Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Identity-based Richtlinienbeispiele für AWS Service Catalog
Topics
Konsolenzugriff für Endbenutzer
Die Richtlinien AWSServiceCatalogEndUserFullAccess und AWSServiceCatalogEndUserReadOnlyAccess gewähren den Zugriff auf die AWS Service Catalog
-Endbenutzerkonsolenansicht. Wenn ein Benutzer, der über eine dieser Richtlinien verfügt, diese Option auswählt AWS-Managementkonsole, werden AWS Service Catalog in der Konsolenansicht des Endbenutzers die Produkte angezeigt, zu deren Start er berechtigt ist.
Bevor Endbenutzer ein Produkt, für das Sie Zugriff gewähren, erfolgreich starten können, müssen Sie ihnen zusätzliche IAM-Berechtigungen gewähren, damit sie jede der zugrunde liegenden AWS Ressourcen in der AWS CloudFormation Produktvorlage verwenden können. AWS Service Catalog Wenn eine Produktvorlage beispielsweise Amazon Relational Database Service (Amazon RDS) beinhaltet, müssen Sie den Benutzern Amazon RDS-Berechtigungen zur Markteinführung des Produkts gewähren.
Weitere Informationen darüber, wie Sie es Endbenutzern ermöglichen, Produkte auf den Markt zu bringen und gleichzeitig die geringsten Zugriffsberechtigungen für Ressourcen durchzusetzen, finden Sie unter. AWS AWS Service Catalog Einschränkungen verwenden
Wenn Sie die Richtlinie AWSServiceCatalogEndUserReadOnlyAccess anwenden, verfügen Ihre Benutzer zwar über Zugriff auf die Endbenutzerkonsolenansicht, nicht jedoch über die Berechtigungen, die zum Starten von Produkten und zum Verwalten von bereitgestellten Produkten erforderlich sind. Sie können diese Berechtigungen mithilfe von IAM direkt einem Endbenutzer gewähren. Wenn Sie jedoch den Zugriff von Endbenutzern auf AWS Ressourcen einschränken möchten, sollten Sie die Richtlinie einer Startrolle zuordnen. Anschließend verwenden Sie AWS Service Catalog , um die Rolle „Launch“ auf eine Startbeschränkung für das Produkt anzuwenden. Weitere Informationen zum Anwenden einer Startrolle und zu Startrolleneinschränkungen sowie ein Startrollenbeispiel finden Sie unter AWS Service Catalog Starteinschränkungen.
Anmerkung
Wenn Sie Benutzern IAM-Berechtigungen für AWS Service Catalog Administratoren gewähren, wird stattdessen die Ansicht der Administratorkonsole angezeigt. Gewähren Sie diese Berechtigungen Endbenutzern nur, wenn sie Zugriff auf die Administratorkonsolenansicht haben sollen.
Produktzugriff für Endbenutzer
Bevor Endbenutzer ein Produkt verwenden können, auf das Sie Zugriff gewähren, müssen Sie ihnen zusätzliche IAM-Berechtigungen gewähren, damit sie jede der zugrunde liegenden AWS Ressourcen in der CloudFormation Produktvorlage verwenden können. Wenn eine Produktvorlage beispielsweise Amazon Relational Database Service (Amazon RDS) beinhaltet, müssen Sie den Benutzern Amazon RDS-Berechtigungen zur Markteinführung des Produkts gewähren.
Wenn Sie die Richtlinie AWSServiceCatalogEndUserReadOnlyAccess anwenden, verfügen Ihre Benutzer zwar über Zugriff auf die Endbenutzerkonsolenansicht, nicht jedoch über die Berechtigungen, die zum Starten von Produkten und zum Verwalten von bereitgestellten Produkten erforderlich sind. Sie können diese Berechtigungen direkt einem Endbenutzer in IAM gewähren. Wenn Sie jedoch den Zugriff der Endbenutzer auf AWS Ressourcen einschränken möchten, sollten Sie die Richtlinie einer Startrolle zuordnen. Anschließend verwenden Sie AWS Service Catalog , um die Rolle „Launch“ auf eine Startbeschränkung für das Produkt anzuwenden. Weitere Informationen zum Anwenden einer Startrolle und zu Startrolleneinschränkungen sowie ein Startrollenbeispiel finden Sie unter AWS Service Catalog Starteinschränkungen.
Beispielrichtlinien für die Verwaltung bereitgestellter Produkte
Sie können Ihre benutzerdefinierte Richtlinien erstellen, um die Sicherheitsanforderungen Ihrer Organisation zu erfüllen. Die folgenden Beispiele beschreiben, wie Sie die Zugriffsebene für jede Aktion mit Support auf Benutzer-, Rollen- und Kontoebene anpassen. Sie können Benutzern den Zugriff zum Anzeigen, Aktualisieren, Beenden und Verwalten von bereitgestellten Produkten gewähren, die nur von dem entsprechenden Benutzer oder auch von anderen im Rahmen ihrer Rolle oder des Kontos erstellt wurden, bei dem sie angemeldet sind. Dieser Zugriff ist hierarchisch: Wenn Sie Zugriff auf Kontoebene gewähren, erhalten Sie auch Zugriff auf Rollenebene und Zugriff auf Benutzerebene. Wenn Sie Zugriff auf Rollenebene hinzufügen, erhalten Sie auch Zugriff auf Benutzerebene, jedoch keinen Zugriff auf Kontoebene. Sie können diese in der Richtlinien-JSON unter Verwendung eines Condition-Blocks als accountLevel, roleLevel oder userLevel angeben.
Diese Beispiele gelten auch für Zugriffsebenen für AWS Service Catalog API-Schreibvorgänge: UpdateProvisionedProduct und TerminateProvisionedProduct und Lesevorgänge: DescribeRecordScanProvisionedProducts, undListRecordHistory. Die API-Operationen ScanProvisionedProducts und ListRecordHistory verwenden AccessLevelFilterKey als Eingabe. Die Werte dieses Schlüssels entsprechen den hier beschriebenen Condition-Blockebenen (accountLevel entspricht einem AccessLevelFilterKey-Wert von „Account“, roleLevel entspricht „Role“, und userLevel entspricht „User“). Weitere Informationen finden Sie im Service Catalog Developer Guide.
Beispiele
Voller Administratorzugriff auf bereitgestellte Produkte
Mit der folgenden Richtlinie wird vollständiger Lese- und Schreibzugriff auf bereitgestellte Produkte und Datensätze im Katalog auf Kontoebene erlaubt.
Diese Richtlinie entspricht der Funktion der folgenden Richtlinie:
Wenn Sie in keiner Richtlinie einen Condition Block angeben, AWS Service Catalog wird das so behandelt, als ob Sie den "servicecatalog:accountLevel" Zugriff angeben würden. Beachten Sie, dass der accountLevel-Zugriff roleLevel- und userLevel-Zugriff umfasst.
End-user Zugriff auf bereitgestellte Produkte
Mit der folgenden Richtlinie wird der Zugriff auf Lese- und Schreibvorgänge auf die bereitgestellten Produkte oder verknüpfte Datensätze beschränkt, die der aktuelle Benutzer erstellt hat.
Teilweiser Administratorzugriff auf bereitgestellte Produkte
Wenn die beiden unten genannten Richtlinie auf denselben Benutzer angewendet werden, handelt es sich um einen eingeschränkten Administratorzugriff, der vollständigen Lesezugriff und beschränkten Schreibzugriff umfasst. Das bedeutet, dass der Benutzer zwar alle bereitgestellten Produkte oder zugehörigen Datensätze innerhalb des Katalogkontos sehen kann, jedoch keine Aktionen für bereitgestellte Produkte oder einen Datensätze ausführen kann, die nicht im Besitz dieses Benutzers sind.
Die erste Richtlinie erlaubt den Benutzerzugriff auf Schreibvorgänge für die bereitgestellten Produkte, die vom aktuellen Benutzer erstellt wurden, aber nicht für bereitgestellte Produkte, die von anderen Benutzern erstellt wurden. Die zweite Richtlinie fügt vollständigen Zugriff auf Lesevorgänge für bereitgestellte Produkte, die von allen (Benutzer, Rolle oder Konto) erstellt wurden, hinzu.
