View a markdown version of this page

Zugriff auf WorkSpaces und Skripte auf WorkSpaces Pool-Instances - Amazon WorkSpaces
Bewährte Methoden für die Verwendung von IAM-Rollen mit Pool-Instances WorkSpacesKonfiguration einer vorhandenen IAM-Rolle zur Verwendung mit Pool-Instances WorkSpacesWie erstelle ich eine IAM-Rolle zur Verwendung mit WorkSpaces Pool-InstancesWie verwende ich die IAM-Rolle mit WorkSpaces Pool-Instances

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Zugriff auf WorkSpaces und Skripte auf WorkSpaces Pool-Instances

In diesem Thema sind WorkSpaces Pool-Instances die Streaming-Instances, auf denen Ihre WorkSpaces Pools ausgeführt werden. Dieses Thema bezieht sich auf WorkSpaces Pools und nicht auf WorkSpaces Personal.

Anwendungen und Skripts, die auf WorkSpaces Pool-Instances ausgeführt werden, müssen AWS Anmeldeinformationen in ihren AWS API-Anfragen angeben. Sie können eine IAM-Rolle zum Verwalten dieser Anmeldeinformationen erstellen. Eine IAM-Rolle gibt eine Reihe von Berechtigungen an, die Sie für den Zugriff auf AWS Ressourcen verwenden können. Diese Rolle ist jedoch nicht eindeutig einer Person zugeordnet. Stattdessen kann sie von jedem Benutzer angenommen werden, die sie benötigt.

Sie können eine IAM-Rolle auf eine WorkSpaces Pool-Instance anwenden. Wenn die WorkSpaces Pool-Instanz zur Rolle wechselt (diese übernimmt), stellt die Rolle temporäre Sicherheitsanmeldeinformationen bereit. Ihre Anwendung oder Skripte verwenden diese Anmeldeinformationen, um API-Aktionen und Verwaltungsaufgaben auf der WorkSpaces Pool-Instanz auszuführen. WorkSpaces verwaltet den temporären Wechsel der Anmeldeinformationen für Sie.

Bewährte Methoden für die Verwendung von IAM-Rollen mit Pool-Instances WorkSpaces

Wenn Sie IAM-Rollen mit WorkSpaces Pool-Instances verwenden, empfehlen wir Ihnen, die folgenden Methoden zu befolgen:

  • Beschränken Sie die Berechtigungen, die Sie AWS API-Aktionen und -Ressourcen gewähren.

    Folgen Sie den Prinzipien der geringsten Zugriffsrechte, wenn Sie IAM-Richtlinien erstellen und an die IAM-Rollen anhängen, die WorkSpaces Pool-Instances zugeordnet sind. Wenn Sie eine Anwendung oder ein Skript verwenden, das Zugriff auf AWS API-Aktionen oder -Ressourcen benötigt, legen Sie fest, welche spezifischen Aktionen und Ressourcen erforderlich sind. Erstellen Sie dann Richtlinien, die der Anwendung oder dem Skript gestatten, ausschließlich diese Aktionen auszuführen. Weitere Informationen finden Sie unter Gewähren von geringsten Rechten im IAM-Benutzerhandbuch.

  • Erstellen Sie eine IAM-Rolle für jede WorkSpaces Ressource.

    Das Erstellen einer eindeutigen IAM-Rolle für jede WorkSpaces Ressource entspricht dem Prinzip der geringsten Zugriffsrechte. Auf diese Weise können Sie auch Berechtigungen für eine Ressource ändern, ohne dass dies Auswirkungen auf andere Ressourcen hat.

  • Schränken Sie ein, wo die Anmeldeinformationen verwendet werden können.

    Mit IAM-Richtlinien können Sie die Bedingungen definieren, unter denen Ihre IAM-Rolle für den Zugriff auf eine Ressource verwendet werden kann. Sie können beispielsweise Bedingungen einfügen, um einen Bereich von IP-Adressen anzugeben, aus dem Anfragen stammen können. Auf diese Weise wird verhindert, dass die Anmeldeinformationen außerhalb Ihrer Umgebung verwendet werden. Weitere Informationen finden Sie unter Verwenden von Richtlinienbedingungen für zusätzliche Sicherheit im IAM-Benutzerhandbuch.

Konfiguration einer vorhandenen IAM-Rolle zur Verwendung mit Pool-Instances WorkSpaces

In diesem Thema wird beschrieben, wie Sie eine vorhandene IAM-Rolle so konfigurieren, dass Sie sie mit verwenden können. WorkSpaces

Voraussetzungen

Die IAM-Rolle, die Sie verwenden möchten, WorkSpaces muss die folgenden Voraussetzungen erfüllen:

  • Die IAM-Rolle muss sich im selben Amazon Web Services-Konto wie die WorkSpaces Pool-Instance befinden.

  • Die IAM-Rolle darf keine Servicerolle sein.

  • Die Vertrauensbeziehungsrichtlinie, die der IAM-Rolle zugeordnet ist, muss den WorkSpaces Dienst als Prinzipal enthalten. Ein Principal ist eine Entität AWS , die Aktionen ausführen und auf Ressourcen zugreifen kann. Die Richtlinie muss auch die Aktion sts:AssumeRole enthalten. Diese Richtlinienkonfiguration wird WorkSpaces als vertrauenswürdige Entität definiert.

  • Wenn Sie die IAM-Rolle auf anwenden WorkSpaces, WorkSpaces muss eine Version des WorkSpaces Agenten ausgeführt werden, die am oder nach dem 3. September 2019 veröffentlicht wurde. Wenn Sie die IAM-Rolle auf anwenden WorkSpaces, WorkSpaces muss ein Image verwendet werden, das eine Version des Agenten verwendet, die am oder nach demselben Datum veröffentlicht wurde.

Damit der WorkSpaces Service Principal eine bestehende IAM-Rolle übernehmen kann

Um die folgenden Schritte auszuführen, müssen Sie sich im Konto als IAM-Benutzer anmelden, der über die erforderlichen Berechtigungen zum Auflisten und Aktualisieren von IAM-Rollen verfügt. Wenn Sie nicht über die erforderlichen Berechtigungen verfügen, bitten Sie Ihren AWS-Kontoadministrator, diese Schritte in Ihrem Konto auszuführen oder Ihnen die erforderlichen Berechtigungen zu erteilen.

  1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

  2. Wählen Sie im Navigationsbereich Rollen.

  3. Wählen Sie in der Rollenliste in Ihrem Konto den Namen der zu ändernden Rolle.

  4. Klicken Sie auf der Registerkarte Trust Relationships (Vertrauensbeziehungen) auf Edit Trust Relationship (Vertrauensbeziehungen bearbeiten).

  5. Überprüfen Sie unter Policy Document (Richtliniendokument), ob die Vertrauensstellungsrichtlinie die Aktion sts:AssumeRole für den workspaces.amazonaws.com.rproxy.govskope.ca-Service-Prinzipal enthält:

    JSON
    {
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "workspaces.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

  6. Wenn Sie Ihre Vertrauensrichtlinie fertiggestellt haben, klicken Sie auf Update Trust Policy (Vertrauensrichtlinie aktualisieren), um Ihre Änderungen zu speichern.

  7. Die IAM-Rolle, die Sie ausgewählt haben, wird in der WorkSpaces Konsole angezeigt. Diese Rolle gewährt Anwendungen und Skripten Berechtigungen zur Ausführung von API-Aktionen und Verwaltungsaufgaben auf WorkSpaces Pool-Instances.

Wie erstelle ich eine IAM-Rolle zur Verwendung mit WorkSpaces Pool-Instances

In diesem Thema wird beschrieben, wie Sie eine neue IAM-Rolle erstellen, damit Sie sie verwenden können WorkSpaces

  1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

  2. Wählen Sie im Navigationsbereich Rollen und dann Rolle erstellen.

  3. Wählen Sie unter Select type of trusted entity (Typ der vertrauenswürdigen Entität wählen) die Option AWS Service aus.

  4. Wählen WorkSpaces Sie aus der Liste der AWS Dienste.

  5. Unter Wählen Sie Ihren Anwendungsfall aus ist WorkSpaces — Erlaubt WorkSpaces Instances, AWS Dienste in Ihrem Namen aufzurufen, bereits ausgewählt. Wählen Sie Weiter: Berechtigungen aus.

  6. Wenn möglich, wählen Sie die Richtlinie aus, die für die Berechtigungsrichtlinie verwendet werden soll, oder wählen Create policy (Richtlinie erstellen), um eine neue Registerkarte im Browser zu öffnen und eine vollständig neue Richtlinie zu erstellen. Weitere Informationen finden Sie in Schritt 4 der Anleitung Erstellen von IAM-Richtlinien (Konsole) im IAM-Benutzerhandbuch.

    Nachdem Sie die Richtlinie erstellt haben, schließen Sie die Registerkarte und kehren zur ursprünglichen Registerkarte zurück. Markieren Sie das Kontrollkästchen neben den Berechtigungsrichtlinien, die Sie haben WorkSpaces möchten.

  7. (Optional) Legen Sie eine Berechtigungsgrenze fest. Dies ist eine erweiterte Funktion, die für Servicerollen verfügbar ist, aber nicht für servicegebundene Rollen. Weitere Informationen finden Sie unter Berechtigungsgrenzen für IAM-Entitäten im IAM-Benutzerhandbuch.

  8. Wählen Sie Weiter: Markierungen. Sie können Tags optional als Schlüssel-Wert-Paare anhängen. Weitere Informationen zum Thema Taggen von IAM-Benutzern und Rollen finden Sie im IAM-Benutzerhandbuch.

  9. Wählen Sie Weiter: Prüfen aus.

  10. Geben Sie unter Rollenname einen Rollennamen ein, der in Ihrem AWS-Konto eindeutig ist. Da andere AWS Ressourcen möglicherweise auf die Rolle verweisen, können Sie den Namen der Rolle nicht mehr bearbeiten, nachdem sie erstellt wurde.

  11. Behalten Sie für Role description (Rollenbeschreibung) die Standardrollenbeschreibung bei oder geben Sie eine neue Beschreibung ein.

  12. Prüfen Sie die Rolle und klicken Sie dann auf Create Role (Rolle erstellen).

Wie verwende ich die IAM-Rolle mit WorkSpaces Pool-Instances

Nachdem Sie eine IAM-Rolle erstellt haben, können Sie sie WorkSpaces beim Start darauf anwenden. WorkSpaces Sie können eine IAM-Rolle auch auf eine bestehende Rolle anwenden. WorkSpaces

Wenn Sie eine IAM-Rolle auf anwenden WorkSpaces, werden temporäre Anmeldeinformationen WorkSpaces abgerufen und das Anmeldeinformationsprofil workspaces_machine_role auf der Instance erstellt. Die temporären Anmeldeinformationen sind 1 Stunde lang gültig und es werden stündlich neue Anmeldeinformationen abgerufen. Die vorherigen Anmeldeinformationen laufen nicht ab, sodass Sie sie so lange verwenden können, wie sie gültig sind. Sie können das Anmeldeinformationsprofil verwenden, um AWS Dienste programmgesteuert aufzurufen, indem Sie die AWS Befehlszeilenschnittstelle (AWS CLI), AWS Tools for oder das SDK in der Sprache Ihrer Wahl verwenden. PowerShell AWS

Wenn Sie die API-Aufrufe tätigen, geben Sie workspaces_machine_role als Anmeldeinformationsprofil an. Andernfalls schlägt die Operation aufgrund unzureichender Berechtigungen fehl.

WorkSpaces nimmt die angegebene Rolle an, während die Pool-Instanz bereitgestellt wird. WorkSpaces Da die elastische Netzwerkschnittstelle, die an Ihre VPC angehängt ist, für AWS API-Aufrufe WorkSpaces verwendet wird, muss Ihre Anwendung oder Ihr Skript warten, bis die elastische Netzwerkschnittstelle verfügbar ist, bevor AWS API-Aufrufe getätigt werden. Wenn API-Aufrufe ausgeführt werden, bevor die Elastic-Network-Schnittstelle verfügbar ist, schlagen die Aufrufe fehl.

Die folgenden Beispiele zeigen, wie Sie das Anmeldeinformationsprofil workspaces_machine_role verwenden können, um EC2-Instances zu beschreiben und den Boto-Client zu erstellen. Boto ist das Amazon Web Services (AWS) SDK für Python.

Beschreiben AWS Sie EC2-Instanzen mithilfe der CLI 

aws ec2 describe-instances --region us-east-1 --profile workspaces_machine_role

Beschreiben Sie EC2-Instanzen mithilfe AWS von Tools für PowerShell

Sie müssen AWS Tools für PowerShell Version 3.3.563.1 oder höher zusammen mit dem Amazon Web Services SDK für.NET-Version 3.3.103.22 oder höher verwenden. Sie können das Installationsprogramm für AWS Tools for Windows, das Tools for PowerShell und das Amazon Web Services SDK for .NET umfasst, von der Website AWS Tools for herunterladen. AWS PowerShell 

Get-EC2Instance -Region us-east-1 -ProfileName workspaces_machine_role

Erstellen des Boto-Clients mithilfe des AWS SDK für Python 

session = boto3.Session(profile_name=workspaces_machine_role')