View a markdown version of this page

Ressourcen-Kontrollrichtlinien (RCP) - AWS Organizations
Liste von AWS-Services die RCPs unterstützenTesten der Auswirkungen von RCPsMaximale Größe von RCPsRCPs an verschiedene Ebenen in der Organisation anhängenAuswirkungen von RCP auf BerechtigungenRessourcen und Entitäten, die nicht durch RCPs eingeschränkt sind

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Ressourcen-Kontrollrichtlinien (RCP)

Anmerkung

Richtlinien zur Dienstkontrolle (SCP) und Richtlinien zur Ressourcenkontrolle (RCPs)

Verwenden Sie einen SCP, wenn Sie die Berechtigungen von IAM-Prinzipalen innerhalb der Mitgliedskonten Ihrer Organisation einschränken müssen.

Verwenden Sie einen RCP, wenn Sie IAM-Prinzipale einschränken müssen, die sich außerhalb Ihrer Unternehmenskonten befinden und Anfragen für den Zugriff auf Ressourcen innerhalb der Mitgliedskonten Ihrer Organisation stellen.

Weitere Informationen finden Sie unter Grundlegendes zu SCPs und RCPs.

Resource Control Policies (RCPs) sind eine Art von Organisationsrichtlinie, mit der Sie Berechtigungen in Ihrer Organisation verwalten können. RCPs bieten eine zentrale Kontrolle über die maximal verfügbaren Berechtigungen für Ressourcen in Ihrer Organisation. RCPs helfen Ihnen dabei, sicherzustellen, dass die Ressourcen in Ihren Konten den Zugriffskontrollrichtlinien Ihres Unternehmens entsprechen. RCPs sind nur in einer Organisation verfügbar, in der alle Funktionen aktiviert sind. RCPs sind nicht verfügbar, wenn Ihre Organisation nur die Funktionen für konsolidierte Fakturierung aktiviert hat. Anweisungen zur Aktivierung von RCPs finden Sie unter. Aktivieren eines Richtlinientyps

RCPs allein reichen nicht aus, um Berechtigungen für die Ressourcen in Ihrer Organisation zu erteilen. Eine RCP erteilt keine Berechtigungen. Ein RCP definiert einen Rahmen für Berechtigungen oder schränkt die Aktionen ein, die Identitäten in Bezug auf Ressourcen in Ihrem Unternehmen ausführen können. Der Administrator muss weiterhin identitätsbasierte Richtlinien an IAM-Benutzer oder -Rollen oder ressourcenbasierte Richtlinien an Ressourcen in Ihren Konten anhängen, um Berechtigungen tatsächlich zu gewähren. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Identity-based Richtlinien und ressourcenbasierte Richtlinien.

Die effektiven Berechtigungen sind die logische Schnittstelle zwischen dem, was durch die RCPs und Service Control Policies (SCPs) erlaubt ist, und dem, was durch die identitäts - und ressourcenbasierten Richtlinien erlaubt wird.

RCPs wirken sich nicht auf die Ressourcen im Verwaltungskonto aus

RCPs wirken sich nicht auf die Ressourcen im Verwaltungskonto aus. Sie wirken sich nur auf Ressourcen in den Mitgliedskonten innerhalb Ihrer Organisation aus. Das bedeutet auch, dass RCPs für Mitgliedskonten gelten, die als delegierte Administratoren benannt sind.

Themen

Liste von AWS-Services die RCPs unterstützen

RCPs gelten für Maßnahmen in den folgenden Bereichen: AWS-Services

Testen der Auswirkungen von RCPs

AWS empfiehlt dringend, dass Sie RCPs nicht an das Stammverzeichnis Ihrer Organisation anhängen, ohne die Auswirkungen der Richtlinie auf die Ressourcen in Ihren Konten gründlich zu testen. Sie können damit beginnen, RCPs an einzelne Testkonten anzuhängen, sie in Organisationseinheiten weiter unten in der Hierarchie zu verschieben und sich dann nach Bedarf durch die Organisationsstruktur nach oben zu arbeiten. Eine Möglichkeit, die Auswirkungen zu ermitteln, besteht darin, die AWS CloudTrail Protokolle auf Fehler „Zugriff verweigert“ zu überprüfen.

Maximale Größe von RCPs

Alle Zeichen in Ihrem RCP werden auf die maximale Größe angerechnet. Die Beispiele in diesem Handbuch zeigen, dass die RCPs mit zusätzlichem Leerraum formatiert sind, um ihre Lesbarkeit zu verbessern. Um Platz zu sparen, wenn sich die Größe Ihrer Richtlinie der Maximalgröße nähert, können Sie aber alle Leerraumzeichen, wie z. B. Leerzeichen und Zeilenumbrüche, außerhalb von Anführungszeichen löschen.

Tipp

Verwenden Sie den visuellen Editor, um Ihr RCP zu erstellen. Hier werden zusätzliche Leerzeichen automatisch entfernt.

RCPs an verschiedene Ebenen in der Organisation anhängen

Sie können RCPs direkt an einzelne Konten, Organisationseinheiten oder das Stammverzeichnis der Organisation anhängen. Eine ausführliche Erläuterung der Funktionsweise von RCPs finden Sie unter. RCP-Bewertung

Auswirkungen von RCP auf Berechtigungen

RCPs sind eine Art von AWS Identity and Access Management (IAM-) Richtlinie. Sie stehen in engem Zusammenhang mit ressourcenorientierten Richtlinien. Ein RCP erteilt jedoch niemals Berechtigungen. Stattdessen sind RCPs Zugriffskontrollen, die die maximal verfügbaren Berechtigungen für Ressourcen in Ihrer Organisation angeben. Weitere Informationen finden Sie unter Logik der Richtlinienauswertung im Handbuch zu -IAM-Benutzer.

  • RCPs gelten für Ressourcen für eine Teilmenge von. AWS-Services Weitere Informationen finden Sie unter Liste von AWS-Services die RCPs unterstützen.

  • RCPs wirken sich nur auf Ressourcen aus , die von Konten verwaltet werden, die Teil der Organisation sind, der die RCPs zugeordnet sind. Sie wirken sich nicht auf Ressourcen von Konten außerhalb der Organisation aus. Stellen Sie sich beispielsweise einen Amazon S3-Bucket vor, der Konto A in einer Organisation gehört. Die Bucket-Richtlinie (eine ressourcenbasierte Richtlinie) gewährt Benutzern von Konto B außerhalb der Organisation Zugriff. An Konto A ist ein RCP angehängt. Dieses RCP gilt für den S3-Bucket in Konto A, auch wenn Benutzer von Konto B aus darauf zugreifen. Dieses RCP gilt jedoch nicht für Ressourcen in Konto B, wenn Benutzer in Konto A darauf zugreifen.

  • Ein RCP schränkt die Berechtigungen für Ressourcen in Mitgliedskonten ein. Jede Ressource in einem Konto hat nur die Berechtigungen, die von allen Elternteilen über ihr gewährt wurden. Wenn eine Berechtigung auf einer Ebene über dem Konto gesperrt ist, verfügt eine Ressource im betroffenen Konto nicht über diese Berechtigung, selbst wenn der Ressourcenbesitzer eine ressourcenbasierte Richtlinie anfügt, die jedem Benutzer vollen Zugriff gewährt.

  • RCPs gelten für die Ressourcen, die im Rahmen einer Betriebsanforderung autorisiert werden. Diese Ressourcen finden Sie in der Spalte „Ressourcentyp“ der Aktionstabelle in der Serviceautorisierungsreferenz. Wenn in der Spalte „Ressourcentyp“ eine Ressource angegeben ist, werden die RCPs des aufrufenden Prinzipalkontos angewendet. s3:GetObjectAutorisiert beispielsweise die Objektressource. Immer wenn eine GetObject Anforderung gestellt wird, wird ein entsprechender RCP angewendet, um zu ermitteln, ob der anfordernde Prinzipal den Vorgang aufrufen kann. GetObject Ein zutreffender RCP ist ein RCP, der einem Konto, einer Organisationseinheit (OU) oder dem Stammverzeichnis der Organisation zugeordnet wurde, der die Ressource gehört, auf die zugegriffen wird.

  • RCPs wirken sich nur auf Ressourcen in Mitgliedskonten der Organisation aus. Sie haben keine Auswirkungen auf die Ressourcen im Verwaltungskonto. Dies bedeutet auch, dass RCPs für Mitgliedskonten gelten, die als delegierte Administratoren benannt sind. Weitere Informationen finden Sie unter Bewährte Methoden für das Verwaltungskonto.

  • Wenn ein Principal eine Anfrage für den Zugriff auf eine Ressource in einem Konto stellt, an das ein RCP angehängt ist (eine Ressource mit einem entsprechenden RCP), wird das RCP in die Logik zur Richtlinienbewertung einbezogen, um festzustellen, ob dem Principal der Zugriff gewährt oder verweigert wird.

  • RCPs wirken sich auf die effektiven Berechtigungen von Principals aus, die versuchen, auf Ressourcen in einem Mitgliedskonto mit einem entsprechenden RCP zuzugreifen, unabhängig davon, ob die Principals derselben Organisation angehören oder nicht. Dies schließt Root-Benutzer ein. Die Ausnahme ist, wenn es sich bei Hauptbenutzern um dienstgebundene Rollen handelt, da RCPs nicht für Anrufe gelten, die von dienstverknüpften Rollen getätigt werden. Service-linked Rollen ermöglichen AWS-Services die Ausführung der erforderlichen Aktionen in Ihrem Namen und können nicht durch RCPs eingeschränkt werden.

  • Benutzern und Rollen müssen weiterhin Berechtigungen mit entsprechenden IAM-Berechtigungsrichtlinien erteilt werden, einschließlich identitäts- und ressourcenbasierter Richtlinien. Ein Benutzer oder eine Rolle ohne IAM-Berechtigungsrichtlinien hat keinen Zugriff, auch wenn ein entsprechendes RCP alle Dienste, alle Aktionen und alle Ressourcen zulässt.

Ressourcen und Entitäten, die nicht durch RCPs eingeschränkt sind

Sie können RCPs nicht verwenden, um Folgendes einzuschränken:

  • Jede Aktion im Zusammenhang mit Ressourcen im Verwaltungskonto.

  • RCPs haben keinen Einfluss auf die effektiven Berechtigungen einer dienstbezogenen Rolle. Service-linked Rollen sind ein einzigartiger Typ von IAM-Rollen, die direkt mit einem AWS Dienst verknüpft sind und alle Berechtigungen enthalten, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen. Die Berechtigungen von dienstverknüpften Rollen können nicht durch RCPs eingeschränkt werden. RCPs wirken sich auch nicht auf die Fähigkeit AWS der Dienste aus, eine serviceverknüpfte Rolle zu übernehmen. Das heißt, die Vertrauensrichtlinie der dienstverknüpften Rolle wird ebenfalls nicht von RCPs beeinflusst.

  • RCPs gelten nicht für. Von AWS verwaltete SchlüsselAWS Key Management Service Von AWS verwaltete Schlüssel werden in Ihrem Namen von einem AWS-Service erstellt, verwaltet und verwendet. Sie können ihre Berechtigungen nicht ändern oder verwalten.

  • RCPs haben keinen Einfluss auf die folgenden Berechtigungen:

    Service API Ressourcen, die nicht von RCPs autorisiert wurden
    AWS Key Management Service

    kms:RetireGrant

    		 RCPs haben keinen Einfluss auf die kms:RetireGrant Genehmigung. Weitere Informationen dazu, wie die Genehmigung dazu bestimmt kms:RetireGrant wird, finden Sie im AWS KMS Entwicklerhandbuch unter Zurückziehen und Widerrufen von Zuschüssen.