**Wir stellen vor: ein neues Konsolenerlebnis für AWS WAF** Sie können das aktualisierte Erlebnis jetzt verwenden, um überall in der Konsole auf AWS WAF Funktionen zuzugreifen. Weitere Informationen finden Sie unter [Arbeiten mit der Konsole](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html). Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Identity and Access Management für AWS Firewall Manager AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren kontrollieren, wer *authentifiziert* (angemeldet) und *autorisiert* werden kann (über Berechtigungen verfügt), um Firewall Manager Manager-Ressourcen zu verwenden. IAM ist ein Programm AWS-Service , das Sie ohne zusätzliche Kosten nutzen können. **Topics** + [Zielgruppe](#security_iam_audience) + [Authentifizierung mit Identitäten](#security_iam_authentication) + [Verwalten des Zugriffs mit Richtlinien](#security_iam_access-manage) + [Wie AWS Firewall Manager funktioniert mit IAM](fms-security_iam_service-with-iam.md) + [Beispiele für identitätsbasierte Richtlinien für AWS Firewall Manager](fms-security_iam_id-based-policy-examples.md) + [AWS verwaltete Richtlinien für AWS Firewall Manager](fms-security-iam-awsmanpol.md) + [Problembehandlung bei AWS Firewall Manager Identität und Zugriff](fms-security_iam_troubleshoot.md) + [Verwenden von serviceverknüpften Rollen für Firewall Manager](fms-using-service-linked-roles.md) + [Serviceübergreifende Confused-Deputy-Prävention](cross-service-confused-deputy-prevention.md) ## Zielgruppe Die Art und Weise, wie Sie AWS Identity and Access Management (IAM) verwenden, hängt von der Arbeit ab, die Sie in Firewall Manager ausführen. **Dienstbenutzer** — Wenn Sie den Firewall Manager Manager-Dienst für Ihre Arbeit verwenden, stellt Ihnen Ihr Administrator die Anmeldeinformationen und Berechtigungen zur Verfügung, die Sie benötigen. Da Sie für Ihre Arbeit mehr Funktionen von Firewall Manager verwenden, benötigen Sie möglicherweise zusätzliche Berechtigungen. Wenn Sie die Funktionsweise der Zugriffskontrolle nachvollziehen, wissen Sie bereits, welche Berechtigungen Sie von Ihrem Administrator anfordern müssen. Wenn Sie in Firewall Manager nicht auf eine Funktion zugreifen können, finden Sie weitere Informationen unter[Problembehandlung bei AWS Shield Identität und Zugriff](shd-security_iam_troubleshoot.md). **Service-Administrator** — Wenn Sie in Ihrem Unternehmen für die Ressourcen von Firewall Manager verantwortlich sind, haben Sie wahrscheinlich vollen Zugriff auf Firewall Manager. Es ist Ihre Aufgabe, zu bestimmen, auf welche Funktionen und Ressourcen von Firewall Manager Ihre Service-Benutzer zugreifen sollen. Anschließend müssen Sie Anforderungen an Ihren IAM-Administrator senden, um die Berechtigungen der Servicebenutzer zu ändern. Lesen Sie die Informationen auf dieser Seite, um die Grundkonzepte von IAM nachzuvollziehen. Weitere Informationen darüber, wie Ihr Unternehmen IAM mit Firewall Manager verwenden kann, finden Sie unter[Wie AWS Shield funktioniert mit IAM](shd-security_iam_service-with-iam.md). **IAM-Administrator** — Wenn Sie ein IAM-Administrator sind, möchten Sie vielleicht mehr darüber erfahren, wie Sie Richtlinien schreiben können, um den Zugriff auf Firewall Manager zu verwalten. Beispiele für identitätsbasierte Richtlinien von Firewall Manager, die Sie in IAM verwenden können, finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Shield](shd-security_iam_id-based-policy-examples.md) ## Authentifizierung mit Identitäten Authentifizierung ist die Art und Weise, wie Sie sich AWS mit Ihren Identitätsdaten anmelden. Sie müssen sich als IAM-Benutzer authentifizieren oder eine IAM-Rolle annehmen. Root-Benutzer des AWS-Kontos Sie können sich als föderierte Identität anmelden, indem Sie Anmeldeinformationen aus einer Identitätsquelle wie AWS IAM Identity Center (IAM Identity Center), Single Sign-On-Authentifizierung oder Anmeldeinformationen verwenden. Google/Facebook Weitere Informationen zum Anmelden finden Sie unter [So melden Sie sich bei Ihrem AWS-Konto an](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) im *Benutzerhandbuch für AWS-Anmeldung *. AWS Bietet für den programmatischen Zugriff ein SDK und eine CLI zum kryptografischen Signieren von Anfragen. Weitere Informationen finden Sie unter [AWS Signature Version 4 for API requests](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) im *IAM-Benutzerhandbuch*. ### AWS-Konto Root-Benutzer Wenn Sie einen erstellen AWS-Konto, beginnen Sie mit einer Anmeldeidentität, dem sogenannten AWS-Konto *Root-Benutzer*, der vollständigen Zugriff auf alle AWS-Services Ressourcen hat. Wir raten ausdrücklich davon ab, den Root-Benutzer für Alltagsaufgaben zu verwenden. Eine Liste der Aufgaben, für die Sie sich als Root-Benutzer anmelden müssen, finden Sie unter [Tasks that require root user credentials](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) im *IAM-Benutzerhandbuch*. ### Verbundidentität Es hat sich bewährt, dass menschliche Benutzer für den Zugriff AWS-Services mithilfe temporärer Anmeldeinformationen einen Verbund mit einem Identitätsanbieter verwenden müssen. Eine *föderierte Identität* ist ein Benutzer aus Ihrem Unternehmensverzeichnis, Ihrem Directory Service Web-Identitätsanbieter oder der AWS-Services mithilfe von Anmeldeinformationen aus einer Identitätsquelle zugreift. Verbundene Identitäten übernehmen Rollen, die temporäre Anmeldeinformationen bereitstellen. Für die zentrale Zugriffsverwaltung empfehlen wir AWS IAM Identity Center. Weitere Informationen finden Sie unter [Was ist IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) im *AWS IAM Identity Center -Benutzerhandbuch*. ### IAM-Benutzer und -Gruppen Ein *[IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* ist eine Identität mit bestimmten Berechtigungen für eine einzelne Person oder Anwendung. Wir empfehlen die Verwendung temporärer Anmeldeinformationen anstelle von IAM-Benutzern mit langfristigen Anmeldeinformationen. Weitere Informationen finden Sie im *IAM-Benutzerhandbuch* unter [Erfordern, dass menschliche Benutzer den Verbund mit einem Identitätsanbieter verwenden müssen, um AWS mithilfe temporärer Anmeldeinformationen darauf zugreifen zu](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) können. Eine [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spezifiziert eine Sammlung von IAM-Benutzern und erleichtert die Verwaltung von Berechtigungen für große Gruppen von Benutzern. Weitere Informationen finden Sie unter [Anwendungsfälle für IAM-Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) im *IAM-Benutzerhandbuch*. ### IAM-Rollen Eine *[IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* ist eine Identität mit spezifischen Berechtigungen, die temporäre Anmeldeinformationen bereitstellt. Sie können eine Rolle übernehmen, indem Sie [von einer Benutzer- zu einer IAM-Rolle (Konsole) wechseln](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) oder indem Sie eine AWS Oder-API-Operation AWS CLI aufrufen. Weitere Informationen finden Sie unter [Methoden, um eine Rolle zu übernehmen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) im *IAM-Benutzerhandbuch*. IAM-Rollen sind nützlich für den Verbundbenutzer-Zugriff, temporäre IAM-Benutzerberechtigungen, kontoübergreifenden Zugriff, serviceübergreifenden Zugriff und Anwendungen, die auf Amazon EC2 laufen. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*. ## Verwalten des Zugriffs mit Richtlinien Sie kontrollieren den Zugriff, AWS indem Sie Richtlinien erstellen und diese an AWS Identitäten oder Ressourcen anhängen. Eine Richtlinie definiert Berechtigungen, wenn sie mit einer Identität oder Ressource verknüpft sind. AWS bewertet diese Richtlinien, wenn ein Principal eine Anfrage stellt. Die meisten Richtlinien werden AWS als JSON-Dokumente gespeichert. Weitere Informationen zu JSON-Richtliniendokumenten finden Sie unter [Übersicht über JSON-Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) im *IAM-Benutzerhandbuch*. Mit Hilfe von Richtlinien legen Administratoren fest, wer Zugriff auf was hat, indem sie definieren, welches **Prinzipal** welche **Aktionen** auf welchen **Ressourcen**und unter welchen **Bedingungen**durchführen darf. Standardmäßig haben Benutzer, Gruppen und Rollen keine Berechtigungen. Ein IAM-Administrator erstellt IAM-Richtlinien und fügt sie zu Rollen hinzu, die die Benutzer dann übernehmen können. IAM-Richtlinien definieren Berechtigungen unabhängig von der Methode, die zur Ausführung der Operation verwendet wird. ### Identitätsbasierte Richtlinien Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität (Benutzer, Gruppe oder Rolle) anfügen können. Diese Richtlinien steuern, welche Aktionen Identitäten für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*. Identitätsbasierte Richtlinien können *Inline-Richtlinien* (direkt in eine einzelne Identität eingebettet) oder *verwaltete Richtlinien* (eigenständige Richtlinien, die mit mehreren Identitäten verbunden sind) sein. Informationen dazu, wie Sie zwischen verwalteten und Inline-Richtlinien wählen, finden Sie unter [Choose between managed policies and inline policies](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) im *IAM-Benutzerhandbuch*. ### Ressourcenbasierte Richtlinien Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele hierfür sind *Vertrauensrichtlinien für IAM-Rollen* und Amazon S3*-Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Ressourcenbasierte Richtlinien sind Richtlinien innerhalb dieses Diensts. Sie können AWS verwaltete Richtlinien von IAM nicht in einer ressourcenbasierten Richtlinie verwenden. ### Zugriffskontrolllisten () ACLs Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat. Amazon S3 und Amazon VPC sind Beispiele für Dienste, die Unterstützung ACLs bieten. AWS WAF Weitere Informationen finden Sie unter [Übersicht über ACLs die Zugriffskontrollliste (ACL)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html) im *Amazon Simple Storage Service Developer Guide*. ### Weitere Richtlinientypen AWS unterstützt zusätzliche Richtlinientypen, mit denen die maximalen Berechtigungen festgelegt werden können, die durch gängigere Richtlinientypen gewährt werden: + **Berechtigungsgrenzen** – Eine Berechtigungsgrenze legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einer IAM-Entität erteilen kann. Weitere Informationen finden Sie unter [Berechtigungsgrenzen für IAM-Entitäten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) im *-IAM-Benutzerhandbuch*. + **Richtlinien zur Dienstkontrolle (SCPs)** — Geben Sie die maximalen Berechtigungen für eine Organisation oder Organisationseinheit in an AWS Organizations. Weitere Informationen finden Sie unter [Service-Kontrollrichtlinien](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) im *AWS Organizations -Benutzerhandbuch*. + **Richtlinien zur Ressourcenkontrolle (RCPs)** — Legen Sie die maximal verfügbaren Berechtigungen für Ressourcen in Ihren Konten fest. Weitere Informationen finden Sie im *AWS Organizations Benutzerhandbuch* unter [Richtlinien zur Ressourcenkontrolle (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html). + **Sitzungsrichtlinien** – Sitzungsrichtlinien sind erweiterte Richtlinien, die als Parameter übergeben werden, wenn Sie eine temporäre Sitzung für eine Rolle oder einen Verbundbenutzer erstellen. Weitere Informationen finden Sie unter [Sitzungsrichtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) im *IAM-Benutzerhandbuch*. ### Mehrere Richtlinientypen Wenn für eine Anfrage mehrere Arten von Richtlinien gelten, sind die sich daraus ergebenden Berechtigungen schwieriger zu verstehen. Informationen darüber, wie AWS bestimmt wird, ob eine Anfrage zulässig ist, wenn mehrere Richtlinientypen betroffen sind, finden Sie unter [Bewertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*. # Wie AWS Firewall Manager funktioniert mit IAM Bevor Sie IAM verwenden, um den Zugriff auf Firewall Manager zu verwalten, sollten Sie sich darüber informieren, welche IAM-Funktionen mit Firewall Manager verwendet werden können. **IAM-Funktionen, die Sie mit verwenden können AWS Firewall Manager** | IAM-Feature | Unterstützung für Firewall Manager | | --- | --- | | [Identitätsbasierte Richtlinien](#fms-security_iam_service-with-iam-id-based-policies) | Ja | | [Ressourcenbasierte Richtlinien](#fms-security_iam_service-with-iam-resource-based-policies) | Nein | | [Richtlinienaktionen](#fms-security_iam_service-with-iam-id-based-policies-actions) | Ja | | [Richtlinienressourcen](#fms-security_iam_service-with-iam-id-based-policies-resources) | Ja | | [Richtlinienbedingungsschlüssel (servicespezifisch)](#fms-security_iam_service-with-iam-id-based-policies-conditionkeys) | Nein | | [ACLs](#fms-security_iam_service-with-iam-acls) | Nein | | [ABAC (Tags in Richtlinien)](#fms-security_iam_service-with-iam-tags) | Ja | | [Temporäre Anmeldeinformationen](#fms-security_iam_service-with-iam-roles-tempcreds) | Ja | | [Forward Access Sessions (FAS)](#fms-security_iam_service-with-iam-principal-permissions) | Ja | | [Servicerollen](#fms-security_iam_service-with-iam-roles-service) | Teilweise | | [Serviceverknüpfte Rollen](#fms-security_iam_service-with-iam-roles-service-linked) | Ja | Einen allgemeinen Überblick darüber, wie Firewall Manager und andere AWS Dienste mit den meisten IAM-Funktionen funktionieren, finden Sie im [IAM-Benutzerhandbuch unter AWS Dienste, die mit *IAM* funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). ## Identitätsbasierte Richtlinien für Firewall Manager **Unterstützt Richtlinien auf Identitätsbasis:** Ja Identitätsbasierte Richtlinien sind JSON-Berechtigungsrichtliniendokumente, die Sie einer Identität anfügen können, wie z. B. IAM-Benutzern, -Benutzergruppen oder -Rollen. Diese Richtlinien steuern, welche Aktionen die Benutzer und Rollen für welche Ressourcen und unter welchen Bedingungen ausführen können. Informationen zum Erstellen identitätsbasierter Richtlinien finden Sie unter [Definieren benutzerdefinierter IAM-Berechtigungen mit vom Kunden verwalteten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) im *IAM-Benutzerhandbuch*. Mit identitätsbasierten IAM-Richtlinien können Sie angeben, welche Aktionen und Ressourcen zugelassen oder abgelehnt werden. Darüber hinaus können Sie die Bedingungen festlegen, unter denen Aktionen zugelassen oder abgelehnt werden. Informationen zu sämtlichen Elementen, die Sie in einer JSON-Richtlinie verwenden, finden Sie in der [IAM-Referenz für JSON-Richtlinienelemente](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) im *IAM-Benutzerhandbuch*. Beispiele für identitätsbasierte Richtlinien von Firewall Manager finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Firewall Manager](fms-security_iam_id-based-policy-examples.md) ### Beispiele für identitätsbasierte Richtlinien für Firewall Manager Beispiele für identitätsbasierte Richtlinien von Firewall Manager finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Firewall Manager](fms-security_iam_id-based-policy-examples.md) ## Ressourcenbasierte Richtlinien in Firewall Manager **Unterstützt ressourcenbasierte Richtlinien:** Nein Ressourcenbasierte Richtlinien sind JSON-Richtliniendokumente, die Sie an eine Ressource anfügen. Beispiele für ressourcenbasierte Richtlinien sind IAM-*Rollen-Vertrauensrichtlinien* und Amazon-S3-*Bucket-Richtlinien*. In Services, die ressourcenbasierte Richtlinien unterstützen, können Service-Administratoren sie verwenden, um den Zugriff auf eine bestimmte Ressource zu steuern. Für die Ressource, an welche die Richtlinie angehängt ist, legt die Richtlinie fest, welche Aktionen ein bestimmter Prinzipal unter welchen Bedingungen für diese Ressource ausführen kann. Sie müssen in einer ressourcenbasierten Richtlinie [einen Prinzipal angeben](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html). Zu den Prinzipalen können Konten, Benutzer, Rollen, Verbundbenutzer oder gehören. AWS-Services Um kontoübergreifenden Zugriff zu ermöglichen, können Sie ein gesamtes Konto oder IAM-Entitäten in einem anderen Konto als Prinzipal in einer ressourcenbasierten Richtlinie angeben. Weitere Informationen finden Sie unter [Kontoübergreifender Ressourcenzugriff in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) im *IAM-Benutzerhandbuch*. ## Richtlinienaktionen für Firewall Manager **Unterstützt Richtlinienaktionen:** Ja Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das Element `Action` einer JSON-Richtlinie beschreibt die Aktionen, mit denen Sie den Zugriff in einer Richtlinie zulassen oder verweigern können. Nehmen Sie Aktionen in eine Richtlinie auf, um Berechtigungen zur Ausführung des zugehörigen Vorgangs zu erteilen. Eine Liste der Firewall Manager Manager-Aktionen finden Sie unter [Aktionen definiert von AWS Firewall Manager](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfirewallmanager.html#awsfirewallmanager-actions-as-permissions) in der *Service Authorization Reference*. Richtlinienaktionen in Firewall Manager verwenden vor der Aktion das folgende Präfix: ``` fms ``` Um mehrere Aktionen in einer einzigen Anweisung anzugeben, trennen Sie sie mit Kommata: ``` "Action": [ "fms:action1", "fms:action2" ] ``` Sie können auch Platzhalter verwenden, um mehrere Aktionen anzugeben. Beispielsweise können Sie alle Aktionen festlegen, die mit dem Wort `Describe` beginnen, einschließlich der folgenden Aktion: ``` "Action": "fms:Describe*" ``` Beispiele für identitätsbasierte Richtlinien von Firewall Manager finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Firewall Manager](fms-security_iam_id-based-policy-examples.md) ## Richtlinienressourcen für Firewall Manager **Unterstützt Richtlinienressourcen:** Ja Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das JSON-Richtlinienelement `Resource` gibt die Objekte an, auf welche die Aktion angewendet wird. Als Best Practice geben Sie eine Ressource mit dem zugehörigen [Amazon-Ressourcennamen (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) an. Verwenden Sie für Aktionen, die keine Berechtigungen auf Ressourcenebene unterstützen, einen Platzhalter (\$1), um anzugeben, dass die Anweisung für alle Ressourcen gilt. ``` "Resource": "*" ``` Eine Liste der Firewall Manager Manager-Ressourcentypen und ihrer Eigenschaften ARNs finden Sie unter [Resources defined by AWS Firewall Manager](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfirewallmanager.html#awsfirewallmanager-resources-for-iam-policies) in der *Service Authorization Reference*. Informationen zu den Aktionen, mit denen Sie den ARN einzelner Ressourcen angeben können, finden Sie unter [Von AWS Firewall Manager definierte Aktionen](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfirewallmanager.html#awsfirewallmanager-actions-as-permissions). Beispiele für identitätsbasierte Richtlinien von Firewall Manager finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Firewall Manager](fms-security_iam_id-based-policy-examples.md) ## Schlüssel für Richtlinienbedingungen für Firewall Manager **Unterstützt servicespezifische Richtlinienbedingungsschlüssel:** Nein Administratoren können mithilfe von AWS JSON-Richtlinien angeben, wer Zugriff auf was hat. Das heißt, welcher **Prinzipal** **Aktionen** für welche **Ressourcen** und unter welchen **Bedingungen** ausführen kann. Das Element `Condition` gibt an, wann Anweisungen auf der Grundlage definierter Kriterien ausgeführt werden. Sie können bedingte Ausdrücke erstellen, die [Bedingungsoperatoren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html) verwenden, z. B. ist gleich oder kleiner als, damit die Bedingung in der Richtlinie mit Werten in der Anforderung übereinstimmt. Eine Übersicht aller AWS globalen Bedingungsschlüssel finden Sie unter [Kontextschlüssel für AWS globale Bedingungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) im *IAM-Benutzerhandbuch*. Eine Liste der Bedingungsschlüssel von Firewall Manager finden Sie unter [Bedingungsschlüssel für AWS Firewall Manager](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfirewallmanager.html#awsfirewallmanager-policy-keys) in der *Service Authorization Reference*. Informationen zu den Aktionen und Ressourcen, mit denen Sie einen Bedingungsschlüssel verwenden können, finden Sie unter [Aktionen definiert von AWS Firewall Manager](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfirewallmanager.html#awsfirewallmanager-actions-as-permissions). Beispiele für identitätsbasierte Richtlinien von Firewall Manager finden Sie unter. [Beispiele für identitätsbasierte Richtlinien für AWS Firewall Manager](fms-security_iam_id-based-policy-examples.md) ## ACLs im Firewall Manager **Unterstützt ACLs:** Nein Zugriffskontrolllisten (ACLs) steuern, welche Principals (Kontomitglieder, Benutzer oder Rollen) über Zugriffsberechtigungen für eine Ressource verfügen. ACLs ähneln ressourcenbasierten Richtlinien, verwenden jedoch nicht das JSON-Richtliniendokumentformat. ## ABAC mit Firewall Manager **Unterstützt ABAC (Tags in Richtlinien):** Ja Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen basierend auf Attributen, auch als Tags bezeichnet, definiert werden. Sie können Tags an IAM-Entitäten und AWS -Ressourcen anhängen und dann ABAC-Richtlinien entwerfen, die Operationen zulassen, wenn das Tag des Prinzipals mit dem Tag auf der Ressource übereinstimmt. Um den Zugriff auf der Grundlage von Tags zu steuern, geben Sie im Bedingungselement einer[ Richtlinie Tag-Informationen ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)an, indem Sie die Schlüssel `aws:ResourceTag/key-name`, `aws:RequestTag/key-name`, oder Bedingung `aws:TagKeys` verwenden. Wenn ein Service alle drei Bedingungsschlüssel für jeden Ressourcentyp unterstützt, lautet der Wert für den Service **Ja**. Wenn ein Service alle drei Bedingungsschlüssel für nur einige Ressourcentypen unterstützt, lautet der Wert **Teilweise**. *Weitere Informationen zu ABAC finden Sie unter [Definieren von Berechtigungen mit ABAC-Autorisierung](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) im IAM-Benutzerhandbuch*. Um ein Tutorial mit Schritten zur Einstellung von ABAC anzuzeigen, siehe [Attributbasierte Zugriffskontrolle (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) verwenden im *IAM-Benutzerhandbuch*. ## Temporäre Anmeldeinformationen mit Firewall Manager verwenden **Unterstützt temporäre Anmeldeinformationen:** Ja Temporäre Anmeldeinformationen ermöglichen kurzfristigen Zugriff auf AWS Ressourcen und werden automatisch erstellt, wenn Sie einen Verbund verwenden oder die Rollen wechseln. AWS empfiehlt, temporäre Anmeldeinformationen dynamisch zu generieren, anstatt langfristige Zugriffsschlüssel zu verwenden. Weitere Informationen finden Sie unter [Temporäre Anmeldeinformationen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) und [AWS-Services , die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) im *IAM-Benutzerhandbuch*. ## Zugriffssitzungen für Firewall Manager weiterleiten **Unterstützt Forward Access Sessions (FAS):** Ja Forward-Access-Sitzungen (FAS) verwenden die Berechtigungen des Prinzipals, der einen aufruft AWS-Service, kombiniert mit der Anforderung, Anfragen AWS-Service an nachgelagerte Dienste zu stellen. Einzelheiten zu den Richtlinien für FAS-Anforderungen finden Sie unter [Zugriffssitzungen weiterleiten](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html). ## Servicerollen für Firewall Manager **Unterstützt Servicerollen:** Teilweise Eine Servicerolle ist eine [IAM-Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html), die ein Service annimmt, um Aktionen in Ihrem Namen auszuführen. Ein IAM-Administrator kann eine Servicerolle innerhalb von IAM erstellen, ändern und löschen. Weitere Informationen finden Sie unter [Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) im *IAM-Benutzerhandbuch*. **Warnung** Durch das Ändern der Berechtigungen für eine Servicerolle kann die Funktionalität von Firewall Manager beeinträchtigt werden. Bearbeiten Sie Servicerollen nur, wenn Firewall Manager Sie dazu anleitet. ### Auswahl einer IAM-Rolle in Firewall Manager Um die *PutNotificationChannel* API-Aktion in Firewall Manager verwenden zu können, müssen Sie eine Rolle auswählen, mit der Firewall Manager auf Amazon SNS zugreifen kann, sodass der Service Amazon SNS SNS-Nachrichten in Ihrem Namen veröffentlichen kann. Weitere Informationen finden Sie unter [PutNotificationChannel](https://amazonaws.com/fms/2018-01-01/APIReference/API_PutNotificationChannel.html) in der *AWS Firewall Manager -API-Referenz*. Im Folgenden finden Sie ein Beispiel für eine Berechtigungseinstellung für ein SNS-Thema. Um diese Richtlinie mit Ihrer eigenen benutzerdefinierten Rolle zu verwenden, ersetzen Sie den `AWSServiceRoleForFMS` Amazon-Ressourcennamen (ARN) durch den `SnsRoleName` ARN. ``` { "Sid": "AWSFirewallManagerSNSPolicy", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::account ID:role/aws-service-role/fms.amazonaws.com/AWSServiceRoleForFMS" }, "Action": "sns:Publish", "Resource": "SNS topic ARN" } ``` Weitere Informationen zu den Aktionen und Ressourcen von Firewall Manager finden Sie im AWS Identity and Access Management Leitfadenthema [Aktionen definiert von AWS Firewall Manager](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsfirewallmanager.html#awsfirewallmanager-actions-as-permissions) ## Dienstbezogene Rollen für Firewall Manager **Unterstützt serviceverknüpfte Rollen:** Ja Eine dienstbezogene Rolle ist eine Art von Servicerolle, die mit einer verknüpft ist. AWS-Service Der Service kann die Rolle übernehmen, um eine Aktion in Ihrem Namen auszuführen. Dienstbezogene Rollen werden in Ihrem Dienst angezeigt AWS-Konto und gehören dem Dienst. Ein IAM-Administrator kann die Berechtigungen für Service-verknüpfte Rollen anzeigen, aber nicht bearbeiten. Details zum Erstellen oder Verwalten von serviceverknüpften Rollen finden Sie unter [AWS -Services, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie in der Tabelle nach einem Service mit einem `Yes` in der Spalte **Service-linked role** (Serviceverknüpfte Rolle). Wählen Sie den Link **Yes** (Ja) aus, um die Dokumentation für die serviceverknüpfte Rolle für diesen Service anzuzeigen. # Beispiele für identitätsbasierte Richtlinien für AWS Firewall Manager Standardmäßig sind Benutzer und Rollen nicht berechtigt, Firewall Manager Manager-Ressourcen zu erstellen oder zu ändern. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen. Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter [Erstellen von IAM-Richtlinien (Konsole)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) im *IAM-Benutzerhandbuch*. Einzelheiten zu den von Firewall Manager definierten Aktionen und Ressourcentypen, einschließlich des Formats ARNs für die einzelnen Ressourcentypen, finden Sie unter [Aktionen, Ressourcen und Bedingungsschlüssel für AWS Firewall Manager](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsfirewallmanager.html) in der *Service Authorization Reference*. **Topics** + [Best Practices für Richtlinien](#fms-security_iam_service-with-iam-policy-best-practices) + [Verwenden der Firewall Manager Manager-Konsole](#fms-security_iam_id-based-policy-examples-console) + [Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer](#fms-security_iam_id-based-policy-examples-view-own-permissions) + [Gewähren Sie Ihren Firewall Manager Manager-Sicherheitsgruppen Lesezugriff](#fms-example0) ## Best Practices für Richtlinien Identitätsbasierte Richtlinien legen fest, ob jemand Firewall Manager Manager-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Beachten Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Richtlinien und Empfehlungen: + **Erste Schritte mit AWS verwalteten Richtlinien und Umstellung auf Berechtigungen mit den geringsten Rechten** — Verwenden Sie die *AWS verwalteten Richtlinien*, die Berechtigungen für viele gängige Anwendungsfälle gewähren, um damit zu beginnen, Ihren Benutzern und Workloads Berechtigungen zu gewähren. Sie sind in Ihrem verfügbar. AWS-Konto Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom AWS Kunden verwaltete Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) oder [Von AWS verwaltete Richtlinien für Auftragsfunktionen](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) im *IAM-Benutzerhandbuch*. + **Anwendung von Berechtigungen mit den geringsten Rechten** – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als *die geringsten Berechtigungen*. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter [ Richtlinien und Berechtigungen in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) im *IAM-Benutzerhandbuch*. + **Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs** – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Serviceaktionen zu gewähren, wenn diese für einen bestimmten Zweck verwendet werden AWS-Service, z. CloudFormation B. Weitere Informationen finden Sie unter [IAM-JSON-Richtlinienelemente: Bedingung](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) im *IAM-Benutzerhandbuch*. + **Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten** – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter [Richtlinienvalidierung mit IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) im *IAM-Benutzerhandbuch*. + **Multi-Faktor-Authentifizierung (MFA) erforderlich** — Wenn Sie ein Szenario haben, das IAM-Benutzer oder einen Root-Benutzer in Ihrem System erfordert AWS-Konto, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter [Sicherer API-Zugriff mit MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) im *IAM-Benutzerhandbuch*. Weitere Informationen zu bewährten Methoden in IAM finden Sie unter [Best Practices für die Sicherheit in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) im *IAM-Benutzerhandbuch*. ## Verwenden der Firewall Manager Manager-Konsole Um auf die AWS Firewall Manager Konsole zugreifen zu können, benötigen Sie ein Mindestmaß an Berechtigungen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Firewall Manager Manager-Ressourcen in Ihrem aufzulisten und anzuzeigen AWS-Konto. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie. Sie müssen Benutzern, die nur die API AWS CLI oder die AWS API aufrufen, keine Mindestberechtigungen für die Konsole gewähren. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die die Benutzer ausführen möchten. Um sicherzustellen, dass Benutzer und Rollen die Firewall Manager-Konsole weiterhin verwenden können, fügen Sie den Entitäten auch den Firewall Manager `ConsoleAccess` oder die `ReadOnly` AWS verwaltete Richtlinie hinzu. Weitere Informationen finden Sie unter [Hinzufügen von Berechtigungen zu einem Benutzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) im *IAM-Benutzerhandbuch*. ## Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie umfasst Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der API AWS CLI oder AWS . ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## Gewähren Sie Ihren Firewall Manager Manager-Sicherheitsgruppen Lesezugriff Der Firewall Manager ermöglicht den kontoübergreifenden Zugriff auf Ressourcen, aber es ist nicht möglich, kontenübergreifenden Ressourcenschutz zu erstellen. Sie können Schutz für Ressourcen nur aus dem Konto erstellen, das der Besitzer dieser Ressourcen ist. Im Folgenden finden Sie ein Beispiel für eine Richtlinie, die Berechtigungen für die `ec2:DescribeSecurityGroups` Aktionen `fms:Get``fms:List`, und für alle Ressourcen gewährt. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "fms:Get*", "fms:List*", "ec2:DescribeSecurityGroups" ], "Effect": "Allow", "Resource": "*" } ] } ``` ------ # AWS verwaltete Richtlinien für AWS Firewall Manager Eine AWS verwaltete Richtlinie ist eine eigenständige Richtlinie, die von erstellt und verwaltet wird AWS. AWS Verwaltete Richtlinien sind so konzipiert, dass sie Berechtigungen für viele gängige Anwendungsfälle bereitstellen, sodass Sie damit beginnen können, Benutzern, Gruppen und Rollen Berechtigungen zuzuweisen. Beachten Sie, dass AWS verwaltete Richtlinien für Ihre speziellen Anwendungsfälle möglicherweise keine Berechtigungen mit den geringsten Rechten gewähren, da sie allen AWS Kunden zur Verfügung stehen. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie [vom Kunden verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Sie können die in AWS verwalteten Richtlinien definierten Berechtigungen nicht ändern. Wenn die in einer AWS verwalteten Richtlinie definierten Berechtigungen AWS aktualisiert werden, wirkt sich das Update auf alle Prinzidentitäten (Benutzer, Gruppen und Rollen) aus, denen die Richtlinie zugeordnet ist. AWS aktualisiert eine AWS verwaltete Richtlinie höchstwahrscheinlich, wenn eine neue Richtlinie eingeführt AWS-Service wird oder neue API-Operationen für bestehende Dienste verfügbar werden. Weitere Informationen finden Sie unter [Von AWS verwaltete Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) im *IAM-Benutzerhandbuch*. ## AWS verwaltete Richtlinie: `AWSFMAdminFullAccess` Verwenden Sie die `AWSFMAdminFullAccess` AWS verwaltete Richtlinie, um Ihren Administratoren den Zugriff auf AWS Firewall Manager Ressourcen zu ermöglichen, einschließlich aller Firewall Manager Manager-Richtlinientypen. Diese Richtlinie beinhaltet keine Berechtigungen zum Einrichten von Amazon Simple Notification Service-Benachrichtigungen in AWS Firewall Manager. Informationen zum Einrichten des Zugriffs für Amazon Simple Notification Service finden Sie unter [Zugriff für Amazon Simple Notification Service einrichten](https://docs.aws.amazon.com/sns/latest/dg/sns-setting-up.html). Eine Liste der Richtlinien und weitere Informationen finden Sie in der IAM-Konsole unter [AWSFMAdminFullAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AWSFMAdminFullAccess$serviceLevelSummary). Der Rest dieses Abschnitts bietet einen Überblick über die Richtlinieneinstellungen. **Erlaubniserklärungen** Diese Richtlinie ist je nach Berechtigungssatz in Aussagen gruppiert. + **AWS Firewall Manager Richtlinienressourcen** — Ermöglicht vollständige Administratorrechte für Ressourcen AWS Firewall Manager, einschließlich aller Firewall Manager Manager-Richtlinientypen. + ** AWS WAF Protokolle in Amazon Simple Storage Service schreiben** — Ermöglicht Firewall Manager das Schreiben und Lesen von AWS WAF Protokollen in Amazon S3. + **Dienstverknüpfte Rolle erstellen** — Ermöglicht es dem Administrator, eine dienstverknüpfte Rolle zu erstellen, die es Firewall Manager ermöglicht, in Ihrem Namen auf Ressourcen in anderen Diensten zuzugreifen. Diese Berechtigung ermöglicht das Erstellen der dienstbezogenen Rolle nur für die Verwendung durch Firewall Manager. Informationen darüber, wie Firewall Manager dienstverknüpfte Rollen verwendet, finden Sie unter[Verwenden von serviceverknüpften Rollen für Firewall Manager](fms-using-service-linked-roles.md). + **AWS Organizations**— Ermöglicht Administratoren die Verwendung des Firewall Manager für eine Organisation in AWS Organizations. Nachdem der vertrauenswürdige Zugriff für Firewall Manager aktiviert wurde AWS Organizations, können Mitglieder des Administratorkontos die Ergebnisse in ihrer gesamten Organisation einsehen. Informationen zur Verwendung AWS Organizations mit AWS Firewall Manager finden Sie [unter Verwendung AWS Organizations mit anderen AWS Diensten](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_integrate_services.html) im *AWS Organizations Benutzerhandbuch*. **Kategorien von Berechtigungen** Im Folgenden werden die in der Richtlinie enthaltenen Berechtigungstypen und die damit verbundenen Berechtigungen aufgeführt. + `fms`— Arbeiten Sie mit AWS Firewall Manager Ressourcen. + `waf`und `waf-regional` — Arbeiten Sie mit AWS WAF klassischen Richtlinien. + `elasticloadbalancing`— Assoziieren Sie AWS WAF ACLsto Web-Elastic Load Balancers. + `firehose`— Informationen zu AWS WAF Protokollen anzeigen. + `organizations`— Arbeiten Sie mit den Ressourcen von AWS Organizations. + `shield`— Den Abonnementstatus von AWS Shield Richtlinien anzeigen. + `route53resolver`— Arbeiten Sie mit Route 53 Private DNS für VPCs Regelgruppen in einem Route 53 Private DNS für VPCs Richtlinien. + `wafv2`— Arbeiten Sie mit AWS WAFV2 Richtlinien. + `network-firewall`— Arbeite mit AWS Network Firewall Richtlinien. + `ec2`— Verfügbare Zonen und Regionen für Richtlinien anzeigen. + `s3`— Informationen zu AWS WAF Protokollen anzeigen. ## AWS verwaltete Richtlinie: `FMSServiceRolePolicy` Diese Richtlinie ermöglicht AWS Firewall Manager die Verwaltung von AWS Ressourcen in Ihrem Namen im Firewall Manager und in integrierten Diensten. Diese Richtlinie ist mit der `AWSServiceRoleForFMS` dienstverknüpften Rolle verbunden. Weitere Informationen zur serviceverknüpften Rolle finden Sie unter [Verwenden von serviceverknüpften Rollen für Firewall Manager](fms-using-service-linked-roles.md). Einzelheiten zu den Richtlinien finden Sie in der IAM-Konsole unter [FMSServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/FMSServiceRolePolicy$serviceLevelSummary). ## AWS verwaltete Richtlinie: AWSFMAdmin ReadOnlyAccess Gewährt schreibgeschützten Zugriff auf alle AWS Firewall Manager Manager-Ressourcen. Die Richtlinienliste und weitere Informationen finden Sie in der IAM-Konsole unter. [AWSFMAdminReadOnlyAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AWSFMAdminReadOnlyAccess$serviceLevelSummary) Der Rest dieses Abschnitts bietet einen Überblick über die Richtlinieneinstellungen. **Kategorien von Berechtigungen** Im Folgenden werden die in der Richtlinie enthaltenen Berechtigungstypen und die Informationen aufgeführt, für die die Berechtigungen nur Lesezugriff ermöglichen. + `fms`— AWS Firewall Manager Ressourcen. + `waf`und `waf-regional` — AWS WAF Klassische Politiken. + `firehose`— AWS WAF Protokolle. + `organizations`— Ressourcen von AWS Organizations. + `shield`— AWS Shield Richtlinien. + `route53resolver`— Route 53 Private DNS für VPCs Regelgruppen in einem Route 53 Private DNS für VPCs Richtlinien. + `wafv2`— Ihre AWS WAFV2 Regelgruppen und Regelgruppen für AWS verwaltete Regeln, die in verfügbar sind AWS WAFV2. + `network-firewall`— AWS Network Firewall Regelgruppen und Regelgruppen-Metadaten. + `ec2`— AWS Network Firewall Richtlinien für Verfügbarkeitszonen und Regionen. + `s3`— AWS WAF Protokolle. ## AWS verwaltete Richtlinie: AWSFMMember ReadOnlyAccess Gewährt nur Lesezugriff auf AWS Firewall Manager Mitgliederressourcen. Die Richtlinienliste und weitere Informationen finden Sie in der IAM-Konsole unter. [AWSFMMemberReadOnlyAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AWSFMMemberReadOnlyAccess$serviceLevelSummary) ## Firewall Manager Manager-Updates für AWS verwaltete Richtlinien Sehen Sie sich Details zu Aktualisierungen der AWS verwalteten Richtlinien für Firewall Manager an, seit dieser Dienst begonnen hat, diese Änderungen zu verfolgen. Wenn Sie automatische Benachrichtigungen über Änderungen an dieser Seite erhalten möchten, abonnieren Sie den RSS-Feed auf der Seite mit dem Dokumentverlauf von Firewall Manager unter[Dokumentverlauf](doc-history.md). | Änderungen | Beschreibung | Date | | --- | --- | --- | | [FMSServiceRolePolicy](#security-iam-awsmanpol-FMSServiceRolePolicy) – Richtlinie aktualisieren | Der Firewall Manager Manager-Dienstrichtlinie wurden Berechtigungen hinzugefügt. Die folgenden für Amazon erforderlichen Berechtigungen wurden hinzugefügt CloudFront: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/waf/latest/developerguide/fms-security-iam-awsmanpol.html) | 2025-05-21 | | [FMSServiceRolePolicy](#security-iam-awsmanpol-FMSServiceRolePolicy) – Richtlinie aktualisieren | Der Firewall Manager Manager-Dienstrichtlinie wurden Berechtigungen hinzugefügt. Es wurden `BatchGetResourceConfig` Berechtigungen hinzugefügt, um den Status der Ressourcenkonfiguration stapelweise abzurufen. Die aktualisierte Richtlinie finden Sie in der IAM-Konsole:. [FMSServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/FMSServiceRolePolicy$serviceLevelSummary) | 2025-02-10 | | [FMSServiceRolePolicy](#security-iam-awsmanpol-FMSServiceRolePolicy) – Richtlinie aktualisieren | Der Firewall Manager Manager-Dienstrollenrichtlinie wurden Berechtigungen hinzugefügt. Es wurde die Möglichkeit hinzugefügt, die TLS-Konfigurationsinformationen der Network Firewall zu lesen. Die aktualisierte Richtlinie finden Sie in der IAM-Konsole: [FMSServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/FMSServiceRolePolicy$serviceLevelSummary). | 2024-07-22 | | [FMSServiceRolePolicy](#security-iam-awsmanpol-FMSServiceRolePolicy) – Richtlinie aktualisieren | Es wurden Berechtigungen für die Netzwerkverwaltung hinzugefügt. ACLs Die aktualisierte Richtlinie finden Sie in der IAM-Konsole: [FMSServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/FMSServiceRolePolicy$serviceLevelSummary). | 2024-04-22 | | [FMSServiceRolePolicy](#security-iam-awsmanpol-FMSServiceRolePolicy) – Richtlinie aktualisieren | Es wurden Berechtigungen hinzugefügt, mit denen Firewall Manager beschreiben kann, ob die angegebenen AWS Config Regeln konform sind. Die aktualisierte Richtlinie finden Sie in der IAM-Konsole: [FMSServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/FMSServiceRolePolicy$serviceLevelSummary). | 2023-04-21 | | [FMSServiceRolePolicy](#security-iam-awsmanpol-FMSServiceRolePolicy) – Richtlinie aktualisieren | Es wurden Berechtigungen hinzugefügt, die es Firewall Manager ermöglichen, Amazon EC2 EC2-Instance- und Netzwerkschnittstellenattribute zu beschreiben. Sehen Sie sich die aktualisierte Richtlinie in der IAM-Konsole an:. [FMSServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/FMSServiceRolePolicy$serviceLevelSummary) | 15.11.2022 | | [AWSFMAdminReadOnlyAccess](#security-iam-awsmanpol-AWSFMAdminReadOnlyAccess) – Richtlinie aktualisieren | Es wurden Berechtigungen zur Unterstützung von Shield AWS WAFV2, Network Firewall, DNS-Firewall, Amazon VPC-Sicherheitsgruppe und Richtlinien hinzugefügt. Sehen Sie sich die aktualisierte Richtlinie in der IAM-Konsole an:. [AWSFMAdminReadOnlyAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AWSFMAdminReadOnlyAccess$serviceLevelSummary) | 02.11.2022 | | [AWSFMAdminFullAccess](#security-iam-awsmanpol-AWSFMAdminFullAccess) – Richtlinie aktualisieren | Es wurden Berechtigungen zur Unterstützung von Shield AWS WAFV2, Network Firewall, DNS-Firewall, Amazon VPC-Sicherheitsgruppe und Richtlinien hinzugefügt. Amazon SNS SNS-Berechtigungen wurden entfernt. Die aktualisierte Richtlinie finden Sie in der IAM-Konsole:. [AWSFMAdminFullAccess](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AWSFMAdminFullAccess$serviceLevelSummary) | 21.10.2022 | | `FMSServiceRolePolicy`— Neue Berechtigungen für Firewall-Richtlinien AWS Firewall Manager von Drittanbietern | Diese Änderung ermöglicht es Firewall Manager, die Amazon EC2 VPC-Endpunkte zu erstellen und zu löschen, die mit einer Firewall-Richtlinie eines Drittanbieters verknüpft sind. | 30.03.2022 | | `FMSServiceRolePolicy`— Neue Berechtigungen für Richtlinien AWS Network Firewall | Es wurden neue Berechtigungen hinzugefügt, um die Bereitstellung von Firewalls für Netzwerk-Firewall-Richtlinien zu unterstützen. Die neuen Berechtigungen ermöglichen das Abrufen von Informationen über Availability Zones für Konten, die in den Geltungsbereich einer Richtlinie fallen. | 16.02.2022 | | `FMSServiceRolePolicy`— Neue Berechtigungen für Richtlinien AWS Shield | Neue Berechtigungen zum Abrufen von Tags für AWS WAF regionale und AWS WAF globale Ressourcen hinzugefügt. Es wurden AWS WAF regionale Berechtigungen zum Abrufen ACLs von Websites mithilfe eines Ressourcen-ARN hinzugefügt. Es wurden Berechtigungen zur Unterstützung der automatischen Shield-Abwehr gegen Anwendungsschicht DDo S hinzugefügt. | 07.01.2022 | | `FMSServiceRolePolicy`— Neue Berechtigungen für Richtlinien AWS Shield | Neue Berechtigung zum Abrufen von Tags für Elastic Load Balancing Balancing-Ressourcen hinzugefügt. | 18.11.2021 | | `FMSServiceRolePolicy`— Neue Berechtigungen für Sicherheitsgruppen und Richtlinien AWS Network Firewall | Neue Berechtigungen wurden hinzugefügt, um die zentrale Protokollierung von AWS Network Firewall Richtlinien zu ermöglichen. Darüber hinaus wurden Amazon EC2 EC2-Berechtigungen mit Lesezugriff hinzugefügt, um Änderungen am Config-Service zu unterstützen, die sich darauf auswirken, wie Ressourcen nach AWS Firewall Manager Sicherheitsgruppenrichtlinien abgefragt werden. | 29.09.2021 | | `FMSServiceRolePolicy`— ARN-Formate für AWS WAF Ressourcen | Das wurde aktualisiert`FMSServiceRolePolicy`, um die ARN-Formate für AWS WAF Ressourcen zu standardisieren. Die aktualisierten ARN-Formate sind `arn:aws:waf:*:*:*` und`arn:aws:waf-regional:*:*:*`. | 2021-08-12 | | `FMSServiceRolePolicy`— Zusätzliche Regionen in China | AWS Firewall Manager hat `FMSServiceRolePolicy` für die Regionen BJS und ZHY in China aktiviert. | 12.08.2021 | | `FMSServiceRolePolicy`— Aktualisierung der bestehenden Richtlinie | Es wurden neue Berechtigungen hinzugefügt, um die Amazon Route 53 Resolver DNS-Firewall verwalten AWS Firewall Manager zu können. Diese Änderung ermöglicht es Firewall Manager, Amazon Route 53 Resolver DNS-Firewallzuordnungen zu konfigurieren. Auf diese Weise können Sie den Firewall Manager verwenden, um DNS-Firewall-Schutz für Ihr VPCs gesamtes Unternehmen in AWS Organizations bereitzustellen. | 2021-03-17 | | Firewall Manager hat begonnen, Änderungen zu verfolgen | Firewall Manager begann, Änderungen für seine AWS verwalteten Richtlinien zu verfolgen. | 2021-03-02 | # Problembehandlung bei AWS Firewall Manager Identität und Zugriff Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme zu diagnostizieren und zu beheben, die bei der Arbeit mit Firewall Manager und IAM auftreten können. **Topics** + [Ich bin nicht berechtigt, eine Aktion in Firewall Manager durchzuführen](#fms-security_iam_troubleshoot-no-permissions) + [Ich bin nicht berechtigt, iam auszuführen: PassRole](#fms-security_iam_troubleshoot-passrole) + [Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine Firewall Manager Manager-Ressourcen ermöglichen](#fms-security_iam_troubleshoot-cross-account-access) ## Ich bin nicht berechtigt, eine Aktion in Firewall Manager durchzuführen Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht zur Durchführung einer Aktion berechtigt sind, müssen Ihre Richtlinien aktualisiert werden, damit Sie die Aktion durchführen können. Der folgende Beispielfehler tritt auf, wenn der IAM-Benutzer `mateojackson` versucht, über die Konsole Details zu einer fiktiven `my-example-widget`-Ressource anzuzeigen, jedoch nicht über `fms:GetWidget`-Berechtigungen verfügt. ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: fms:GetWidget on resource: my-example-widget ``` In diesem Fall muss die Richtlinie für den Benutzer `mateojackson` aktualisiert werden, damit er mit der `fms:GetWidget`-Aktion auf die `my-example-widget`-Ressource zugreifen kann. Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt. ## Ich bin nicht berechtigt, iam auszuführen: PassRole Wenn Sie eine Fehlermeldung erhalten, dass Sie nicht autorisiert sind, die `iam:PassRole` Aktion auszuführen, müssen Ihre Richtlinien aktualisiert werden, damit Sie eine Rolle an Firewall Manager übergeben können. Einige AWS-Services ermöglichen es Ihnen, eine bestehende Rolle an diesen Dienst zu übergeben, anstatt eine neue Servicerolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst. Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer mit dem Namen `marymajor` versucht, die Konsole zu verwenden, um eine Aktion in Firewall Manager auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst. ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` In diesem Fall müssen die Richtlinien von Mary aktualisiert werden, um die Aktion `iam:PassRole` ausführen zu können. Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt. ## Ich möchte Personen außerhalb von mir den Zugriff AWS-Konto auf meine Firewall Manager Manager-Ressourcen ermöglichen Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Für Dienste, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (ACLs) unterstützen, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren. Weitere Informationen dazu finden Sie hier: + Informationen darüber, ob Firewall Manager diese Funktionen unterstützt, finden Sie unter[Wie AWS Shield funktioniert mit IAM](shd-security_iam_service-with-iam.md). + *Informationen dazu, wie Sie Zugriff auf Ihre Ressourcen gewähren können, AWS-Konten die Ihnen gehören, finden Sie im IAM-Benutzerhandbuch unter [Gewähren des Zugriffs auf einen IAM-Benutzer in einem anderen AWS-Konto , den Sie besitzen](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html).* + Informationen dazu, wie Sie Dritten Zugriff auf Ihre Ressourcen gewähren können AWS-Konten, finden Sie [AWS-Konten im *IAM-Benutzerhandbuch* unter Gewähren des Zugriffs für Dritte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html). + Informationen dazu, wie Sie über einen Identitätsverbund Zugriff gewähren, finden Sie unter [Gewähren von Zugriff für extern authentifizierte Benutzer (Identitätsverbund)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) im *IAM-Benutzerhandbuch*. + Informationen zum Unterschied zwischen der Verwendung von Rollen und ressourcenbasierten Richtlinien für den kontoübergreifenden Zugriff finden Sie unter [So unterscheiden sich IAM-Rollen von ressourcenbasierten Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html) im *IAM-Benutzerhandbuch*. # Verwenden von serviceverknüpften Rollen für Firewall Manager AWS Firewall Manager verwendet AWS Identity and Access Management (IAM) [serviceverknüpfte](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) Rollen. Eine serviceverknüpfte Rolle ist eine einzigartige Art von IAM-Rolle, die direkt mit Firewall Manager verknüpft ist. Dienstbezogene Rollen sind von Firewall Manager vordefiniert und enthalten alle Berechtigungen, die der Dienst benötigt, um andere AWS Dienste in Ihrem Namen aufzurufen. Eine dienstbezogene Rolle erleichtert die Einrichtung von Firewall Manager, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. Firewall Manager definiert die Berechtigungen seiner dienstbezogenen Rollen, und sofern nicht anders definiert, kann nur Firewall Manager seine Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann an keine andere IAM-Entität angefügt werden. Sie können eine serviceverknüpfte Rolle erst löschen, nachdem die zugehörigen Ressourcen gelöscht wurden. Dadurch werden Ihre Firewall Manager Manager-Ressourcen geschützt, da Sie nicht versehentlich die Zugriffsberechtigung für die Ressourcen entfernen können. Informationen zu anderen Services, die serviceverknüpften Rollen unterstützen, finden Sie unter [AWS -Services, die mit IAM funktionieren](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Suchen Sie nach den Services, für die **Ja** in der Spalte **Serviceverknüpfte Rolle** angegeben ist. Wählen Sie über einen Link **Ja** aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen. ## Dienstbezogene Rollenberechtigungen für Firewall Manager AWS Firewall Manager verwendet den dienstverknüpften Rollennamen AWSService RoleFor FMS, damit Firewall Manager in Ihrem Namen AWS Dienste zur Verwaltung von Firewall-Richtlinien und AWS Organizations Kontoressourcen aufrufen kann. Diese Richtlinie ist der AWS verwalteten Rolle zugeordnet. `AWSServiceRoleForFMS` Weitere Informationen zur verwalteten Rolle finden Sie unter[AWS verwaltete Richtlinie: `FMSServiceRolePolicy`](fms-security-iam-awsmanpol.md#security-iam-awsmanpol-FMSServiceRolePolicy). Die mit dem AWSService RoleFor FMS-Service verknüpfte Rolle vertraut darauf, dass der Dienst die Rolle übernimmt. `fms.amazonaws.com` Die Richtlinie für Rollenberechtigungen ermöglicht es Firewall Manager, die folgenden Aktionen für die angegebenen Ressourcen durchzuführen: + `waf`- Verwalten Sie das AWS WAF klassische Web ACLs, die Regelgruppenberechtigungen und die ACLs Webzuordnungen in Ihrem Konto. + `ec2`- Verwalten Sie Sicherheitsgruppen auf elastischen Netzwerkschnittstellen und Amazon EC2 EC2-Instances. Verwalten Sie das Netzwerk ACLs in Amazon VPC-Subnetzen. + `vpc`- Verwalten Sie Subnetze, Routing-Tabellen, Tags und Endpunkte in Amazon VPC. + `wafv2`- Verwalten Sie das AWS WAF Web ACLs, die Berechtigungen für Regelgruppen und die ACLs Webzuordnungen in Ihrem Konto. + `cloudfront`- Erstellen Sie ein Web ACLs , um CloudFront Distributionen zu schützen. + `config`- Verwalte AWS Config Regeln, die dem Firewall Manager gehören, in deinem Konto. + `iam`- Verwaltet diese dienstbezogene Rolle und erstellt erforderliche AWS WAF Rollen und dienstgebundene Shield-Rollen, wenn Sie die Protokollierung für AWS WAF und Shield-Richtlinien konfigurieren. + `organization`- Erstellen Sie eine dienstbezogene Rolle, die Firewall Manager gehört, um die von Firewall Manager verwendeten AWS Organizations Ressourcen zu verwalten. + `shield`- Verwalten Sie AWS Shield Schutzmaßnahmen und Konfigurationen zur L7-Abwehr für Ressourcen in Ihrem Konto. + `ram`- Verwalten Sie die gemeinsame Nutzung von AWS RAM Ressourcen für DNS-Firewall-Regelgruppen und Netzwerk-Firewall-Regelgruppen. + `network-firewall`- Verwalten Sie Firewall Manager-eigene AWS Network Firewall Ressourcen und abhängige Amazon VPC-Ressourcen in Ihrem Konto. + `route53resolver`- Verwalten Sie DNS-Firewall-Zuordnungen, die dem Firewall Manager gehören, in Ihrem Konto. Die vollständige Richtlinie finden Sie in der IAM-Konsole:. [FMSServiceRolePolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/aws-service-role/FMSServiceRolePolicy$serviceLevelSummary) Sie müssen Berechtigungen konfigurieren, damit eine juristische Stelle von IAM (z. B. Benutzer, Gruppe oder Rolle) eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen kann. Weitere Informationen finden Sie unter [serviceverknüpfte Rollenberechtigungen](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) im *IAM-Benutzerhandbuch*. ## Eine serviceverknüpfte Rolle für Firewall Manager erstellen Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie die AWS-Managementkonsole Firewall Manager-Anmeldung am aktivieren oder eine `PutLoggingConfiguration` Anfrage in der Firewall Manager Manager-CLI oder der Firewall Manager Manager-API stellen, erstellt Firewall Manager die dienstbezogene Rolle für Sie. Sie müssen über die `iam:CreateServiceLinkedRole`-Berechtigung verfügen, um die Protokollierung zu aktivieren. Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie die Firewall Manager-Protokollierung aktivieren, erstellt Firewall Manager die dienstbezogene Rolle erneut für Sie. ## Bearbeiten einer serviceverknüpften Rolle für Firewall Manager Mit Firewall Manager können Sie die mit dem AWSService RoleFor FMS-Service verknüpfte Rolle nicht bearbeiten. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach der Erstellung einer serviceverknüpften Rolle nicht bearbeitet werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter [Bearbeiten einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) im *IAM-Benutzerhandbuch*. ## Löschen einer serviceverknüpften Rolle für Firewall Manager Wenn Sie ein Feature oder einen Dienst, die bzw. der eine serviceverknüpften Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte juristische Stelle, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch die Ressourcen für Ihre serviceverknüpften Rolle zunächst bereinigen, bevor Sie sie manuell löschen können. **Anmerkung** Wenn der Firewall Manager Manager-Dienst die Rolle verwendet, wenn Sie versuchen, die Ressourcen zu löschen, schlägt das Löschen möglicherweise fehl. Wenn dies passiert, warten Sie einige Minuten und versuchen Sie es erneut. **Um die mit dem Dienst verknüpfte Rolle mithilfe von IAM zu löschen** Verwenden Sie die IAM-Konsole, die IAM-CLI oder die IAM-API, um die mit dem AWSService RoleFor FMS-Service verknüpfte Rolle zu löschen. Weitere Informationen finden Sie unter [Löschen einer serviceverknüpften Rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) im *IAM-Leitfaden*. ## Unterstützte Regionen für serviceverknüpfte Firewall Manager Manager-Rollen Firewall Manager unterstützt die Verwendung von dienstbezogenen Rollen in allen Regionen, in denen der Dienst verfügbar ist. Weitere Informationen finden Sie unter [Firewall Manager Manager-Endpunkte und Kontingente](https://docs.aws.amazon.com/general/latest/gr/firewallmanager.html). # Serviceübergreifende Confused-Deputy-Prävention Das Problem des verwirrten Stellvertreters ist ein Sicherheitsproblem, bei dem eine Entität, die keine Berechtigung zur Durchführung einer Aktion hat, eine privilegiertere Entität zur Durchführung der Aktion zwingen kann. In AWS kann ein dienstübergreifendes Identitätswechsels zu einem Problem mit dem verwirrten Stellvertreter führen. Ein dienstübergreifender Identitätswechsel kann auftreten, wenn ein Dienst (der *Anruf-Dienst*) einen anderen Dienst anruft (den *aufgerufenen Dienst*). Der aufrufende Service kann manipuliert werden, um seine Berechtigungen zu verwenden, um Aktionen auf die Ressourcen eines anderen Kunden auszuführen, für die er sonst keine Zugriffsberechtigung haben sollte. Um dies zu verhindern, bietet AWS Tools, mit denen Sie Ihre Daten für alle Services mit Serviceprinzipalen schützen können, die Zugriff auf Ressourcen in Ihrem Konto erhalten haben. Wir empfehlen, die Kontextschlüssel [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)und die [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount)globalen Bedingungsschlüssel in Ressourcenrichtlinien zu verwenden, um die Berechtigungen einzuschränken, die der AWS Firewall Manager Ressource einen anderen Dienst gewähren. Verwenden Sie `aws:SourceArn`, wenn Sie nur eine Ressource mit dem betriebsübergreifenden Zugriff verknüpfen möchten. Verwenden Sie `aws:SourceAccount`, wenn Sie zulassen möchten, dass Ressourcen in diesem Konto mit der betriebsübergreifenden Verwendung verknüpft werden. Der effektivste Weg, um sich vor dem Confused-Deputy-Problem zu schützen, ist die Verwendung des globalen Bedingungskontext-Schlüssels `aws:SourceArn` mit dem vollständigen ARN der Ressource. Wenn Sie den vollständigen ARN der Ressource nicht kennen oder wenn Sie mehrere Ressourcen angeben, verwenden Sie den globalen Kontextbedingungsschlüssel `aws:SourceArn` mit Platzhalterzeichen (`*`) für die unbekannten Teile des ARN. Beispiel, `arn:aws:fms:*:account-id:*`. Wenn der `aws:SourceArn`-Wert die Konto-ID nicht enthält, z. B. einen Amazon-S3-Bucket-ARN, müssen Sie beide globale Bedingungskontextschlüssel verwenden, um Berechtigungen einzuschränken. Der Wert von `aws:SourceArn` muss das AWS Firewall Manager AWS Administratorkonto sein. Die folgenden Beispiele zeigen, wie Sie den `aws:SourceArn` globalen Bedingungskontextschlüssel in Firewall Manager verwenden können, um das Problem des verwirrten Stellvertreters zu verhindern. Das folgende Beispiel zeigt, wie Sie das Problem mit dem verwirrten Stellvertreter verhindern können, indem Sie den `aws:SourceArn` globalen Bedingungskontextschlüssel in der Firewall Manager Manager-Rollenvertrauensrichtlinie verwenden. Ersetzen Sie *Region* und *account-id* durch Ihre eigenen Informationen. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "servicename.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": [ "arn:aws:fms:us-east-1:123456789012:${*}", "arn:aws:fms:us-east-1:123456789012:policy/*" ] }, "StringEquals": { "aws:SourceAccount": "123456789012" } } } } ``` ------