal Aktionen für welche Ressourcen und unter welchen Bedingungen ausführen kann.

Das Condition Element gibt auf der Grundlage definierter Kriterien an, wann Anweisungen ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die Bedingungsoperatoren verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter Kontextschlüssel für AWS globale Bedingungen im IAM-Benutzerhandbuch.

Eine Liste der AWS Cloud9 Bedingungsschlüssel finden Sie unter Bedingungsschlüssel für AWS Cloud9 in der Service Authorization Reference. Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter Aktionen definiert von AWS Cloud9.

Beispiele für AWS Cloud9 identitätsbasierte Richtlinien finden Sie unter. Beispiele für identitätsbasierte Richtlinien für AWS Cloud9

ACLs in AWS Cloud9

Unterstützt ACLs: Nein

Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat.

ABAC mit AWS Cloud9

Unterstützt ABAC (Tags in Richtlinien): Ja

Die attributebasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, die Berechtigungen auf der Grundlage von Attributen definiert, die als Tags bezeichnet werden. Sie können Tags an IAM-Entitäten und AWS -Ressourcen anhängen und dann ABAC-Richtlinien entwerfen, um Operationen zu ermöglichen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt.

Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer Richtlinie Tag-Informationen an, indem Sie die Schlüssel aws:ResourceTag/key-name, aws:RequestTag/key-name, oder Bedingung aws:TagKeys verwenden.

Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service Ja. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert Teilweise.

Weitere Informationen zu ABAC finden Sie unter Definieren von Berechtigungen mit ABAC-Autorisierung im IAM-Benutzerhandbuch. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe Attributbasierte Zugriffskontrolle (ABAC) verwenden im IAM-Benutzerhandbuch.

Verwenden temporärer Anmeldeinformationen mit AWS Cloud9

Unterstützt temporäre Anmeldeinformationen: Ja

Temporäre Anmeldeinformationen ermöglichen kurzfristigen Zugriff auf AWS Ressourcen und werden automatisch erstellt, wenn Sie einen Verbund verwenden oder die Rollen wechseln. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter Temporäre Sicherheitsanmeldeinformationen in IAM und AWS-Services die funktionieren mit IAM im IAM-Benutzerhandbuch.

Zugriffssitzungen weiterleiten für AWS Cloud9

Unterstützt Forward Access Sessions (FAS): Ja

Forward-Access-Sitzungen (FAS) verwenden die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anforderung, Anfragen AWS-Service an nachgelagerte Dienste zu stellen. Einzelheiten zu den Richtlinien für FAS-Anfragen finden Sie unter Zugriffssitzungen weiterleiten.

Servicerollen für AWS Cloud9

Unterstützt Servicerollen: Ja

Eine Servicerolle ist eine IAM-Rolle, die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service im IAM-Benutzerhandbuch.

Dienstbezogene Rollen für AWS Cloud9

Unterstützt serviceverknüpfte Rollen: Ja

Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.

Details zum Erstellen oder Verwalten von serviceverknüpften Rollen finden Sie unter AWS -Services, die mit IAM funktionieren. Suchen Sie in der Tabelle nach einem Service mit einem Yes in der Spalte Service-linked role (Serviceverknüpfte Rolle). Wählen Sie den Link Yes (Ja) aus, um die Dokumentation für die serviceverknüpfte Rolle für diesen Service anzuzeigen.

Beispiele für identitätsbasierte Richtlinien für AWS Cloud9

Benutzer und Rollen haben standardmäßig nicht die Berechtigung, AWS Cloud9 -Ressourcen zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen.

Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter Erstellen von IAM-Richtlinien (Konsole) im IAM-Benutzerhandbuch.

Einzelheiten zu Aktionen und Ressourcentypen, die von definiert wurden AWS Cloud9, einschließlich des Formats von ARNs für die einzelnen Ressourcentypen, finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für AWS Cloud9 in der Referenz zur Serviceautorisierung.

Bewährte Methoden für Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand AWS Cloud9 Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Bewährte Methoden für die Sicherheit in IAM im IAM-Benutzerhandbuch.

Verwenden der AWS Cloud9 -Konsole

Um auf die AWS Cloud9 Konsole zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den AWS Cloud9 Ressourcen in Ihrem aufzulisten und anzuzeigen AWS-Konto. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie.

Sie müssen Benutzern, die nur die API AWS CLI oder die AWS API aufrufen, keine Mindestberechtigungen für die Konsole gewähren. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die die Benutzer ausführen möchten.

Um sicherzustellen, dass Benutzer und Rollen die AWS Cloud9 Konsole weiterhin verwenden können, fügen Sie den Entitäten auch die AWS Cloud9 ConsoleAccess oder die ReadOnly AWS verwaltete Richtlinie hinzu. Weitere Informationen finden Sie unter Hinzufügen von Berechtigungen zu einem Benutzer im IAM-Benutzerhandbuch.

Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer

In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der AWS CLI AWS OR-API.

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Problembehandlung bei AWS Cloud9 Identität und Zugriff

Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit AWS Cloud9 und IAM auftreten können.

Ich bin nicht berechtigt, eine Aktion durchzuführen in AWS Cloud9

Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht zur Durchführung einer Aktion berechtigt sind, müssen Ihre Richtlinien aktualisiert werden, damit Sie die Aktion durchführen können.

Der folgende Beispielfehler tritt auf, wenn der IAM-Benutzer mateojackson versucht, über die Konsole Details zu einer fiktiven my-example-widget-Ressource anzuzeigen, jedoch nicht über awes:GetWidget-Berechtigungen verfügt.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: awes:GetWidget on resource: my-example-widget

In diesem Fall muss die Richtlinie für den Benutzer mateojackson aktualisiert werden, damit er mit der awes:GetWidget-Aktion auf die my-example-widget-Ressource zugreifen kann.

Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.

Ich bin nicht berechtigt, iam auszuführen: PassRole

Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht autorisiert sind, die iam:PassRole-Aktion auszuführen, müssen Ihre Richtlinien aktualisiert werden, damit Sie eine Rolle an AWS Cloud9übergeben können.

Einige AWS-Services ermöglichen es Ihnen, eine bestehende Rolle an diesen Dienst zu übergeben, anstatt eine neue Servicerolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst.

Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen marymajor versucht, die Konsole zu verwenden, um eine Aktion in AWS Cloud9 auszuführen. Um die Aktion ausführen zu können, benötigt der Service jedoch Berechtigungen, die von einer Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion iam:PassRole ausführen zu können.

Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.

Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine AWS Cloud9 Ressourcen ermöglichen

Sie können eine Rolle erstellen, die Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation für den Zugriff auf Ihre Ressourcen verwenden können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren.

Weitere Informationen finden Sie hier:

Wie AWS Cloud9 funktioniert mit IAM-Ressourcen und -Vorgängen

AWS Identity and Access Management wird verwendet, um die Berechtigungen zu verwalten, die es Ihnen ermöglichen, sowohl mit AWS Cloud9 Entwicklungsumgebungen als auch mit anderen Ressourcen AWS-Services zu arbeiten.

AWS Cloud9 Ressourcen und Abläufe

AWS Cloud9 In ist die primäre Ressource eine AWS Cloud9 Entwicklungsumgebung. In einer Richtlinie identifizieren Sie die Ressource, für welche die Richtlinie gilt, mithilfe eines Amazon-Ressourcennamens (ARN). In der folgenden Tabelle ist die Umgebung aufgeführt ARNs. Weitere Informationen finden Sie unter Amazon Resource Names (ARNs) und AWS Service Namespaces in der. Allgemeine Amazon Web Services-Referenz

Verwenden Sie den Amazon-Ressourcennamen (ARN) zum Beispiel wie folgt, um eine bestimmte Umgebung in der Anweisung anzugeben.

"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:70d899206236474f9590d93b7c41dfEX"

Um alle Ressourcen anzugeben, verwenden Sie das Platzhalterzeichen (*) im Resource-Element.

"Resource": "*"

Um mehrere Ressourcen in einer einzigen Anweisung anzugeben, trennen Sie ihre Amazon-Ressourcennamen (ARNs) durch Kommas.

"Resource": [
  "arn:aws:cloud9:us-east-2:123456789012:environment:70d899206236474f9590d93b7c41dfEX",
  "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
]

AWS Cloud9 bietet eine Reihe von Operationen für die Arbeit mit AWS Cloud9 Ressourcen. Die Liste finden Sie unter AWS Cloud9 Referenz zu Berechtigungen.

Grundlegendes zum Eigentum an Ressourcen

Das AWS-Konto Konto besitzt die Ressourcen, die im Konto erstellt wurden, unabhängig davon, wer die Ressourcen erstellt hat.

Berücksichtigen Sie die folgenden Anwendungsfälle und Szenarien:

Verwaltung des Zugriffs auf -Ressourcen

Eine Berechtigungsrichtlinie beschreibt, wer Zugriff auf welche Ressourcen hat.

An eine IAM-Identität angehängte Richtlinien werden als identitätsbasierte Richtlinien (oder IAM-Richtlinien) bezeichnet. Mit einer Ressource verknüpfte Richtlinien werden als ressourcenbasierte Richtlinien bezeichnet. AWS Cloud9 unterstützt sowohl identitäts- als auch ressourcenbasierte Richtlinien.

Die folgenden API-Aktionen erfordern lediglich die Anfügung einer IAM-Richtlinie an die IAM-Identität, die die jeweilige API-Aktion aufrufen möchte.

Die folgenden API-Aktionen erfordern eine ressourcenbasierte Richtlinie. Eine IAM-Richtlinie ist nicht erforderlich, AWS Cloud9 verwendet jedoch eine IAM-Richtlinie, wenn sie an die IAM-Identität angehängt ist, die diese API-Aktionen aufrufen möchte. Die ressourcenbasierte Richtlinie muss auf die gewünschte Ressource angewendet werden: AWS Cloud9

Details zur Funktionsweise dieser API-Aktionen finden Sie in der AWS Cloud9 -API-Referenz.

Sie können eine ressourcenbasierte Richtlinie nicht direkt an eine Ressource anhängen. AWS Cloud9 Hängt stattdessen AWS Cloud9 die entsprechenden ressourcenbasierten Richtlinien an AWS Cloud9 Ressourcen an, wenn Sie Umgebungsmitglieder hinzufügen, ändern, aktualisieren oder löschen.

Um einem Benutzer Berechtigungen zur Ausführung von Aktionen an AWS Cloud9 Ressourcen zu gewähren, fügen Sie einer IAM-Gruppe, der der Benutzer angehört, eine Berechtigungsrichtlinie hinzu. Wir empfehlen, dass Sie, AWS Cloud9 wann immer möglich, eine AWS verwaltete (vordefinierte) Richtlinie beifügen. AWS Verwaltete Richtlinien enthalten vordefinierte Gruppen von Zugriffsberechtigungen für gängige Nutzungsszenarien und Benutzertypen, z. B. vollständige Verwaltung einer Umgebung, Umgebungsbenutzer und Benutzer, die nur Lesezugriff auf eine Umgebung haben. Eine Liste der AWS verwalteten Richtlinien für finden Sie AWS Cloud9 unter. AWS verwaltete Richtlinien für AWS Cloud9

Sie können für weitere detaillierte Nutzungsszenarien und eindeutige Benutzertypen Ihre eigenen kundenverwalteten Richtlinien erstellen und anfügen. Siehe Zusätzliche Einrichtungsoptionen für AWS Cloud9 und Erstellung von vom Kunden verwalteten Richtlinien für AWS Cloud9.

Informationen zum Anhängen einer IAM-Richtlinie (AWS verwaltet oder vom Kunden verwaltet) an eine IAM-Identität finden Sie unter Anhängen von IAM-Richtlinien (Konsole) im IAM-Benutzerhandbuch.

Sitzungsberechtigungen für API-Vorgänge

Wenn Sie die AWS API AWS CLI oder verwenden, um programmgesteuert eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer zu erstellen, können Sie Sitzungsrichtlinien als Parameter übergeben, um den Umfang der Rollensitzung zu erweitern. Die resultierenden Sitzungsberechtigungen sind eine Schnittmenge der auf der Identität des Benutzers oder der Rolle basierenden Richtlinien und der Sitzungsrichtlinien.

Wenn während einer Sitzung eine Anforderung für den Zugriff auf eine Ressource gestellt wird, wenn keine zutreffende DenyAnweisung, aber auch keine anwendbare Allow-Anweisung in der Sitzungsrichtlinie ist das Ergebnis der Richtlinienbewertung eine Implizite Verweigerung. Weitere Informationen finden Sie unter Determining Whether a Request is Allowed or Denied im IAM-Benutzerhandbuch.

Bei AWS Cloud9 API-Vorgängen, für die eine ressourcenbasierte Richtlinie erforderlich ist (siehe oben), werden der aufrufenden IAM-Entität jedoch Berechtigungen erteilt, sofern dies in der Ressourcenrichtlinie angegeben ist. Principal Diese ausdrückliche Berechtigung hat Vorrang vor der impliziten Ablehnung der Sitzungsrichtlinie, sodass die Sitzung den API-Vorgang erfolgreich aufrufen kann. AWS Cloud9

AWS verwaltete Richtlinien für AWS Cloud9

Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet wird AWS. AWS Verwaltete Richtlinien dienen dazu, Berechtigungen für viele gängige Anwendungsfälle bereitzustellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen.

Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie für alle AWS Kunden verfügbar sind. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind.

Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS-Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden.

Weitere Informationen finden Sie unter Von AWS verwaltete Richtlinien im IAM-Benutzerhandbuch.

AWS verwaltete Richtlinie: AWSCloud9 Administrator

Sie können die AWSCloud9Administrator-Richtlinie an Ihre IAM-Identitäten anfügen.

Diese Richtlinie gewährt administrative Berechtigungen, die Administratorzugriff auf gewähren AWS Cloud9.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:*",
                "iam:GetUser",
                "iam:ListUsers",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeInstanceTypeOfferings",
                "ec2:DescribeRouteTables"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:GetConnectionStatus"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        }
    ]
}

AWS verwaltete Richtlinie: Benutzer AWSCloud9

Sie können die AWSCloud9User-Richtlinie an Ihre IAM-Identitäten anfügen.

Diese Richtlinie gewährt user Berechtigungen zum Erstellen von AWS Cloud9 Entwicklungsumgebungen und zum Verwalten eigener Umgebungen.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:UpdateUserSettings",
                "cloud9:GetUserSettings",
                "iam:GetUser",
                "iam:ListUsers",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeInstanceTypeOfferings",
                "ec2:DescribeRouteTables"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:CreateEnvironmentEC2",
                "cloud9:CreateEnvironmentSSH"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:OwnerArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:GetUserPublicKey"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:DescribeEnvironmentMemberships"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true",
                    "cloud9:EnvironmentId": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:GetConnectionStatus"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        }
    ]
}

AWS verwaltete Richtlinie: AWSCloud9 EnvironmentMember

Sie können die AWSCloud9EnvironmentMember-Richtlinie an Ihre IAM-Identitäten anfügen.

Diese Richtlinie gewährt membership Berechtigungen, mit denen Sie einer AWS Cloud9 gemeinsam genutzten Umgebung beitreten können.

Details zu Berechtigungen

Diese Richtlinie umfasst die folgenden Berechtigungen:

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:GetUserSettings",
                "cloud9:UpdateUserSettings",
                "iam:GetUser",
                "iam:ListUsers"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:DescribeEnvironmentMemberships"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true",
                    "cloud9:EnvironmentId": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:GetConnectionStatus"
            ],
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        }
    ]
}

AWS verwaltete Richtlinie: AWSCloud9ServiceRolePolicy

Die serviceverknüpfte Rolle AWSServiceRoleForAWSCloud9verwendet diese Richtlinie, um der AWS Cloud9 Umgebung die Interaktion mit Amazon EC2 und AWS CloudFormation Ressourcen zu ermöglichen.

Details zu Berechtigungen

Das AWSCloud9ServiceRolePolicygewährt AWSService RoleFor AWSCloud9 die erforderlichen Berechtigungen für die Interaktion AWS Cloud9 mit den AWS-Services (Amazon EC2 und AWS CloudFormation), die zum Erstellen und Ausführen von Entwicklungsumgebungen erforderlich sind.

AWS Cloud9 definiert die Berechtigungen seiner dienstbezogenen Rollen und AWS Cloud9 kann nur seine Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.

Weitere Informationen zur AWS Cloud9 Verwendung von dienstbezogenen Rollen finden Sie unter. Verwenden von serviceverknüpften Rollen für AWS Cloud9

JSON

{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"ec2:RunInstances",
				"ec2:CreateSecurityGroup",
				"ec2:DescribeVpcs",
				"ec2:DescribeSubnets",
				"ec2:DescribeSecurityGroups",
				"ec2:DescribeInstances",
				"ec2:DescribeInstanceStatus",
				"cloudformation:CreateStack",
				"cloudformation:DescribeStacks",
				"cloudformation:DescribeStackEvents",
				"cloudformation:DescribeStackResources"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:TerminateInstances",
				"ec2:DeleteSecurityGroup",
				"ec2:AuthorizeSecurityGroupIngress"
			],
			"Resource": "*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"cloudformation:DeleteStack"
			],
			"Resource": "arn:aws:cloudformation:*:*:stack/aws-cloud9-*"
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:CreateTags"
			],
			"Resource": [
				"arn:aws:ec2:*:*:instance/*",
				"arn:aws:ec2:*:*:security-group/*"
			],
			"Condition": {
				"StringLike": {
					"aws:RequestTag/Name": "aws-cloud9-*"
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:StartInstances",
				"ec2:StopInstances"
			],
			"Resource": "*",
			"Condition": {
				"StringLike": {
					"ec2:ResourceTag/aws:cloudformation:stack-name": "aws-cloud9-*"
				}
			}
		},
		{
			"Effect": "Allow",
			"Action": [
				"ec2:StartInstances",
				"ec2:StopInstances"
			],
			"Resource": [
				"arn:aws:license-manager:*:*:license-configuration:*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:ListInstanceProfiles",
				"iam:GetInstanceProfile"
			],
			"Resource": [
				"arn:aws:iam::*:instance-profile/cloud9/*"
			]
		},
		{
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"
			],
			"Condition": {
				"StringLike": {
					"iam:PassedToService": "ec2.amazonaws.com"
				}
			}
		}
	]
}

AWS Cloud9 Aktualisierungen AWS verwalteter Richtlinien

Hier finden Sie Informationen zu Aktualisierungen AWS verwalteter Richtlinien, die AWS Cloud9 seit Beginn der Nachverfolgung dieser Änderungen durch diesen Dienst vorgenommen wurden. Abonnieren Sie den RSS-Feed auf der Seite AWS Cloud9 Dokumentenverlauf, um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.

Erstellung von vom Kunden verwalteten Richtlinien für AWS Cloud9

Wenn keine der AWS verwalteten Richtlinien Ihren Anforderungen an die Zugriffskontrolle entspricht, können Sie Ihre eigenen vom Kunden verwalteten Richtlinien erstellen und anhängen.

Informationen zum Erstellen einer kundenverwalteten Richtlinie finden Sie unter Erstellen einer IAM-Richtlinie (Konsole) im IAM User Guide.

Angabe der Richtlinienelemente: Auswirkungen, Prinzipale, Aktionen und Ressourcen

Für jede AWS Cloud9 Ressource definiert der Service eine Reihe von API-Vorgängen. AWS Cloud9 Definiert eine Reihe von Aktionen, die Sie in einer Richtlinie angeben können, um Berechtigungen für diese API-Operationen zu gewähren.

Grundlegende Richtlinienelemente:

Weitere Informationen zur IAM-Richtliniensyntax und entsprechende Beschreibungen enthält die IAM-JSON-Richtlinienreferenz im IAM-Benutzerhandbuch.

Eine Tabelle mit allen AWS Cloud9 API-Aktionen und den Ressourcen, für die sie gelten, finden Sie unterAWS Cloud9 Referenz zu Berechtigungen.

Beispiele für vom Kunden verwaltete Richtlinien

In diesem Abschnitt finden Sie Beispiele für Richtlinien, die Berechtigungen für diverse AWS Cloud9 -Aktionen gewähren. Sie können die folgenden IAM-Beispielrichtlinien anpassen, um AWS Cloud9 Zugriff für Ihre IAM-Identitäten zu erlauben oder ausdrücklich zu untersagen.

Um eine vom Kunden verwaltete Richtlinie zu erstellen oder einer IAM-Identität anzufügen, lesen Sie Erstellen einer IAM-Richtlinie (Konsole) und Anfügen von IAM-Richtlinien (Konsole) im IAM-Benutzerhandbuch.

Abruf von Informationen zu Umgebungen

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Abrufen von Informationen zu jeder Umgebung in ihrem Konto.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DescribeEnvironments",
      "Resource": "*"
    }
  ]
}

EC2 Umgebungen erstellen

Das folgende Beispiel für eine IAM-Richtlinienerklärung, das an eine IAM-Entität angehängt ist, ermöglicht es dieser Entität, AWS Cloud9 EC2 Entwicklungsumgebungen in ihrem Konto zu erstellen.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*"
    }
  ]
}

EC2 Umgebungen mit bestimmten EC2 Amazon-Instance-Typen erstellen

Das folgende Beispiel für eine IAM-Richtlinienerklärung, das einer IAM-Entität beigefügt ist, ermöglicht es dieser Entität, AWS Cloud9 EC2 Entwicklungsumgebungen in ihrem Konto zu erstellen. EC2 Umgebungen können jedoch nur die angegebene Klasse von EC2 Amazon-Instance-Typen verwenden.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "cloud9:InstanceType": "t3.*"
        }
      }
    }
  ]
}

Erstellen Sie EC2 Umgebungen in bestimmten Amazon VPC-Subnetzen

Das folgende Beispiel einer IAM-Richtlinienerklärung, die einer IAM-Entität beigefügt ist, ermöglicht es dieser Entität, AWS Cloud9 EC2 Entwicklungsumgebungen in ihrem Konto zu erstellen. EC2 Umgebungen können jedoch nur die angegebenen Amazon VPC-Subnetze verwenden.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "cloud9:SubnetId": [
            "subnet-12345678",
            "subnet-23456789"
          ]
        }
      }
    }
  ]
}

Erstellen Sie EC2 Umgebungen mit einem bestimmten Umgebungsnamen

Das folgende Beispiel für eine IAM-Richtlinienanweisung, die an eine IAM-Entität angehängt ist, ermöglicht es dieser Entität, eine AWS Cloud9 EC2 Entwicklungsumgebung in ihrem Konto zu erstellen. Die EC2 Umgebung kann jedoch nur den angegebenen Namen verwenden.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloud9:EnvironmentName": "my-demo-environment"
        }
      }
    }
  ]
}

Erstellung nur von SSH-Umgebungen

Das folgende Beispiel für eine IAM-Richtlinienerklärung, die an eine IAM-Entität angehängt ist, ermöglicht es dieser Entität, AWS Cloud9 SSH-Entwicklungsumgebungen in ihrem Konto zu erstellen. Die Entität kann jedoch keine Entwicklungsumgebungen erstellen AWS Cloud9 EC2 .

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:CreateEnvironmentSSH",
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": "cloud9:CreateEnvironmentEC2",
      "Resource": "*"
    }
  ]
}

Aktualisierung von Umgebungen oder Verhinderung der Aktualisierung einer Umgebung

Das folgende Beispiel für eine IAM-Richtlinienerklärung, das an eine IAM-Entität angehängt ist, ermöglicht es dieser Entität, Informationen über jede AWS Cloud9 Entwicklungsumgebung in ihrem Konto zu ändern.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:UpdateEnvironment",
      "Resource": "*"
    }
  ]
}

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, verhindert explizit, dass diese Entität Informationen zur Umgebung mit dem angegebenen Amazon-Ressourcennamen (ARN) ändert.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:UpdateEnvironment",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

Abruf von Listen von Umgebungsmitgliedern

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Abrufen einer Liste von Mitgliedern für jede Umgebung in ihrem Konto.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DescribeEnvironmentMemberships",
      "Resource": "*"
    }
  ]
}

Freigabe von Umgebungen nur für einen spezifischen Benutzer

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Teilen jeder Umgebung in ihrem Konto nur mit dem bestimmten Benutzer.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:CreateEnvironmentMembership"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloud9:UserArn": "arn:aws:iam::123456789012:user/MyDemoUser"
        }
      }
    }
  ]
}

Verhinderung der Freigabe von Umgebungen

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, verhindert, dass diese Entität eine Umgebung in ihrem Konto freigibt.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "cloud9:CreateEnvironmentMembership",
        "cloud9:UpdateEnvironmentMembership"
      ],
      "Resource": "*"
    }
  ]
}

Änderung oder Verhinderung der Änderung der Einstellungen von Umgebungsmitgliedern

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Ändern der Einstellungen von Mitgliedern in jeder Umgebung in ihrem Konto.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:UpdateEnvironmentMembership",
      "Resource": "*"
    }
  ]
}

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, verhindert explizit, dass diese Entität die Einstellungen von Mitgliedern; in der Umgebung mit dem angegebenen Amazon-Ressourcennamen (ARN) ändert.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:UpdateEnvironmentMembership",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

Entfernung oder Verhinderung der Entfernung von Umgebungsmitgliedern

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Entfernen von jedem Mitglied aus jeder Umgebung in ihrem Konto.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DeleteEnvironmentMembership",
      "Resource": "*"
    }
  ]
}

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, verhindert explizit, dass diese Entität jedes Mitglied aus der Umgebung mit dem angegebenen Amazon-Ressourcennamen (ARN) entfernt.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:DeleteEnvironmentMembership",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

Löschung oder Verhinderung der Löschung einer Umgebung

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Löschen jeder Umgebung in ihrem Konto.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cloud9:DeleteEnvironment",
      "Resource": "*"
    }
  ]
}

Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, verhindert explizit, dass diese Entität die Umgebung mit dem angegebenen Amazon-Ressourcennamen (ARN) löscht.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "cloud9:DeleteEnvironment",
      "Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
    }
  ]
}

Benutzerdefinierte IAM-Richtlinie für die Erstellung einer SSM-Umgebung

Es besteht ein aktuelles Berechtigungsproblem, das beim Erstellen einer SSM-Umgebung mit den angehängten AWSCloud9Administrator AWSCloud9User OR-Richtlinien auftritt. Das folgende Beispiel für eine IAM-Richtlinienanweisung ermöglicht es Benutzern, entweder die AWS verwaltete Richtlinie oder anzuhängen und zu verwenden, wenn sie an eine IAM-Entität angehängt ist. AWSCloud9Administrator AWSCloud9User

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:UpdateUserSettings",
                "cloud9:GetUserSettings",
                "iam:GetUser",
                "iam:ListUsers",
                "iam:ListRoles",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeRouteTables"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:CreateEnvironmentEC2",
                "cloud9:CreateEnvironmentSSH"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:OwnerArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:GetUserPublicKey"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloud9:DescribeEnvironmentMemberships"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "Null": {
                    "cloud9:UserArn": "true",
                    "cloud9:EnvironmentId": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartSession",
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringLike": {
                    "ssm:resourceTag/aws:cloud9:environment": "*"
                },
                "StringEquals": {
                    "aws:CalledViaFirst": "cloud9.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession"
            ],
            "Resource": [
                "arn:aws:ssm:*:*:document/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": ["iam:ListInstanceProfilesForRole", "iam:CreateRole"],
            "Resource": ["arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"]
        },
        {
            "Effect": "Allow",
            "Action": ["iam:AttachRolePolicy"],
            "Resource": ["arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"],
            "Condition": {
                "StringEquals": {
                    "iam:PolicyARN": "arn:aws:iam::aws:policy/AWSCloud9SSMInstanceProfile"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateInstanceProfile",
                "iam:AddRoleToInstanceProfile"
            ],
            "Resource": [
                "arn:aws:iam::*:instance-profile/cloud9/AWSCloud9SSMInstanceProfile"
            ]
        }
    ]
}

AWS Cloud9 Referenz zu Berechtigungen

Sie können in Ihren AWS Cloud9 Policen allgemeine Bedingungsschlüssel verwenden AWS , um Bedingungen auszudrücken. Weitere Informationen finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung im IAM-Benutzerhandbuch.

Sie geben die Aktionen im Feld Action der Richtlinie an. Um eine Aktion anzugeben, verwenden Sie das Präfix cloud9: gefolgt vom Namen der API-Operation (z. B. "Action": "cloud9:DescribeEnvironments"). Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Komma (z. B. "Action": [ "cloud9:UpdateEnvironment", "cloud9:DeleteEnvironment" ]).

Verwendung von Platzhalterzeichen

Sie geben einen ARN mit oder ohne Platzhalterzeichen (*) als Ressourcenwert im Feld Resource der Richtlinie an. Sie können das Platzhalterzeichen verwenden, um mehrere Aktionen oder Ressourcen anzugeben. cloud9:*Gibt beispielsweise alle AWS Cloud9 Aktionen an und cloud9:Describe* gibt alle AWS Cloud9 Aktionen an, die mit beginnenDescribe.

Das folgende Beispiel ermöglicht einer IAM-Entität, Informationen zu Umgebungen und Umgebungs-Mitgliedschaften für jede Umgebung in ihrem Konto abzurufen.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloud9:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

AWS Cloud9 API-Operationen und erforderliche Berechtigungen für Aktionen

AWS verwaltete temporäre Anmeldeinformationen

AWS Cloud9 Stellt Ihnen für eine AWS Cloud9 EC2 Entwicklungsumgebung temporäre AWS Zugangsdaten in der Umgebung zur Verfügung. Wir bezeichnen diese AWS -verwaltete temporäre Anmeldeinformationen. Dies bietet die folgenden Vorteile:

So funktionieren AWS verwaltete temporäre Anmeldeinformationen, wenn eine EC2 Umgebung versucht, im Namen einer AWS Entität (z. B. eines IAM-Benutzers) AWS-Service auf sie zuzugreifen:

Der Besitzer einer EC2 Umgebung kann AWS verwaltete temporäre Anmeldeinformationen für diese Umgebung jederzeit wie folgt aktivieren oder deaktivieren:

Wenn Sie AWS verwaltete temporäre Anmeldeinformationen deaktivieren, kann die Umgebung nicht auf diese zugreifen AWS-Services, unabhängig von der AWS Entität, die die Anfrage stellt. Nehmen wir jedoch an, dass Sie AWS verwaltete temporäre Anmeldeinformationen für eine Umgebung nicht aktivieren können oder wollen und Sie trotzdem auf die Umgebung zugreifen müssen AWS-Services. Sehen Sie sich in diesem Fall die folgenden Alternativen an:

Die oben genannten Alternativen setzen alle Berechtigungen außer Kraft, die durch AWS verwaltete temporäre Anmeldeinformationen in einer EC2 Umgebung zugelassen (oder verweigert) werden.

Aktionen, die von AWS verwalteten temporären Anmeldeinformationen unterstützt werden

In einer AWS Cloud9 EC2 Entwicklungsumgebung ermöglichen AWS verwaltete temporäre Anmeldeinformationen alle AWS Aktionen für alle AWS Ressourcen im Aufrufer AWS-Konto, mit den folgenden Einschränkungen:

Wenn eine Aktion oder Ressource, für deren Zugriff Sie eine EC2 Umgebung benötigen, AWS Cloud9 nicht unterstützt wird, oder wenn AWS verwaltete temporäre Anmeldeinformationen für eine EC2 Umgebung deaktiviert sind und Sie sie nicht wieder aktivieren können, sollten Sie die folgenden Alternativen in Betracht ziehen:

Die oben genannten Alternativen setzen alle Berechtigungen außer Kraft, die durch AWS verwaltete temporäre Anmeldeinformationen in einer EC2 Umgebung zugelassen (oder verweigert) werden.

AWS Verwaltete temporäre Anmeldeinformationen erstellen und aktualisieren

Für eine AWS Cloud9 EC2 Entwicklungsumgebung werden AWS verwaltete temporäre Anmeldeinformationen erstellt, wenn Sie die Umgebung zum ersten Mal öffnen.

AWS verwaltete temporäre Anmeldeinformationen werden unter einer der folgenden Bedingungen aktualisiert:

Steuern des Zugriffs auf AWS -verwaltete temporäre Anmeldeinformationen

Ein Mitarbeiter mit AWS verwalteten temporären Anmeldeinformationen kann diese verwenden AWS Cloud9 , um mit anderen AWS-Services zu interagieren. Um sicherzustellen, dass nur vertrauenswürdige Mitarbeiter mit AWS -verwalteten temporäre Anmeldeinformationen werden diese Anmeldeinformationen deaktiviert, wenn ein neues Mitglied von einem anderen Benutzer als dem Umgebungseigentümer hinzugefügt wird. Die Anmeldeinformationen werden durch das Löschen der Datei ~/.aws/credentialsdeaktiviert.

Nur der Eigentümer der Umgebung kann AWS verwaltete temporäre Anmeldeinformationen wieder aktivieren, sodass sie mit anderen Mitgliedern geteilt werden können. Wenn der Eigentümer der Umgebung die IDE öffnet, wird in einem Dialogfeld bestätigt, dass AWS verwaltete temporäre Anmeldeinformationen deaktiviert sind. Der Umgebungsbesitzer kann die Anmeldeinformationen für alle Mitglieder erneut aktivieren oder für alle Mitglieder deaktiviert lassen.