Hinweis zum Ende des Supports: Am 7. Oktober 2026 AWS endet der Support für AWS Proton. Nach dem 7. Oktober 2026 können Sie nicht mehr auf die AWS Proton Konsole oder AWS Proton die Ressourcen zugreifen. Ihre bereitgestellte Infrastruktur bleibt intakt. Weitere Informationen finden Sie im [AWS Proton Service Deprecation and Migration Guide](https://docs.aws.amazon.com/proton/latest/userguide/proton-end-of-support.html).
Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Identity and Access Management für AWS Proton
AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren kontrollieren, wer *authentifiziert* (angemeldet) und *autorisiert* werden kann (über Berechtigungen verfügt), um Ressourcen zu verwenden. AWS Proton IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können.
**Topics**
+ [Zielgruppe](#security_iam_audience)
+ [Authentifizierung mit Identitäten](#security_iam_authentication)
+ [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage)
+ [Wie AWS Proton funktioniert mit IAM](security_iam_service-with-iam.md)
+ [Richtlinienbeispiele für AWS Proton](security_iam_policy-examples.md)
+ [AWS verwaltete Richtlinien für AWS Proton](security-iam-awsmanpol.md)
+ [Verwenden von serviceverknüpften Rollen für AWS Proton](using-service-linked-roles.md)
+ [Problembehandlung bei AWS Proton Identität und Zugriff](security_iam_troubleshoot.md)
## Zielgruppe
Wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von Ihrer Rolle ab:
+ **Servicebenutzer** – Fordern Sie von Ihrem Administrator Berechtigungen an, wenn Sie nicht auf Features zugreifen können (siehe [Problembehandlung bei AWS Proton Identität und Zugriff](security_iam_troubleshoot.md)).
+ **Serviceadministrator** – Bestimmen Sie den Benutzerzugriff und stellen Sie Berechtigungsanfragen (siehe [Wie AWS Proton funktioniert mit IAM](security_iam_service-with-iam.md)).
+ **IAM-Administrator** – Schreiben Sie Richtlinien zur Zugriffsverwaltung (siehe [Beispiele für identitätsbasierte Richtlinien für AWS Proton](security_iam_id-based-policy-examples.md)).
## Authentifizierung mit Identitäten
Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos
Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *.
AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*.
### AWS-Konto Root-Benutzer
Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*.
### Verbundidentität
Es hat sich bewährt, dass menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden müssen.
Eine *föderierte Identität* ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Verbundene Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen.
Für die zentrale Zugriffsverwaltung empfehlen wir AWS IAM Identity Center. Weitere Informationen finden Sie unter [Was ist IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) im *AWS IAM Identity Center -Benutzerhandbuch*.
### IAM-Benutzer und -Gruppen
Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zugreifen zu](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) können.
Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*.
### IAM-Rollen
Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) AWS CLI oder einen AWS API-Vorgang aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*.
IAM-Rollen sind nützlich für den Verbundbenutzer-Zugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, serviceübergreifenden Zugriff und Anwendungen, die auf Amazon EC2 laufen. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Verwalten des Zugriffs mit Richtlinien
Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*.
Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf.
Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird.
### Identitätsbasierte Richtlinien
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*.
### Ressourcenbasierte Richtlinien
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html).
Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden.
### Weitere Richtlinientypen
AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden:
+ **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*.
+ **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*.
+ **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html).
+ **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*.
### Mehrere Richtlinientypen
Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die sich daraus ergebenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*.
# Wie AWS Proton funktioniert mit IAM
Bevor Sie IAM zur Verwaltung des Zugriffs auf verwenden, sollten Sie sich darüber informieren AWS Proton, mit welchen IAM-Funktionen Sie arbeiten können. AWS Proton
**IAM-Funktionen, die Sie mit verwenden können AWS Proton**
| IAM-Feature | AWS Proton Unterstützung |
| --- | --- |
| [Identitätsbasierte Richtlinien](#security_iam_service-with-iam-id-based-policies) | Ja |
| [Ressourcenbasierte Richtlinien](#security_iam_service-with-iam-resource-based-policies) | Nein |
| [Richtlinienaktionen](#security_iam_service-with-iam-id-based-policies-actions) | Ja |
| [Richtlinienressourcen](#security_iam_service-with-iam-id-based-policies-resources) | Ja |
| [Bedingungsschlüssel für die Richtlinie](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Ja |
| [ACLs](#security_iam_service-with-iam-acls) | Nein |
| [ABAC (Tags in Richtlinien)](#security_iam_service-with-iam-tags) | Ja |
| [Temporäre Anmeldeinformationen](#security_iam_service-with-iam-roles-tempcreds) | Ja |
| [Prinzipalberechtigungen](#security_iam_service-with-iam-principal-permissions) | Ja |
| [Servicerollen](#security_iam_service-with-iam-roles-service) | Ja |
| [Service-verknüpfte Rollen](#security_iam_service-with-iam-roles-service-linked) | Ja |
Einen allgemeinen Überblick darüber, wie die meisten IAM-Funktionen AWS-Services funktionieren AWS Proton und wie sie [funktionieren AWS-Services , finden Sie im *IAM-Benutzerhandbuch*](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html).
## Identitätsbasierte Richtlinien für AWS Proton
**Unterstützt Richtlinien auf Identitätsbasis:** Ja
Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*.
Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*.
### Beispiele für identitätsbasierte Richtlinien für AWS Proton
Beispiele für AWS Proton identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Proton](security_iam_id-based-policy-examples.md)
## Ressourcenbasierte Richtlinien finden Sie in AWS Proton
**Unterstützt ressourcenbasierte Richtlinien:** Nein
Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-*Rollen-Vertrauensrichtlinien* und Amazon-S3-*Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder gehören. AWS-Services
Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.
## Richtlinienaktionen für AWS Proton
**Unterstützt Richtlinienaktionen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen.
Eine Liste der AWS Proton Aktionen finden Sie unter [Aktionen definiert von AWS Proton](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsproton.html#awsproton-actions-as-permissions) in der *Serviceautorisierungsreferenz*.
Bei Richtlinienaktionen wird vor der Aktion das folgende Präfix AWS Proton verwendet:
```
proton
```
Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata:
```
"Action": [
"proton:action1",
"proton:action2"
]
```
Sie können auch Platzhalter verwenden, um mehrere Aktionen anzugeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort `List` beginnen, einschließlich der folgenden Aktion:
```
"Action": "proton:List*"
```
Beispiele für AWS Proton identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Proton](security_iam_id-based-policy-examples.md)
## Politische Ressourcen für AWS Proton
**Unterstützt Richtlinienressourcen:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt.
```
"Resource": "*"
```
Eine Liste der AWS Proton Ressourcentypen und ihrer ARNs Eigenschaften finden Sie unter [Resources defined by AWS Proton](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsproton.html#awsproton-resources-for-iam-policies) in der *Service Authorization Reference*. Informationen zu den Aktionen, mit denen Sie den ARN einzelner Ressourcen angeben können, finden Sie unter [Von AWS Proton definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsproton.html#awsproton-actions-as-permissions).
Beispiele für AWS Proton identitätsbasierte Richtlinien finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Proton](security_iam_id-based-policy-examples.md)
## Bedingungsschlüssel für Richtlinien für AWS Proton
**Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Ja
Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer auf was Zugriff hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann.
Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*.
Eine Liste der AWS Proton Bedingungsschlüssel finden Sie unter [Bedingungsschlüssel für AWS Proton](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsproton.html#awsproton-policy-keys) in der *Service Authorization Reference.* Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [Aktionen definiert von AWS Proton](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsproton.html#awsproton-actions-as-permissions).
Ein Beispiel für eine condition-key-based Richtlinie zur Beschränkung des Zugriffs auf eine Ressource finden Sie unter[Beispiele für Richtlinien auf der Grundlage von Bedingungsschlüsseln für AWS Proton](security_iam_condition-key-based-policy-examples.md).
## Zugriffskontrolllisten (ACLs) in AWS Proton
**Unterstützt ACLs:** Nein
Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat.
Zugriffskontrolllisten (ACLs) sind Listen von Empfängern, die Sie Ressourcen zuordnen können. Sie erteilen Konten Berechtigungen für den Zugriff auf die Ressource, auf die sie sich beziehen.
## Attributbasierte Zugriffskontrolle (ABAC) mit AWS Proton
**Unterstützt ABAC (Tags in Richtlinien):** Ja
Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen basierend auf Attributen, auch als Tags bezeichnet, definiert werden. Sie können Tags an IAM-Entitäten und AWS -Ressourcen anhängen und dann ABAC-Richtlinien entwerfen, die Operationen zulassen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt.
Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden.
Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**.
*Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) im IAM-Benutzerhandbuch*. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe [Attributbasierte Zugriffskontrolle (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) verwenden im *IAM-Benutzerhandbuch*.
Weitere Informationen zum Markieren von AWS Proton Ressourcen finden Sie unter. [AWS Proton Ressourcen und Tagging](resources.md)
## Temporäre Anmeldeinformationen verwenden mit AWS Proton
**Unterstützt temporäre Anmeldeinformationen:** Ja
Temporäre Anmeldeinformationen ermöglichen kurzfristigen Zugriff auf AWS Ressourcen und werden automatisch erstellt, wenn Sie einen Verbund verwenden oder die Rollen wechseln. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Anmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) und [AWS-Services , die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) im *IAM-Benutzerhandbuch*.
## Serviceübergreifende Prinzipalberechtigungen für AWS Proton
**Unterstützt Forward Access Sessions (FAS):** Ja
Forward Access Sessions (FAS) verwenden die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, in Kombination mit der Anforderung, Anfragen an nachgelagerte Dienste AWS-Service zu stellen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html).
## Servicerollen für AWS Proton
**Unterstützt Servicerollen:** Ja
Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*.
Weitere Informationen finden Sie unter [AWS Proton Beispiele für Richtlinien für IAM-Servicerollen](security_iam_service-role-policy-examples.md).
**Warnung**
Das Ändern der Berechtigungen für eine Servicerolle kann zu AWS Proton Funktionseinschränkungen führen. Bearbeiten Sie Servicerollen nur, AWS Proton wenn Sie dazu eine Anleitung erhalten.
## Dienstbezogene Rollen für AWS Proton
**Unterstützt serviceverknüpfte Rollen:** Ja
Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten.
Weitere Informationen finden Sie unter [Verwenden von serviceverknüpften Rollen für AWS Proton](using-service-linked-roles.md).
# Richtlinienbeispiele für AWS Proton
In den folgenden Abschnitten finden Sie Beispiele für AWS Proton IAM-Richtlinien.
**Topics**
+ [Beispiele für identitätsbasierte Richtlinien für AWS Proton](security_iam_id-based-policy-examples.md)
+ [AWS Proton Beispiele für Richtlinien für IAM-Servicerollen](security_iam_service-role-policy-examples.md)
+ [Beispiele für Richtlinien auf der Grundlage von Bedingungsschlüsseln für AWS Proton](security_iam_condition-key-based-policy-examples.md)
# Beispiele für identitätsbasierte Richtlinien für AWS Proton
Benutzer und Rollen haben standardmäßig nicht die Berechtigung, AWS Proton -Ressourcen zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen.
Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*.
Einzelheiten zu Aktionen und Ressourcentypen, die von definiert wurden AWS Proton, einschließlich des Formats von ARNs für die einzelnen Ressourcentypen, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für AWS Proton](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsproton.html) in der Referenz zur *Serviceautorisierung*.
**Topics**
+ [Best Practices für Richtlinien](#security_iam_service-with-iam-policy-best-practices)
+ [Links zu Beispielen für identitätsbasierte Richtlinien für AWS Proton](#security_iam-example-links)
## Best Practices für Richtlinien
Identitätsbasierte Richtlinien legen fest, ob jemand AWS Proton Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen:
+ **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*.
+ **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*.
+ **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*.
+ **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*.
Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*.
## Links zu Beispielen für identitätsbasierte Richtlinien für AWS Proton
**Links zu beispielhaften Beispielen für identitätsbasierte Richtlinien für AWS Proton**
+ [AWS verwaltete Richtlinien für AWS Proton](security-iam-awsmanpol.md)
+ [AWS Proton Beispiele für Richtlinien für IAM-Servicerollen](security_iam_service-role-policy-examples.md)
+ [Beispiele für Richtlinien auf der Grundlage von Bedingungsschlüsseln für AWS Proton](security_iam_condition-key-based-policy-examples.md)
# AWS Proton Beispiele für Richtlinien für IAM-Servicerollen
Administratoren besitzen und verwalten die Ressourcen, die AWS Proton erstellt werden, wie in der Umgebung und den Dienstvorlagen definiert. Sie ordnen ihrem Konto IAM-Servicerollen zu, die es ihnen ermöglichen, Ressourcen in ihrem Namen AWS Proton zu erstellen. Administratoren stellen die IAM-Rollen und AWS Key Management Service Schlüssel für Ressourcen bereit, die später den Entwicklern gehören und von diesen verwaltet werden, wenn AWS Proton sie ihre Anwendung als AWS Proton Dienst in einer Umgebung bereitstellen. AWS Proton Weitere Informationen AWS KMS zur Datenverschlüsselung finden Sie unter. [Datenschutz in AWS Proton](data-protection.md)
Eine Servicerolle ist eine Amazon Web Services (IAM) -Rolle, mit der AWS Proton Sie Ressourcen in Ihrem Namen aufrufen können. Wenn Sie eine Service-Rolle festlegen, verwendet AWS Proton die Anmeldeinformationen der Rolle. Verwenden Sie eine Servicerolle, um explizit anzugeben, welche Aktionen ausgeführt AWS Proton werden können.
Sie erstellen die Service-Rolle und die Berechtigungsrichtlinie mit dem IAM-Service. Weitere Informationen zum Erstellen einer Servicerolle finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen für einen AWS Dienst](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*.
## AWS Proton Servicerolle für die Bereitstellung mit CloudFormation
Als Mitglied des Plattformteams können Sie als Administrator eine AWS Proton Servicerolle erstellen und sie bei der Erstellung einer Umgebung als CloudFormation Servicerolle der Umgebung bereitstellen (der `protonServiceRoleArn` Parameter der [CreateEnvironment](https://docs.aws.amazon.com/proton/latest/APIReference/API_CreateEnvironment.html)API-Aktion). AWS Proton Mit dieser Rolle können AWS Proton Sie in Ihrem Namen API-Aufrufe an andere Dienste tätigen, wenn die Umgebung oder eine der darin ausgeführten Dienstinstanzen AWS verwaltetes Provisioning verwenden und AWS CloudFormation die Infrastruktur bereitstellen.
Wir empfehlen Ihnen, die folgende IAM-Rollen- und Vertrauensrichtlinie für Ihre AWS Proton Servicerolle zu verwenden. Wenn Sie die AWS Proton Konsole verwenden, um eine Umgebung zu erstellen, und sich dafür entscheiden, eine neue Rolle zu erstellen, ist dies die Richtlinie, die zu der für Sie erstellten Servicerolle AWS Proton hinzugefügt wird. Wenn Sie den Umfang der Berechtigungen für diese Richtlinie einschränken, sollten Sie bedenken, dass sie bei Fehlern AWS Proton fehlschlägt. `Access Denied`
**Wichtig**
Beachten Sie, dass die in den folgenden Beispielen gezeigten Richtlinien jedem, der eine Vorlage für Ihr Konto registrieren kann, Administratorrechte gewähren. Da wir nicht wissen, welche Ressourcen Sie in Ihren AWS Proton Vorlagen definieren werden, verfügen diese Richtlinien über umfassende Zugriffsrechte. Wir empfehlen, dass Sie die Berechtigungen auf die spezifischen Ressourcen beschränken, die in Ihren Umgebungen bereitgestellt werden.
### AWS Proton Beispiel für eine Servicerollenrichtlinie für CloudFormation
Ersetze es `123456789012` durch deine AWS-Konto ID.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloudformation:CancelUpdateStack",
"cloudformation:ContinueUpdateRollback",
"cloudformation:CreateChangeSet",
"cloudformation:CreateStack",
"cloudformation:DeleteChangeSet",
"cloudformation:DeleteStack",
"cloudformation:DescribeChangeSet",
"cloudformation:DescribeStackDriftDetectionStatus",
"cloudformation:DescribeStackEvents",
"cloudformation:DescribeStackResourceDrifts",
"cloudformation:DescribeStacks",
"cloudformation:DetectStackResourceDrift",
"cloudformation:ExecuteChangeSet",
"cloudformation:ListChangeSets",
"cloudformation:ListStackResources",
"cloudformation:UpdateStack"
],
"Resource": "arn:aws:cloudformation:*:123456789012:stack/AWSProton-*"
},
{
"Effect": "Allow",
"NotAction": [
"organizations:*",
"account:*"
],
"Resource": "*",
"Condition": {
"ForAnyValue:StringEquals": {
"aws:CalledVia": [
"cloudformation.amazonaws.com"
]
}
}
},
{
"Effect": "Allow",
"Action": [
"organizations:DescribeOrganization",
"account:ListRegions"
],
"Resource": "*",
"Condition": {
"ForAnyValue:StringEquals": {
"aws:CalledVia": [
"cloudformation.amazonaws.com"
]
}
}
}
]
}
```
------
### AWS Proton Vertrauensrichtlinie für Dienste
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": {
"Sid": "ServiceTrustRelationshipWithConfusedDeputyPrevention",
"Effect": "Allow",
"Principal": {
"Service": "proton.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "123456789012"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:proton:*:123456789012:environment/*"
}
}
}
}
```
------
### Rollenrichtlinie für AWS verwaltete Bereitstellungsdienste mit eingeschränktem Geltungsbereich
Im Folgenden finden Sie ein Beispiel für eine AWS Proton Servicerollenrichtlinie mit eingeschränktem Geltungsbereich, die Sie verwenden können, wenn Sie Dienste nur für die Bereitstellung von S3-Ressourcen benötigen AWS Proton .
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloudformation:CancelUpdateStack",
"cloudformation:ContinueUpdateRollback",
"cloudformation:CreateChangeSet",
"cloudformation:CreateStack",
"cloudformation:DeleteChangeSet",
"cloudformation:DeleteStack",
"cloudformation:DescribeChangeSet",
"cloudformation:DescribeStackDriftDetectionStatus",
"cloudformation:DescribeStackEvents",
"cloudformation:DescribeStackResourceDrifts",
"cloudformation:DescribeStacks",
"cloudformation:DetectStackResourceDrift",
"cloudformation:ExecuteChangeSet",
"cloudformation:ListChangeSets",
"cloudformation:ListStackResources",
"cloudformation:UpdateStack"
],
"Resource": "arn:aws:cloudformation:*:123456789012:stack/AWSProton-*"
},
{
"Effect": "Allow",
"Action": [
"s3:*"
],
"Resource": "*",
"Condition": {
"ForAnyValue:StringEquals": {
"aws:CalledVia": [
"cloudformation.amazonaws.com"
]
}
}
}
]
}
```
------
## AWS Proton Servicerolle für die Bereitstellung CodeBuild
Als Mitglied des Plattformteams können Sie als Administrator eine AWS Proton Servicerolle erstellen und sie bei der Erstellung einer Umgebung als CodeBuild Servicerolle der Umgebung bereitstellen (der `codebuildRoleArn` Parameter der [CreateEnvironment](https://docs.aws.amazon.com/proton/latest/APIReference/API_CreateEnvironment.html)API-Aktion). AWS Proton Diese Rolle ermöglicht es AWS Proton , API-Aufrufe an andere Dienste in Ihrem Namen zu tätigen, wenn die Umgebung oder eine der darin ausgeführten Dienstinstanzen CodeBuild Provisioning zur Bereitstellung der Infrastruktur verwenden.
Wenn Sie die AWS Proton Konsole verwenden, um eine Umgebung zu erstellen, und sich dafür entscheiden, eine neue Rolle zu erstellen, AWS Proton fügt der für Sie erstellten Servicerolle eine Richtlinie mit Administratorrechten hinzu. Wenn Sie Ihre eigene Rolle erstellen und den Umfang der Berechtigungen einschränken, denken Sie daran, dass AWS Proton dies bei `Access Denied` Fehlern fehlschlägt.
**Wichtig**
Beachten Sie, dass die Richtlinien, die AWS Proton an die Rollen angehängt werden, die das Programm für Sie erstellt, jedem, der eine Vorlage für Ihr Konto registrieren kann, Administratorrechte gewähren. Da wir nicht wissen, welche Ressourcen Sie in Ihren AWS Proton Vorlagen definieren werden, verfügen diese Richtlinien über umfassende Zugriffsrechte. Wir empfehlen, dass Sie die Berechtigungen auf die spezifischen Ressourcen beschränken, die in Ihren Umgebungen bereitgestellt werden.
### AWS Proton Beispiel für eine Servicerollenrichtlinie für CodeBuild
Das folgende Beispiel bietet Berechtigungen für CodeBuild die Bereitstellung von Ressourcen mithilfe von AWS Cloud Development Kit (AWS CDK).
Ersetze es `123456789012` durch deine AWS-Konto ID.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"logs:CreateLogStream",
"logs:CreateLogGroup",
"logs:PutLogEvents"
],
"Resource": [
"arn:aws:logs:us-east-1:123456789012:log-group:/aws/codebuild/AWSProton- Shell-*",
"arn:aws:logs:us-east-1:123456789012:log-group:/aws/codebuild/AWSProton- Shell-*:*"
],
"Effect": "Allow"
},
{
"Action": "proton:NotifyResourceDeploymentStatusChange",
"Resource": "arn:aws:proton:us-east-1:123456789012:*",
"Effect": "Allow"
},
{
"Action": "sts:AssumeRole",
"Resource": [
"arn:aws:iam::123456789012:role/cdk-*-deploy-role-*",
"arn:aws:iam::123456789012:role/cdk-*-file-publishing-role-*"
],
"Effect": "Allow"
}
]
}
```
------
### AWS Proton CodeBuild Vertrauensrichtlinie
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": {
"Sid": "CodeBuildTrustRelationshipWithConfusedDeputyPrevention",
"Effect": "Allow",
"Principal": {
"Service": "codebuild.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "123456789012"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:proton:*:123456789012:environment/*"
}
}
}
}
```
------
## AWS Proton Rollen im Pipeline-Dienst
Für die Bereitstellung von Service-Pipelines sind AWS Proton Berechtigungen erforderlich, um API-Aufrufe an andere Dienste zu tätigen. Die erforderlichen Servicerollen ähneln den Servicerollen, die Sie beim Erstellen von Umgebungen angeben. Die Rollen zum Erstellen von Pipelines werden jedoch von allen Diensten in Ihrem AWS Konto gemeinsam genutzt, und Sie geben diese Rollen als **Kontoeinstellungen** in der Konsole oder über die [UpdateAccountSettings](https://docs.aws.amazon.com/proton/latest/APIReference/API_UpdateAccountSettings.html)API-Aktion an.
Wenn Sie die AWS Proton Konsole verwenden, um die Kontoeinstellungen zu aktualisieren und sich dafür entscheiden, eine neue Rolle für die CloudFormation oder die CodeBuild Dienstrollen zu erstellen, entsprechen die Richtlinien, die zu den für Sie erstellten Servicerollen AWS Proton hinzugefügt werden, den Richtlinien, die in den vorherigen Abschnitten beschrieben wurden, [AWS-verwaltete Bereitstellungsrolle](#proton-svc-role) und[CodeBuild Rolle bei der Bereitstellung](#codebuild-proton-svc-role). Denken Sie bei der Einschränkung des Berechtigungsbereichs für diese Richtlinie daran, dass diese bei Fehlern AWS Proton fehlschlägt. `Access Denied`
**Wichtig**
Beachten Sie, dass die Beispielrichtlinien in den vorherigen Abschnitten jedem, der eine Vorlage für Ihr Konto registrieren kann, Administratorrechte gewähren. Da wir nicht wissen, welche Ressourcen Sie in Ihren AWS Proton Vorlagen definieren werden, verfügen diese Richtlinien über umfassende Zugriffsrechte. Wir empfehlen, dass Sie die Berechtigungen auf die spezifischen Ressourcen beschränken, die in Ihren Pipelines bereitgestellt werden.
## AWS Proton Rolle der Komponente
Als Mitglied des Plattformteams können Sie als Administrator eine AWS Proton Servicerolle erstellen und sie bei der Erstellung einer Umgebung als CloudFormation Komponentenrolle der Umgebung bereitstellen (der `componentRoleArn` Parameter der [CreateEnvironment](https://docs.aws.amazon.com/proton/latest/APIReference/API_CreateEnvironment.html)API-Aktion). AWS Proton Diese Rolle umfasst die Infrastruktur, die direkt definierte Komponenten bereitstellen können. Weitere Informationen zu Komponenten finden Sie unter[AWS Proton Komponenten](ag-components.md).
Die folgende Beispielrichtlinie unterstützt die Erstellung einer direkt definierten Komponente, die einen Amazon Simple Storage Service (Amazon S3) -Bucket und eine zugehörige Zugriffsrichtlinie bereitstellt.
### AWS Proton Beispiel für eine Rollenrichtlinie für eine Komponente
Ersetze es `123456789012` durch deine AWS-Konto ID.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"cloudformation:CancelUpdateStack",
"cloudformation:CreateChangeSet",
"cloudformation:DeleteChangeSet",
"cloudformation:DescribeStacks",
"cloudformation:ContinueUpdateRollback",
"cloudformation:DetectStackResourceDrift",
"cloudformation:DescribeStackResourceDrifts",
"cloudformation:DescribeStackEvents",
"cloudformation:CreateStack",
"cloudformation:DeleteStack",
"cloudformation:UpdateStack",
"cloudformation:DescribeChangeSet",
"cloudformation:ExecuteChangeSet",
"cloudformation:ListChangeSets",
"cloudformation:ListStackResources"
],
"Resource": "arn:aws:cloudformation:*:123456789012:stack/AWSProton-*"
},
{
"Effect": "Allow",
"Action": [
"s3:CreateBucket",
"s3:DeleteBucket",
"s3:GetBucket*",
"iam:CreatePolicy",
"iam:DeletePolicy",
"iam:GetPolicy",
"iam:ListPolicyVersions",
"iam:DeletePolicyVersion"
],
"Resource": "*",
"Condition": {
"ForAnyValue:StringEquals": {
"aws:CalledVia": "cloudformation.amazonaws.com"
}
}
}
]
}
```
------
### AWS Proton Vertrauensrichtlinie für Komponenten
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": {
"Sid": "ServiceTrustRelationshipWithConfusedDeputyPrevention",
"Effect": "Allow",
"Principal": {
"Service": "proton.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "123456789012"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:proton:*:123456789012:environment/*"
}
}
}
}
```
------
# Beispiele für Richtlinien auf der Grundlage von Bedingungsschlüsseln für AWS Proton
Das folgende Beispiel für eine IAM-Richtlinie verweigert den Zugriff auf AWS Proton Aktionen, die den im Block angegebenen Vorlagen entsprechen. `Condition` Beachten Sie, dass diese Bedingungsschlüssel nur von den Aktionen unterstützt werden, die unter [Aktionen, Ressourcen und Bedingungsschlüssel](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsproton.html) für aufgeführt sind. AWS Proton Um Berechtigungen für andere Aktionen zu verwalten, müssen Sie z. `DeleteEnvironmentTemplate` B. die Zugriffskontrolle auf Ressourcenebene verwenden.
**Beispielrichtlinie, die AWS Proton Vorlagenaktionen für eine bestimmte Vorlage verweigert:**
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": ["proton:*"],
"Resource": "*",
"Condition": {
"StringEqualsIfExists": {
"proton:EnvironmentTemplate": ["arn:aws:proton:region_id:123456789012:environment-template/my-environment-template"]
}
}
},
{
"Effect": "Deny",
"Action": ["proton:*"],
"Resource": "*",
"Condition": {
"StringEqualsIfExists": {
"proton:ServiceTemplate": ["arn:aws:proton:region_id:123456789012:service-template/my-service-template"]
}
}
}
]
}
```
------
In der nächsten Beispielrichtlinie verweigert die erste Anweisung auf Ressourcenebene den Zugriff auf AWS Proton Vorlagenaktionen`ListServiceTemplates`, die nicht mit der im Block aufgeführten Dienstvorlage übereinstimmen. `Resource` Die zweite Anweisung verweigert den Zugriff auf AWS Proton Aktionen, die der im Block aufgeführten Vorlage entsprechen. `Condition`
**Beispielrichtlinie, die AWS Proton Aktionen verweigert, die einer bestimmten Vorlage entsprechen:**
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"proton:*"
],
"Resource": "arn:aws:proton:us-east-1:123456789012:service-template/my-service-template"
},
{
"Effect": "Deny",
"Action": [
"proton:*"
],
"Resource": "*",
"Condition": {
"StringEqualsIfExists": {
"proton:ServiceTemplate": [
"arn:aws:proton:us-east-1:123456789012:service-template/my-service-template"
]
}
}
}
]
}
```
------
Das letzte Richtlinienbeispiel erlaubt AWS Proton Entwickleraktionen, die der spezifischen Dienstvorlage entsprechen, die im `Condition` Block aufgeführt ist.
**Beispielrichtlinie, um AWS Proton Entwickleraktionen zuzulassen, die einer bestimmten Vorlage entsprechen:**
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"proton:ListServiceTemplates",
"proton:ListServiceTemplateVersions",
"proton:ListServices",
"proton:ListServiceInstances",
"proton:ListEnvironments",
"proton:GetServiceTemplate",
"proton:GetServiceTemplateVersion",
"proton:GetService",
"proton:GetServiceInstance",
"proton:GetEnvironment",
"proton:CreateService",
"proton:UpdateService",
"proton:UpdateServiceInstance",
"proton:UpdateServicePipeline",
"proton:DeleteService",
"codestar-connections:ListConnections"
],
"Resource": "*",
"Condition": {
"StringEqualsIfExists": {
"proton:ServiceTemplate": "arn:aws:proton:region_id:123456789012:service-template/my-service-template"
}
}
},
{
"Effect": "Allow",
"Action": [
"codestar-connections:PassConnection"
],
"Resource": "arn:aws:codestar-connections:*:*:connection/*",
"Condition": {
"StringEquals": {
"codestar-connections:PassedToService": "proton.amazonaws.com"
}
}
}
]
}
```
------
# AWS verwaltete Richtlinien für AWS Proton
Um Benutzern, Gruppen und Rollen Berechtigungen hinzuzufügen, ist es einfacher, AWS verwaltete Richtlinien zu verwenden, als Richtlinien selbst zu schreiben. Es erfordert Zeit und Fachwissen, um [von Kunden verwaltete IAM-Richtlinien zu erstellen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html), die Ihrem Team nur die benötigten Berechtigungen bieten. Um schnell loszulegen, können Sie unsere AWS verwalteten Richtlinien verwenden. Diese Richtlinien decken allgemeine Anwendungsfälle ab und sind in Ihrem AWS-Konto verfügbar. Weitere Informationen zu AWS verwalteten Richtlinien finden Sie im *IAM-Benutzerhandbuch* unter [AWS Verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies).
AWS-Services verwalten und aktualisieren Sie AWS verwaltete Richtlinien. Sie können die Berechtigungen in AWS verwalteten Richtlinien nicht ändern. Services fügen einer von AWS verwalteten Richtlinien gelegentlich zusätzliche Berechtigungen hinzu, um neue Features zu unterstützen. Diese Art von Update betrifft alle Identitäten (Benutzer, Gruppen und Rollen), an welche die Richtlinie angehängt ist. Services aktualisieren eine von AWS verwaltete Richtlinie am ehesten, ein neues Feature gestartet wird oder neue Vorgänge verfügbar werden. Dienste entfernen keine Berechtigungen aus einer AWS verwalteten Richtlinie, sodass durch Richtlinienaktualisierungen Ihre bestehenden Berechtigungen nicht beeinträchtigt werden.
AWS Unterstützt außerdem verwaltete Richtlinien für Jobfunktionen, die sich über mehrere Dienste erstrecken. Die **ReadOnlyAccess** AWS verwaltete Richtlinie bietet beispielsweise nur Lesezugriff auf alle Ressourcen AWS-Services . Wenn ein Service ein neues Feature startet, fügt AWS schreibgeschützte Berechtigungen für neue Vorgänge und Ressourcen hinzu. Eine Liste und Beschreibungen der Richtlinien für Auftragsfunktionen finden Sie in [Verwaltete AWS -Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Leitfaden*.
AWS Proton bietet verwaltete IAM-Richtlinien und Vertrauensstellungen, die Sie Benutzern, Gruppen oder Rollen zuordnen können, sodass Sie Ressourcen und API-Operationen unterschiedlich steuern können. Sie können diese Richtlinien direkt anwenden oder als Ausgangspunkt nutzen, um eigene Richtlinien zu erstellen.
Die folgende Vertrauensstellung wird für jede der AWS Proton verwalteten Richtlinien verwendet.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": {
"Sid": "ExampleTrustRelationshipWithProtonConfusedDeputyPrevention",
"Effect": "Allow",
"Principal": {
"Service": "proton.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "123456789012"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:proton:*:123456789012:environment/*"
}
}
}
}
```
------
## AWS verwaltete Richtlinie: AWSProton FullAccess
Sie können eine Verbindung `AWSProtonFullAccess` zu Ihren IAM-Entitäten herstellen. AWS Proton ordnet diese Richtlinie auch einer Servicerolle zu, mit der Sie Aktionen AWS Proton in Ihrem Namen ausführen können.
Diese Richtlinie gewährt Administratorberechtigungen, die vollen Zugriff auf AWS Proton Aktionen und eingeschränkten Zugriff auf andere AWS Dienstaktionen ermöglichen, AWS Proton abhängig von.
Die Richtlinie umfasst die folgenden Namespaces für wichtige Aktionen:
+ `proton`— Ermöglicht Administratoren vollen Zugriff auf. AWS Proton APIs
+ `iam`— Ermöglicht Administratoren die Übergabe von Rollen an AWS Proton. Dies ist erforderlich, AWS Proton damit im Namen des Administrators API-Aufrufe an andere Dienste getätigt werden können.
+ `kms`— Ermöglicht Administratoren, einem vom Kunden verwalteten Schlüssel einen Zuschuss hinzuzufügen.
+ `codeconnections`— Ermöglicht Administratoren, Codeverbindungen aufzulisten und weiterzugeben, sodass sie von AWS Proton verwendet werden können.
Weitere Informationen finden Sie unter [AWSProtonFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSProtonFullAccess.html).
## AWS verwaltete Richtlinie: AWSProton DeveloperAccess
Sie können eine Verbindung `AWSProtonDeveloperAccess` zu Ihren IAM-Entitäten herstellen. AWS Proton ordnet diese Richtlinie auch einer Servicerolle zu, mit der Sie Aktionen AWS Proton in Ihrem Namen ausführen können.
Diese Richtlinie gewährt Berechtigungen, die eingeschränkten Zugriff auf AWS Proton Aktionen und andere AWS Aktionen ermöglichen, die AWS Proton davon abhängen. Der Umfang dieser Berechtigungen ist darauf ausgelegt, die Rolle eines Entwicklers zu unterstützen, der AWS Proton Dienste entwickelt und bereitstellt.
Diese Richtlinie gewährt keinen Zugriff auf die *Erstellung, Löschung und Aktualisierung APIs von AWS Proton Vorlagen und* Umgebungen. Wenn Entwickler noch eingeschränktere Berechtigungen benötigen, als diese Richtlinie vorsieht, empfehlen wir, eine benutzerdefinierte Richtlinie zu erstellen, die so begrenzt ist, dass sie nur die [geringsten](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#grant-least-privilege) Rechte gewährt.
Die Richtlinie umfasst die folgenden Namespaces für wichtige Aktionen:
+ `proton`— Ermöglicht Mitwirkenden den Zugriff auf eine begrenzte Anzahl von. AWS Proton APIs
+ `codeconnections`— Erlaubt Mitwirkenden, Codeverbindungen aufzulisten und weiterzugeben, damit sie von AWS Proton verwendet werden können.
Weitere Informationen finden Sie unter [AWSProtonDeveloperAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSProtonDeveloperAccess.html).
## AWS verwaltete Richtlinie: AWSProton ReadOnlyAccess
Sie können eine Verbindung `AWSProtonReadOnlyAccess` zu Ihren IAM-Entitäten herstellen. AWS Proton ordnet diese Richtlinie auch einer Servicerolle zu, mit der Sie Aktionen AWS Proton in Ihrem Namen ausführen können.
Diese Richtlinie gewährt Berechtigungen, die nur Lesezugriff auf AWS Proton Aktionen und eingeschränkten Lesezugriff auf andere AWS Dienstaktionen ermöglichen, abhängig von. AWS Proton
Die Richtlinie umfasst die folgenden Namespaces für wichtige Aktionen:
+ `proton`— Erlaubt Mitwirkenden nur Lesezugriff auf. AWS Proton APIs
Weitere Informationen finden Sie unter [AWSProtonReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSProtonReadOnlyAccess.html).
## AWS verwaltete Richtlinie: AWSProton SyncServiceRolePolicy
AWS Proton fügt diese Richtlinie der [AWSServiceRoleForProtonSync](using-service-linked-roles-sync.md)dienstbezogenen Rolle hinzu, die die AWS Proton Vorlagensynchronisierung ermöglicht.
Diese Richtlinie gewährt Berechtigungen, die eingeschränkten Zugriff auf AWS Proton Aktionen und andere AWS Dienstaktionen ermöglichen, die davon AWS Proton abhängen.
Die Richtlinie umfasst die folgenden Namespaces für wichtige Aktionen:
+ `proton`— Ermöglicht den eingeschränkten AWS Proton Synchronisierungszugriff auf. AWS Proton APIs
+ `codeconnections`— Ermöglicht die AWS Proton Synchronisierung mit eingeschränktem Zugriff auf CodeConnections APIs.
Weitere Informationen finden Sie unter [AWSProtonSyncServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSProtonSyncServiceRolePolicy.html).
## AWS verwaltete Richtlinie: AWSProton CodeBuildProvisioningBasicAccess
Permissions CodeBuild muss einen Build für die AWS Proton CodeBuild Bereitstellung ausführen. Sie können es `AWSProtonCodeBuildProvisioningBasicAccess` an Ihre CodeBuild Provisioning-Rolle anhängen.
Diese Richtlinie gewährt die Mindestberechtigungen, damit die AWS Proton CodeBuild Bereitstellung funktioniert. Sie gewährt Berechtigungen, die das CodeBuild Generieren von Build-Logs ermöglichen. Es gewährt Proton auch die Erlaubnis, Benutzern Infrastructure as Code (IaC) -Ausgaben zur Verfügung zu AWS Proton stellen. Es bietet keine Berechtigungen, die von IaC-Tools zur Verwaltung der Infrastruktur benötigt werden.
Die Richtlinie umfasst die folgenden Namespaces für wichtige Aktionen:
+ `logs`‐ Ermöglicht das Generieren von CodeBuild Build-Logs. Ohne diese Erlaubnis kann der Start nicht ausgeführt CodeBuild werden.
+ `proton`‐ Ermöglicht es einem CodeBuild Provisioning-Befehl, die Aktualisierung der IaaC-Ausgaben für eine bestimmte AWS Proton Ressource aufzurufen`aws proton notify-resource-deployment-status-change`.
Weitere Informationen finden Sie unter [AWSProtonCodeBuildProvisioningBasicAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSProtonCodeBuildProvisioningBasicAccess.html).
## AWS verwaltete Richtlinie: AWSProton CodeBuildProvisioningServiceRolePolicy
AWS Proton ordnet diese Richtlinie der [AWSServiceRoleForProtonCodeBuildProvisioning](using-service-linked-roles-codebuild.md)dienstbezogenen Rolle zu, die eine CodeBuild basierte AWS Proton Bereitstellung ermöglicht.
Diese Richtlinie gewährt Berechtigungen, die einen eingeschränkten Zugriff auf AWS Dienstaktionen ermöglichen, AWS Proton abhängig von.
Die Richtlinie umfasst die folgenden Namespaces für wichtige Aktionen:
+ `cloudformation`— Ermöglicht die AWS Proton CodeBuild basierte Bereitstellung mit eingeschränktem Zugriff auf. CloudFormation APIs
+ `codebuild`— Ermöglicht AWS Proton CodeBuild eingeschränktes Provisioning mit eingeschränktem Zugriff auf. CodeBuild APIs
+ `iam`— Ermöglicht Administratoren die Übergabe von Rollen an AWS Proton. Dies ist erforderlich, AWS Proton damit im Namen des Administrators API-Aufrufe an andere Dienste getätigt werden können.
+ `servicequotas`— Ermöglicht AWS Proton die Überprüfung des Limits für CodeBuild gleichzeitige Builds, wodurch ein ordnungsgemäßes Build-Queuing gewährleistet wird.
Weitere Informationen finden Sie unter [AWSProtonCodeBuildProvisioningServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSProtonCodeBuildProvisioningServiceRolePolicy.html).
## AWS verwaltete Richtlinie: AWSProton ServiceGitSyncServiceRolePolicy
AWS Proton ordnet diese Richtlinie der [AWSServiceRoleForProtonServiceSync](using-service-linked-roles-sync.md)dienstbezogenen Rolle zu, mit der die Dienstsynchronisierung durchgeführt AWS Proton werden kann.
Diese Richtlinie gewährt Berechtigungen, die eingeschränkten Zugriff auf AWS Proton Aktionen und andere AWS Dienstaktionen ermöglichen, die davon AWS Proton abhängen.
Die Richtlinie umfasst die folgenden Namespaces für wichtige Aktionen:
+ `proton`— Ermöglicht den eingeschränkten AWS Proton Synchronisierungszugriff auf. AWS Proton APIs
Weitere Informationen finden Sie unter [AWSProtonServiceGitSyncServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSProtonServiceGitSyncServiceRolePolicy.html).
## AWS Proton Aktualisierungen der AWS verwalteten Richtlinien
Hier finden Sie Informationen zu Aktualisierungen AWS verwalteter Richtlinien, die AWS Proton seit Beginn der Nachverfolgung dieser Änderungen durch diesen Dienst vorgenommen wurden. Abonnieren Sie den RSS-Feed auf der Seite AWS Proton Dokumentenverlauf, um automatische Benachrichtigungen über Änderungen an dieser Seite zu erhalten.
| Änderungen | Beschreibung | Datum |
| --- | --- | --- |
| [AWSProtonCodeBuildProvisioningServiceRolePolicy](#security-iam-awsmanpol-AWSProtonCodeBuildProvisioningServiceRolePolicy) – Aktualisierung auf eine bestehende Richtlinie | Die verwaltete Richtlinie für die dienstbezogene Rolle, die die Durchführung einer CodeBuild basierten Bereitstellung ermöglicht AWS Proton , gewährt jetzt Berechtigungen zum Aufrufen von Aktionen CloudFormation `TagResource` und `UntagResource` API-Aktionen. Diese Berechtigungen sind erforderlich, um Tagging-Vorgänge für Ressourcen durchzuführen. | 15. Juni 2024 |
| [AWSProtonFullAccess](#security-iam-awsmanpol-AWSProtonFullAccess) – Aktualisierung auf eine bestehende Richtlinie | Die verwaltete Richtlinie für die dienstverknüpfte Rolle zur Verwendung von Git-Synchronisierung mit Git-Repositorys wurde für Ressourcen mit beiden Dienstpräfixen aktualisiert. Weitere Informationen finden Sie unter [Verwenden von serviceverknüpften Rollen für AWS CodeConnections](https://docs.aws.amazon.com/dtconsole/latest/userguide/what-is-dtconsole.html) und [verwaltete Richtlinien](https://docs.aws.amazon.com/dtconsole/latest/userguide/security-iam-awsmanpol.html). | 25. April 2024 |
| [AWSProtonDeveloperAccess](#security-iam-awsmanpol-AWSProtonDeveloperAccess) – Aktualisierung auf eine bestehende Richtlinie | Die verwaltete Richtlinie für die dienstverknüpfte Rolle zur Verwendung von Git-Synchronisierung mit Git-Repositorys wurde für Ressourcen mit beiden Dienstpräfixen aktualisiert. Weitere Informationen finden Sie unter [Verwenden von serviceverknüpften Rollen für AWS CodeConnections](https://docs.aws.amazon.com/dtconsole/latest/userguide/what-is-dtconsole.html) und [verwaltete Richtlinien](https://docs.aws.amazon.com/dtconsole/latest/userguide/security-iam-awsmanpol.html). | 25. April 2024 |
| [AWSProtonSyncServiceRolePolicy](#security-iam-awsmanpol-AWSProtonSyncServiceRolePolicy) – Aktualisierung auf eine bestehende Richtlinie | Die verwaltete Richtlinie für die dienstverknüpfte Rolle zur Verwendung von Git-Synchronisierung mit Git-Repositorys wurde für Ressourcen mit beiden Dienstpräfixen aktualisiert. Weitere Informationen finden Sie unter [Verwenden von serviceverknüpften Rollen für AWS CodeConnections](https://docs.aws.amazon.com/dtconsole/latest/userguide/what-is-dtconsole.html) und [verwaltete Richtlinien](https://docs.aws.amazon.com/dtconsole/latest/userguide/security-iam-awsmanpol.html). | 25. April 2024 |
| [AWSProtonCodeBuildProvisioningServiceRolePolicy](#security-iam-awsmanpol-AWSProtonCodeBuildProvisioningServiceRolePolicy) – Aktualisierung auf eine bestehende Richtlinie | AWS Proton Diese Richtlinie wurde aktualisiert, um Berechtigungen hinzuzufügen, um sicherzustellen, dass Konten über das erforderliche Limit für CodeBuild gleichzeitige Builds verfügen, um Provisioning verwenden zu können CodeBuild . | 12. Mai 2023 |
| [AWSProtonServiceGitSyncServiceRolePolicy](#security-iam-awsmanpol-AwsProtonServiceGitSyncServiceRolePolicy) – Neue Richtlinie | AWS Proton hat eine neue Richtlinie hinzugefügt, die die Durchführung der AWS Proton Dienstsynchronisierung ermöglicht. Die Richtlinie wird in der [AWSServiceRoleForProtonServiceSync](https://docs.aws.amazon.com//proton/latest/userguide/using-service-linked-roles-sync.html#service-linked-role-permissions-sync)dienstbezogenen Rolle verwendet. | 31. März 2023 |
| [AWSProtonDeveloperAccess](#security-iam-awsmanpol-AWSProtonDeveloperAccess) – Aktualisierung auf eine bestehende Richtlinie | AWS Proton hat eine neue `GetResourcesSummary` Aktion hinzugefügt, mit der Sie eine Zusammenfassung Ihrer Vorlagen, bereitgestellten Vorlagenressourcen und veralteten Ressourcen anzeigen können. | 18. November 2022 |
| [AWSProtonReadOnlyAccess](#security-iam-awsmanpol-AWSProtonReadOnlyAccess) – Aktualisierung auf eine bestehende Richtlinie | AWS Proton hat eine neue `GetResourcesSummary` Aktion hinzugefügt, mit der Sie eine Zusammenfassung Ihrer Vorlagen, bereitgestellten Vorlagenressourcen und veralteten Ressourcen anzeigen können. | 18. November 2022 |
| [AWSProtonCodeBuildProvisioningBasicAccess](#security-iam-awsmanpol-AWSProtonCodeBuildProvisioningBasicAccess) – Neue Richtlinie | AWS Proton hat eine neue Richtlinie hinzugefügt, CodeBuild die die zum Ausführen eines Builds für die AWS Proton CodeBuild Bereitstellung erforderlichen Berechtigungen gewährt. | 16. November 2022 |
| [AWSProtonSyncServiceRolePolicy](#security-iam-awsmanpol-AWSProtonSyncServiceRolePolicy) – Neue Richtlinie | AWS Proton hat eine neue Richtlinie hinzugefügt, die die Durchführung von Vorgängen im Zusammenhang mit der CodeBuild basierten Bereitstellung ermöglicht AWS Proton . Die Richtlinie wird in der [AWSServiceRoleForProtonCodeBuildProvisioning](using-service-linked-roles-codebuild.md)serviceverknüpften Rolle verwendet. | 02. September 2022 |
| [AWSProtonFullAccess](#security-iam-awsmanpol-AWSProtonFullAccess) – Aktualisierung auf eine bestehende Richtlinie | AWS Proton hat diese Richtlinie aktualisiert, um Zugriff auf neue AWS Proton API-Operationen zu gewähren und Berechtigungsprobleme für einige AWS Proton Konsolenoperationen zu beheben. | 30. März 2022 |
| [AWSProtonDeveloperAccess](#security-iam-awsmanpol-AWSProtonDeveloperAccess) – Aktualisierung auf eine bestehende Richtlinie | AWS Proton Diese Richtlinie wurde aktualisiert, um Zugriff auf neue AWS Proton API-Operationen zu gewähren und um Probleme mit Zugriffsberechtigungen für einige AWS Proton Konsolenoperationen zu beheben. | 30. März 2022 |
| [AWSProtonReadOnlyAccess](#security-iam-awsmanpol-AWSProtonReadOnlyAccess) – Aktualisierung auf eine bestehende Richtlinie | AWS Proton aktualisieren Sie diese Richtlinie, um Zugriff auf neue AWS Proton API-Operationen zu gewähren und um Berechtigungsprobleme bei einigen AWS Proton Konsolenoperationen zu beheben. | 30. März 2022 |
| [AWSProtonSyncServiceRolePolicy](#security-iam-awsmanpol-AWSProtonSyncServiceRolePolicy) – Neue Richtlinie | AWS Proton hat eine neue Richtlinie hinzugefügt, die die Ausführung von Vorgängen im Zusammenhang mit der Vorlagensynchronisierung ermöglicht AWS Proton . Die Richtlinie wird in der [AWSServiceRoleForProtonSync](using-service-linked-roles.md)serviceverknüpften Rolle verwendet. | 23. November 2021 |
| [AWSProtonFullAccess](#security-iam-awsmanpol-AWSProtonFullAccess) – Neue Richtlinie | AWS Proton hat eine neue Richtlinie hinzugefügt, um Administratorrollen Zugriff auf AWS Proton API-Operationen und die AWS Proton Konsole zu gewähren. | 09. Juni 2021 |
| [AWSProtonDeveloperAccess](#security-iam-awsmanpol-AWSProtonDeveloperAccess) – Neue Richtlinie | AWS Proton Es wurde eine neue Richtlinie hinzugefügt, um Entwicklerrollen Zugriff auf AWS Proton API-Operationen und die AWS Proton Konsole zu gewähren. | 09. Juni 2021 |
| [AWSProtonReadOnlyAccess](#security-iam-awsmanpol-AWSProtonReadOnlyAccess) – Neue Richtlinie | AWS Proton hat eine neue Richtlinie hinzugefügt, um schreibgeschützten Zugriff auf AWS Proton API-Operationen und die AWS Proton Konsole zu gewähren. | 09. Juni 2021 |
| AWS Proton hat begonnen, Änderungen zu verfolgen. | AWS Proton hat begonnen, Änderungen für die AWS verwalteten Richtlinien zu verfolgen. | 09. Juni 2021 |
# Verwenden von serviceverknüpften Rollen für AWS Proton
AWS Proton verwendet AWS Identity and Access Management (IAM) [serviceverknüpfte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) Rollen. Eine serviceverknüpfte Rolle ist ein einzigartiger Typ von IAM-Rolle, mit der direkt verknüpft ist. AWS Proton Mit Diensten verknüpfte Rollen sind vordefiniert AWS Proton und enthalten alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.
**Topics**
+ [Rollen für AWS Proton die Synchronisierung verwenden](using-service-linked-roles-sync.md)
+ [Verwendung von Rollen für die CodeBuild basierte Bereitstellung](using-service-linked-roles-codebuild.md)
# Rollen für AWS Proton die Synchronisierung verwenden
AWS Proton verwendet AWS Identity and Access Management (IAM) [serviceverknüpfte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) Rollen. Eine serviceverknüpfte Rolle ist ein einzigartiger Typ von IAM-Rolle, mit der direkt verknüpft ist. AWS Proton Mit Diensten verknüpfte Rollen sind vordefiniert AWS Proton und enthalten alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.
Eine dienstbezogene Rolle AWS Proton erleichtert die Einrichtung, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. AWS Proton definiert die Berechtigungen ihrer dienstbezogenen Rollen und AWS Proton kann, sofern nicht anders definiert, nur ihre Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.
Sie können eine serviceverknüpfte Rolle erst löschen, nachdem ihre verwandten Ressourcen gelöscht wurden. Dadurch werden Ihre AWS Proton Ressourcen geschützt, da Sie nicht versehentlich die Zugriffsberechtigung für die Ressourcen entziehen können.
**Informationen zu anderen Diensten, die dienstverknüpfte Rollen unterstützen, finden Sie unter [AWS Dienste, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Spalte Dienstverknüpfte Rollen nach den Diensten, für die **Ja steht**.** Wählen Sie über einen Link **Ja** aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.
## Berechtigungen für dienstverknüpfte Rollen AWS Proton
AWS Proton verwendet zwei dienstbezogene Rollen mit dem Namen **AWSServiceRoleForProtonSync**und. **AWSServiceRoleForProtonServiceSync**
Die serviceverknüpfte Rolle **AWSServiceRoleForProtonSync** vertraut darauf, dass die folgenden Services die Rolle annehmen:
+ `sync.proton.amazonaws.com`
Die genannte Rollenberechtigungsrichtlinie `AWSProtonSyncServiceRolePolicy` AWS Proton ermöglicht es, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen:
+ Aktion: *AWS Proton Vorlagen und Vorlagenversionen erstellen, verwalten und* *weiterlesen*
+ Aktion: *Verbindung verwenden* am *CodeConnections*
Weitere Informationen zu dieser Richtlinie finden Sie unter [AWS verwaltete Richtlinie: AWSProton SyncServiceRolePolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-AWSProtonSyncServiceRolePolicy).
Die serviceverknüpfte Rolle **AWSServiceRoleForProtonServiceSync** vertraut darauf, dass die folgenden Services die Rolle annehmen:
+ `service-sync.proton.amazonaws.com`
Die genannte Rollenberechtigungsrichtlinie `AWSProtonServiceGitSyncServiceRolePolicy` AWS Proton ermöglicht es, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen:
+ Aktion: * AWS Proton Dienste und Dienstinstanzen erstellen, verwalten und darauf lesen*
Weitere Informationen zu dieser Richtlinie finden Sie unter [AWS verwaltete Richtlinie: AWSProton ServiceGitSyncServiceRolePolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-AwsProtonServiceGitSyncServiceRolePolicy).
Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter [Serviceverknüpfte Rollenberechtigung](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) im *IAM-Benutzerhandbuch*.
## Erstellen einer serviceverknüpften Rolle für AWS Proton
Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie ein Repository oder einen Dienst für die Synchronisierung AWS Proton in der AWS-Managementkonsole, der oder der AWS API konfigurieren AWS CLI, AWS Proton erstellt die dienstverknüpfte Rolle für Sie.
Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie ein Repository oder einen Dienst für die Synchronisierung konfigurieren AWS Proton, AWS Proton erstellt die dienstverknüpfte Rolle erneut für Sie.
Um die **AWSServiceRoleForProtonSync**dienstverknüpfte Rolle neu zu erstellen, sollten Sie ein Repository für die Synchronisierung konfigurieren, und für die **AWSServiceRoleForProtonServiceSync**Neuerstellung sollten Sie einen Dienst für die Synchronisierung konfigurieren.
## Eine dienstverknüpfte Rolle bearbeiten für AWS Proton
AWS Proton erlaubt es Ihnen nicht, die **AWSServiceRoleForProtonSync**dienstbezogene Rolle zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach der Erstellung einer serviceverknüpften Rolle nicht bearbeitet werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter [Bearbeiten einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) im *IAM-Benutzerhandbuch*.
## Löschen einer dienstbezogenen Rolle für AWS Proton
Sie müssen die Rolle **AWSServiceRoleForProtonSync** nicht manuell löschen. Wenn Sie alle AWS Proton verknüpften Repositorys für die Repository-Synchronisierung in der AWS-Managementkonsole AWS CLI, der oder der AWS API löschen, werden die Ressourcen AWS Proton bereinigt und die dienstverknüpfte Rolle für Sie gelöscht.
## Unterstützte Regionen für dienstverknüpfte Rollen AWS Proton
AWS Proton unterstützt die Verwendung von dienstbezogenen Rollen überall dort, AWS-Regionen wo der Dienst verfügbar ist. Weitere Informationen finden Sie unter [AWS Proton -Endpunkte und -Kontingente](https://docs.aws.amazon.com/general/latest/gr/proton.html) in der *Allgemeine AWS-Referenz*.
# Verwendung von Rollen für die CodeBuild basierte Bereitstellung
AWS Proton verwendet AWS Identity and Access Management (IAM) [serviceverknüpfte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) Rollen. Eine serviceverknüpfte Rolle ist ein einzigartiger Typ von IAM-Rolle, mit der direkt verknüpft ist. AWS Proton Mit Diensten verknüpfte Rollen sind vordefiniert AWS Proton und enthalten alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen.
Eine dienstbezogene Rolle AWS Proton erleichtert die Einrichtung, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. AWS Proton definiert die Berechtigungen ihrer dienstbezogenen Rollen und AWS Proton kann, sofern nicht anders definiert, nur ihre Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.
Sie können eine serviceverknüpfte Rolle erst löschen, nachdem ihre verwandten Ressourcen gelöscht wurden. Dadurch werden Ihre AWS Proton Ressourcen geschützt, da Sie nicht versehentlich die Zugriffsberechtigung für die Ressourcen entziehen können.
**Informationen zu anderen Diensten, die dienstverknüpfte Rollen unterstützen, finden Sie unter [AWS Dienste, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Spalte Dienstverknüpfte Rollen nach den Diensten, für die **Ja steht**.** Wählen Sie über einen Link **Ja** aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.
## Berechtigungen für dienstverknüpfte Rollen AWS Proton
AWS Proton verwendet die dienstverknüpfte Rolle mit dem Namen **AWSServiceRoleForProtonCodeBuildProvisioning**— Eine dienstverknüpfte Rolle für die AWS Proton CodeBuild Bereitstellung.
Die serviceverknüpfte Rolle **AWSServiceRoleForProtonCodeBuildProvisioning** vertraut darauf, dass die folgenden Services die Rolle annehmen:
+ `codebuild.proton.amazonaws.com`
Die genannte Richtlinie für Rollenberechtigungen `AWSProtonCodeBuildProvisioningServiceRolePolicy` AWS Proton ermöglicht es, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen:
+ Aktion: *CloudFormation Stacks und Transformationen erstellen, verwalten und* *darauf lesen*
+ Aktion: *CodeBuild Projekte* und Builds *erstellen, verwalten und weiterlesen*
Weitere Informationen zu dieser Richtlinie finden Sie unter [AWS verwaltete Richtlinie: AWSProton CodeBuildProvisioningServiceRolePolicy](security-iam-awsmanpol.md#security-iam-awsmanpol-AWSProtonCodeBuildProvisioningServiceRolePolicy).
Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter [Serviceverknüpfte Rollenberechtigung](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) im *IAM-Benutzerhandbuch*.
## Erstellen einer serviceverknüpften Rolle für AWS Proton
Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie eine Umgebung erstellen, die CodeBuild basiertes Provisioning AWS Proton in der AWS-Managementkonsole, der oder der AWS API verwendet AWS CLI, AWS Proton wird die serviceverknüpfte Rolle für Sie erstellt.
Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie eine Umgebung erstellen, in der CodeBuild basiertes Provisioning verwendet AWS Proton wird AWS Proton, wird die serviceverknüpfte Rolle erneut für Sie erstellt.
## Bearbeiten einer serviceverknüpften Rolle für AWS Proton
AWS Proton erlaubt es Ihnen nicht, die **AWSServiceRoleForProtonCodeBuildProvisioning**dienstbezogene Rolle zu bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter [Bearbeiten einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) im *IAM-Benutzerhandbuch*.
## Löschen einer dienstbezogenen Rolle für AWS Proton
Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch alle Umgebungen und Dienste (Instanzen und Pipelines) löschen, die CodeBuild Based Provisioning verwenden, AWS Proton bevor Sie sie manuell löschen können.
### Manuelles Löschen der serviceverknüpften Rolle
Verwenden Sie die IAM-Konsole, die oder die AWS API AWS CLI, um die serviceverknüpfte Rolle zu löschen. **AWSServiceRoleForProtonCodeBuildProvisioning** Weitere Informationen finden Sie unter [Löschen einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) im *IAM-Benutzerhandbuch*.
## Unterstützte Regionen für serviceverknüpfte Rollen AWS Proton
AWS Proton unterstützt die Verwendung von dienstbezogenen Rollen überall dort, AWS-Regionen wo der Dienst verfügbar ist. Weitere Informationen finden Sie unter [AWS Proton -Endpunkte und -Kontingente](https://docs.aws.amazon.com/general/latest/gr/proton.html) in der *Allgemeine AWS-Referenz*.
# Problembehandlung bei AWS Proton Identität und Zugriff
Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit AWS Proton und IAM auftreten können.
**Topics**
+ [Ich bin nicht berechtigt, eine Aktion durchzuführen in AWS Proton](#security_iam_troubleshoot-no-permissions)
+ [Ich bin nicht berechtigt, iam auszuführen: PassRole](#security_iam_troubleshoot-passrole)
+ [Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine AWS Proton Ressourcen ermöglichen](#security_iam_troubleshoot-cross-account-access)
## Ich bin nicht berechtigt, eine Aktion durchzuführen in AWS Proton
Wenn Ihnen AWS-Managementkonsole mitgeteilt wird, dass Sie nicht berechtigt sind, eine Aktion durchzuführen, müssen Sie sich an Ihren Administrator wenden, um Unterstützung zu erhalten. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.
Der folgende Beispielfehler tritt auf, wenn der `mateojackson` IAM-Benutzer versucht, die Konsole zum Anzeigen von Details zu einer fiktiven `my-example-widget`-Ressource zu verwenden, jedoch nicht über `proton:GetWidget`-Berechtigungen verfügt.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: proton:GetWidget on resource: my-example-widget
```
In diesem Fall bittet Mateo seinen Administrator um die Aktualisierung seiner Richtlinien, um unter Verwendung der Aktion `my-example-widget` auf die Ressource `proton:GetWidget` zugreifen zu können.
## Ich bin nicht berechtigt, iam auszuführen: PassRole
Wenn Sie die Fehlermeldung erhalten, dass Sie nicht zum Durchführen der `iam:PassRole`-Aktion autorisiert sind, müssen Ihre Richtlinien aktualisiert werden, um eine Rolle an AWS Protonübergeben zu können.
Einige AWS-Services ermöglichen es Ihnen, eine bestehende Rolle an diesen Dienst zu übergeben, anstatt eine neue Servicerolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst.
Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen `marymajor` versucht, die Konsole zu verwenden, um eine Aktion in AWS Proton auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion `iam:PassRole` ausführen zu können.
Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.
## Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine AWS Proton Ressourcen ermöglichen
Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren.
Weitere Informationen dazu finden Sie hier:
+ Informationen darüber, ob diese Funktionen AWS Proton unterstützt werden, finden Sie unter. [Wie AWS Proton funktioniert mit IAM](security_iam_service-with-iam.md)
+ *Informationen dazu, wie Sie Zugriff auf Ihre Ressourcen gewähren können, AWS-Konten die Ihnen gehören, finden Sie im IAM-Benutzerhandbuch unter [Gewähren des Zugriffs auf einen IAM-Benutzer in einem anderen AWS-Konto , den Sie besitzen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html).*
+ Informationen dazu, wie Sie Dritten Zugriff auf Ihre Ressourcen gewähren können AWS-Konten, finden Sie [AWS-Konten im *IAM-Benutzerhandbuch* unter Gewähren des Zugriffs für Dritte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html).
+ Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*.
+ Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*.