Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Identity and Access Management für Amazon DevOps Guru
AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren kontrollieren, wer *authentifiziert* (angemeldet) und *autorisiert* werden kann (über Berechtigungen verfügt), um Guru-Ressourcen zu verwenden DevOps. IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können.
**Topics**
+ [Zielgruppe](#security_iam_audience)
+ [Authentifizierung mit Identitäten](#security_iam_authentication)
+ [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage)
+ [DevOpsGuru-Updates zu AWS verwalteten Richtlinien und serviceverknüpften Rollen](#security-iam-awsmanpol-updates)
+ [So arbeitet Amazon DevOps Guru mit IAM](security_iam_service-with-iam.md)
+ [Identitätsbasierte Richtlinien für Amazon Guru DevOps](security_iam_id-based-policy-examples.md)
+ [Verwenden von dienstbezogenen Rollen für Guru DevOps](using-service-linked-roles.md)
+ [Referenz zu Amazon DevOps Guru-Berechtigungen](auth-and-access-control-permissions-reference.md)
+ [Berechtigungen für Amazon SNS SNS-Themen](sns-required-permissions.md)
+ [Berechtigungen für AWS KMS—verschlüsselte Amazon SNS SNS-Themen](sns-kms-permissions.md)
+ [Fehlerbehebung bei Identität und Zugriff auf Amazon DevOps Guru](security_iam_troubleshoot.md)
## Zielgruppe
Wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von Ihrer Rolle ab:
+ **Servicebenutzer** – Fordern Sie von Ihrem Administrator Berechtigungen an, wenn Sie nicht auf Features zugreifen können (siehe [Fehlerbehebung bei Identität und Zugriff auf Amazon DevOps Guru](security_iam_troubleshoot.md)).
+ **Serviceadministrator** – Bestimmen Sie den Benutzerzugriff und stellen Sie Berechtigungsanfragen (siehe [So arbeitet Amazon DevOps Guru mit IAM](security_iam_service-with-iam.md)).
+ **IAM-Administrator** – Schreiben Sie Richtlinien zur Zugriffsverwaltung (siehe [Identitätsbasierte Richtlinien für Amazon Guru DevOps](security_iam_id-based-policy-examples.md)).
## Authentifizierung mit Identitäten
Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos
Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *.
AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*.
### AWS-Konto Root-Benutzer
Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*.
### Verbundidentität
Es hat sich bewährt, dass menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden müssen.
Eine *föderierte Identität* ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Verbundene Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen.
Für die zentrale Zugriffsverwaltung empfehlen wir AWS IAM Identity Center. Weitere Informationen finden Sie unter [Was ist IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) im *AWS IAM Identity Center -Benutzerhandbuch*.
### IAM-Benutzer und -Gruppen
Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zugreifen zu](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) können.
Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*.
### IAM-Rollen
Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) AWS CLI oder einen AWS API-Vorgang aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*.
IAM-Rollen sind nützlich für den Verbundbenutzer-Zugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, serviceübergreifenden Zugriff und Anwendungen, die auf Amazon EC2 laufen. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Verwalten des Zugriffs mit Richtlinien
Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*.
Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf.
Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird.
### Identitätsbasierte Richtlinien
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*.
### Ressourcenbasierte Richtlinien
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html).
Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden.
### Weitere Richtlinientypen
AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden:
+ **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*.
+ **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*.
+ **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html).
+ **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*.
### Mehrere Richtlinientypen
Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die daraus resultierenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*.
## DevOpsGuru-Updates zu AWS verwalteten Richtlinien und serviceverknüpften Rollen
Hier finden Sie Informationen zu Aktualisierungen der AWS verwalteten Richtlinien und der dienstbezogenen Rolle für DevOps Guru, seit dieser Dienst begonnen hat, diese Änderungen nachzuverfolgen. Abonnieren Sie den RSS-Feed auf DevOps Guru[Amazon DevOps Guru-Dokumentenverlauf](doc-history.md), um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.
| Änderungen | Beschreibung | Date |
| --- | --- | --- |
| [AmazonDevOpsGuruConsoleFullAccess](security_iam_id-based-policy-examples.md#managed-full-console-access) – Aktualisierung auf eine bestehende Richtlinie. | Die AmazonDevOpsGuruFullAccess verwaltete Richtlinie unterstützt jetzt Amazon SNS SNS-Abonnements. | 9. August 2023 |
| [AmazonDevOpsGuruReadOnlyAccess](security_iam_id-based-policy-examples.md#managed-read-only-access) – Aktualisierung auf eine bestehende Richtlinie | Die AmazonDevOpsGuruReadOnlyAccess verwaltete Richtlinie unterstützt jetzt den schreibgeschützten Zugriff auf Amazon SNS SNS-Abonnementlisten. | 9. August 2023 |
| [AmazonDevOpsGuruServiceRolePolicy](https://docs.aws.amazon.com/devops-guru/latest/userguide/using-service-linked-roles.html#slr-permissions) – Aktualisierung auf eine bestehende Richtlinie. | Die AWSServiceRoleForDevOpsGuru serviceverknüpfte Rolle unterstützt jetzt den Zugriff auf API Gateway GET-Aktionen auf REST APIs. | 11. Januar 2023 |
| [AmazonDevOpsGuruServiceRolePolicy](https://docs.aws.amazon.com/devops-guru/latest/userguide/using-service-linked-roles.html#slr-permissions) – Aktualisierung auf eine bestehende Richtlinie. | Die AWSServiceRoleForDevOpsGuru serviceverknüpfte Rolle unterstützt jetzt mehrere Amazon Simple Storage Service- und Service Quotas Quota-Aktionen. | 19. Oktober 2022 |
| [AmazonDevOpsGuruFullAccess](security_iam_id-based-policy-examples.md#managed-full-access) – Aktualisierung auf eine bestehende Richtlinie | Die von AmazonDevOpsGuruFullAccess verwaltete Richtlinie unterstützt jetzt den Zugriff auf die CloudWatch `FilterLogEvents` Aktion. | 30. August 2022 |
| [AmazonDevOpsGuruConsoleFullAccess](security_iam_id-based-policy-examples.md#managed-full-console-access) – Aktualisierung auf eine bestehende Richtlinie | Die `AmazonDevOpsGuruConsoleFullAccess` verwaltete Richtlinie unterstützt jetzt den Zugriff auf die CloudWatch `FilterLogEvents` Aktion. | 30. August 2022 |
| [AmazonDevOpsGuruReadOnlyAccess](security_iam_id-based-policy-examples.md#managed-read-only-access) – Aktualisierung auf eine bestehende Richtlinie | Die AmazonDevOpsGuruReadOnlyAccess verwaltete Richtlinie unterstützt jetzt den schreibgeschützten Zugriff auf die CloudWatch FilterLogEvents Aktion. | 30. August 2022 |
| [AmazonDevOpsGuruServiceRolePolicy](https://docs.aws.amazon.com/devops-guru/latest/userguide/using-service-linked-roles.html#slr-permissions) – Aktualisierung auf eine bestehende Richtlinie. | Die mit dem `AWSServiceRoleForDevOpsGuru` Dienst verknüpfte Rolle unterstützt jetzt die CloudWatch Protokollaktionen`FilterLogEvents`, und`DescribeLogGroups`. `DescribeLogStreams` | 12. Juli 2022 |
| [Identitätsbasierte Richtlinien für DevOps Guru](https://docs.aws.amazon.com/devops-guru/latest/userguide/security_iam_id-based-policy-examples.html#managed-full-access) — Neue verwaltete Richtlinie. | Die `AmazonDevOpsGuruConsoleFullAccess` Richtlinie wurde hinzugefügt. | 16. Dezember 2021 |
| [AmazonDevOpsGuruServiceRolePolicy](https://docs.aws.amazon.com/devops-guru/latest/userguide/using-service-linked-roles.html#slr-permissions) – Aktualisierung auf eine bestehende Richtlinie. | Die `AWSServiceRoleForDevOpsGuru` serviceverknüpfte Rolle unterstützt jetzt Performance Insights `DescribeMetricsKeys` - und Amazon `DescribeDBInstances` RDS-Aktionen. | 1. Dezember 2021 |
| [AmazonDevOpsGuruReadOnlyAccess](security_iam_id-based-policy-examples.md#managed-read-only-access) – Aktualisierung auf eine bestehende Richtlinie | Die `AmazonDevOpsGuruReadOnlyAccess` verwaltete Richtlinie unterstützt jetzt den schreibgeschützten Zugriff auf Amazon `DescribeDBInstances` RDS-Aktionen. | 1. Dezember 2021 |
| [AmazonDevOpsGuruFullAccess](security_iam_id-based-policy-examples.md#managed-full-access) – Aktualisierung auf eine bestehende Richtlinie | Die `AmazonDevOpsGuruFullAccess` verwaltete Richtlinie unterstützt jetzt den Zugriff auf Amazon `DescribeDBInstances` RDS-Aktionen. | 1. Dezember 2021 |
| [Identitätsbasierte Richtlinien für Amazon Guru DevOps](security_iam_id-based-policy-examples.md)— Neue Richtlinie hinzugefügt. | Die `AWSServiceRoleForDevOpsGuru` serviceverknüpfte Rolle unterstützt jetzt den Zugriff auf Amazon RDS `DescribeDBInstances` - und Performance Insights `GetResourceMetrics` Insights-Aktionen.
Die `AmazonDevOpsGuruOrganizationsAccess` verwaltete Richtlinie ermöglicht den Zugriff auf DevOps Guru innerhalb einer Organisation. | 16. November 2021 |
| [AmazonDevOpsGuruServiceRolePolicy](https://docs.aws.amazon.com/devops-guru/latest/userguide/using-service-linked-roles.html#slr-permissions) – Aktualisierung auf eine bestehende Richtlinie. | Die `AWSServiceRoleForDevOpsGuru` serviceverknüpfte Rolle unterstützt jetzt AWS Organizations. | 4. November 2021 |
| [AmazonDevOpsGuruServiceRolePolicy](https://docs.aws.amazon.com/devops-guru/latest/userguide/using-service-linked-roles.html#slr-permissions) – Aktualisierung auf eine bestehende Richtlinie. | Die `AWSServiceRoleForDevOpsGuru` serviceverknüpfte Rolle enthält jetzt neue Bedingungen für die Aktionen `ssm:CreateOpsItem` und`ssm:AddTagsToResource`. | 11. Oktober 2021 |
| [Mit dem Dienst verknüpfte Rollenberechtigungen für Guru DevOps](using-service-linked-roles.md#slr-permissions) – Aktualisierung auf eine bestehende Richtlinie. | Die `AWSServiceRoleForDevOpsGuru` dienstbezogene Rolle enthält jetzt neue Bedingungen für die Aktionen `ssm:CreateOpsItem` und`ssm:AddTagsToResource`. | 14. Juni 2021 |
| [AmazonDevOpsGuruReadOnlyAccess](security_iam_id-based-policy-examples.md#managed-read-only-access) – Aktualisierung auf eine bestehende Richtlinie | Die `AmazonDevOpsGuruReadOnlyAccess` verwaltete Richtlinie ermöglicht jetzt schreibgeschützten Zugriff auf die Aktionen AWS Identity and Access Management `GetRole` und Guru. DevOps `DescribeFeedback` | 14. Juni 2021 |
| [AmazonDevOpsGuruReadOnlyAccess](security_iam_id-based-policy-examples.md#managed-read-only-access) – Aktualisierung auf eine bestehende Richtlinie | Die `AmazonDevOpsGuruReadOnlyAccess` verwaltete Richtlinie ermöglicht jetzt schreibgeschützten Zugriff auf den Guru und die DevOps Aktionen. `GetCostEstimation` `StartCostEstimation` | 27. April 2021 |
| [AmazonDevOpsGuruServiceRolePolicy](https://docs.aws.amazon.com/devops-guru/latest/userguide/using-service-linked-roles.html#slr-permissions) – Aktualisierung auf eine bestehende Richtlinie. | Die `AWSServiceRoleForDevOpsGuru` Rolle ermöglicht jetzt den Zugriff auf die `DescribeAutoScalingGroups` Aktionen AWS Systems Manager `AddTagsToResource` und Amazon EC2 Auto Scaling. | 27. April 2021 |
| DevOpsGuru begann, Änderungen zu verfolgen | DevOpsGuru begann, Änderungen an seinen AWS verwalteten Richtlinien nachzuverfolgen. | 10. Dezember 2020 |