AWS Cloud9 ist für Neukunden nicht mehr verfügbar. Bestehende Kunden von AWS Cloud9 können den Dienst weiterhin wie gewohnt nutzen. [Weitere Informationen](https://aws.amazon.com/blogs/devops/how-to-migrate-from-aws-cloud9-to-aws-ide-toolkits-or-aws-cloudshell/)
Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Identity and Access Management für AWS Cloud9
AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren kontrollieren, wer *authentifiziert* (angemeldet) und *autorisiert* werden kann (über Berechtigungen verfügt), um Ressourcen zu verwenden. AWS Cloud9 IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können.
**Topics**
+ [Zielgruppe](#security_iam_audience)
+ [Authentifizierung mit Identitäten](#security_iam_authentication)
+ [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage)
+ [Wie AWS Cloud9 funktioniert mit IAM](#security_iam_service-with-iam)
+ [Beispiele für identitätsbasierte Richtlinien für AWS Cloud9](#security_iam_id-based-policy-examples)
+ [Problembehandlung bei AWS Cloud9 Identität und Zugriff](#security_iam_troubleshoot)
+ [Wie AWS Cloud9 funktioniert mit IAM-Ressourcen und -Vorgängen](#how-cloud9-with-iam)
+ [AWS verwaltete Richtlinien für AWS Cloud9](#auth-and-access-control-managed-policies)
+ [Erstellung von vom Kunden verwalteten Richtlinien für AWS Cloud9](#auth-and-access-control-customer-policies)
+ [AWS Cloud9 Referenz zu Berechtigungen](#auth-and-access-control-ref)
+ [AWS verwaltete temporäre Anmeldeinformationen](#auth-and-access-control-temporary-managed-credentials)
## Zielgruppe
Wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von Ihrer Rolle ab:
+ **Servicebenutzer** – Fordern Sie von Ihrem Administrator Berechtigungen an, wenn Sie nicht auf Features zugreifen können (siehe [Problembehandlung bei AWS Cloud9 Identität und Zugriff](#security_iam_troubleshoot)).
+ **Serviceadministrator** – Bestimmen Sie den Benutzerzugriff und stellen Sie Berechtigungsanfragen (siehe [Wie AWS Cloud9 funktioniert mit IAM](#security_iam_service-with-iam)).
+ **IAM-Administrator** – Schreiben Sie Richtlinien zur Zugriffsverwaltung (siehe [Beispiele für identitätsbasierte Richtlinien für AWS Cloud9](#security_iam_id-based-policy-examples)).
## Authentifizierung mit Identitäten
Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos
Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *.
AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*.
### AWS-Konto Root-Benutzer
Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*.
### Verbundidentität
Es hat sich bewährt, dass menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden müssen.
Eine *föderierte Identität* ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Verbundene Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen.
Für die zentrale Zugriffsverwaltung empfehlen wir AWS IAM Identity Center. Weitere Informationen finden Sie unter [Was ist IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) im *AWS IAM Identity Center -Benutzerhandbuch*.
### IAM-Benutzer und -Gruppen
Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zugreifen zu](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) können.
Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*.
### IAM-Rollen
Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) AWS CLI oder einen AWS API-Vorgang aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*.
IAM-Rollen sind nützlich für den Verbundbenutzer-Zugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, serviceübergreifenden Zugriff und Anwendungen, die auf Amazon EC2 laufen. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Verwalten des Zugriffs mit Richtlinien
Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*.
Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf.
Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird.
### Identitätsbasierte Richtlinien
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*.
### Ressourcenbasierte Richtlinien
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html).
Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden.
### Weitere Richtlinientypen
AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden:
+ **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*.
+ **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*.
+ **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html).
+ **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*.
### Mehrere Richtlinientypen
Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die sich daraus ergebenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*.
## Wie AWS Cloud9 funktioniert mit IAM
Bevor Sie IAM zur Verwaltung des Zugriffs auf verwenden, sollten Sie sich darüber informieren AWS Cloud9, mit welchen IAM-Funktionen Sie arbeiten können. AWS Cloud9
**IAM-Funktionen, die Sie mit verwenden können AWS Cloud9**
| IAM-Feature | AWS Cloud9 Unterstützung |
| --- | --- |
| [Identitätsbasierte Richtlinien](#security_iam_service-with-iam-id-based-policies) | Ja |
| [Ressourcenbasierte Richtlinien](#security_iam_service-with-iam-resource-based-policies) | Nein |
| [Richtlinienaktionen](#security_iam_service-with-iam-id-based-policies-actions) | Ja |
| [Richtlinienressourcen](#security_iam_service-with-iam-id-based-policies-resources) | Ja |
| [Richtlinienbedingungsschlüssel (servicespezifisch)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Ja |
| [ACLs](#security_iam_service-with-iam-acls) | Nein |
| [ABAC (Tags in Richtlinien)](#security_iam_service-with-iam-tags) | Ja |
| [Temporäre Anmeldeinformationen](#security_iam_service-with-iam-roles-tempcreds) | Ja |
| [Forward Access Sessions (FAS)](#security_iam_service-with-iam-principal-permissions) | Ja |
| [Servicerollen](#security_iam_service-with-iam-roles-service) | Ja |
| [Service-verknüpfte Rollen](#security_iam_service-with-iam-roles-service-linked) | Ja |
Einen allgemeinen Überblick darüber, wie AWS Cloud9 und andere AWS Dienste mit den meisten IAM-Funktionen funktionieren, finden Sie im [IAM-Benutzerhandbuch unter AWS Dienste, die mit *IAM* funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).
### Identitätsbasierte Richtlinien für AWS Cloud9
**Unterstützt Richtlinien auf Identitätsbasis:** Ja
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*.
#### Beispiele für identitätsbasierte Richtlinien für AWS Cloud9
Beispiele für AWS Cloud9 identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Cloud9](#security_iam_id-based-policy-examples)
### Ressourcenbasierte Richtlinien finden Sie in AWS Cloud9
**Unterstützt ressourcenbasierte Richtlinien:** Nein
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-*Rollen-Vertrauensrichtlinien* und Amazon-S3-*Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder gehören. AWS-Services
Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
AWS Cloud9 unterstützt keine ressourcenbasierten Richtlinien, aber Sie können die Berechtigungen für AWS Cloud9 Umgebungsressourcen für AWS Cloud9 Umgebungsmitglieder dennoch über die API und die AWS Cloud9 IDE steuern. AWS Cloud9
### Richtlinienaktionen für AWS Cloud9
**Unterstützt Richtlinienaktionen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen.
Eine Liste der AWS Cloud9 Aktionen finden Sie unter [Aktionen definiert von AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions) in der *Serviceautorisierungsreferenz*.
Bei Richtlinienaktionen wird vor der Aktion das folgende Präfix AWS Cloud9 verwendet:
```
account
```
Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata:
```
"Action": [
"account:action1",
"account:action2"
]
```
Beispiele für AWS Cloud9 identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Cloud9](#security_iam_id-based-policy-examples)
### Politische Ressourcen für AWS Cloud9
**Unterstützt Richtlinienressourcen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt.
```
"Resource": "*"
```
Eine Liste der AWS Cloud9 Ressourcentypen und ihrer ARNs Eigenschaften finden Sie unter [Resources defined by AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-resources-for-iam-policies) in der *Service Authorization Reference*. Informationen zu den Aktionen, mit denen Sie den ARN einzelner Ressourcen angeben können, finden Sie unter [Von AWS Cloud9 definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions).
Beispiele für AWS Cloud9 identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Cloud9](#security_iam_id-based-policy-examples)
### Bedingungsschlüssel für Richtlinien für AWS Cloud9
**Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*.
Eine Liste der AWS Cloud9 Bedingungsschlüssel finden Sie unter [Bedingungsschlüssel für AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-policy-keys) in der *Service Authorization Reference.* Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [Aktionen definiert von AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html#your_service-actions-as-permissions).
Beispiele für AWS Cloud9 identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Cloud9](#security_iam_id-based-policy-examples)
### ACLs in AWS Cloud9
**Unterstützt ACLs:** Nein
Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat.
### ABAC mit AWS Cloud9
**Unterstützt ABAC (Tags in Richtlinien):** Ja
Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen basierend auf Attributen, auch als Tags bezeichnet, definiert werden. Sie können Tags an IAM-Entitäten und AWS -Ressourcen anhängen und dann ABAC-Richtlinien entwerfen, die Operationen zulassen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt.
Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden.
Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**.
*Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) im IAM-Benutzerhandbuch*. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe [Attributbasierte Zugriffskontrolle (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) verwenden im *IAM-Benutzerhandbuch*.
### Verwenden temporärer Anmeldeinformationen mit AWS Cloud9
**Unterstützt temporäre Anmeldeinformationen:** Ja
Temporäre Anmeldeinformationen ermöglichen kurzfristigen Zugriff auf AWS Ressourcen und werden automatisch erstellt, wenn Sie einen Verbund verwenden oder die Rollen wechseln. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Anmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) und [AWS-Services , die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) im *IAM-Benutzerhandbuch*.
### Zugriffssitzungen weiterleiten für AWS Cloud9
**Unterstützt Forward Access Sessions (FAS):** Ja
Forward-Access-Sitzungen (FAS) verwenden die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anforderung, Anfragen AWS-Service an nachgelagerte Dienste zu stellen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html).
### Servicerollen für AWS Cloud9
**Unterstützt Servicerollen:** Ja
Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*.
**Warnung**
Das Ändern der Berechtigungen für eine Servicerolle kann zu AWS Cloud9 Funktionseinschränkungen führen. Bearbeiten Sie Servicerollen nur, AWS Cloud9 wenn Sie dazu eine Anleitung erhalten.
### Dienstbezogene Rollen für AWS Cloud9
**Unterstützt serviceverknüpfte Rollen:** Ja
Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.
Details zum Erstellen oder Verwalten von serviceverknüpften Rollen finden Sie unter [AWS -Services, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Tabelle nach einem Service mit einem `Yes` in der Spalte **Service-linked role** (Serviceverknüpfte Rolle). Wählen Sie den Link **Yes** (Ja) aus, um die Dokumentation für die serviceverknüpfte Rolle für diesen Service anzuzeigen.
## Beispiele für identitätsbasierte Richtlinien für AWS Cloud9
Benutzer und Rollen haben standardmäßig nicht die Berechtigung, AWS Cloud9 -Ressourcen zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen.
Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*.
Einzelheiten zu Aktionen und Ressourcentypen, die von definiert wurden AWS Cloud9, einschließlich des Formats von ARNs für die einzelnen Ressourcentypen, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für AWS Cloud9](https://docs.aws.amazon.com/service-authorization/latest/reference/list_your_service.html) in der Referenz zur *Serviceautorisierung*.
**Topics**
+ [Best Practices für Richtlinien](#security_iam_service-with-iam-policy-best-practices)
+ [Verwenden der Konsole AWS Cloud9](#security_iam_id-based-policy-examples-console)
+ [Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#security_iam_id-based-policy-examples-view-own-permissions)
### Best Practices für Richtlinien
Identitätsbasierte Richtlinien legen fest, ob jemand AWS Cloud9 Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen:
+ **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*.
+ **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*.
+ **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*.
Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*.
### Verwenden der Konsole AWS Cloud9
Um auf die AWS Cloud9 Konsole zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den AWS Cloud9 Ressourcen in Ihrem aufzulisten und anzuzeigen AWS-Konto. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie.
Sie müssen Benutzern, die nur die API AWS CLI oder die AWS API aufrufen, keine Mindestberechtigungen für die Konsole gewähren. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die die Benutzer ausführen möchten.
Um sicherzustellen, dass Benutzer und Rollen die AWS Cloud9 Konsole weiterhin verwenden können, fügen Sie den Entitäten auch die AWS Cloud9 `ConsoleAccess` oder die `ReadOnly` AWS verwaltete Richtlinie hinzu. Weitere Informationen finden Sie unter [Hinzufügen von Berechtigungen zu einem Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) im *IAM-Benutzerhandbuch*.
### Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer
In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der AWS CLI AWS OR-API.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## Problembehandlung bei AWS Cloud9 Identität und Zugriff
Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit AWS Cloud9 und IAM auftreten können.
**Topics**
+ [Ich bin nicht berechtigt, eine Aktion durchzuführen in AWS Cloud9](#security_iam_troubleshoot-no-permissions)
+ [Ich bin nicht berechtigt, iam auszuführen: PassRole](#security_iam_troubleshoot-passrole)
+ [Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine AWS Cloud9 Ressourcen ermöglichen](#security_iam_troubleshoot-cross-account-access)
### Ich bin nicht berechtigt, eine Aktion durchzuführen in AWS Cloud9
Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht zur Durchführung einer Aktion berechtigt sind, müssen Ihre Richtlinien aktualisiert werden, damit Sie die Aktion durchführen können.
Der folgende Beispielfehler tritt auf, wenn der IAM-Benutzer `mateojackson` versucht, über die Konsole Details zu einer fiktiven `my-example-widget`-Ressource anzuzeigen, jedoch nicht über `awes:GetWidget`-Berechtigungen verfügt.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: awes:GetWidget on resource: my-example-widget
```
In diesem Fall muss die Richtlinie für den Benutzer `mateojackson` aktualisiert werden, damit er mit der `awes:GetWidget`-Aktion auf die `my-example-widget`-Ressource zugreifen kann.
Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.
### Ich bin nicht berechtigt, iam auszuführen: PassRole
Wenn Sie die Fehlermeldung erhalten, dass Sie nicht zum Durchführen der `iam:PassRole`-Aktion autorisiert sind, müssen Ihre Richtlinien aktualisiert werden, um eine Rolle an AWS Cloud9übergeben zu können.
Einige AWS-Services ermöglichen es Ihnen, eine bestehende Rolle an diesen Dienst zu übergeben, anstatt eine neue Servicerolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst.
Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen `marymajor` versucht, die Konsole zu verwenden, um eine Aktion in AWS Cloud9 auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion `iam:PassRole` ausführen zu können.
Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.
### Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine AWS Cloud9 Ressourcen ermöglichen
Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren.
Weitere Informationen dazu finden Sie hier:
+ Informationen darüber, ob diese Funktionen AWS Cloud9 unterstützt werden, finden Sie unter. [Wie AWS Cloud9 funktioniert mit IAM](#security_iam_service-with-iam)
+ *Informationen dazu, wie Sie Zugriff auf Ihre Ressourcen gewähren können, AWS-Konten die Ihnen gehören, finden Sie im IAM-Benutzerhandbuch unter [Gewähren des Zugriffs auf einen IAM-Benutzer in einem anderen AWS-Konto , den Sie besitzen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html).*
+ Informationen dazu, wie Sie Dritten Zugriff auf Ihre Ressourcen gewähren können AWS-Konten, finden Sie [AWS-Konten im *IAM-Benutzerhandbuch* unter Gewähren des Zugriffs für Dritte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html).
+ Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*.
+ Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Wie AWS Cloud9 funktioniert mit IAM-Ressourcen und -Vorgängen
AWS Identity and Access Management wird verwendet, um die Berechtigungen zu verwalten, die es Ihnen ermöglichen, sowohl mit AWS Cloud9 Entwicklungsumgebungen als auch mit anderen Ressourcen AWS-Services zu arbeiten.
### AWS Cloud9 Ressourcen und Abläufe
AWS Cloud9 In ist die primäre Ressource eine AWS Cloud9 Entwicklungsumgebung. In einer Richtlinie identifizieren Sie die Ressource, für welche die Richtlinie gilt, mithilfe eines Amazon-Ressourcennamens (ARN). In der folgenden Tabelle ist die Umgebung aufgeführt ARNs. Weitere Informationen finden Sie unter [Amazon Resource Names (ARNs) und AWS Service Namespaces](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) in der. *Allgemeine Amazon Web Services-Referenz*
****
| Ressourcentyp | ARN-Format |
| --- | --- |
| Umgebung | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| Jede Umgebung, die zu dem angegebenen Konto in der angegebenen AWS-Region gehört | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:*` |
| Jede Umgebung, die zu dem angegebenen Konto in der angegebenen Region gehört | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:*` |
| Jede AWS Cloud9 Ressource, unabhängig von Konto und Region | `arn:aws:cloud9:*` |
Verwenden Sie den Amazon-Ressourcennamen (ARN) zum Beispiel wie folgt, um eine bestimmte Umgebung in der Anweisung anzugeben.
```
"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:70d899206236474f9590d93b7c41dfEX"
```
Um alle Ressourcen anzugeben, verwenden Sie das Platzhalterzeichen (`*`) im `Resource`-Element.
```
"Resource": "*"
```
Um mehrere Ressourcen in einer einzigen Anweisung anzugeben, trennen Sie ihre Amazon-Ressourcennamen (ARNs) durch Kommas.
```
"Resource": [
"arn:aws:cloud9:us-east-2:123456789012:environment:70d899206236474f9590d93b7c41dfEX",
"arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
]
```
AWS Cloud9 bietet eine Reihe von Operationen für die Arbeit mit AWS Cloud9 Ressourcen. Die Liste finden Sie unter [AWS Cloud9 Referenz zu Berechtigungen](#auth-and-access-control-ref).
### Grundlegendes zum Eigentum an Ressourcen
Das AWS-Konto Konto besitzt die Ressourcen, die im Konto erstellt wurden, unabhängig davon, wer die Ressourcen erstellt hat.
Berücksichtigen Sie die folgenden Anwendungsfälle und Szenarien:
+ Angenommen, Sie verwenden Ihre Root-Kontoanmeldedaten AWS-Konto , um eine AWS Cloud9 Entwicklungsumgebung zu erstellen. Dies ist zwar möglich, wird aber nicht empfohlen. In diesem Fall AWS-Konto sind Sie der Eigentümer der Umgebung.
+ Angenommen, Sie erstellen einen IAM-Benutzer in Ihrem AWS-Konto und erteilen diesem Benutzer Berechtigungen zum Erstellen einer Umgebung. Dann kann der Benutzer eine Umgebung erstellen. Ihre AWS-Konto Umgebung, zu der der Benutzer gehört, besitzt jedoch immer noch die Umgebung.
+ Angenommen, Sie erstellen in Ihrem System eine IAM-Rolle AWS-Konto mit den erforderlichen Berechtigungen zum Erstellen einer Umgebung. Dann kann jeder, der die Rolle übernehmen kann, eine Umgebung erstellen. Ihr AWS-Konto, zu dem die Rolle gehört, ist Besitzer der Umgebung.
**Anmerkung**
Wenn Sie ein Benutzerkonto löschen, das der ARN-Besitzer einer oder mehrerer AWS Cloud9 Umgebungen ist, haben diese Umgebungen keinen Besitzer. Eine Problemumgehung für dieses Szenario besteht darin, mithilfe des AWS Cloud9 SDK mithilfe der `CreateEnvironmentMembership` Aktion und des `EnvironmentMember` Datentyps einen weiteren IAM-Benutzer mit Lese- und Schreibberechtigungen hinzuzufügen. Nachdem Sie diesen IAM-Benutzer hinzugefügt haben, können Sie die Umgebungsdateien in neue AWS Cloud9 Umgebungen kopieren und diesen Besitzer zum ARN-Besitzer machen. Weitere Informationen zu dieser Aktion finden Sie unter [CreateEnvironmentMembership](https://docs.aws.amazon.com/cloud9/latest/APIReference/API_CreateEnvironmentMembership.html)und weitere Informationen zu diesem Datentyp finden Sie [EnvironmentMember](https://docs.aws.amazon.com/cloud9/latest/APIReference/API_EnvironmentMember.html)im *AWS Cloud9 API-Referenzhandbuch.*
### Verwaltung des Zugriffs auf -Ressourcen
Eine Berechtigungsrichtlinie beschreibt, wer Zugriff auf welche Ressourcen hat.
**Anmerkung**
Dieser Abschnitt beschäftigt sich mit der Verwendung von IAM in AWS Cloud9. Er enthält keine detaillierten Informationen über den IAM-Service. Eine umfassende IAM-Dokumentation finden Sie unter [Was ist IAM?](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) im *IAM-Benutzerhandbuch*. Weitere Informationen über die Syntax und Beschreibungen von IAM-Richtlinien finden Sie in der [IAM-JSON-Richtlinienreferenz](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html) im *IAM-Benutzerhandbuch*.
An eine IAM-Identität angehängte Richtlinien werden als *identitätsbasierte Richtlinien* (oder *IAM-Richtlinien*) bezeichnet. Mit einer Ressource verknüpfte Richtlinien werden als *ressourcenbasierte* Richtlinien bezeichnet. AWS Cloud9 unterstützt sowohl identitäts- als auch ressourcenbasierte Richtlinien.
Die folgenden API-Aktionen erfordern lediglich die Anfügung einer IAM-Richtlinie an die IAM-Identität, die die jeweilige API-Aktion aufrufen möchte.
+ `CreateEnvironmentEC2`
+ `DescribeEnvironments`
Die folgenden API-Aktionen erfordern eine ressourcenbasierte Richtlinie. Eine IAM-Richtlinie ist nicht erforderlich, AWS Cloud9 verwendet jedoch eine IAM-Richtlinie, wenn sie an die IAM-Identität angehängt ist, die diese API-Aktionen aufrufen möchte. Die ressourcenbasierte Richtlinie muss auf die gewünschte Ressource angewendet werden: AWS Cloud9
+ `CreateEnvironmentMembership`
+ `DeleteEnvironment`
+ `DeleteEnvironmentMembership`
+ `DescribeEnvironmentMemberships`
+ `DescribeEnvironmentStatus`
+ `UpdateEnvironment`
+ `UpdateEnvironmentMembership`
Details zur Funktionsweise dieser API-Aktionen finden Sie in der *AWS Cloud9 -API-Referenz*.
Sie können eine ressourcenbasierte Richtlinie nicht direkt an eine Ressource anhängen. AWS Cloud9 Hängt stattdessen AWS Cloud9 die entsprechenden ressourcenbasierten Richtlinien an AWS Cloud9 Ressourcen an, wenn Sie Umgebungsmitglieder hinzufügen, ändern, aktualisieren oder löschen.
Um einem Benutzer Berechtigungen zur Ausführung von Aktionen an AWS Cloud9 Ressourcen zu gewähren, fügen Sie einer IAM-Gruppe, der der Benutzer angehört, eine Berechtigungsrichtlinie hinzu. Wir empfehlen, dass Sie, AWS Cloud9 wann immer möglich, eine AWS verwaltete (vordefinierte) Richtlinie beifügen. AWS Verwaltete Richtlinien enthalten vordefinierte Gruppen von Zugriffsberechtigungen für gängige Nutzungsszenarien und Benutzertypen, z. B. vollständige Verwaltung einer Umgebung, Umgebungsbenutzer und Benutzer, die nur Lesezugriff auf eine Umgebung haben. Eine Liste der AWS verwalteten Richtlinien für finden Sie AWS Cloud9 unter. [AWS verwaltete Richtlinien für AWS Cloud9](#auth-and-access-control-managed-policies)
Sie können für weitere detaillierte Nutzungsszenarien und eindeutige Benutzertypen Ihre eigenen kundenverwalteten Richtlinien erstellen und anfügen. Siehe [Zusätzliche Einrichtungsoptionen für AWS Cloud9](setup-teams.md) und [Erstellung von vom Kunden verwalteten Richtlinien für AWS Cloud9](#auth-and-access-control-customer-policies).
*Informationen zum Anhängen einer IAM-Richtlinie (AWS verwaltet oder vom Kunden verwaltet) an eine IAM-Identität finden Sie unter [Anhängen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage-attach-detach.html#attach-managed-policy-console) im IAM-Benutzerhandbuch.*
### Sitzungsberechtigungen für API-Vorgänge
Wenn Sie die AWS API AWS CLI oder verwenden, um programmgesteuert eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer zu erstellen, können Sie Sitzungsrichtlinien als Parameter übergeben, um den Umfang der Rollensitzung zu erweitern. Die resultierenden Sitzungsberechtigungen sind eine [ Schnittmenge der auf der Identität des Benutzers oder der Rolle basierenden Richtlinien und der Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session).
Wenn während einer Sitzung eine Anforderung für den Zugriff auf eine Ressource gestellt wird, wenn keine zutreffende `Deny`Anweisung, aber auch keine anwendbare `Allow`-Anweisung in der Sitzungsrichtlinie ist das Ergebnis der Richtlinienbewertung eine [Implizite Verweigerung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html#AccessPolicyLanguage_Interplay). Weitere Informationen finden Sie unter [Determining Whether a Request is Allowed or Denied](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html#policy-eval-denyallow) im *IAM-Benutzerhandbuch*.
Bei AWS Cloud9 API-Vorgängen, für die eine ressourcenbasierte Richtlinie erforderlich ist (siehe oben), werden der aufrufenden IAM-Entität jedoch Berechtigungen erteilt, sofern dies in der Ressourcenrichtlinie angegeben ist. `Principal` Diese ausdrückliche Berechtigung hat Vorrang vor der impliziten Ablehnung der Sitzungsrichtlinie, sodass die Sitzung den API-Vorgang erfolgreich aufrufen kann. AWS Cloud9
## AWS verwaltete Richtlinien für AWS Cloud9
Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet wird AWS. AWS Verwaltete Richtlinien sind so konzipiert, dass sie Berechtigungen für viele gängige Anwendungsfälle bereitstellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen.
Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie allen AWS Kunden zur Verfügung stehen. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie [vom Kunden verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind.
Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS-Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden.
Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) im *IAM-Benutzerhandbuch*.
### AWS verwaltete Richtlinie: AWSCloud9 Administrator
Sie können die `AWSCloud9Administrator`-Richtlinie an Ihre IAM-Identitäten anfügen.
Diese Richtlinie gewährt *administrative* Berechtigungen, die Administratorzugriff auf gewähren AWS Cloud9.
**Details zu Berechtigungen**
Diese Richtlinie umfasst die folgenden Berechtigungen.
+ AWS Cloud9 — Alle AWS Cloud9 Aktionen in ihrem AWS-Konto.
+ Amazon EC2 — Informieren Sie sich über mehrere Amazon VPC- und Subnetzressourcen in ihren. AWS-Konto
+ IAM — Rufen Sie Informationen zu den IAM-Benutzern in ihren AWS-Konto Bereichen ab und erstellen Sie bei Bedarf die mit dem AWS Cloud9 Service verknüpfte Rolle in ihnen. AWS-Konto
+ Systems Manager — Erlaubt dem Benutzer, aufzurufen StartSession , um eine Verbindung zu einer Instanz für eine Session Manager-Sitzung herzustellen. Diese Berechtigung ist erforderlich, wenn Benutzer eine Umgebung öffnen, die über Systems Manager mit ihrer EC2-Instance kommuniziert. Weitere Informationen finden Sie unter [Zugreifen auf EC2-Instances ohne Zutritt mit AWS Systems Manager](ec2-ssm.md).
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSCloud9Administrator](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloud9Administrator.html) in der *Referenz für AWS verwaltete Richtlinien*.
### AWS verwaltete Richtlinie: AWSCloud9 Benutzer
Sie können die `AWSCloud9User`-Richtlinie an Ihre IAM-Identitäten anfügen.
Diese Richtlinie gewährt *user* Berechtigungen zum Erstellen von AWS Cloud9 Entwicklungsumgebungen und zum Verwalten eigener Umgebungen.
**Details zu Berechtigungen**
Diese Richtlinie umfasst die folgenden Berechtigungen.
+ AWS Cloud9 — Erstellen und Abrufen von Informationen über ihre Umgebungen sowie Abrufen und Ändern von Benutzereinstellungen für ihre Umgebungen.
+ Amazon EC2 — Informieren Sie sich über mehrere Amazon VPC- und Subnetzressourcen in ihren. AWS-Konto
+ IAM — Rufen Sie Informationen zu den IAM-Benutzern in ihren AWS-Konto Bereichen ab und erstellen Sie bei Bedarf die mit dem AWS Cloud9 Service verknüpfte Rolle in ihnen. AWS-Konto
+ Systems Manager — Erlaubt dem Benutzer, aufzurufen StartSession , um eine Verbindung zu einer Instanz für eine Session Manager-Sitzung herzustellen. Diese Berechtigung ist erforderlich, wenn Benutzer eine Umgebung öffnen, die über Systems Manager mit ihrer EC2-Instance kommuniziert. Weitere Informationen finden Sie unter [Zugreifen auf EC2-Instances ohne Zutritt mit AWS Systems Manager](ec2-ssm.md).
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSCloud9Benutzer](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloud9User.html) in der *Referenz für AWS verwaltete Richtlinien*.
### AWS verwaltete Richtlinie: AWSCloud9 EnvironmentMember
Sie können die `AWSCloud9EnvironmentMember`-Richtlinie an Ihre IAM-Identitäten anfügen.
Diese Richtlinie gewährt *membership* Berechtigungen, mit denen Sie einer AWS Cloud9 gemeinsam genutzten Umgebung beitreten können.
**Details zu Berechtigungen**
Diese Richtlinie umfasst die folgenden Berechtigungen:
+ AWS Cloud9 — Informationen über ihre Umgebungen abrufen und Benutzereinstellungen für ihre Umgebungen abrufen und ändern.
+ IAM — Rufen Sie Informationen zu den IAM-Benutzern in ihren AWS-Konto Umgebungen ab und erstellen Sie bei Bedarf die AWS Cloud9 serviceverknüpfte Rolle in ihnen AWS-Konto .
+ Systems Manager — Erlaubt dem Benutzer, aufzurufen StartSession , um eine Verbindung zu einer Instanz für eine Session Manager-Sitzung herzustellen. Diese Berechtigung ist erforderlich, wenn Benutzer eine Umgebung öffnen, die über Systems Manager mit ihrer EC2-Instance kommuniziert. Weitere Informationen finden Sie unter [Zugreifen auf EC2-Instances ohne Zutritt mit AWS Systems Manager](ec2-ssm.md).
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSCloud9EnvironmentMember](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloud9EnvironmentMember.html) in der *Referenz zu von AWS verwalteten Richtlinien*.
### AWS verwaltete Richtlinie: `AWSCloud9ServiceRolePolicy`
Die serviceverknüpfte Rolle **AWSServiceRoleForAWSCloud9**verwendet diese Richtlinie, um der AWS Cloud9 Umgebung die Interaktion mit Amazon EC2 und CloudFormation Ressourcen zu ermöglichen.
**Details zu Berechtigungen**
Das **AWSCloud9ServiceRolePolicy**gewährt AWSService RoleFor AWSCloud9 die erforderlichen Berechtigungen für die Interaktion mit den AWS-Services (Amazon EC2 und CloudFormation), die zum Erstellen und Ausführen von Entwicklungsumgebungen erforderlich sind. AWS Cloud9
AWS Cloud9 definiert die Berechtigungen seiner dienstbezogenen Rollen und AWS Cloud9 kann nur seine Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.
Weitere Informationen zur AWS Cloud9 Verwendung von dienstbezogenen Rollen finden Sie unter. [Verwenden von serviceverknüpften Rollen für AWS Cloud9](using-service-linked-roles.md)
Informationen zu den Berechtigungen für diese Richtlinie finden Sie unter [AWSCloud9ServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloud9ServiceRolePolicy.html) in der *Referenz zu von AWS verwalteten Richtlinien*.
### AWS Cloud9 Aktualisierungen AWS verwalteter Richtlinien
Hier finden Sie Informationen zu Aktualisierungen AWS verwalteter Richtlinien AWS Cloud9 seit Beginn der Nachverfolgung dieser Änderungen durch diesen Dienst. Abonnieren Sie den RSS-Feed auf der Seite AWS Cloud9 Dokumentenverlauf, um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.
| Änderungen | Beschreibung | Date |
| --- | --- | --- |
| Der **AWSCloud9Administratorrichtlinie** wurde eine neue Aktion hinzugefügt. | Die `ssm:OpenDataChannel` Aktion wurde der **AWSCloud9Administratorrichtlinie** hinzugefügt. Diese Aktion gewährt Benutzern die Berechtigung, den Datenkanal für SSM-Sitzungen zu öffnen. | 25. September 2025 |
| Der **AWSCloud9Benutzerrichtlinie** wurde eine neue Aktion hinzugefügt. | Die `ssm:OpenDataChannel` Aktion wurde der **AWSCloud9Benutzerrichtlinie** hinzugefügt. Diese Aktion gewährt Benutzern die Berechtigung, den Datenkanal für SSM-Sitzungen zu öffnen. | 25. September 2025 |
| Der **AWSCloud9EnvironmentMember**Richtlinie wurde eine neue Aktion hinzugefügt. | Die `ssm:OpenDataChannel` Aktion wurde der **AWSCloud9EnvironmentMember**Richtlinie hinzugefügt. Diese Aktion gewährt Benutzern die Berechtigung, den Datenkanal für SSM-Sitzungen zu öffnen. | 25. September 2025 |
| Eine neue Aktion wurde zu **AWSCloud9Benutzer**, **AWSCloud9Administrator** und **AWSCloud9EnvironmentMember**Richtlinien hinzugefügt. | Die `ssm:GetConnectionStatus` Aktion wurde zu **AWSCloud9**AWSCloud9Benutzeradministrator**** und **AWSCloud9EnvironmentMember**Richtlinien hinzugefügt. Diese Aktion gewährt Benutzern die Berechtigung, den SSM-Verbindungsstatus zu überprüfen. Die `cloud9:ValidateEnvironmentName` API wurde aus der **AWSCloud9Benutzerrichtlinie** entfernt, da sie veraltet ist. | 12. Oktober 2023 |
| APIs wurden den **AWSCloud9Benutzer** - und **AWSCloud9Administratorrichtlinien** hinzugefügt. | Den **AWSCloud9Benutzer** - und **AWSCloud9Administratorrichtlinien** wurden zwei neue APIs hinzugefügt. Diese APIs sind `ec2:DescribeInstanceTypeOfferings` und`ec2:DescribeRouteTables`. Der Zweck dieser APIs besteht darin, AWS Cloud9 zu überprüfen, ob das Standardsubnetz den Instanztyp unterstützt, den der Kunde bei der Erstellung einer AWS Cloud9 Umgebung ausgewählt hat. | 02. August 2023 |
| Auf [** AWSCloud9ServiceRolePolicy**](#security-iam-awsmanpol-AWSCloud9SLR) aktualisieren | [** AWSCloud9ServiceRolePolicy**](#security-iam-awsmanpol-AWSCloud9SLR)wurde aktualisiert, um das Starten und Stoppen von Amazon EC2 EC2-Instances AWS Cloud9 zu ermöglichen, die über License Manager Manager-Lizenzkonfigurationen verwaltet werden. | 12. Januar 2022 |
| AWS Cloud9 hat begonnen, Änderungen zu verfolgen | AWS Cloud9 hat begonnen, Änderungen für die AWS verwalteten Richtlinien zu verfolgen. | 15. März 2021 |
## Erstellung von vom Kunden verwalteten Richtlinien für AWS Cloud9
Wenn keine der AWS verwalteten Richtlinien Ihren Anforderungen an die Zugriffskontrolle entspricht, können Sie Ihre eigenen vom Kunden verwalteten Richtlinien erstellen und anhängen.
Informationen zum Erstellen einer kundenverwalteten Richtlinie finden Sie unter [Erstellen einer IAM-Richtlinie (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-start) im *IAM User Guide*.
**Topics**
+ [Angabe der Richtlinienelemente: Auswirkungen, Prinzipale, Aktionen und Ressourcen](#auth-and-access-control-customer-policies-specifying-policy-elements)
+ [Beispiele für vom Kunden verwaltete Richtlinien](#auth-and-access-control-customer-policies-examples)
### Angabe der Richtlinienelemente: Auswirkungen, Prinzipale, Aktionen und Ressourcen
Für jede AWS Cloud9 Ressource definiert der Service eine Reihe von API-Vorgängen. AWS Cloud9 Definiert eine Reihe von Aktionen, die Sie in einer Richtlinie angeben können, um Berechtigungen für diese API-Operationen zu gewähren.
Grundlegende Richtlinienelemente:
+ `Effect` – Sie geben die Auswirkung (Zugriffserlaubnis oder Zugriffsablehnung) an, wenn der Benutzer die Aktion anfordert. Wenn Sie den Zugriff auf eine Ressource nicht ausdrücklich gestatten („Allow“), wird er automatisch verweigert. Sie können den Zugriff auf eine Ressource auch explizit verweigern. So können Sie zum Beispiel sicherstellen, dass Benutzer nicht auf eine Ressource zugreifen können, auch wenn der Zugriff durch eine andere Richtlinie gestattet wird.
+ `Principal` – In identitätsbasierten Richtlinien (IAM-Richtlinien) ist der Benutzer, dem die Richtlinie zugewiesen ist, automatisch der Prinzipal. In ressourcenbasierten Richtlinien müssen Sie den Benutzer, das Konto, den Service oder die sonstige Entität angeben, die die Berechtigungen erhalten soll.
+ `Resource` – Verwenden Sie einen Amazon-Ressourcennamen (ARN), um die Ressource, für welche die Richtlinie gilt, zu identifizieren.
+ `Action` – Sie verwenden Aktionsschlüsselwörter, um Ressourcenoperationen anzugeben, die Sie zulassen oder ablehnen möchten. Die `cloud9:CreateEnvironmentEC2`-Berechtigung erteilt dem Benutzer zum Beispiel Berechtigungen zum Ausführen der `CreateEnvironmentEC2`-Operation.
Weitere Informationen zur IAM-Richtliniensyntax und entsprechende Beschreibungen enthält die [IAM-JSON-Richtlinienreferenz](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html) im *IAM-Benutzerhandbuch*.
Eine Tabelle mit allen AWS Cloud9 API-Aktionen und den Ressourcen, für die sie gelten, finden Sie unter[AWS Cloud9 Referenz zu Berechtigungen](#auth-and-access-control-ref).
### Beispiele für vom Kunden verwaltete Richtlinien
In diesem Abschnitt finden Sie Beispiele für Richtlinien, die Berechtigungen für diverse AWS Cloud9 -Aktionen gewähren. Sie können die folgenden IAM-Beispielrichtlinien anpassen, um AWS Cloud9 Zugriff für Ihre IAM-Identitäten zu erlauben oder ausdrücklich zu untersagen.
Um eine vom Kunden verwaltete Richtlinie zu erstellen oder einer IAM-Identität anzufügen, lesen Sie [Erstellen einer IAM-Richtlinie (Konsole](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-start)) und [Anfügen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage-attach-detach.html#attach-managed-policy-console) im *IAM-Benutzerhandbuch*.
**Anmerkung**
In den folgenden Beispielen werden die Region USA Ost (Ohio) (`us-east-2`), eine fiktive AWS-Konto ID (`123456789012`) und eine fiktive AWS Cloud9 Entwicklungsumgebungs-ID () verwendet. `81e900317347585a0601e04c8d52eaEX`
**Topics**
+ [Abruf von Informationen zu Umgebungen](#auth-and-access-control-customer-policies-examples-describe-environments)
+ [Erstellen von EC2-Umgebungen](#auth-and-access-control-customer-policies-examples-create-environment-ec2)
+ [Erstellen von EC2-Umgebungen mit bestimmten Amazon EC2-Instance-Typen](#auth-and-access-control-customer-policies-examples-ec2-instance-types)
+ [Erstellen von EC2-Umgebungen in bestimmten Amazon VPC-Subnetzen](#auth-and-access-control-customer-policies-examples-ec2-subnets)
+ [Erstellen einer EC2-Umgebung mit einem bestimmten Umgebungsnamen](#auth-and-access-control-customer-policies-examples-ec2-name)
+ [Erstellung nur von SSH-Umgebungen](#auth-and-access-control-customer-policies-examples-no-ec2)
+ [Aktualisierung von Umgebungen oder Verhinderung der Aktualisierung einer Umgebung](#auth-and-access-control-customer-policies-examples-update-environment)
+ [Abruf von Listen von Umgebungsmitgliedern](#auth-and-access-control-customer-policies-examples-describe-environment-memberships)
+ [Freigabe von Umgebungen nur für einen spezifischen Benutzer](#auth-and-access-control-customer-policies-examples-restrict-collaboration)
+ [Verhinderung der Freigabe von Umgebungen](#auth-and-access-control-customer-policies-examples-no-collaboration)
+ [Änderung oder Verhinderung der Änderung der Einstellungen von Umgebungsmitgliedern](#auth-and-access-control-customer-policies-examples-update-environment-membership)
+ [Entfernung oder Verhinderung der Entfernung von Umgebungsmitgliedern](#auth-and-access-control-customer-policies-examples-delete-environment-membership)
+ [Löschung oder Verhinderung der Löschung einer Umgebung](#auth-and-access-control-customer-policies-examples-delete-environment)
+ [Benutzerdefinierte IAM-Richtlinie für die Erstellung einer SSM-Umgebung](#custom-policy-ssm-environment)
#### Abruf von Informationen zu Umgebungen
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Abrufen von Informationen zu jeder Umgebung in ihrem Konto.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:DescribeEnvironments",
"Resource": "*"
}
]
}
```
------
**Anmerkung**
Die vorherige Zugriffsberechtigung ist bereits in den verwalteten Richtlinien und enthalten. AWS `AWSCloud9Administrator` `AWSCloud9User`
#### Erstellen von EC2-Umgebungen
Das folgende Beispiel für eine IAM-Richtlinienerklärung, das an eine IAM-Entität angehängt ist, ermöglicht es dieser Entität, AWS Cloud9 EC2-Entwicklungsumgebungen in ihrem Konto zu erstellen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:CreateEnvironmentEC2",
"Resource": "*"
}
]
}
```
------
**Anmerkung**
Die vorherige Zugriffsberechtigung ist bereits in den AWS verwalteten Richtlinien und enthalten. `AWSCloud9Administrator` `AWSCloud9User`
#### Erstellen von EC2-Umgebungen mit bestimmten Amazon EC2-Instance-Typen
Das folgende Beispiel für eine IAM-Richtlinienerklärung, das an eine IAM-Entität angehängt ist, ermöglicht es dieser Entität, AWS Cloud9 EC2-Entwicklungsumgebungen in ihrem Konto zu erstellen. Allerdings können EC2-Umgebungen nur die angegebene Klasse von Amazon-EC2-Instance-Typen verwenden.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:CreateEnvironmentEC2",
"Resource": "*",
"Condition": {
"StringLike": {
"cloud9:InstanceType": "t3.*"
}
}
}
]
}
```
------
**Anmerkung**
Wenn die AWS verwaltete Richtlinie `AWSCloud9Administrator` oder bereits mit der IAM-Entität verknüpft `AWSCloud9User` ist, setzt diese AWS verwaltete Richtlinie das Verhalten der vorherigen IAM-Richtlinienanweisung außer Kraft. Das liegt daran, dass diese AWS verwalteten Richtlinien toleranter sind.
#### Erstellen von EC2-Umgebungen in bestimmten Amazon VPC-Subnetzen
Das folgende Beispiel für eine IAM-Richtlinienerklärung, das an eine IAM-Entität angehängt ist, ermöglicht es dieser Entität, AWS Cloud9 EC2-Entwicklungsumgebungen in ihrem Konto zu erstellen. EC2-Umgebungen können jedoch nur die angegebenen Amazon-VPC-Subnetze verwenden.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:CreateEnvironmentEC2",
"Resource": "*",
"Condition": {
"StringLike": {
"cloud9:SubnetId": [
"subnet-12345678",
"subnet-23456789"
]
}
}
}
]
}
```
------
**Anmerkung**
Wenn die AWS verwaltete Richtlinie `AWSCloud9Administrator` oder bereits mit der IAM-Entität verknüpft `AWSCloud9User` ist, setzt diese AWS verwaltete Richtlinie das Verhalten der vorherigen IAM-Richtlinienanweisung außer Kraft. Das liegt daran, dass diese AWS verwalteten Richtlinien toleranter sind.
#### Erstellen einer EC2-Umgebung mit einem bestimmten Umgebungsnamen
Das folgende Beispiel für eine IAM-Richtlinienerklärung, das an eine IAM-Entität angehängt ist, ermöglicht es dieser Entität, in ihrem Konto eine AWS Cloud9 EC2-Entwicklungsumgebung zu erstellen. Die EC2-Umgebungen kann nur den angegebenen Namen verwenden.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:CreateEnvironmentEC2",
"Resource": "*",
"Condition": {
"StringEquals": {
"cloud9:EnvironmentName": "my-demo-environment"
}
}
}
]
}
```
------
**Anmerkung**
Wenn die AWS verwaltete Richtlinie `AWSCloud9Administrator` oder bereits mit der IAM-Entität verknüpft `AWSCloud9User` ist, setzt diese AWS verwaltete Richtlinie das Verhalten der vorherigen IAM-Richtlinienanweisung außer Kraft. Das liegt daran, dass diese AWS verwalteten Richtlinien toleranter sind.
#### Erstellung nur von SSH-Umgebungen
Das folgende Beispiel für eine IAM-Richtlinienerklärung, die an eine IAM-Entität angehängt ist, ermöglicht es dieser Entität, AWS Cloud9 SSH-Entwicklungsumgebungen in ihrem Konto zu erstellen. Die Entität kann jedoch keine AWS Cloud9 EC2-Entwicklungsumgebungen erstellen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:CreateEnvironmentSSH",
"Resource": "*"
},
{
"Effect": "Deny",
"Action": "cloud9:CreateEnvironmentEC2",
"Resource": "*"
}
]
}
```
------
#### Aktualisierung von Umgebungen oder Verhinderung der Aktualisierung einer Umgebung
Das folgende Beispiel für eine IAM-Richtlinienerklärung, das an eine IAM-Entität angehängt ist, ermöglicht es dieser Entität, Informationen über jede AWS Cloud9 Entwicklungsumgebung in ihrem Konto zu ändern.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:UpdateEnvironment",
"Resource": "*"
}
]
}
```
------
**Anmerkung**
Die vorherige Zugriffsberechtigung ist bereits in der AWS verwalteten Richtlinie enthalten. `AWSCloud9Administrator`
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, verhindert explizit, dass diese Entität Informationen zur Umgebung mit dem angegebenen Amazon-Ressourcennamen (ARN) ändert.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloud9:UpdateEnvironment",
"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
}
]
}
```
------
#### Abruf von Listen von Umgebungsmitgliedern
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Abrufen einer Liste von Mitgliedern für jede Umgebung in ihrem Konto.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:DescribeEnvironmentMemberships",
"Resource": "*"
}
]
}
```
------
**Anmerkung**
Die vorherige Zugriffsberechtigung ist bereits in der AWS verwalteten Richtlinie enthalten`AWSCloud9Administrator`. Außerdem ist die vorherige Zugriffsberechtigung großzügiger als die entsprechende Zugriffsberechtigung in der AWS verwalteten Richtlinie. `AWSCloud9User`
#### Freigabe von Umgebungen nur für einen spezifischen Benutzer
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Teilen jeder Umgebung in ihrem Konto nur mit dem bestimmten Benutzer.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloud9:CreateEnvironmentMembership"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"cloud9:UserArn": "arn:aws:iam::123456789012:user/MyDemoUser"
}
}
}
]
}
```
------
**Anmerkung**
Wenn die AWS verwaltete Richtlinie `AWSCloud9Administrator` oder bereits mit der IAM-Entität verknüpft `AWSCloud9User` ist, setzen diese AWS verwalteten Richtlinien das Verhalten der vorherigen IAM-Richtlinienanweisung außer Kraft. Das liegt daran, dass diese AWS verwalteten Richtlinien toleranter sind.
#### Verhinderung der Freigabe von Umgebungen
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, verhindert, dass diese Entität eine Umgebung in ihrem Konto freigibt.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"cloud9:CreateEnvironmentMembership",
"cloud9:UpdateEnvironmentMembership"
],
"Resource": "*"
}
]
}
```
------
#### Änderung oder Verhinderung der Änderung der Einstellungen von Umgebungsmitgliedern
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Ändern der Einstellungen von Mitgliedern in jeder Umgebung in ihrem Konto.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:UpdateEnvironmentMembership",
"Resource": "*"
}
]
}
```
------
**Anmerkung**
Die vorherige Zugriffsberechtigung ist bereits in der AWS verwalteten Richtlinie enthalten. `AWSCloud9Administrator`
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, verhindert explizit, dass diese Entität die Einstellungen von Mitgliedern; in der Umgebung mit dem angegebenen Amazon-Ressourcennamen (ARN) ändert.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloud9:UpdateEnvironmentMembership",
"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
}
]
}
```
------
#### Entfernung oder Verhinderung der Entfernung von Umgebungsmitgliedern
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Entfernen von jedem Mitglied aus jeder Umgebung in ihrem Konto.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:DeleteEnvironmentMembership",
"Resource": "*"
}
]
}
```
------
**Anmerkung**
Die vorherige Zugriffsberechtigung ist bereits in der AWS verwalteten Richtlinie enthalten`AWSCloud9Administrator`.
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, verhindert explizit, dass diese Entität jedes Mitglied aus der Umgebung mit dem angegebenen Amazon-Ressourcennamen (ARN) entfernt.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloud9:DeleteEnvironmentMembership",
"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
}
]
}
```
------
#### Löschung oder Verhinderung der Löschung einer Umgebung
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, ermöglicht dieser Entität das Löschen jeder Umgebung in ihrem Konto.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "cloud9:DeleteEnvironment",
"Resource": "*"
}
]
}
```
------
**Anmerkung**
Die vorherige Zugriffsberechtigung ist bereits in der AWS verwalteten Richtlinie enthalten`AWSCloud9Administrator`.
Die folgende IAM-Beispielrichtlinienanweisung, die einer IAM-Entität angefügt ist, verhindert explizit, dass diese Entität die Umgebung mit dem angegebenen Amazon-Ressourcennamen (ARN) löscht.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": "cloud9:DeleteEnvironment",
"Resource": "arn:aws:cloud9:us-east-2:123456789012:environment:81e900317347585a0601e04c8d52eaEX"
}
]
}
```
------
#### Benutzerdefinierte IAM-Richtlinie für die Erstellung einer SSM-Umgebung
Es besteht ein aktuelles Berechtigungsproblem, das beim Erstellen einer SSM-Umgebung mit den angehängten `AWSCloud9Administrator` `AWSCloud9User` OR-Richtlinien auftritt. Das folgende Beispiel für eine IAM-Richtlinienanweisung ermöglicht es Benutzern, entweder die AWS verwaltete Richtlinie oder anzuhängen und zu verwenden, wenn sie an eine IAM-Entität angehängt ist. `AWSCloud9Administrator` `AWSCloud9User`
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloud9:UpdateUserSettings",
"cloud9:GetUserSettings",
"iam:GetUser",
"iam:ListUsers",
"iam:ListRoles",
"ec2:DescribeVpcs",
"ec2:DescribeSubnets",
"ec2:DescribeRouteTables"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"cloud9:CreateEnvironmentEC2",
"cloud9:CreateEnvironmentSSH"
],
"Resource": "*",
"Condition": {
"Null": {
"cloud9:OwnerArn": "true"
}
}
},
{
"Effect": "Allow",
"Action": [
"cloud9:GetUserPublicKey"
],
"Resource": "*",
"Condition": {
"Null": {
"cloud9:UserArn": "true"
}
}
},
{
"Effect": "Allow",
"Action": [
"cloud9:DescribeEnvironmentMemberships"
],
"Resource": [
"*"
],
"Condition": {
"Null": {
"cloud9:UserArn": "true",
"cloud9:EnvironmentId": "true"
}
}
},
{
"Effect": "Allow",
"Action": [
"iam:CreateServiceLinkedRole"
],
"Resource": "*",
"Condition": {
"StringLike": {
"iam:AWSServiceName": "cloud9.amazonaws.com"
}
}
},
{
"Effect": "Allow",
"Action": "ssm:StartSession",
"Resource": "arn:aws:ec2:*:*:instance/*",
"Condition": {
"StringLike": {
"ssm:resourceTag/aws:cloud9:environment": "*"
},
"StringEquals": {
"aws:CalledViaFirst": "cloud9.amazonaws.com"
}
}
},
{
"Effect": "Allow",
"Action": [
"ssm:StartSession"
],
"Resource": [
"arn:aws:ssm:*:*:document/*"
]
},
{
"Effect": "Allow",
"Action": ["iam:ListInstanceProfilesForRole", "iam:CreateRole"],
"Resource": ["arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"]
},
{
"Effect": "Allow",
"Action": ["iam:AttachRolePolicy"],
"Resource": ["arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole"],
"Condition": {
"StringEquals": {
"iam:PolicyARN": "arn:aws:iam::aws:policy/AWSCloud9SSMInstanceProfile"
}
}
},
{
"Effect": "Allow",
"Action": "iam:PassRole",
"Resource": "arn:aws:iam::*:role/service-role/AWSCloud9SSMAccessRole",
"Condition": {
"StringEquals": {
"iam:PassedToService": "ec2.amazonaws.com"
}
}
},
{
"Effect": "Allow",
"Action": [
"iam:CreateInstanceProfile",
"iam:AddRoleToInstanceProfile"
],
"Resource": [
"arn:aws:iam::*:instance-profile/cloud9/AWSCloud9SSMInstanceProfile"
]
}
]
}
```
------
## AWS Cloud9 Referenz zu Berechtigungen
Sie können in Ihren AWS Cloud9 Policen allgemeine Bedingungsschlüssel verwenden AWS , um Bedingungen auszudrücken. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
Sie geben die Aktionen im Feld `Action` der Richtlinie an. Um eine Aktion anzugeben, verwenden Sie das Präfix `cloud9:` gefolgt vom Namen der API-Operation (z. B. `"Action": "cloud9:DescribeEnvironments"`). Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Komma (z. B. `"Action": [ "cloud9:UpdateEnvironment", "cloud9:DeleteEnvironment" ]`).
### Verwendung von Platzhalterzeichen
Sie geben einen ARN mit oder ohne Platzhalterzeichen (`*`) als Ressourcenwert im Feld `Resource` der Richtlinie an. Sie können das Platzhalterzeichen verwenden, um mehrere Aktionen oder Ressourcen anzugeben. `cloud9:*`Gibt beispielsweise alle AWS Cloud9 Aktionen an und `cloud9:Describe*` gibt alle AWS Cloud9 Aktionen an, die mit beginnen`Describe`.
Das folgende Beispiel ermöglicht einer IAM-Entität, Informationen zu Umgebungen und Umgebungs-Mitgliedschaften für jede Umgebung in ihrem Konto abzurufen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloud9:Describe*"
],
"Resource": "*"
}
]
}
```
------
**Anmerkung**
Die vorherige Zugriffsberechtigung ist bereits in der AWS verwalteten Richtlinie enthalten`AWSCloud9Administrator`. Außerdem ist die vorherige Zugriffsberechtigung freizügiger als die entsprechende Zugriffsberechtigung in der AWS verwalteten Richtlinie. `AWSCloud9User`
### AWS Cloud9 API-Operationen und erforderliche Berechtigungen für Aktionen
**Anmerkung**
Sie können die folgende Tabelle als Referenz verwenden, wenn Sie die Zugriffskontrolle einrichten und Berechtigungsrichtlinien verfassen, die einer IAM-Identität angefügt werden (identitätsbasierte Richtlinien).
In der [Public API operations](#callable-api) Tabelle sind API-Operationen aufgeführt, die von Kunden aufgerufen werden können, die SDKs und AWS Command Line Interface.
Die [Permission-only API operations](#permissions-only-api) listet API-Vorgänge auf, die nicht direkt vom Kundencode oder die AWS Command Line Interface aufgerufen werden können. IAM-Benutzer benötigen jedoch Berechtigungen für diese Vorgänge, die aufgerufen werden, wenn AWS Cloud9 -Aktionen werden über die Konsole ausgeführt.
**Öffentliche API-Operationen**
| AWS Cloud9 Betrieb | Erforderliche Berechtigung (API-Aktion) | Ressource |
| --- | --- | --- |
| `CreateEnvironmentEC2` | `cloud9:CreateEnvironmentEC2` Erforderlich, um eine AWS Cloud9 EC2-Entwicklungsumgebung zu erstellen. | `*` |
| `CreateEnvironmentMembership` | `cloud9:CreateEnvironmentMembership` Erforderlich zum Hinzufügen eines Mitglieds zu einer Umgebung. | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `DeleteEnvironment` | `cloud9:DeleteEnvironment` Erforderlich, um eine Umgebung zu erstellen. | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `DeleteEnvironmentMembership` | `cloud9:DeleteEnvironmentMembership` Erforderlich zum Entfernen eines Mitglieds aus einer Umgebung. | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `DescribeEnvironmentMemberships` | `cloud9:DescribeEnvironmentMemberships` Erforderlich zum Abrufen einer Liste von Mitgliedern in einer Umgebung. | `*` |
| `DescribeEnvironments` | `cloud9:DescribeEnvironments` Erforderlich zum Abrufen von Informationen über eine Umgebung. | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `DescribeEnvironmentStatus` | `cloud9:DescribeEnvironmentStatus` Erforderlich zum Abrufen von Informationen zum Status einer Umgebung. | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `UpdateEnvironment` | `cloud9:UpdateEnvironment` Erforderlich zum Aktualisieren von Einstellungen für eine Umgebung. | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
| `UpdateEnvironmentMembership` | `cloud9:UpdateEnvironmentMembership` Erforderlich zum Aktualisieren von Einstellungen für ein Mitglied in eineUmgebung. | `arn:aws:cloud9:REGION_ID:ACCOUNT_ID:environment:ENVIRONMENT_ID ` |
**Nur-Berechtigungs-API-Vorgänge**
| AWS Cloud9 Betrieb | Description | Dokumentation zur Konsole |
| --- | --- | --- |
| `ActivateEC2Remote` | `cloud9:ActivateEC2Remote` Startet die Amazon EC2 EC2-Instance, mit der Ihre AWS Cloud9 IDE eine Verbindung herstellt. | [Öffnen einer Umgebung in AWS Cloud9](open-environment.md) |
| `CreateEnvironmentSSH` | `cloud9:CreateEnvironmentSSH` Erstellt eine AWS Cloud9 SSH-Entwicklungsumgebung. | [Erstellen einer Umgebung](create-environment-ssh.md) |
| `CreateEnvironmentToken` | `cloud9:CreateEnvironmentToken` Erstellt ein Authentifizierungstoken, das eine Verbindung zwischen dem AWS Cloud9 IDE und die Umgebung des Benutzers. | [Eine EC2 Umgebung erstellen](create-environment-main.md) |
| `DescribeEC2Remote` | `cloud9:DescribeEC2Remote` Ruft Details zur Verbindung mit der EC2-Entwicklungsumgebung ab, einschließlich Host, Benutzer und Port. | [Eine EC2 Umgebung erstellen](create-environment-main.md) |
| `DescribeSSHRemote` | `cloud9:DescribeSSHRemote` Ruft Details zur Verbindung zur SSH-Entwicklungsumgebung ab, einschließlich Host, Benutzer und Port. | [Erstellen einer Umgebung](create-environment-ssh.md) |
| `GetEnvironmentConfig` | `cloud9:GetEnvironmentConfig` Ruft Konfigurationsinformationen ab, die zum Initialisieren der AWS Cloud9 -IDE. | [Mit der AWS Cloud9 IDE arbeiten](ide.md) |
| `GetEnvironmentSettings` | `cloud9:GetEnvironmentSettings` Ruft die AWS Cloud9 IDE-Einstellungen für eine angegebene Entwicklungsumgebung ab. | [Mit der AWS Cloud9 IDE arbeiten](ide.md) |
| `GetMembershipSettings` | `cloud9:GetMembershipSettings` Ruft die AWS Cloud9 IDE-Einstellungen für ein bestimmtes Umgebungsmitglied ab. | [Arbeiten mit einer gemeinsamen Umgebung in AWS Cloud9](share-environment.md) |
| `GetUserPublicKey` | `cloud9:GetUserPublicKey` Ruft den öffentlichen SSH-Schlüssel des Benutzers ab, mit dem eine Verbindung AWS Cloud9 zu SSH-Entwicklungsumgebungen hergestellt wird. | [Erstellen einer Umgebung](create-environment-ssh.md) |
| `GetUserSettings` | `cloud9:GetUserSettings` Ruft die AWS Cloud9 IDE-Einstellungen für einen angegebenen Benutzer ab. | [Mit der AWS Cloud9 IDE arbeiten](ide.md) |
| `ModifyTemporaryCredentialsOnEnvironmentEC2` | `cloud9:ModifyTemporaryCredentialsOnEnvironmentEC2` Legt AWS verwaltete temporäre Anmeldeinformationen für die Amazon EC2 EC2-Instance fest, die von der AWS Cloud9 integrierten Entwicklungsumgebung (IDE) verwendet wird. | [AWS verwaltete temporäre Anmeldeinformationen](#auth-and-access-control-temporary-managed-credentials) |
| `UpdateEnvironmentSettings` | `cloud9:UpdateEnvironmentSettings` Aktualisiert die AWS Cloud9 IDE-Einstellungen für eine angegebene Entwicklungsumgebung. | [Mit der AWS Cloud9 IDE arbeiten](ide.md) |
| `UpdateMembershipSettings` | `cloud9:UpdateMembershipSettings` Aktualisiert die AWS Cloud9 IDE-Einstellungen für ein bestimmtes Umgebungsmitglied. | [Arbeiten mit einer gemeinsamen Umgebung in AWS Cloud9](share-environment.md) |
| `UpdateSSHRemote` | `cloud9:UpdateSSHRemote` Aktualisiert Details zur Verbindung zur SSH-Entwicklungsumgebung, einschließlich Host, Benutzer und Port. | [Erstellen einer Umgebung](create-environment-ssh.md) |
| `UpdateUserSettings` | `cloud9:UpdateUserSettings` Aktualisiert die AWS Cloud9 IDE-Einstellungen für einen angegebenen Benutzer. | [Mit der AWS Cloud9 IDE arbeiten](ide.md) |
| `GetMigrationExperiences` | `cloud9:GetMigrationExperiences` Erteilt einem AWS Cloud9 Benutzer die Erlaubnis, die Migration von AWS Cloud9 bis abzurufen CodeCatalyst. |
## AWS verwaltete temporäre Anmeldeinformationen
****
| |
| --- |
| Wenn Sie nur nach der Liste der Aktionen suchen, die AWS verwaltete temporäre Anmeldeinformationen unterstützen, fahren Sie mit fort[Aktionen, die durch AWS verwaltete temporäre Anmeldeinformationen unterstützt werden](#auth-and-access-control-temporary-managed-credentials-supported). |
AWS Cloud9 Stellt Ihnen für eine AWS Cloud9 EC2-Entwicklungsumgebung temporäre AWS Zugangsdaten in der Umgebung zur Verfügung. Wir bezeichnen diese *AWS -verwaltete temporäre Anmeldeinformationen*. Dies bietet die folgenden Vorteile:
+ Sie müssen die permanenten AWS Zugangsdaten einer AWS Entität (z. B. eines IAM-Benutzers) nirgends in der Umgebung speichern. Dadurch wird verhindert, dass Umgebungsmitglieder ohne Ihr Wissen und Ihre Genehmigung auf diese Anmeldeinformationen zugreifen.
+ Es ist nicht erforderlich, ein Instance-Profil manuell einzurichten, zu verwalten oder der Amazon-EC2-Instance anzufügen, die mit der Umgebung verbunden ist. Ein Instanzprofil ist ein weiterer Ansatz zur Verwaltung temporärer AWS Zugangsdaten.
+ AWS Cloud9 erneuert kontinuierlich seine temporären Anmeldeinformationen, sodass ein einziger Satz von Anmeldeinformationen nur für eine begrenzte Zeit verwendet werden kann. Dies ist eine bewährte AWS Sicherheitsmethode. Weitere Informationen finden Sie unter [AWS Verwaltete temporäre Anmeldeinformationen erstellen und aktualisieren](#auth-and-access-control-temporary-managed-credentials-create-update).
+ AWS Cloud9 schränkt zusätzlich ein, wie seine temporären Anmeldeinformationen für den Zugriff auf AWS Aktionen und Ressourcen aus der Umgebung verwendet werden können. Dies ist auch eine bewährte AWS Sicherheitsmethode.
**Wichtig**
Wenn die EC2-Instance Ihrer Umgebung in einem **privaten Subnetz** gestartet wird, können Sie derzeit keine AWS verwalteten temporären Anmeldeinformationen verwenden, um der EC2-Umgebung den Zugriff auf einen AWS Dienst im Namen einer AWS Entität (z. B. eines IAM-Benutzers) zu ermöglichen.
Weitere Informationen zum Starten einer EC2-Instance in einem privaten Subnetz finden Sie unter [Erstellen Sie ein Subnetz für AWS Cloud9](vpc-settings.md#vpc-settings-create-subnet).
**Anmerkung**
Erwägen Sie die Verwendung einer AWS verwalteten Richtlinie anstelle einer Inline-Richtlinie, wenn Sie verwaltete temporäre Anmeldeinformationen verwenden AWS .
So funktionieren AWS verwaltete temporäre Anmeldeinformationen, wenn eine EC2-Umgebung versucht, im Namen einer AWS Entität (z. B. eines IAM-Benutzers) AWS-Service auf eine zuzugreifen:
1. AWS Cloud9 prüft, ob die aufrufende AWS Entität (z. B. der IAM-Benutzer) berechtigt ist, die angeforderte Aktion für die angeforderte Ressource in auszuführen. AWS Wenn die Berechtigung nicht vorhanden ist oder explizit abgelehnt wird, schlägt die Anforderung fehl.
1. AWS Cloud9 überprüft die AWS verwalteten temporären Anmeldeinformationen, um festzustellen, ob ihre Berechtigungen die angeforderte Aktion für die angeforderte Ressource zulassen. AWS Wenn die Berechtigung nicht vorhanden ist oder explizit abgelehnt wird, schlägt die Anforderung fehl. Eine Liste der Berechtigungen, die AWS verwaltete temporäre Anmeldeinformationen unterstützen, finden Sie unter[Aktionen, die durch AWS verwaltete temporäre Anmeldeinformationen unterstützt werden](#auth-and-access-control-temporary-managed-credentials-supported).
+ Wenn sowohl die AWS Entität als auch die AWS verwalteten temporären Anmeldeinformationen die angeforderte Aktion für die angeforderte Ressource zulassen, ist die Anfrage erfolgreich.
+ Wenn entweder die AWS Entität oder die AWS verwalteten temporären Anmeldeinformationen die angeforderte Aktion für die angeforderte Ressource explizit verweigern oder nicht zulassen, schlägt die Anforderung fehl. Das heißt, selbst wenn die aufrufende AWS Entität über die richtigen Berechtigungen verfügt, schlägt die Anfrage fehl, wenn sie AWS Cloud9 nicht auch explizit zugelassen wird. Ebenso schlägt die Anfrage fehl, wenn sie AWS Cloud9 erlaubt, eine bestimmte Aktion für eine bestimmte Ressource auszuführen, wenn die AWS Entität dies nicht auch ausdrücklich zulässt.
Der Besitzer einer EC2-Umgebung kann AWS verwaltete temporäre Anmeldeinformationen für diese Umgebung jederzeit wie folgt aktivieren oder deaktivieren:
1. Wählen AWS Cloud9 Sie bei geöffneter Umgebung in der AWS Cloud9 IDE in der Menüleiste „**Einstellungen“**.
1. Wählen Sie auf der Registerkarte **Preferences** (Einstellungen) im Navigationsbereich **AWS Settings, Credentials** (-Einstellungen, Anmeldeinformationen) aus.
1. Verwenden Sie **AWS managed temporary credentials** (von verwaltete temporäre Anmeldeinformationen), um AWS zu aktivieren oder zu deaktivieren.
**Anmerkung**
Sie können AWS verwaltete temporäre Anmeldeinformationen auch ein- oder ausschalten, indem Sie den AWS Cloud9 API-Vorgang aufrufen [https://docs.aws.amazon.com/cloud9/latest/APIReference/API_UpdateEnvironment.html](https://docs.aws.amazon.com/cloud9/latest/APIReference/API_UpdateEnvironment.html)und dem `managedCredentialsAction` Parameter einen Wert zuweisen. Sie können diesen API-Vorgang mithilfe von AWS Standardtools wie AWS SDKs und dem AWS CLI anfordern.
Wenn Sie AWS verwaltete temporäre Anmeldeinformationen deaktivieren, kann die Umgebung nicht auf diese zugreifen AWS-Services, unabhängig von der AWS Entität, die die Anfrage stellt. Nehmen wir jedoch an, dass Sie AWS verwaltete temporäre Anmeldeinformationen für eine Umgebung nicht aktivieren können oder wollen und Sie trotzdem auf die Umgebung zugreifen müssen AWS-Services. Sehen Sie sich in diesem Fall die folgenden Alternativen an:
+ Fügen Sie der Amazon-EC2-Instance ein Instance-Profil an, die sich mit der Umgebung verbindet. Detaillierte Anweisungen finden Sie unter [Erstellen und Verwenden eines Instance-Profils zur Verwaltung temporärer Anmeldeinformationen](credentials.md#credentials-temporary).
+ Speichern Sie Ihre permanenten AWS Zugangsdaten in der Umgebung, indem Sie beispielsweise spezielle Umgebungsvariablen festlegen oder den `aws configure` Befehl ausführen. Detaillierte Anweisungen finden Sie unter [Erstellen und Speichern dauerhafter Anmeldeinformationen in einer Umgebung](credentials.md#credentials-permanent-create).
Die zuvor genannten Alternativen überschreiben alle Berechtigungen, die von AWS in einer EC2-Umgebung zugelassen (oder gesperrt) werden.
### Aktionen, die durch AWS verwaltete temporäre Anmeldeinformationen unterstützt werden
In einer AWS Cloud9 EC2-Entwicklungsumgebung ermöglichen AWS verwaltete temporäre Anmeldeinformationen alle AWS Aktionen für alle AWS Ressourcen in den Ressourcen des Aufrufers AWS-Konto, mit den folgenden Einschränkungen:
+ Denn nur AWS Cloud9 die folgenden Aktionen sind zulässig:
+ `cloud9:CreateEnvironmentEC2`
+ `cloud9:CreateEnvironmentSSH`
+ `cloud9:DescribeEnvironmentMemberships`
+ `cloud9:DescribeEnvironments`
+ `cloud9:DescribeEnvironmentStatus`
+ `cloud9:UpdateEnvironment`
+ Für IAM sind nur die folgenden Aktionen erlaubt:
+ `iam:AttachRolePolicy`
+ `iam:ChangePassword`
+ `iam:CreatePolicy`
+ `iam:CreatePolicyVersion`
+ `iam:CreateRole`
+ `iam:CreateServiceLinkedRole`
+ `iam:DeletePolicy`
+ `iam:DeletePolicyVersion`
+ `iam:DeleteRole`
+ `iam:DeleteRolePolicy`
+ `iam:DeleteSSHPublicKey`
+ `iam:DetachRolePolicy`
+ `iam:GetInstanceProfile`
+ `iam:GetPolicy`
+ `iam:GetPolicyVersion`
+ `iam:GetRole`
+ `iam:GetRolePolicy`
+ `iam:GetSSHPublicKey`
+ `iam:GetUser`
+ `iam:List*`
+ `iam:PassRole`
+ `iam:PutRolePolicy`
+ `iam:SetDefaultPolicyVersion`
+ `iam:UpdateAssumeRolePolicy`
+ `iam:UpdateRoleDescription`
+ `iam:UpdateSSHPublicKey`
+ `iam:UploadSSHPublicKey`
+ Alle IAM-Aktionen, die mit Rollen interagieren, sind nur für die Rollennamen zugelassen, die mit `Cloud9-` beginnen. Allerdings funktioniert `iam:PassRole` mit allen Rollennamen.
+ Für AWS -Security-Token-Service (AWS STS) sind nur die folgenden Aktionen zulässig:
+ `sts:GetCallerIdentity`
+ `sts:DecodeAuthorizationMessage`
+ Alle unterstützten AWS Aktionen sind auf die IP-Adresse der Umgebung beschränkt. Dies ist eine bewährte AWS Sicherheitsmethode.
Wenn eine Aktion oder Ressource, für deren Zugriff Sie eine EC2-Umgebung benötigen, AWS Cloud9 nicht unterstützt wird, oder wenn AWS verwaltete temporäre Anmeldeinformationen für eine EC2-Umgebung deaktiviert sind und Sie sie nicht wieder einschalten können, sollten Sie die folgenden Alternativen in Betracht ziehen:
+ Fügen Sie der Amazon EC2 Instance ein Instance-Profil an, die sich mit der EC2-Umgebung verbindet. Detaillierte Anweisungen finden Sie unter [Erstellen und Verwenden eines Instance-Profils zur Verwaltung temporärer Anmeldeinformationen](credentials.md#credentials-temporary).
+ Speichern Sie Ihre permanenten AWS Zugangsdaten in der EC2-Umgebung, indem Sie beispielsweise spezielle Umgebungsvariablen festlegen oder den Befehl ausführen. `aws configure` Detaillierte Anweisungen finden Sie unter [Erstellen und Speichern dauerhafter Anmeldeinformationen in einer Umgebung](credentials.md#credentials-permanent-create).
Die zuvor genannten Alternativen überschreiben alle Berechtigungen, die von AWS in einer EC2-Umgebung zugelassen (oder gesperrt) werden.
#### AWS Verwaltete temporäre Anmeldeinformationen erstellen und aktualisieren
Für eine AWS Cloud9 EC2-Entwicklungsumgebung werden AWS verwaltete temporäre Anmeldeinformationen erstellt, wenn Sie die Umgebung zum ersten Mal öffnen.
AWS verwaltete temporäre Anmeldeinformationen werden unter einer der folgenden Bedingungen aktualisiert:
+ Wenn eine bestimmte Zeit abgelaufen ist. Zurzeit erfolgt dies alle fünf Minuten.
+ Wenn Sie die Registerkarte des Webbrowsers neu laden, die die IDE für die Umgebung anzeigt.
+ Wenn der Zeitstempel in der `~/.aws/credentials`-Datei für die Umgebung erreicht ist.
+ Falls die Einstellung **AWS managed temporary credentials** (von verwaltete temporäre Anmeldeinformationen) auf „aus” festgelegt ist, wenn Sie sie wieder aktivieren. (Um diese Einstellung anzuzeigen oder zu ändern, wählen Sie **AWS Cloud9, Präferenzen** in der Menüleiste der IDE. Klicken Sie auf der **Präferenzen** Klicken Sie im Navigationsbereich auf **AWS Anmeldeinformationen**.)
+ Aus Sicherheitsgründen laufen AWS verwaltete temporäre Anmeldeinformationen automatisch nach 15 Minuten ab. Damit die Anmeldeinformationen aktualisiert werden können, muss der Umgebungseigentümer mit dem AWS Cloud9 -Umgebung durch die IDE. Weitere Informationen zur Rolle des Umgebungsbesitzers finden Sie unter [Kontrolle des Zugriffs auf AWS verwaltete temporäre Anmeldeinformationen](#temporary-managed-credentials-control).
#### Kontrolle des Zugriffs auf AWS verwaltete temporäre Anmeldeinformationen
Ein Mitarbeiter mit AWS verwalteten temporären Anmeldeinformationen kann diese verwenden AWS Cloud9 , um mit anderen AWS-Services zu interagieren. Um sicherzustellen, dass nur vertrauenswürdige Mitarbeiter mit AWS -verwalteten temporäre Anmeldeinformationen werden diese Anmeldeinformationen deaktiviert, wenn ein neues Mitglied von einem anderen Benutzer als dem Umgebungseigentümer hinzugefügt wird. Die Anmeldeinformationen werden durch das Löschen der Datei `~/.aws/credentials`deaktiviert.
**Wichtig**
AWS verwaltete temporäre Anmeldeinformationen laufen ebenfalls automatisch alle 15 Minuten ab. Damit die Anmeldeinformationen aktualisiert werden, sodass Mitarbeiter sie weiterhin verwenden können, muss der Eigentümer der Umgebung über die IDE mit der AWS Cloud9 Umgebung verbunden sein.
Nur der Eigentümer der Umgebung kann AWS verwaltete temporäre Anmeldeinformationen wieder aktivieren, sodass sie mit anderen Mitgliedern geteilt werden können. Wenn der Eigentümer der Umgebung die IDE öffnet, wird in einem Dialogfeld bestätigt, dass AWS verwaltete temporäre Anmeldeinformationen deaktiviert sind. Der Umgebungsbesitzer kann die Anmeldeinformationen für alle Mitglieder erneut aktivieren oder für alle Mitglieder deaktiviert lassen.
**Warnung**
Um bewährte Sicherheitsmethoden einzuhalten, halten Sie die verwalteten temporären Anmeldeinformationen deaktiviert, wenn Sie sich über die Identität des zuletzt zur Umgebung hinzugefügten Benutzers nicht sicher sind. Sie können die Liste der Mitglieder mit read/write Berechtigungen im [Collaborate-Fenster](share-environment-members-list.md) überprüfen.