View a markdown version of this page

Konfigurieren Sie die IAM-Berechtigungen, die für die Verwendung der DataZone Amazon-Verwaltungskonsole erforderlich sind - Amazon DataZone
Hängen Sie erforderliche und optionale Richtlinien an einen Benutzer, eine Gruppe oder eine Rolle für den Zugriff auf die Managementkonsole anErstellen Sie eine benutzerdefinierte Richtlinie für IAM-Berechtigungen, um die vereinfachte Rollenerstellung an der Management Service Console zu ermöglichenErstellen Sie eine benutzerdefinierte Richtlinie für Berechtigungen zur Verwaltung eines mit einer Domain verknüpften Kontos(Optional) Erstellen Sie eine benutzerdefinierte Richtlinie für AWS Identity Center-Berechtigungen, um den SSO-Benutzer- und SSO-Gruppenzugriff auf Domains hinzuzufügen und zu entfernen(Optional) Fügen Sie Ihren IAM-Principal als Schlüsselbenutzer hinzu, um Ihre Domain mit einem vom Kunden verwalteten Schlüssel von KMS zu erstellen AWS

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konfigurieren Sie die IAM-Berechtigungen, die für die Verwendung der DataZone Amazon-Verwaltungskonsole erforderlich sind

Um auf Ihre DataZone Amazon-Domains, -Blueprints und -Benutzer zuzugreifen und diese zu konfigurieren und um das DataZone Amazon-Datenportal zu erstellen, müssen Sie die Amazon-Verwaltungskonsole verwenden. DataZone

Sie müssen die folgenden Verfahren ausführen, um die erforderlichen and/or optionalen Berechtigungen für alle Benutzer, Gruppen oder Rollen zu konfigurieren, die die Amazon Management Console verwenden möchten. DataZone

Hängen Sie die erforderlichen und optionalen Richtlinien an einen Benutzer, eine Gruppe oder eine Rolle für den Zugriff auf die DataZone Amazon-Konsole an

Gehen Sie wie folgt vor, um die erforderlichen und optionalen benutzerdefinierten Richtlinien einem Benutzer, einer Gruppe oder einer Rolle zuzuweisen. Weitere Informationen finden Sie unter AWS verwaltete Richtlinien für Amazon DataZone.

  1. Melden Sie sich bei der AWS Management Console an und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im Navigationsbereich Richtlinien.

  3. Wählen Sie die folgenden Richtlinien aus, um sie Ihrem Benutzer, Ihrer Gruppe oder einer Rolle zuzuordnen.

  4. Wählen Sie Actions (Aktionen) und dann Attach policy (Richtlinie anfügen).

  5. Wählen Sie den Benutzer, die Gruppe oder die Rolle aus, an die Sie die Richtlinie anhängen möchten. Über das Menü Filter und das Suchfeld können Sie die Liste der Prinzipal-Entitäten filtern. Nachdem Sie den Benutzer, die Gruppe oder die Rolle ausgewählt haben, wählen Sie Richtlinie anhängen aus.

Erstellen Sie eine benutzerdefinierte Richtlinie für IAM-Berechtigungen, um die vereinfachte Rollenerstellung über die Amazon DataZone Service Console zu ermöglichen

Gehen Sie wie folgt vor, um eine benutzerdefinierte Inline-Richtlinie zu erstellen, die über die erforderlichen Berechtigungen verfügt DataZone , damit Amazon die erforderlichen Rollen in der AWS Verwaltungskonsole in Ihrem Namen erstellen kann.

Anmerkung

Informationen zu bewährten Methoden zur Konfiguration von Berechtigungen, um die Erstellung von Servicerollen zu ermöglichen, finden Sie unter https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html.

  1. Melden Sie sich bei der AWS Management Console an und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im Navigationsbereich Benutzer oder Benutzergruppen.

  3. Wählen Sie in der Liste den Namen des Benutzers oder der Gruppe, in die eine Richtlinie eingebettet werden soll.

  4. Wählen Sie die Registerkarte Permissions (Berechtigungen) aus und erweitern Sie ggf. den Abschnitt Permissions policies (Berechtigungsrichtlinien).

  5. Wählen Sie Berechtigungen hinzufügen und dann den Link Inline-Richtlinie erstellen aus.

  6. Wählen Sie auf dem Bildschirm „Richtlinie erstellen“ im Abschnitt „Richtlinien-Editor“ die Option JSON aus.

    Erstellen Sie ein Richtliniendokument mit den folgenden JSON-Anweisungen und wählen Sie dann Weiter.

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:AttachRolePolicy",
            "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
            "Condition": {
                "ArnLike": {
                    "iam:PolicyARN": [
                        "arn:aws:iam::aws:policy/AmazonDataZone*",
                        "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                    ]
                }
            }
        }
    ]
}

  7. Geben Sie auf dem Bildschirm „Richtlinie überprüfen“ einen Namen für die Richtlinie ein. Wenn Sie mit der Richtlinie zufrieden sind, klicken Sie auf Create policy (Richtlinie erstellen). Stellen Sie sicher, dass in dem roten Feld am oberen Bildschirmrand keine Fehler angezeigt werden. Korrigieren Sie etwaige Fehler.

Erstellen Sie eine benutzerdefinierte Richtlinie für Berechtigungen zur Verwaltung eines Kontos, das einer DataZone Amazon-Domain zugeordnet ist

Gehen Sie wie folgt vor, um eine benutzerdefinierte Inline-Richtlinie zu erstellen, die über die erforderlichen Berechtigungen in einem zugehörigen AWS Konto verfügt, um Ressourcenfreigaben einer Domäne aufzulisten, zu akzeptieren und abzulehnen. Anschließend können Sie Umgebungs-Blueprints im zugehörigen Konto aktivieren, konfigurieren und deaktivieren. Um die optionale vereinfachte Rollenerstellung der Amazon DataZone Service Console zu aktivieren, die während der Blueprint-Konfiguration verfügbar ist, müssen Sie außerdem Folgendes tun. Erstellen Sie eine benutzerdefinierte Richtlinie für IAM-Berechtigungen, um die vereinfachte Rollenerstellung über die Amazon DataZone Service Console zu ermöglichen

Anmerkung

Informationen zu bewährten Methoden zur Konfiguration von Berechtigungen, um die Erstellung von Servicerollen zu ermöglichen, finden Sie unter https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html.

  1. Melden Sie sich bei der AWS Management Console an und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im Navigationsbereich Benutzer oder Benutzergruppen.

  3. Wählen Sie in der Liste den Namen des Benutzers oder der Gruppe, in die eine Richtlinie eingebettet werden soll.

  4. Wählen Sie die Registerkarte Permissions (Berechtigungen) aus und erweitern Sie ggf. den Abschnitt Permissions policies (Berechtigungsrichtlinien).

  5. Wählen Sie Berechtigungen hinzufügen und dann den Link Inline-Richtlinie erstellen aus.

  6. Wählen Sie auf dem Bildschirm „Richtlinie erstellen“ im Abschnitt „Richtlinien-Editor“ die Option JSON aus. Erstellen Sie ein Richtliniendokument mit den folgenden JSON-Anweisungen und wählen Sie dann Weiter.

    JSON
    
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "datazone:ListEnvironmentBlueprintConfigurations",
                "datazone:PutEnvironmentBlueprintConfiguration",
                "datazone:GetDomain",
                "datazone:ListDomains",
                "datazone:GetEnvironmentBlueprintConfiguration",
                "datazone:ListEnvironmentBlueprints",
                "datazone:GetEnvironmentBlueprint",
                "datazone:ListAccountEnvironments",
                "datazone:DeleteEnvironmentBlueprintConfiguration"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::*:role/AmazonDataZone",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:passedToService": "datazone.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:AttachRolePolicy",
            "Resource": "arn:aws:iam::*:role/service-role/AmazonDataZone*",
            "Condition": {
                "ArnLike": {
                    "iam:PolicyARN": [
                        "arn:aws:iam::aws:policy/AmazonDataZone*",
                        "arn:aws:iam::*:policy/service-role/AmazonDataZone*"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreatePolicy",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/service-role/AmazonDataZone*",
                "arn:aws:iam::*:role/service-role/AmazonDataZone*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ram:AcceptResourceShareInvitation",
                "ram:RejectResourceShareInvitation",
                "ram:GetResourceShareInvitations"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:CreateBucket",
            "Resource": "arn:aws:s3:::amazon-datazone*"
        }
    ]
}

  7. Geben Sie auf dem Bildschirm „Richtlinie überprüfen“ einen Namen für die Richtlinie ein. Wenn Sie mit der Richtlinie zufrieden sind, klicken Sie auf Create policy (Richtlinie erstellen). Stellen Sie sicher, dass in dem roten Feld am oberen Bildschirmrand keine Fehler angezeigt werden. Korrigieren Sie etwaige Fehler.

(Optional) Erstellen Sie eine benutzerdefinierte Richtlinie für AWS Identity Center-Berechtigungen zum Hinzufügen und Entfernen des SSO-Benutzer- und SSO-Gruppenzugriffs auf DataZone Amazon-Domains

Gehen Sie wie folgt vor, um eine benutzerdefinierte Inline-Richtlinie zu erstellen, die über die erforderlichen Berechtigungen zum Hinzufügen und Entfernen des SSO-Benutzers- und SSO-Gruppenzugriffs zu Ihrer DataZone Amazon-Domain verfügt.

  1. Melden Sie sich bei der AWS Management Console an und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im Navigationsbereich Benutzer oder Benutzergruppen.

  3. Wählen Sie in der Liste den Namen des Benutzers oder der Gruppe, in die eine Richtlinie eingebettet werden soll.

  4. Wählen Sie die Registerkarte Permissions (Berechtigungen) aus und erweitern Sie ggf. den Abschnitt Permissions policies (Berechtigungsrichtlinien).

  5. Wählen Sie Berechtigungen hinzufügen und Inline-Richtlinie erstellen aus.

  6. Wählen Sie auf dem Bildschirm „Richtlinie erstellen“ im Abschnitt „Richtlinien-Editor“ die Option JSON aus.

    Erstellen Sie ein Richtliniendokument mit den folgenden JSON-Anweisungen und wählen Sie dann Weiter.

    JSON
    
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sso:GetManagedApplicationInstance",
        "sso:ListProfiles",
        "sso:AssociateProfile",
        "sso:DisassociateProfile",
        "sso:GetProfile"
      ],
      "Resource": "*"
    }
  ]
}

  7. Geben Sie auf dem Bildschirm „Richtlinie überprüfen“ einen Namen für die Richtlinie ein. Wenn Sie mit der Richtlinie zufrieden sind, klicken Sie auf Create policy (Richtlinie erstellen). Stellen Sie sicher, dass in dem roten Feld am oberen Bildschirmrand keine Fehler angezeigt werden. Korrigieren Sie etwaige Fehler.

(Optional) Fügen Sie Ihren IAM-Prinzipal als Hauptbenutzer hinzu, um Ihre DataZone Amazon-Domain mit einem vom Kunden verwalteten Schlüssel von zu erstellen AWS Schlüsselverwaltungsdienst (KMS)

Bevor Sie optional Ihre DataZone Amazon-Domain mit einem vom Kunden verwalteten Schlüssel (CMK) aus dem AWS Key Management Service (KMS) erstellen können, führen Sie das folgende Verfahren durch, um Ihren IAM-Principal zum Benutzer Ihres KMS-Schlüssels zu machen.

  1. Melden Sie sich bei der AWS Management Console an und öffnen Sie die KMS-Konsole unter. https://console.aws.amazon.com/kms/

  2. Zum Anzeigen der Schlüssel in Ihrem Konto, die Sie erstellen und verwalten, wählen Sie im Navigationsbereich Customer managed keys (Vom Kunden verwaltete Schlüssel) aus.

  3. Wählen Sie in der Liste der KMS-Schlüssel den Alias oder die Schlüssel-ID des KMS-Schlüssels aus, den Sie untersuchen möchten.

  4. Verwenden Sie die Steuerelemente im Abschnitt Schlüsselbenutzer auf der Seite, um wichtige Benutzer hinzuzufügen oder zu entfernen und externen AWS Konten die Verwendung des KMS-Schlüssels zu erlauben oder zu verbieten. Schlüsselbenutzer können den KMS-Schlüssel in kryptografischen Produktionen verwenden, wie beispielsweise der Verschlüsselung, Entschlüsselung, erneuten Verschlüsselung und Generierung von Datenschlüsseln.